Profilazione, ovvero "stesura di un profilo, mediante l'identificazione e la raccolta dei dati personali e delle abitudini caratteristiche di qualcuno", si legge sul vocabolario Treccani. Ebbene, oggi il Garante italiano per la privacy ha deciso che Google non potrà più profilare gli utenti senza il loro esplicito consenso e dovrà dichiarare esplicitamente di svolgere questa attività a fini commerciali.
La decisione è stata appena pubblicata sul sito dell'Autorità garante per la protezione dei dati personali. Google ha 18 mesi di tempo per adeguarsi alla prescrizione. Durante questo periodo "l'Autorità monitorerà l'implementazione delle misure prescritte. La società dovrà infatti sottoporre al Garante, entro il 30 settembre 2014, un protocollo di verifica, che una volta sottoscritto diverrà vincolante, sulla base del quale verranno disciplinati tempi e modalità per l'attività di controllo che l'Autorità svolgerà nei confronti di Mountain View".
In pratica è stata introdotta una maggiore tutela per gli utenti italiani di tutti i servizi offerti dal colosso digitale: posta elettronica (Gmail), social network (Google Plus), gestione dei pagamenti online (Google Wallet), filmati (YouTube), mappe on line (Street View) e analisi statistica (Google Analytics). Già, perché questi servizi sono ormai integrati, come fa notare il Garante: "la società ha infatti unificato in un unico documento le diverse regole di gestione dei dati relative alle numerosissime funzionalità offerte… procedendo pertanto all'integrazione e interoperabilità anche dei diversi prodotti e dunque all'incrocio dei dati degli utenti relativi all'utilizzo di più servizi".
Si è così conclusa, con un provvedimento prescrittivo, l'istruttoria avviata lo scorso anno dal Garante italiano dopo le modifiche apportate da Google alla sua politica sulla privacy. È il primo provvedimento in Europa che - nell'ambito di un'azione coordinata con le altre Autorità di protezione dei dati europee e a seguito della pronuncia della Corte di Giustizia europea sul diritto all'oblio - non si limita a richiamare al rispetto dei principi della disciplina privacy, ma indica nel concreto le possibili misure che Google deve adottare per assicurare la conformità alla legge.
Il Garante sottolinea che "Google ha adottato una serie di misure per rendere la propria privacy policy più conforme alle norme" ma è stato rilevato "il permanere di diversi profili critici relativi alla inadeguata informativa agli utenti, alla mancata richiesta di consenso per finalità di profilazione, agli incerti tempi di conservazione dei dati e ha dettato una serie di regole, che si applicano all'insieme dei servizi offerti".
Profilare sì, ma senza esagerare!
Ecco sintetizzato, punto per punto, il provvedimento dell'Autorità:
Informativa
"L'Autorità ha prescritto a Google l'adozione di un sistema di informativa strutturato su più livelli, in modo da fornire in un primo livello generale le informazioni più rilevanti per l'utenza: l'indicazione dei trattamenti e dei dati oggetto di trattamento (es. localizzazione terminali, indirizzi IP, eccetera.), dell'indirizzo presso il quale rivolgersi in lingua italiana per esercitare i propri diritti, eccetera; in un secondo livello, più di dettaglio, le specifiche informative relative ai singoli servizi offerti. Ma soprattutto Google dovrà spiegare chiaramente, nell'informativa generale, che i dati personali degli utenti sono monitorati e utilizzati, tra l'altro, a fini di profilazione per pubblicità mirata e che essi vengono raccolti anche con tecniche più sofisticate che non i semplici cookie, come ad esempio il fingerprinting. Quest'ultimo è un sistema che raccoglie informazioni sulle modalità di utilizzo del terminale da parte dell'utente e, a differenza dei cookie che vengono istallati sul pc o nello smartphone, le archivia direttamente presso i server della società".
Consenso
"Per utilizzare a fini di profilazione e pubblicità comportamentale personalizzata i dati degli interessati - sia quelli relativi alle mail sia quelli raccolti incrociando le informazioni tra servizi diversi o utilizzando cookie e fingerprinting - Google dovrà acquisire il previo consenso degli utenti e non potrà più limitarsi a considerare il semplice utilizzo del servizio come accettazione incondizionata di regole che non lasciavano, fino ad oggi, alcun potere decisionale agli interessati sul trattamento dei propri dati personali. In proposito, l'Autorità ha anche indicato una modalità innovativa e di facile impiego che, senza gravare eccessivamente sulla navigazione dell'utente, gli consenta di scegliere in modo attivo e consapevole se fornire o meno il proprio consenso alla profilazione, anche con riguardo ai singoli servizi utilizzati".
Conservazione
"Google dovrà definire tempi certi di conservazione dei dati sulla base delle norme del Codice privacy, sia per quanto riguarda quelli mantenuti sui sistemi cosiddetti "attivi", sia successivamente archiviati su sistemi di "back up". Per quanto riguarda la cancellazione di dati personali, il Garante ha imposto a Google che richieste provenienti dagli utenti che dispongono di un account (e sono quindi facilmente identificabili) siano soddisfatte al massimo entro due mesi se i dati sono conservati sui sistemi "attivi" ed entro sei mesi se i dati sono archiviati sui sistemi di back up. Per quanto riguarda, invece, le richieste di cancellazione che interessano l'utilizzo del motore di ricerca, ha ritenuto opportuno attendere gli sviluppi applicativi della sentenza della Corte di giustizia dell'Unione europea sul diritto all'oblio".
Fin qui il Garante italiano, che ha giocato d'anticipo sulle altre Autorità europee per la protezione dei dati personali. Un provvedimento senz'altro importante. È vero che al tempo di Internet la privacy degli utenti è molto ridimensionata, ma è comunque indispensabile porre limiti al saccheggio indiscriminato delle informazioni personali.
Google non ha ancora commentato il provvedimento.
Aggiornamento: È arrivata la risposta di Google. "Abbiamo collaborato constantemente con il Garante nel corso di questa vicenda per spiegare le nostre privacy policy e come ci consentono di creare servizi più semplici ed efficaci e continueremo a collaborare in futuro. Analizzeremo il provvedimento del Garante attentamente per definire i prossimi passi", ha dichiarato un portavoce.