Garante Privacy detta le regole a Google: “Non può usare dati senza consenso”

Garante Privacy detta le regole a Google: “Non può usare dati senza consenso”

ROMA – Google non potrà raccogliere né tanto meno utilizzare i dati raccolti sulle attività svolte online dagli utenti iscritti ai suoi servizi, senza prima chiederne l’esplicito consenso. Sono le nuove regole stilate dal Garante per la Privacy, appositamente per il colosso di Mountain View. Dopo un anno di istruttoria nei confronti di Google, il Garante italiano ha fissato dei paletti per garantire più tutele a chi usa il motore di ricerca o la miriade di servizi offerti, dalla posta elettronica (Gmail), al social network (GooglePlus), alla gestione dei pagamenti on line (Google Wallet), alla diffusione di filmati (YouTube), alle mappe on line (Street View), all’analisi statistica (Google Analytics). La società di Mountain View ha 18 mesi di tempo per adeguarsi e intanto il Garante monitorerà che le misure vengano effettivamente adottate.

Le misure riguardano in particolare il trattamento dei dati che la società usa soprattutto per la profilazione degli utenti, al fine di mostrare loro pubblicità personalizzate durante la navigazione. Dal canto suo Google ha fatto sapere di avere “collaborato costantemente con il Garante” nel corso dell’ultimo anno e che il provvedimento sarà analizzato “attentamente per definire i prossimi passi”.

Il provvedimento dell’Autorità guidata da Antonello Soro è il primo in Europa a fissare in concreto dei paletti. Nel frattempo la società ha già adottato una serie di misure per rendere la propria privacy policy più conforme alle norme, ma l’Autorità ha rilevato una serie di criticità (in materia di inadeguata informativa agli utenti, mancata richiesta di consenso per finalità di profilazione, incerti tempi di conservazione dei dati).

Queste, in sintesi, le misure prescritte dal Garante:

INFORMATIVA – Google dovrà adottare un sistema di informativa strutturato su più livelli, in modo da fornire in un primo livello generale l’indicazione dei trattamenti e dei dati oggetto di trattamento (come localizzazione terminali, indirizzi IP ecc), dell’indirizzo al quale rivolgersi in lingua italiana per esercitare i propri diritti ecc; in un secondo livello, più di dettaglio, le specifiche informative sui singoli servizi offerti. Ma soprattutto Google dovrà spiegare chiaramente, nell’informativa generale, che i dati personali degli utenti sono monitorati e utilizzati, tra l’altro, a fini di profilazione per pubblicità mirata e che vengono raccolti anche con tecniche più sofisticate che non i semplici cookie, come il ‘fingerprinting’ (sistema che archivia direttamente le informazioni nei server delle società).

CONSENSO – Per usare a fini di profilazione e pubblicità personalizzata i dati degli interessati, Google dovrà acquisire il previo consenso degli utenti e non potrà più limitarsi a considerare il semplice uso del servizio come accettazione incondizionata di regole che non lasciavano, finora, alcun potere decisionale agli interessati sul trattamento dei propri dati personali. L’Autorità ha anche indicato una modalità innovativa e di facile impiego che, senza gravare eccessivamente sulla navigazione dell’utente, gli consenta di scegliere in modo attivo e consapevole se dare o meno il consenso alla profilazione.

CONSERVAZIONE – Google dovrà definire tempi certi di conservazione dei dati sulla base delle norme del Codice privacy, sia per quelli mantenuti sui sistemi cosiddetti “attivi”, sia successivamente archiviati su sistemi di “back up”. Per quanto riguarda la cancellazione di dati personali, il Garante ha imposto a Google che richieste degli utenti che hanno un account (e sono quindi facilmente identificabili) siano soddisfatte al massimo entro 2 mesi se i dati sono conservati sui sistemi “attivi” ed entro 6 mesi se sono archiviati sui sistemi di back up. Per quanto riguarda, invece, le richieste di cancellazione che riguardano l’uso del motore di ricerca, ha ritenuto opportuno attendere gli sviluppi applicativi della sentenza della Corte di giustizia Ue sul diritto all’oblio.

Entro il 30 settembre Google dovrà sottoporre al Garante un protocollo di verifica, che una volta sottoscritto diventerà vincolante, in base al quale verranno stabiliti tempi e modalità per l’attività di controllo che l’Autorità svolgerà nei confronti di Mountain View.