Source: http://www.dirittiweb.it/2015/02/google-dati-personali-dal-provvedimento-del-garante-al-protocollo-di-verifica/
Timestamp: 2019-06-16 03:18:52+00:00
Document Index: 45968535

Matched Legal Cases: ['art.5', 'art.5', 'art. 29', 'art. 13', 'art. 11', 'art. 13', 'art. 23', 'art. 23', 'art. 24', 'art. 24', 'art. 24', 'art. 23', 'art. 11']

Google & dati personali: dal provvedimento del Garante al protocollo di verifica | Diritti Web
Dopo aver bacchettato Big G lo scorso Luglio, il Garante è tornato “alla carica” approvando il protocollo di verifica con cui monitorerà da vicino il processo di adeguamento, da parte di Google, alla normativa italiana in tema Privacy. Vediamo assieme i punti critici dell’attuale politica sul trattamento dei dati personali del colosso di Mountain View.
(Foto di Carlos Luna, Flickr)
In questi giorni sull’etere si sono rimpallate notizie, articoletti e commenti in merito all’ultimo bollettino emesso pochi giorni fa dal Garante della Privacy intitolato “Google si adeguerà alle misure richieste dal Garante a tutela della privacy”.
Con questo breve comunicato stampa il Garante ha voluto informare i cittadini, in estrema sintesi e semplicità, riguardo le misure che Google dovrà implementare nel corso del 2015 per potersi considerare compliance rispetto al dettato normativo del d.lgs. 196/2003.
Tuttavia, il vero e proprio provvedimento con cui il nostro Garante ha scoperchiato il vaso di Pandora, “diagnosticando” le falle nel sistema di gestione dei dati personali da parte di Google, e “prescrivendone” pure la cura, risale allo scorso Luglio, e per l’esattezza al provvedimento del 10 Luglio 2014.
Ritengo pertanto doveroso, in primis, analizzare detto provvedimento, sia per poter “capire e conoscere” meglio le criticità identificate dal Garante con riferimento al trattamento dei dati personali effettuato dal colosso di Mountain View, sia per potervi offrire una trattazione giuridicamente orientata – si spera ugualmente comprensibile ai più – che difficilmente vi capiterà di leggere in altre realtà oggi presenti online.
La filiale Google Italy Srl
Partiamo dal constatare come Google Inc., con sede legale a Mountain View abbia costituito sin dal 2002 la filiale Google Italy Srl – società con socio unico che gode di personalità giuridica autonoma – nominandola dal 2010 quale propria rappresentante in Italia ai sensi e per gli effetti dell’art.5 del Codice Privacy (abbiamo già visto QUI l’importanza dell’art.5 per poter trattare i dati personali in conformità al d.lgs. 196/2003).
Google pertanto, dal 2010, deve trattare i dati dei suoi utenti, ancorchè possano essere detenuti anche all’estero, nel pieno rispetto del nostro attuale Codice Privacy, avendo formalmente stabilito nel territorio dello Stato una società all’uopo nominata proprio per tale scopo.
L’indagine del WP 29
Brevemente, il WP 29 (Data Protection Working Party ex art. 29 direttiva 95/46) è un organismo consultivo e indipendente, composto da un rappresentante delle autorità di protezione dei dati personali di ciascun stato membro dell’Unione Europea, dal GEPD (Garante europeo della protezione dei dati), oltre che da un rappresentante della Commissione Europea.
Il WP 29 è, in sostanza, l’organismo a livello europeo in tema di Data Protection di maggior importanza, avendo tra gli altri diversi delicati compiti tra cui:
Ciò detto, proprio il WP 29 in una lettera inviata a “Mr. Page” (Fondatore e CEO di Google) datata 16 Ottobre 2012 contestava:
l’omessa conformità dei trattamenti di dati effettuati ai requisiti imposti dalla disciplina europea in materia e la si invitava all’adozione delle misure idonee ad assicurare il rispetto di alcuni, specifici principi.
