Google sapeva sempre dove eri: la maxi multa Ue da 403 milioni che riguarda tutti noi e cosa cambia ora

La Data Protection Commission irlandese, autorità capofila per la privacy di Google nell’Unione europea, ha inflitto ad Alphabet una sanzione di 403 milioni di euro per il trattamento dei dati di localizzazione degli utenti. Il provvedimento, adottato nel 2026 dopo un’indagine avviata nel 2020, impone alla società anche di adeguare le proprie pratiche al GDPR entro sei mesi. Al centro del caso ci sono impostazioni e servizi che possono registrare la posizione, collegarla ad altre attività dell’utente e usarla per scopi come la personalizzazione degli annunci.

Dire che Google “sapeva sempre dove eri” restituisce il senso della preoccupazione, ma non basta a descrivere il funzionamento tecnico contestato. Dall’istruttoria non emerge una prova di sorveglianza indistinta e continua su ogni persona. La DPC ha esaminato piuttosto il modo in cui gli utenti potevano autorizzare, attivare o non comprendere la raccolta della posizione attraverso specifiche funzioni dell’account e del dispositivo.

La violazione accertata riguarda soprattutto trasparenza, liceità, responsabilizzazione e conservazione dei dati.

Chi ha deciso la multa e a quale società riguarda

La decisione è stata presa dall’autorità irlandese per la protezione dei dati, la DPC. L’organismo vigila sulle attività europee di Google perché Alphabet ha fissato in Irlanda la propria sede legale e fiscale. Il destinatario economico della sanzione è Alphabet, il gruppo proprietario di Google: il procedimento riguarda quindi le pratiche con cui i servizi Google trattano i dati, non una multa inflitta direttamente da un’autorità italiana.

L’indagine è cominciata nel febbraio 2020, in seguito alle denunce presentate da organizzazioni europee per la tutela dei consumatori, tra cui BEUC. L’autorità ha preso in considerazione il periodo compreso tra il 25 maggio 2018 e il 4 febbraio 2020: la prima data coincide con l’entrata in vigore del GDPR, la seconda con il termine del periodo esaminato nell’istruttoria.

La decisione del 2026 conclude così un procedimento durato sei anni. Le motivazioni integrali, però, sono destinate a essere rese pubbliche in un secondo momento.

La base giuridica è il regolamento generale europeo sulla protezione dei dati, il GDPR. Nel corso del procedimento la DPC ha collaborato con le altre autorità nazionali dell’Unione e ha adottato la sanzione sulla base delle violazioni riscontrate nel trattamento della geolocalizzazione.

L’ammenda non è l’unica conseguenza. Google deve correggere i trattamenti entro sei mesi. Il termine impone un adeguamento organizzativo e tecnico; non significa che tutti i dati già presenti debbano essere cancellati automaticamente.

Le tre funzioni finite sotto esame

L’istruttoria non ha riguardato un generico “tracciamento Google”. Sono state analizzate tre funzionalità precise: Attività Web & App, Cronologia delle posizioni e Precisione della posizione. Hanno compiti diversi e possono interagire, a seconda delle impostazioni, con il dispositivo, l’account, le applicazioni e i servizi utilizzati.

• Attività Web & App salva determinate attività svolte sui servizi e sulle applicazioni Google quando l’impostazione è attiva. Nel caso esaminato, la DPC ha collegato questa funzione anche al trattamento di informazioni sulla posizione.
• Cronologia delle posizioni conserva nell’account gli spostamenti dell’utente, sempre quando la funzione è attiva, e permette quindi di ricostruire una sequenza dei luoghi visitati.
• Precisione della posizione contribuisce a stabilire dove si trova il dispositivo combinando, secondo la configurazione tecnica, i segnali disponibili, tra cui GPS, reti mobili e connessioni wireless.

Non sono funzioni equivalenti alla semplice autorizzazione data a un’app per accedere alla posizione. Un’app può ricevere la localizzazione per offrire una funzione specifica; la Cronologia delle posizioni, invece, riguarda la conservazione degli spostamenti nell’account. Anche la personalizzazione pubblicitaria costituisce una finalità distinta. Può basarsi su dati e attività associate all’utente, ma la multa descritta nel provvedimento riguarda le modalità di trattamento delle informazioni di localizzazione e la chiarezza delle impostazioni con cui quel trattamento veniva gestito.

