Cosa ha deciso la DPC
Il 21 settembre 2026 la Data Protection Commission irlandese ha annunciato la decisione finale su Google Ireland Limited. L'istruttoria era d'ufficio, aperta nel febbraio 2020 dopo i reclami di più organizzazioni europee di consumatori, fra cui BEUC. Sanzioni per 403 milioni di euro e ordine di conformare il trattamento entro sei mesi. La decisione per esteso sarà pubblicata più avanti.
Il perimetro è stretto e vale la pena leggerlo con attenzione: tre funzioni — Web & App Activity, Location History e Location Accuracy — e una finestra che va dal 25 maggio 2018, data di applicazione del GDPR, al 4 febbraio 2020. Non è un giudizio su come funziona Google oggi: è un giudizio su ventidue mesi di otto anni fa, arrivato sei anni dopo l'apertura dell'istruttoria.
- Liceità e correttezza del trattamento dei dati di posizione in Web & App Activity e Location History.
- Responsabilizzazione: non aver saputo dimostrare la conformità ai principi di liceità, correttezza e trasparenza per Location Accuracy.
- Trasparenza, per tutte e tre le funzioni.
- Conservazione dei dati di posizione in Web & App Activity e Location History.
Due di questi quattro rilievi non hanno niente a che fare con la scala di Google. La conservazione e la capacità di dimostrare stanno nel registro dei trattamenti di qualunque cliente, compreso quello con quattro dipendenti. Il vicecommissario Graham Doyle lo dice esplicitamente: conservare i dati di posizione più a lungo del necessario ha aggravato la perdita di controllo delle persone. Non è una violazione aggiunta per fare numero, è il moltiplicatore delle altre.
Il rilievo che dovrebbe far pensare
Il secondo punto non dice che Location Accuracy fosse illecita. Dice che Google non è stata in grado di dimostrare che fosse lecita, corretta e trasparente. È il principio di responsabilizzazione: l'onere sta sul titolare, e un'istruttoria di sei anni si è chiusa anche su questo. Chi scrive «base giuridica: legittimo interesse» senza allegare la valutazione è nella stessa posizione, soltanto su scala più piccola.
Per il lavoro di tutti i giorni ci sono due cose da fare, e nessuna richiede di aspettare il testo integrale. La prima: rileggere le righe del registro in cui la conservazione dice «per il tempo necessario» e sostituirle con un criterio e con la prova che alla scadenza qualcosa succede davvero. La seconda: per ogni trattamento che si regge su una valutazione — legittimo interesse, bilanciamento, necessità — verificare che quella valutazione esista come documento e non come convinzione.
Fonte ufficiale:Data Protection Commission — Fines Google €403 million following Inquiry into Google's processing of location data (21/09/2026)Fonte ufficiale:Data Protection Commission — DecisionsStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
