Primo intervento concreto in Europa. Società, continueremo a collaborare
Più tutele per chi usa i servizi o il motore di ricerca di Google: arrivano i paletti del Garante per la privacy, in base ai quali il colosso di Mountain View non potrà utilizzare i dati degli utenti a fini di profilazione senza il consenso preventivo e dovrà dichiarare esplicitamente di svolgere questa attività a fini commerciali. Il provvedimento dell’Autorità italiana – il primo in Europa a fissare in concreto i paletti ai quali Google si deve uniformare – arriva a conclusione dell’istruttoria avviata un anno fa. Nel frattempo la società ha adottato una serie di misure per rendere la propria privacy policy più conforme alle norme, ma l’Autorità ha rilevato una serie di criticità (in materia di inadeguata informativa agli utenti, mancata richiesta di consenso per finalità di profilazione, incerti tempi di conservazione dei dati). La società di Mountain View avrà 18 mesi di tempo per adeguarsi e intanto il Garante monitorerà che le misure vengano effettivamente adottate. Un portavoce di Google assicura comunque che la società “continuerà a collaborare” con l’Autorità: “Analizzeremo il provvedimento del Garante attentamente per definire i prossimi passi”. Queste, in sintesi, le misure.
Google dovrà adottare un sistema di informativa strutturato su più livelli, in modo da fornire in un primo livello generale l’indicazione dei trattamenti e dei dati oggetto di trattamento (come localizzazione terminali, indirizzi IP ecc), dell’indirizzo al quale rivolgersi in lingua italiana per esercitare i propri diritti ecc; in un secondo livello, più di dettaglio, le specifiche informative sui singoli servizi offerti. Ma soprattutto Google dovrà spiegare chiaramente, nell’informativa generale, che i dati personali degli utenti sono monitorati e utilizzati, tra l’altro, a fini di profilazione per pubblicità mirata e che vengono raccolti anche con tecniche più sofisticate che non i semplici cookie, come il ‘fingerprinting’ (sistema che archivia direttamente le informazioni nei server delle società).
Per usare a fini di profilazione e pubblicità personalizzata i dati degli interessati, Google dovrà acquisire il previo consenso degli utenti e non potrà più limitarsi a considerare il semplice uso del servizio come accettazione incondizionata di regole che non lasciavano, finora, alcun potere decisionale agli interessati sul trattamento dei propri dati personali. L’Autorità ha anche indicato una modalità innovativa e di facile impiego che, senza gravare eccessivamente sulla navigazione dell’utente, gli consenta di scegliere in modo attivo e consapevole se dare o meno il consenso alla profilazione.
Google dovrà definire tempi certi di conservazione dei dati sulla base delle norme del Codice privacy, sia per quelli mantenuti sui sistemi cosiddetti “attivi”, sia successivamente archiviati su sistemi di “back up”. Per quanto riguarda la cancellazione di dati personali, il Garante ha imposto a Google che richieste degli utenti che hanno un account (e sono quindi facilmente identificabili) siano soddisfatte al massimo entro 2 mesi se i dati sono conservati sui sistemi “attivi” ed entro 6 mesi se sono archiviati sui sistemi di back up. Per quanto riguarda, invece, le richieste di cancellazione che riguardano l’uso del motore di ricerca, ha ritenuto opportuno attendere gli sviluppi applicativi della sentenza della Corte di giustizia Ue sul diritto all’oblio. Entro il 30 settembre Google dovrà sottoporre al Garante un protocollo di verifica, che una volta sottoscritto diventerà vincolante, in base al quale verranno stabiliti tempi e modalità per l’attività di controllo che l’Autorità svolgerà nei confronti di Mountain View.