Che cosa ha contestato la DPC a Google

Per Attività Web & App e Cronologia delle posizioni, la DPC ha rilevato violazioni degli obblighi di liceità e correttezza del trattamento. Tradotto sul piano pratico, l’autorità ha ritenuto che il modo in cui le impostazioni venivano presentate e applicate non garantisse agli utenti un controllo davvero informato sulla gestione della posizione.

Per Precisione della posizione sono state rilevate carenze rispetto agli obblighi di accountability. Il termine indica la responsabilità del titolare del trattamento di dimostrare di aver progettato e amministrato il sistema nel rispetto del GDPR. La contestazione non significa che la precisione tecnica della localizzazione sia, in quanto tale, illecita. Il problema riguarda ciò che Google avrebbe dovuto documentare e dimostrare per provare la conformità del trattamento.

Un rilievo attraversa tutte e tre le funzioni: la trasparenza. Secondo la DPC, le informazioni fornite non consentivano di capire con sufficiente chiarezza quali dati venissero raccolti, in che modo potessero essere usati e quali ulteriori finalità potessero entrare in gioco. Tra queste rientrano la personalizzazione della pubblicità e l’inferenza degli interessi degli utenti.

L’autorità ha contestato anche la conservazione dei dati di localizzazione oltre il periodo necessario per le prime due funzionalità. Il principio di minimizzazione temporale vieta di mantenere le informazioni più a lungo di quanto giustificato dallo scopo dichiarato. Per il periodo preso in esame, la decisione stabilisce che questo requisito non è stato rispettato.

Cosa cambia per Google e per gli utenti europei

Per Google l’effetto immediato è duplice: il pagamento di 403 milioni di euro e l’obbligo di rendere conformi i trattamenti entro sei mesi dal provvedimento. La società ha dichiarato che le politiche esaminate durante l’indagine sono ormai superate. Questa posizione non annulla l’accertamento relativo al periodo considerato dalla DPC. Indica però che le impostazioni oggi disponibili possono essere diverse da quelle analizzate nel procedimento.

Chi utilizza Android, Google Maps o un account Google non acquisisce automaticamente un nuovo diritto a ricevere un rimborso. Le fonti disponibili non indicano pagamenti diretti agli utenti né una procedura collettiva collegata a questa specifica sanzione.

Il provvedimento è amministrativo e impone modifiche ai trattamenti. Un’eventuale richiesta di risarcimento richiederebbe invece una valutazione separata e un procedimento distinto. Google può contestare la decisione nelle sedi previste dalla normativa applicabile. Per ora, i dati certi sono l’ordine di adeguamento entro sei mesi e la pubblicazione successiva delle motivazioni complete. Saranno quelle motivazioni a chiarire con precisione la portata delle misure richieste e gli eventuali sviluppi giudiziari.

La vicenda si colloca nella serie di controlli europei sulle Big Tech, ma non va sovrapposta alle sanzioni del 2026 relative al Digital Markets Act. Quelle hanno riguardato Google Search e Google Play per questioni di concorrenza e pratiche anti-steering. Privacy e concorrenza sono procedimenti diversi: cambiano l’autorità coinvolta, gli obblighi applicabili e le conseguenze.

I diritti previsti dal GDPR

Il GDPR riconosce agli interessati il diritto di accedere ai propri dati e, nei casi previsti, di chiederne la rettifica, la cancellazione o la limitazione del trattamento. È possibile anche opporsi al trattamento e ottenere informazioni su finalità, categorie di dati e tempi di conservazione.

L’esercizio di questi diritti dipende dalla base giuridica del trattamento e dagli eventuali obblighi di conservazione: una richiesta non comporta sempre la cancellazione immediata dei dati.

La richiesta va inviata al titolare del trattamento attraverso i canali privacy del servizio. Se la risposta non arriva nei tempi previsti o non è soddisfacente, l’interessato può rivolgersi all’autorità di controllo competente; in Italia è il Garante per la protezione dei dati personali.

• verificare quali dati di localizzazione sono associati all’account;
• controllare le finalità del trattamento e i tempi di conservazione;
• revocare le autorizzazioni non necessarie;
• chiedere accesso, cancellazione o limitazione quando ne ricorrono i presupposti.

• Google sapeva sempre dove eri: la maxi multa Ue da 403 milioni che riguarda tutti noi e cosa cambia ora
• Google ammette di aver peggiorato il motore di ricerca in Italia con diverse modifiche introdotte
• Apple, Amazon, Google, Meta e Microsoft, trimestrali record nei primi mesi del 2026: analisi motivi e previsioni future