Il medesimo WP 29 ha poi deliberato la costituzione di un’apposita task force di cui sono state chiamate a far parte alcune delle autorità di protezione dei dati personali degli stati membri facenti parte del gruppo, tra cui l’Italia.
Successivamente a tale missiva, il Garante italiano ha pertanto informato Google dell’avvio del procedimento amministrativo nei suoi confronti, finalizzato alla verifica della liceità e correttezza dei trattamenti effettuati dalla società ai sensi della sua nuova Privacy Policy, con la quale Google, dall’1 Marzo 2012, ha unificato oltre 70 diverse Privacy Policy in un unico documento.
Le criticità individuate dal Garante nel provvedimento del 10 Luglio 2014
All’esito dell’istruttoria svolta in merito alla Privacy Policy di Google, il nostro Garante ha identificato diverse criticità riferibili al trattamento dei dati personali da parte di Big G, che nel provvedimento del 10 Luglio 2014 vengono analiticamente individuate.
A. modalità e contenuto dell’informativa resa agli interessati, anche in relazione all’esplicitazione delle diverse finalità e alle modalità del trattamento dei loro dati personali (cfr. Terms of service e privacy policy, vers. 31.3.14) (art. 13 del Codice);
B. omessa richiesta del consenso degli interessati per finalità di profilazione tesa anche alla visualizzazione di pubblicità comportamentale personalizzata ed all’analisi e monitoraggio dei comportamenti dei visitatori di siti web, nonché mancato rispetto del diritto di opposizione degli interessati (artt. 7, 23, 24 e 122 del Codice). Sul punto sono state individuate le principali criticità con riferimento:
– al trattamento a fini di profilazione eseguito mediante Gmail;
– all’incrocio dei dati personali degli utenti in relazione a diversi servizi offerti;
– all’utilizzo di cookie e altri identificatori quali credenziali di autenticazione, fingerprinting etc.
C. tempo di conservazione dei dati (art. 11 del Codice).
Vediamo di capire assieme i punti critici individuati dal nostro Garante.
A. Modalità e contenuto dell’informativa resa agli interessati
L’informativa ex art. 13 del d.lgs. 196/2003 è un articolo cardine della nostra normativa Privacy: gli utenti devono essere perfettamente consapevoli, nel modo più chiaro e trasparente possibile, riguardo la sorte dei dati conferiti, oltre che dei diritti a loro spettanti con riferimento agli stessi.
Il Garante ha affermato che:
L’istruttoria condotta ha accertato che l’attuale informativa resa agli utenti, sebbene migliorata rispetto all’avvio del presente procedimento, non è ancora conforme alla menzionata disposizione di legge.
È di tutta evidenza che la preventiva consapevolezza degli utenti circa i possibili impieghi delle informazioni che li riguardano costituisce l’ineludibile presupposto per consentire agli interessati medesimi di esprimere o meno il proprio consenso ai trattamenti di dati come illustrati dalla società, a seguito della necessaria e personale valutazione sull’impatto che tali trattamenti potranno avere sul proprio diritto alla protezione dei dati personali.
Il nostro Garante, nel provvedimento che si ricorda essere “prescrittivo”, non solo individua puntualmente le criticità nel trattamento dei dati da parte della società di Page, ma suggerisce direttamente quali accorgimenti adottare per potersi adeguare efficacemente ai dettati normativi vigenti.
Google viene pertanto invitata a predisporre un’informativa:
facilmente accessibile con un solo click dalla pagina del dominio cui l’utente accede;
formulata in modo chiaro, completo ed esaustivo;
formulata in moda da consentire agli utenti di raffrontare le diverse privacy policy susseguitesi nel tempo;
strutturata tramite più livelli, nel rispetto dell’Opinion n.10/2004 del WP 29.
