Il Garante spagnolo sanziona Google per 10 milioni di euro: ha pubblicato e ceduto a terzi i dati di interessati che avevano richiesto il diritto all'oblio.

La sanzione del Garante spagnolo a Google origina dal reclamo di due utenti

E' la sanzione più alta che il Garante spagnolo ha mai inflitto all'azienda americana ed ammonta a 10 milioni di euro. Il motivo ha dell'incredibile: Google ha ceduto a terzi e pubblicato i dati di utenti che avevano richiesto il diritto all'oblio. La sanzione origina dal reclamo presentato da due utenti. I due utenti hanno denunciato al Garante iberico, tra Settembre e Ottobre 2018, il fatto di aver compilato un modulo online per richiedere che Google non indicizzasse i contenuti che li riguardavano. Il modulo online, con tutti i dati, finiva nel database del progetto Lumen dell'Università di Harvard.

Il progetto Lumen di Harvard e Google: come negare il diritto all'obio provando a facilitarlo

Per iniziare: che cosa è il progetto Lumen? La risposta si trova direttamente nel supporto di Google. Vi si legge:

"Lumen è un progetto di ricerca indipendente gestito dal Berkman Klein Center for Internet & Society dell'Università di Harvard che ospita, analizza e pubblica copie di richieste di rimozione dei contenuti online che sono state condivise volontariamente con Lumen da varie società, come Google LLC. Lo scopo del progetto è informare il pubblico e facilitare la ricerca incentrata su contenuti giornalistici e accademici o su norme relativa "all'ecologia" globale di notifica e rimozione, nonché agevolare la disponibilità dei contenuti sul Web".

Per partecipare al progetto, quindi, Google dichiara esplicitamente di condividere quei dati con terzi. In dettaglio, i dati condivisi sono:

• Gli URL segnalati
• Il paese della richiesta
• La data della richiesta
• Una spiegazione della richiesta, fornita nel modulo della richiesta di rimozione
• Il nome del titolare dei diritti

Le motivazioni della sanzione del Garante Spagnolo

La notizia della sanzione arriva direttamente dall'Autorità iberica. Nel comunicato stampa viene ricostruito il meccanismo tramite il quale Google ha condiviso i dati degli interessati col progetto Lumen. Tutto inizia con un modulo online che gli utenti possono compilare per richiedere che Google non indicizzi i contenuti a loro riferiti. Questo modulo, con tutti i dati che contiene, finisce nel database del progetto Lumen, in possesso all'Università di Hardvard.

Non finisce qui ed ecco il paradosso. I moduli compilati per richiedere di non essere indicizzati venivano poi diffusi online. Questo è un ulteriore trattamento dati, ma non se ne trovava traccia nell'informativa Privacy che Google metteva a disposizione degli utenti al momento di compilare il modulo. Insomma se la promessa di Harvard e Google era una forma di diritto all'oblio, il meccanismo del progetto Lumen finiva per fare l'esatto contrario. Chi aveva richiesto che i propri dati non fossero pubblici e che quelli già pubblicati non fossero più indicizzati, vedeva succedere l'esatto opposto.

Le imposizioni del Garante oltre la sanzione: Google deve garantire il diritto all'oblio

L'autorità iberica non si è limitata a "staccare" una salata multa ma ha anche imposto a Google una serie di revisioni. Google dovrà modificare la procedura tramite la quale consente agli interessati di esercitare il diritto all'oblio. Diritto all'oblio che, ricordiamo, è esplicitamente previsto dall'art.17 del GDPR. Non solo: il Garante spagnolo ha anche imposto di cancellare e non trattare ulteriormente tutti i dati personali comunicati al progetto Lumen e che sono stati oggetto di richiesta di diritto all'oblio. Ugualmente il progetto Lumen non dovrà più trattare tali dati e dovrà cancellarli dal database.

Il comunicato stampa del Garante spagnolo > The AEPD has imposed a sanction on Google LLC for transferring personal data to third parties unlawfully and for hindering the exercise of the right to erasure