Google ha adempiuto agli impegni presi con il Garante della privacy per rendere conforme il trattamento dei dati degli utenti alla normativa italiana. Si è conclusa positivamente la verifica da parte dell’Autorità sugli adempimenti prescritti nel provvedimento del luglio 2014 e disciplinati nel protocollo di verifica che Google ha sottoscritto all’inizio dello scorso anno. Nel corso dei 18 mesi concessi a Google il Garante ha effettuato verifiche presso la sede di Mountain View e ha ricevuto aggiornamenti trimestrali sull’attuazione delle prescrizioni.
Il protocollo prevedeva l’implementazione di una serie di misure che garantissero la tutela dei dati personali degli utenti dei circa 70 servizi diversi offerti e obbligassero Google al rispetto delle regole. Ecco in sintesi le misure adottate dalla società. Le informazioni fornite agli utenti sul trattamento dei loro dati sono più numerose e messe a disposizione in maniera più agevole. L’informativa esplicita ora le diverse finalità per le quali i dati sono raccolti e utilizzati, compresa la profilazione che prevede anche l’incrocio dei dati tra le diverse funzionalità offerte.
L’informativa è stata resa più accessibile grazie a un link diretto che ne consente la visualizzazione con un solo click di distanza da ogni pagina del dominio. Sono state aggiunte inoltre informative per singoli prodotti e servizi. Sono stati inseriti link per agevolare contatti con la società e predisposto un modulo per l’esercizio dei diritti da parte degli utenti.
Google ha implementato le misure per acquisire il consenso all’uso dei dati non solo per gli utenti autenticati, ma anche – sulla base di una specifica prescrizione del Garante – di quelli non autenticati. E’ stato utilizzato un meccanismo che impone all’utente di effettuare necessariamente una scelta prevedendo, tramite la presentazione di un banner, la richiesta di consenso ripetuta per tre volte nell’arco di due mesi, fino a impedire l’accesso ai servizi finché la scelta non venga effettuata. Gli utenti potranno negare il consenso o rilasciarne uno anche parziale rispetto ai diversi scopi per i quali i dati possono essere usati, a partire dalla profilazione.
Per la gestione dei propri dati personali, gli utenti autenticati (che cioè dispongono di un account) possono utilizzare un nuovo servizio denominato ‘My Account’ che contiene informazioni sulla privacy, la sicurezza e gli strumenti a disposizione per controllare i propri dati. Per gli utenti non autenticati è disponibile una versione semplificata di ‘My account’ che consente di personalizzare le ricerche sia sul motore di ricerca che su YouTube, controllare la tipologia di annunci visualizzati e scegliere di non ricevere pubblicità mirata. Migliorate anche le impostazioni degli annunci con la possibilità di selezionare le categorie di interesse o disattivare la pubblicità personalizzata.
Gli utenti possono ora, in particolare, disattivare e sospendere la raccolta dei dati per la cronologia delle ricerche e delle localizzazioni o per l’attività vocale e audio. Come per la manifestazione del consenso, anche il diritto di opposizione al trattamento dei dati può essere esercitato in modo ‘granulare’, cioè anche solo rispetto ad alcuni servizi e incroci di dati tra servizi diversi. Gli utenti avranno a disposizione un meccanismo di facile utilizzo per poter dialogare con Google ed esercitare i loro diritti, come chiedere copie dei dati o farli rettificare.
In linea con quanto richiesto dal Garante, Google rende inaccessibili i dati dell’utente autenticato 24 ore dopo la richiesta dell’interessato e li cancella entro 2 mesi, se i dati sono su sistemi attivi, o entro 6 mesi, se sono archiviati su sistemi di back up. I cosiddetti ‘dati di sistema’, necessari a Google per fornire i propri servizi (es. i file di log), vengono invece anonimizzati allo scadere di tempi di conservazione predefiniti. Riguardo, in particolare, al tempo unico di conservazione indicato da Google per i cookie (18 mesi), il Garante si è riservato un ulteriore approfondimento per verificare se possano essere individuati tempi di conservazione diversificati in base al maggiore o minore potere identificativo dei cookie.
L’Autorità si è riservata ulteriori approfondimenti anche sulle tecniche di anonimizzazione utilizzate. I miglioramenti adottati da Google “sono un primo significativo passo”, commenta Antonello Soro, presidente dell’Autorità Garante. Ma “la nostra azione di vigilanza e controllo nei confronti di Mountain View non si fermerà – continua -. Proseguiremo nelle verifiche, anche in collaborazione con le altre Autorità europee, affinché i dati degli utenti siano sempre più protetti e i loro diritti riconosciuti dai colossi del web”.
Per il sottosegretario alle Comunicazioni, Antonello Giacomelli è “molto positiva la notizia resa nota oggi dal Garante della privacy: Google ha rispettato gli impegni presi nel protocollo firmato l’anno scorso per rendere conforme il trattamento dei dati alla normativa italiana. La via italiana è quella vincente: non è un caso che stia facendo scuola nel resto d’Europa”.
“L’accordo del febbraio 2015 è stato il primo di questo tipo firmato in Europa, nel silenzio dei media italiani: prevedeva che il Garante italiano potesse effettuare verifiche anche presso la sede di Mountain View, come è avvenuto – sottolinea Giacomelli – Oggi veniamo a sapere che l’esercizio del diritto di privacy e di trattamento dei dati degli utenti italiani sono stati tutelati da Google e gli impegni sono stati rispettati. E’ una buona notizia: conferma che i big americani della Rete non sono il nemico e che l’approccio muscolare di altri paesi spesso si rivela controproducente”.