Proprio con riferimento ai predetti livelli, il Garante consiglia di suddividere così la nuova Privacy Policy:
informazioni di carattere generale, unitamente alle informazioni di maggiore importanza per gli utenti (trattamenti di dati personali effettuati, tipologie di dati personali oggetto di trattamento, qualifica di titolare ed estremi identificativi, indicazione del rappresentante designato nel territorio dello stato, indirizzo presso cui gli utenti possano esercitare in modo agevole ed in lingua italiana i propri diritti);
maggiore chiarezza nell’informare che YuoTube appartiene a Google dall’Ottobre del 2006 e che i dati acquisiti con detto servizio vengono incrociati con quelli relativi ad altri offerti da Big G;
i link alle specifiche Privacy Policy delle singole funzionalità, nonchè l’indicazione della finalità di profilazione, tesa alla visualizzazione della pubblicità comportamentale personalizzata (abbiamo parlato QUI di profliazione);
infine, indicazione dettagliata delle modalità di acquisizione del consenso ex art. 23 d.lgs. 196/2003.
le varie Privacy Policy minori specifiche per le sinogle funzionalità (es. Google Wallet, Chrome, Books ecc.);
archivi delle precedenti Privacy Policy;
l’indicazione dei rischi specifici che possono derivare per gli interessati dall’utilizzo dei servizi (ad esempio scelta di password non sufficientemente sicura);
tutte le altre indicazioni di dettaglio idonee a consentire il più efficace esercizio dei diritti riconosciuti agli utenti.
B. omessa richiesta del consenso degli interessati per finalità di profilazione
Partiamo dal dato normativo, ovvero dall’art. 23 del nostro Codice Privacy rubricato come “Consenso”:
Il consenso e’ manifestato in forma scritta quando il trattamento riguarda dati sensibili.
Da questo articolo si deduce chiaramente come il nostro Codice Privacy voglia tutelare gli Interessati (soggetti cedenti i propri dati personali) che dovranno prestare il proprio consenso al trattamento UNICAMENTE con riferimento ad un ben individuato scopo, non potendo accettarsi una summa di trattamenti generici e vagamente individuati, o ancora un generico trattamento per qualsiasi tipo di finalità. Tale acquisizione del consenso sarebbe irrimediabilmente viziata, e comporterebbe l’impossibilità ab origine di utilizzo dei dati così ottenuti.
– Trattamento a fini di profilazione eseguito mediante Gmail
Considerando Gmail, il Garante evidenzia come tutta una serie di trattamenti, direttamente riconducibili al servizio stesso di posta elettronica (quali l’impiego di filtri antispam, la rilevazione di virus, la possibilità di effettuare ricerche testuali, di utilizzre il controllo ortografico, di far ricorso all’inoltro selettivo di messaggi o di risposte automatiche etc.) sono sottratti all’obbligo di preventiva acquisizione del consenso, vista la deroga prevista dall’art. 24 del Codice Privacy con riferimento agli obblighi derivanti dal contratto di fornitura di posta elettronica.
Infatti l’art. 24 (“Casi nei quali può essere effettuato il trattamento senza consenso”) alla lett.b) afferma:
a. e’ necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b. e’ necessario per eseguire obblighi derivanti da un contratto del quale e’ parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato;
Tuttavia, per il conseguimento di finalità ulteriori rispetto a quelle DIRETTAMENTE e STRETTAMENTE inerenti al servizio di posta elettronica, ed in particolare per la visualizzazione, da parte dell’utente autenticato, di messaggi di testo tesi alla fornitura di pubblicità comportamentale personalizzata, è invece necessario che Google provveda ad acquisire il preventivo ed informato consenso dei propri utenti.
In sostanza: Google deve non solo informarci, ma anche chiederci ed ottenere un esplicito consenso per l’attività di profilazione, essendo una finalità distinta e del tutto indipendente dal servizio di posta elettronica.
