403 milioni di euro: è questo l’importo della maxi-multa comminata dall’Ue a Google, tramite la Data Protection Commission (Dpc) irlandese, che opera come autorità capofila per l’intera Ue nel quadro del Gdpr.
La sanzione amministrativa arriva al termine di un’inchiesta durata oltre sei anni sul trattamento e la conservazione dei dati di geolocalizzazione dei cittadini europei. Il provvedimento, reso noto oggi, 21 settembre 2026, impone inoltre alla controllata europea di Alphabet un termine perentorio di sei mesi per adeguare i propri sistemi e interrompere le pratiche contestate.
Le violazioni contestate: come funzionava il tracciamento
L’indagine era stata formalmente aperta nel febbraio 2020 a seguito di una serie di esposti coordinati presentati da diverse associazioni europee dei consumatori. Al centro del fascicolo figuravano tre strumenti specifici dell’ecosistema Google: “Attività Web e App”, “Cronologia delle posizioni” e la funzione “Precisione della posizione” integrata nel sistema operativo Android.
L’autorità guidata dai commissari Des Hogan, Dale Sunderland e Niamh Sweeney ha accertato quattro profili di violazione del diritto comunitario tra il maggio 2018 e il febbraio 2020:
- la carenza di basi giuridiche su cui fondare il tracciamento della posizione attraverso l’attività web e la cronologia;
- la violazione del principio di responsabilizzazione (accountability), non essendo la multinazionale in grado di dimostrare la conformità ai criteri di trasparenza per la funzione di precisione della posizione su dispositivi mobili. L’onere della prova in capo alle Big Tech è stato un punto centrale anche nell’annuncio di Ursula von der Leyen sull’Eu Kids Act;
- il mancato rispetto degli obblighi informativi verso gli utenti, rimasti di fatto all’oscuro del fatto che i dati di movimento venissero utilizzati per profilare preferenze commerciali e orientare la pubblicità comportamentale o behavioral advertising, una tecnica di marketing online che consiste nel mostrare annunci pubblicitari personalizzati agli utenti in base alla loro cronologia di navigazione, ai loro interessi e al loro comportamento sul web;
- la conservazione dei dati di localizzazione per periodi ingiustificatamente lunghi rispetto alle finalità dichiarate.
Il vice commissario della Dpc Graham Doyle ha sottolineato come la condotta aziendale abbia impedito alle persone di comprendere la reale portata del monitoraggio a cui erano sottoposte nei loro spostamenti quotidiani.
Il ruolo dell’Irlanda e lo “sportello unico” del Gdpr
La sanzione approvata a Dublino assume rilievo sistemico per l’architettura istituzionale dell’Ue. In virtù del meccanismo dello “sportello unico” previsto dal Gdpr, l’autorità del Paese in cui un’impresa digitale stabilisce la propria sede principale nell’Unione assume la competenza di indagare e sanzionare a nome di tutti i 27 Stati membri.
Quella odierna rappresenta la quarta sanzione più elevata mai comminata dall’autorità irlandese e il primo verdetto economico di questa portata emesso dalla Dpc specificamente contro Google, dopo i pesanti provvedimenti che negli scorsi anni avevano colpito prevalentemente il gruppo Meta.
Il decennio di sanzioni Ue a Google: oltre otto miliardi di euro per violazione dell’antitrust
Il fascicolo odierno si inserisce in una lunga sequenza di contenziosi legali che hanno visto le istituzioni dell’Unione europea contrapporsi alle pratiche commerciali e concorrenziali di Mountain View. Nell’ultimo decennio, la Commissione europea ha imposto al gruppo sanzioni per oltre 8 miliardi di euro nell’ambito della disciplina antitrust:
- Google Shopping (2017): una multa da 2,42 miliardi di euro inflitta per abuso di posizione dominante, dovuta al favoreggiamento sistematico riservato dal motore di ricerca al proprio servizio di comparazione degli acquisti a scapito dei concorrenti; una decisione confermata in via definitiva dalla Corte di giustizia dell’Ue nel settembre 2024;
- Google Android (2018): la sanzione record da 4,34 miliardi di euro (poi ricalibrata a 4,125 miliardi dal Tribunale Ue) per aver imposto ai produttori di smartphone clausole contrattuali restrittive volte a preinstallare il motore di ricerca Google Search e il browser Chrome, blindando il predominio delle proprie applicazioni;
- Google AdSense (2019): una penale da 1,49 miliardi di euro motivata da clausole abusive nei contratti pubblicitari con siti terzi, concepite per impedire agli editori di ospitare annunci sponsorizzati erogati da piattaforme rivali.
A questo filone si sono affiancati gli interventi delle singole autorità nazionali di protezione dei dati, come la Commissione nazionale francese per l’informatica e le libertà (Cnil), che nel 2019 aveva sanzionato l’azienda per 50 milioni di euro per difetto di trasparenza sul consenso pubblicitario e nel 2021 per ulteriori 150 milioni in merito ai meccanismi ingannevoli sull’accettazione dei cookie.
La nuova stretta tra AdTech e Digital Markets Act
La decisione di Dublino giunge in un momento di ridefinizione complessiva dei rapporti tra Bruxelles e le piattaforme della Silicon Valley. La Commissione europea ha formalmente aperto un dossier antitrust sulla filiera dell’AdTech, la tecnologia pubblicitaria intermediata da Google, prospettando per la prima volta la necessità di rimedi strutturali e scorpori societari per separare i servizi di acquisto e vendita degli annunci online.
Parallelamente, l’entrata in vigore del Digital Markets Act (Dma) ha sottoposto Alphabet a vincoli ancora più stringenti per impedire l’auto-preferenziamento dei servizi e l’incrocio arbitrario dei dati degli utenti tra piattaforme diverse senza un consenso libero ed esplicito. A fine 2025, la Commissione europea ha avviato un’indagine formale contro il colosso di Mountain View per possibile violazione del Dma: l’ipotesi è che Google abbia declassato i siti di media ed editori che ospitano contenuti prodotti da partner commerciali nei risultati di ricerca. Bruxelles intende concludere l’inchiesta entro i prossimi due mesi (dodici dall’inizio dell’indagine) e, qualora emergessero prove di non conformità, potrebbe imporre sanzioni fino al 10% del fatturato mondiale totale di Alphabet, la holding che controlla Google.
Intanto, il verdetto sui dati di posizione ribadisce che per l’Unione europea la tutela dei diritti digitali dei cittadini non costituisce una variabile negoziabile: se vogliono operare nel mercato unico, le big tech devono rispettare le regole comunitarie sulla trasparenza, sulla salute mentale degli utenti e sulla privacy. Mentre gli Usa di Donald Trump accusano l’Ue di “iper-regolamentazione”, la presidente della Commissione scandisce dal palco del Soteu 2026: “Siamo noi che facciamo le regole, non le grandi aziende”.
