Si moltiplicano le pronunce nell’Unione contro i servizi di Google, per svariate violazioni della normativa privacy, di cui abbiamo dato recente conto circa l’uso di Analytics. Ora tocca al servizio di Google Fonts: in Germania un utilizzatore tedesco di Fonts, titolare di un sito web, è stato condannato al risarcimento danni dal tribunale (pronuncia della terza sezione civile di Monaco di Baviera, n. 17493/20 del 20 gennaio) proprio per questo.
Il risarcimento riconosciuto all’utente è piuttosto basso sul lato economico (cento euro), però il caso ricostruisce una violazione della normativa che potrebbe costituire un precedente per casi analoghi e risarcimenti plurimi (forse anche class-action) in sede civile, oltre che per sanzioni e altri provvedimenti da parte delle autorità di controllo.
Si aprono scenari finora poco esplorati quanto alle possibili richieste di risarcimento danni poggiate sulla violazione della normativa sui dati personali.
Oltre allo spettro sanzionatorio, il caso dovrebbe indurre nei titolari una seria riflessione sulla propria accountability e sulla capacità di ravvisare potenziali pericoli per la privacy. Viene da chiedersi quanto titolari sappiano della capacità di Fonts di trattare dati personali degli utenti, di aver ponderato l’uso del consenso in merito, di averne dato conto in sede informativa.
Vediamo allora di capire di seguito dove si annidano i dettagli importanti di questa vicenda, peraltro incardinata di fronte a giudici civili e non di fronte a un’autorità di controllo, una volta tanto.
Violazione GDPR per Google Analytics: tramonto europeo dei cookie americani? I contraccolpi
Indice degli argomenti
Il servizio Google Fonts
Partiamo dal servizio stesso reso da Google che, a una prima occhiata, non parrebbe nemmeno coinvolgere il trattamento di dati personali. Fonts, come dice il nome stesso, è una libreria di svariati font open source, messa a disposizione da Google ma i cui font sono forniti da innumerevoli utenti, cui è abbinata una API di Google liberamente e gratuitamente disponibile, oltre a una directory interattiva per consultare la libreria: i gestori di siti web possono utilizzare questi font nei propri siti, scegliendo tra quelli disponibili. Wikipedia riporta che vi si possono trovare “oltre 17 trilioni di font”: è facilmente intuibile quanto siano diffusi, più di cinquanta milioni di siti web li adottano attualmente.
Di seguito è possibile vedere un esempio di quanto offerto dalla directory.
Il punto qui rilevante è l’API utilizzata da Google: richiede e scarica i file dei font e le risorse CSS così da fornire i font corretti quando un utente visita una pagina web. Tali risorse sono memorizzate nella cache del browser utente e aggiornate quando necessario. Tuttavia se il navigatore non ha ancora memorizzato nella cache del browser i font specifici – quelli settati dal titolare e richiesti per visualizzare correttamente il rendering della pagina web – verrà effettuata una richiesta al server di Google per acquisire le risorse e i file corretti, così da essere memorizzati nel browser e caricati nella pagina web a schermo.
In tal caso Google raccoglie l’indirizzo IP dell’utente del sito web e non è nemmeno chiaro per quanto tempo, stando alle informative di Google, nè per quali esatte finalità. Il tutto avviene, di prassi e nel caso oggetto di esame in Germania, senza chiedere alcun consenso all’utente, essendo la trasmissione dell’IP automatica con l’uso dei Fonts e al contempo sostanzialmente occultata all’utente.
Le contestate violazioni del GDPR e il risarcimento danni
I giudici tedeschi hanno esaminato il funzionamento di Fonts e ravvisato quanto segue:
- gli indirizzi IP dinamici letti e raccolti da Google rappresentano un dato personale per il gestore di un sito web, perché questi dispone in astratto dei mezzi legali che potrebbero essere ragionevolmente utilizzati per identificare l’interessato utente (tramite le autorità competenti e il fornitore di accesso a Internet); la cosa è nota da tempo, dopo la pronuncia “Breyer” del 2016 (C-582/14) della Corte di Giustizia, per cui si prescinde dalla concreta, avvenuta identificazione dell’interessato, essendo sufficiente la sua potenzialità;
- nel caso esaminato, la difesa ha cercato di sostenere un uso lecito dei predetti dati personali sulla base del proprio legittimo interesse quale base di trattamento: tentativo bocciato dai giudici, visto che un sito web può utilizzare i font forniti da Google anche senza connettere i navigatori ai relativi server, con le opportune impostazioni e accortezze tecniche; come già detto, la base non potrà che il consenso, debitamente informato;
- sempre la difesa ha argomentato che l’utente, in relazione al denegato uso dei suoi dati personali, avrebbe potuto utilizzare dei servizi (ad es. di VPN) atti a crittografare il proprio indirizzo IP e dunque non renderlo visibile a Google – ovviamente i giudici non hanno accolto questa posizione, gli utenti non possono vedersi obbligati a compiere azioni di questo tipo per mantenere l’anonimato, sarebbe una limitazione ingiustificata dei diritti garantiti dal GDPR;
- la divulgazione dell’indirizzo IP dell’utente e le conseguenti interferenze con i diritti della personalità sarebbero significativi per quanto riguarda la perdita di controllo (c.d. autodeterminazione informativa) dei propri dati, in relazione all’uso praticato da Google (cioè una società nota per raccogliere i dati degli utenti per svariate attività non sempre trasparenti), con relativo disagio individuale patito dall’utente come risultato – tutto ciò secondo i giudici giustifica la richiesta di risarcimento danni civile ai sensi dell’art. 82 GDPR, ammettendo un mero danno morale a supporto, giudicato sufficientemente serio per radicare una pronuncia di condanna; ha rafforzato questa decisione il fatto che il convenuto non ha negato che vi possa essere stata una plurima violazione, cioè più trasmissioni degli IP predetti, legittimando una presunzione di recidiva;
- al titolare tedesco del sito web è stato comunque vietato l’utilizzo di Fonts perché – hanno ritenuto i giudici, collegandovi sanzioni economiche e penali nel caso di ritardo nel mettersi in regola – se anche venissero messe in atto misure per contrastare quanto sopra (ad es. blocco dell’API fino al rilascio del consenso utente, misure di offuscamento dell’IP), Google riceverebbe comunque i dati (al più pseudonimizzati e dunque ancora “personali” per il GDPR), pure in server in territorio USA – come noto, dai tempi della sentenza Schrems II, un caso difficile da compensare con misure supplementari per adeguare il trattamento a un livello sufficiente rispetto a quanto richiesto dall’Unione.