– Incrocio dei dati personali degli utenti in relazione a diversi servizi offerti
Google, come abbiamo visto fare anche da Facebook Inc., procede sistematicamente ad incrociare i dati personali degli interessati con riferimento a tutti i diversi servizi che mette gratuitamente a disposizione agli utenti, peraltro affermando che:
Potremmo unire le informazioni personali derivanti da un servizio a quelle (comprese le informazioni personali) di altri servizi Google.”
Inoltre, in un saggio pubblicato il 10 Settembre 2013 dal capo economista di Google intitolato “Beyon Big Data” leggiamo che:
Google runs about 10,000 experiments a year in search and ads. There are about 1,000 running at any one time, and when you access Google you are in dozens of experiments. What types of experiments? There are many: user interface experiments, ranking algorithms for search and ads, feature experiments, product design, tuning experiments.”
Tutto ciò è consentito dalla nostra normativa?
Evidentemente no, in forza del combinato disposto degli artt. 23 e 24 (visti in precedenza) le operazioni di trattamento tese alla profilazione dell’utente per scopi di analisi e di monitoraggio dei visitatori di siti web nonché per l’invio di pubblicità personalizzata realizzate anche attraverso l’incrocio di dati raccolti in relazione a funzionalità diverse, non rientrano in alcuno dei casi di esonero dall’obbligo di acquisizione del consenso di cui all’art. 24 del Codice, e possono essere effettuate ESCLUSIVAMENTE previa espressa manifestazione di volontà dell’utente stesso.
Sintomatica è la frase rinvenibile nella Policy Privacy di Google che recita:
Come dire: per tutti i trattamenti presenti in questa Privacy Policy non ti chiederemo alcun consenso esplicito!
Appare evidente come tale espressione collida con l’art. 23 cit., dove si afferma che “Il consenso e’ validamente prestato solo se e’ espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato“.
– Utilizzo di cookie e altri identificatori quali credenziali di autenticazione, fingerprinting etc.
Analogamente a quanto abbiamo appena visto, Google su cookies and co. si limita a dichiarare che:
Utilizziamo i dati raccolti tramite i cookie e altre tecnologie, come i tag di pixel (ndr. tecnologia simile ai cookie ma ancora più invasiva), per migliorare l’esperienza degli utenti e la qualità generale dei nostri servizi.
Apriamo ora una piccola parentesi sui Cookie: il Garante, in conformità alle ultime indicazioni impartite dall’Europa e in particolare dal WP 29, ha di recente – 8 Maggio 2014 – individuato delle modalità semplificate per l’acquisizione del consenso all’uso dei Cookie, imponendo tali modalità entro il prossimo 2 Giugno.
In particolare il Garante, in caso di utilizzo di cookie cd. “di profilazione” (anche di terze parti) ha previsto la necesità di informare gli utenti tramite un idoneo banner a comparsa in home page, facilmente visibile ed accessibile agli utenti, contenente un messaggio relativo all’utilizzo di cookies del sito, la richiesta di consenso all’uso degli stessi, ed un link per accedere all’informativa completa, dove l’utente deve essere altresì informato sulle modalità per disattivarne l’uso e la memorizzazione sul proprio computer o sul proprio browser internet. (torneremo senz’altro approfonditamente sull’argomento Cookies Policy).
Google di recente ha implementato un banner – ancor prima del provvedimento del nostro Garante – dove si può leggere:
Cliccando su OK l’utente non fa altro che segnalare una generica “accettazione” di questa scelta proveniente dall’alto, senza che tale azione determini alcun mutamento relativo all’utilizzo o meno da parte di Google delle diverse tecnologie per monitorare l’attività degli utenti: nè viene richiesto il preventivo consenso all’utilizzo dei “biscottini”, nè viene offerto alcuno strumento per opporsi all’utilizzo dei cookie.
Con riferimento alle citate “altre tecnologie” (a cui non fa alcun riferimento il banner nell’immagine) si deve intendere in primo luogo il cd. “Device Fingerprinting”, tecnica che permette di identificare in tutto o in parte un singolo utente o un dispositivo anche quando i cookie sono disattivati.
