Caso Google, multa da 403 milioni di euro: il caso che riporta al centro governance e controllo dei dati

La sanzione è stata decisa dalla Data Protection Commission irlandese, che ha concluso un’indagine avviata nel 2020 sulle pratiche adottate da Google tra il 25 maggio 2018 e il 4 febbraio 2020. Sotto esame sono finite tre funzioni: Web & App Activity, Location History e Location Accuracy di Android.

La questione è delicata perché i dati di posizione, se analizzati nel tempo, possono dire molto più di dove si trova una persona in un determinato momento. Possono ricostruirne abitudini, spostamenti e luoghi frequentati, fino a delineare aspetti piuttosto precisi della vita quotidiana.

Cosa contesta l’autorità a Google

Secondo la DPC, alcune delle modalità adottate da Google non rispettavano pienamente i requisiti previsti dal GDPR.

Per Web & App Activity e Location History, l’autorità ha rilevato problemi legati alla liceità e alla correttezza del trattamento, oltre alla conservazione dei dati per periodi ritenuti eccessivi. Su tutte e tre le funzioni sono emerse anche criticità legate alla trasparenza delle informazioni fornite agli utenti.

Per Location Accuracy, invece, uno dei punti riguarda la capacità di Google di dimostrare concretamente il rispetto degli obblighi previsti dalla normativa.

È un passaggio tutt’altro che secondario. Il GDPR non chiede alle aziende soltanto di adottare regole e procedure, ma anche di poter spiegare e documentare come vengono gestiti i dati nel concreto.

Oltre alla sanzione economica, Google dovrà adeguare i trattamenti contestati entro sei mesi.

La posizione di Google

Google ha fatto sapere che il procedimento riguarda pratiche risalenti a diversi anni fa e che, già a partire dal 2019, sono stati introdotti cambiamenti nella gestione dei dati di localizzazione.

L’azienda sostiene inoltre di aver reso più semplici gli strumenti a disposizione degli utenti per controllare, gestire ed eliminare queste informazioni.

È un elemento da tenere presente: la decisione della DPC riguarda un periodo preciso e non consente di concludere automaticamente che le stesse modalità siano ancora utilizzate oggi.

Resta però un tema di fondo. La gestione dei dati cambia insieme ai servizi, alle piattaforme e alle tecnologie. Per questo la conformità non può essere trattata come un adempimento da completare una volta per tutte.

Oltre la compliance: governare i dati con consapevolezza

È su questo terreno che il caso Google offre uno spunto utile anche per realtà come DPWAY, che lavorano sui temi della compliance e della sicurezza informatica.

Privacy e cybersecurity restano ambiti distinti, ma nella pratica finiscono spesso per incontrarsi. In entrambi i casi il punto di partenza è sapere quali dati sono presenti nei sistemi, dove si trovano, chi può accedervi e per quanto tempo vengono conservati.

Anche il monitoraggio ha un ruolo importante. Strumenti come SIEM e SOC possono aiutare a ricostruire attività, accessi ed eventi che avvengono all’interno dell’infrastruttura. Non sostituiscono gli obblighi previsti dal GDPR, ma rendono più semplice avere visibilità su ciò che accade realmente nei sistemi.

Lo stesso vale per la conservazione dei dati. Tenere informazioni più a lungo del necessario non è soltanto una questione normativa: significa anche aumentare la quantità di dati esposti nel caso in cui qualcosa vada storto.

Per questo compliance, sicurezza e gestione dei dati hanno bisogno di dialogare molto più di quanto accada spesso nelle aziende. Non per aggiungere nuovi livelli di burocrazia, ma per avere una visione chiara di ciò che viene raccolto e del motivo per cui continua a essere conservato.

La vicenda Google parte da una sanzione molto rilevante, ma porta a una domanda molto più ordinaria, che riguarda qualsiasi organizzazione: sapere davvero che cosa succede ai dati una volta entrati nei propri sistemi.