Google è pertanto chiamata ad una maggiore chiarezza anche in merito a questa tecnologia, ad oggi adottata senza un adeguato livello di trasparenza con il pubblico, e senza ottenere il necessario consenso preventivo all’uso. E si consideri, inoltre, che i cookie possono essere disabilitati piuttosto agevolmente dalle impostazioni del proprio browser internet, mentre per il fingerprinting occorre un’esplicita richiesta in tal senso da fare pervenire direttamente a Big G, in quanto le informazioni che ci riguardano sono direttamente allocate nei server della casa di Mountain View.
E per quanto riguarda gli utenti non autenticati?
Ad oggi Google non ha previsto alcun margine di scelta per gli utenti non registrati/autenticati/loggati, che non sono in grado di esprimere alcun tipo di consenso ai trattamenti che, volenti o nolenti, Google compie con riferimento all’attività che essi compiono, principalmente, attraverso il noto motore di ricerca.
Il Garante invita pertanto Google a tutelare anche questa corposa categoria di utenti, prevedendo che possano (in estrema sintesi):
essere informati dell’attività di profilazione con riferimento anche ai loro dati personali;
prendere visione immediatamente della Privacy Policy;
negare il loro consenso alla profilazione;
essere avvertiti che che la prosecuzione della navigazione comporterà la presentazione del consenso alla profilazione
C. Tempo di conservazione dei dati
Il nostro Codice Privacy prevede all’art. 11, comma 1, lett. e) che i dati debbbano essere:
Ed il colosso americano per quanto tempo conserva i nostri preziosi dati personali?
E’ stato lo stesso WP 29 a porre questa domanda per noi, alla quale Google ha parzialmente risposto limitatamente alla cd. “search history” affermando che verrebbero conservati i dati di ricerca “indefinitamente o fin quando l’utente stesso non rimuova i dati della cronologia in caso di utenti non registrati e fino a 180 giorni per quelli registrati; 9 mesi per la conservazione degli indirizzi IP prima dell’anonimizzazione e 18 mesi per quella dei cookie”.
E in questa pagina del suo Centro Assistenza, Google stessa alla domanda “Che cosa succede alle ricerche e all’attività di navigazione dopo l’eliminazione” afferma che:
Gil elementi eliminati dall’attività web e app non sono più associati al tuo account Google. Tuttavia, Google potrebbe memorizzare separatamente l’attività per impedire spam e utilizzi illeciti, oltre che per migliorare i suoi servizi.
Quindi: vengono eliminati i nostri dati di ricerca o no? La precedente affermazione non sembra darci una risposta esaustiva, in quanto Google si riserva il diritto di disporre, ad libitum, delle ricerche da noi svolte e successivamente cancellate, in evidente violazione dei requisiti di liceità al trattamento fissati dal nostro Codice.
Risultano inoltre oscure, all’esito dell’istruttoria svolta dal Garante, l’effettiva durata della permanenza delle informazioni raccolte da Google sia con riferimento ai live-serving (sistemi cd. attivi), che con riferimento ai sistemi di backup. Stesso dicasi per il periodo massimo di conservazione delle informazioni personali degli utenti.
Abbiamo già avuto modo di parlare della cancellazione dei dati personali e del diritto all’oblio, ci basti qui sottolineare come Google abbia già posto in essere le prescrizioni della Corte di Giustizia nella causa C-131/12, rendendo disponibile un’apposita pagina con cui:
determinate persone possono chiedere ai motori di ricerca di rimuovere risultati specifici relativi a ricerche che includono il loro nome, qualora l’interesse a che tali risultati rimangano sia superato dai diritti alla privacy della persona. A fronte di una tale richiesta, effettueremo un bilanciamento tra il diritto alla privacy della persona e il diritto di rendere accessibili le informazioni e l’interesse pubblico a trovarle.
In merito ai risvolti pratici, in particolare al fatto che Google venga sostanzialmente eletto a giudice dei nostri diritti, si rimanda ancora una volta al nostro articolo.
Il Garante, nonostante dia atto nel provvedimento della collaborazione di Google in merito all’esercizio del diritto all’oblio, prescrive ugualmente la necessità di una specifica policy di “data deletion”, nonchè di una corrispettiva policy di “data retention”.
Ed eccoci arrivati alla delibera del 22 Gennaio 2015, con la quale è stato approvato il protocollo di verifica che già era stato previsto all’ultimo punto del provvedimento appena analizzato, con cui il Garante aveva aveva accettato:
l’impegno vincolante ed irrevocabile assunto da Google di sottoscrivere un apposito protocollo di verifica volto a disciplinare le modalità ed i tempi relativi allo scambio di documentazione tra Google e l’Autorità, nonché le modalità di enforcement e, appunto, dei riscontri che l’Autorità effettuerà nel corso del summenzionato arco temporale (ndr. 18 mesi) anche presso Google medesima.
Il protocollo prevede aggiornamenti trimestrali sullo stato di avanzamento dei lavori e la possibilità per il Garante di effettuare, presso la sede americana di Google, verifiche di conformità alla disciplina italiana delle misure in via di implementazione, che dovranno essere portate a termine entro il 2015 , deadline per il definitivo adeguamento Privacy.
Google, come afferma lo stesso Garante, offre ai propri utenti numerosissime funzionalità e:
Ma siamo realmente sicuri che i numerosi servizi offerti da Google a tutti noi siano realmente gratuiti?
Siamo sicuri che le nostre ricerche, le nostre preferenze, le nostre letture, le nostre mail, le nostre posizioni geografiche, le nostre attività, le nostre passioni… non rappresentino un tangibile corrispettivo per Google?
Tutto il mondo Google ruota attorno ai dati personali, all’infinita mole di informazioni che ogni giorno circolano attraverso le app e i servizi che Larry Page and Co. ci mettono generosamente a disposizione.
Ormai siamo diventati tutti dipendenti da Google: per molti Internet stesso si identifica con il motore di ricerca americano, cosicché la barra contenente l’URL di un Sito si fonde in un unicum con la barra di ricerca di Google.
Pensare oggi al Web senza IL motore di ricerca più blasonato ed usato al mondo è quasi impossibile, ma non per questo Google si può sottrarre alle norme che l’Europa, e i diversi stati membri, hanno sottoscritto a tutela di un patrimonio tanto prezioso quanto sfuggevole: i nostri dati personali.
Tuttavia, riprendendo le parole del collega Andrea Rinaldo:
il problema è che se noi non ci rendiamo conto del valore dei nostri dati, non saremo mai portati a tutelarli, semplicemente perché non li consideriamo degni di tutela. Non concepiamo che possano avere un loro valore.
Perchè Google, oggi, è una delle azienda più richieste e potenti al mondo?
Proprio perchè ha scoperto, prima degli altri, la nuova moneta del terzo millennio, moneta che ognuno di noi elargisce con generosità e senza remora alcuna.
Il Garante tuttavia, come dice il nome stesso, “garantisce” al posto nostro, cercando costantemente di tutelare la sfera più intima del nostro io dematerializzato, che non siamo evidentemente in grado di proteggere da soli, per la poca educazione specifica ricevuta, e per la poca attenzione che dedichiamo alle nostre informazioni in formato digitale.
Google entro il 2015 si dovrà adeguare alla normativa Privacy italiana, e probabilmente avremo tutti la possibilità di decidere, in maniera più chiara e trasparente, quali e quante informazioni condividere con Mountain View.
Voglio concludere con una domanda-provocazione:
E tu tra un anno, quando Google avrà definitivamente adeguato la sua politica sul trattamento dei dati personali, perderai 5 minuti per scegliere cosa cedere come corrispettivo per i suoi servizi o continuerai a pagare profumatamente come hai sempre fatto fino ad oggi?
compliance data protection dati personali garante Google page policy Privacy wp 29