Provvedimento AGCM PS12714 del 04/11/2025

Google/consenso per collegamento servizi

Il provvedimento riguarda la richiesta di consenso ex art. 5(2) del Digital Markets Act diffusa da Google agli utenti loggati dei propri servizi, in particolare Google Search, Play e YouTube, per autorizzare il collegamento dei servizi e l'uso combinato e incrociato dei dati personali. L'AGCM ha avviato il procedimento per possibili profili di ingannevolezza e aggressività della pratica commerciale, con riferimento agli artt. 20, 21, 22, 24 e 25 del Codice del consumo.

Professionista e origine dell'istruttoria

Il professionista è individuato congiuntamente in Alphabet Inc. e Google Ireland Limited. Il procedimento PS12714 è stato avviato il 4 luglio 2024 sulla base di informazioni acquisite ai fini dell'applicazione del Codice del consumo. Nel corso dell'istruttoria Google ha presentato memorie difensive, risposto a richieste di informazioni, partecipato ad audizioni e formulato una proposta di impegni più volte integrata e poi consolidata in lingua italiana il 1° ottobre 2025.

Condotta contestata

La richiesta di consenso oggetto di istruttoria veniva contestata perché, secondo l'Autorità, poteva risultare poco trasparente circa:

• il reale oggetto del consenso, cioè l'autorizzazione all'uso combinato e incrociato dei dati personali tra i servizi Google;
• la base normativa della richiesta, cioè l'art. 5(2) DMA;
• l'elenco completo dei servizi interessati, poiché la schermata iniziale richiamava solo i core platform services;
• la possibilità di scegliere in modo personalizzato quali servizi collegare, invece dell'alternativa solo binaria tra accettazione totale e rifiuto.

Sul piano aggressivo, l'istruttoria ha riguardato anche il modo in cui la richiesta era presentata, perché il blocco temporaneo o definitivo dell'accesso ad alcuni servizi e il messaggio secondo cui, in caso di diniego, alcune funzionalità sarebbero state limitate o non disponibili potevano esercitare una pressione indebita sugli utenti.

Esiti dell'istruttoria sui fatti

Nel corso del procedimento Google ha precisato che la richiesta di consenso era comparsa dal 2024 su Search, Play e YouTube; che erano circolate più versioni del messaggio; e che la risposta poteva essere rinviata più volte, con differenti periodi di cool-off a seconda del servizio. Ha inoltre chiarito che i servizi non-CPS, pur non essendo elencati nella schermata iniziale, erano comunque sempre collegati tra loro e potevano condividere i dati personali dell'utenza.

È emerso anche che, fino a una scelta esplicita dell'utente, Google trattava i dati come se il consenso fosse stato negato; inoltre, in caso di revoca del consenso, la revoca operava retroattivamente anche sui dati già raccolti. Google ha infine affermato che alcune funzionalità dei servizi CPS dipendono effettivamente dai flussi di dati inter-servizi, ma che le principali funzioni restano disponibili anche in caso di diniego.

Impegni presentati dal professionista

Google ha proposto impegni articolati, poi riformulati nella versione consolidata, che mirano a rendere più chiara la richiesta di consenso e a ridurne la capacità di condizionamento. In particolare, gli impegni prevedono:

• una spiegazione espressa che, quando i servizi sono collegati, possono condividere dati personali tra loro;
• l'uso della dicitura "dati personali" al posto di "dati";
• un riferimento esplicito e un link all'art. 5(2) DMA;
• maggiori informazioni sui servizi non-CPS, con elenco completo consultabile tramite hyperlink;
• una formulazione più equilibrata sugli effetti del diniego, chiarendo che la maggior parte delle funzionalità continuerà a funzionare;
• una maggiore evidenza della possibilità di rinviare la decisione, con fino a tre rinvii anche su YouTube e Play, come già su Search;
• una maggiore esplicitazione della personalizzazione del consenso, con la possibilità di scegliere solo alcuni servizi e di modificare in seguito le scelte effettuate.

Gli impegni prevedono inoltre l'invio della nuova richiesta ai nuovi account in Italia e agli utenti passivi che non abbiano ancora scelto, oltre a una comunicazione individuale agli utenti attivi già selezionati, contenente un riepilogo della scelta e link utili al DMA, all'elenco dei non-CPS, all'informativa privacy e alla pagina di gestione dei servizi collegati.

Valutazione dell'Autorità

L'AGCM ha ritenuto che gli impegni forniscano un riscontro concreto e immediato a tutte le contestazioni iniziali. Secondo l'Autorità, essi migliorano la trasparenza, completezza e comprensibilità dell'informativa, rendendo la scelta più consapevole e riducendo le potenzialità di steering e nudging della precedente formulazione.

Sul piano dell'aggressività, l'AGCM ha valorizzato il fatto che gli impegni attenuano la carica intimidatoria del messaggio originario, chiariscono che la maggior parte delle funzioni resta comunque disponibile e rendono più evidente la rinviabilità della decisione. La previsione di una comunicazione agli utenti già attivi è stata considerata idonea anche a consentire la correzione di eventuali scelte non realmente consapevoli effettuate in passato.

Posizione dell'AGCom e coordinamento con altre autorità

L'AGCom, richiesta di parere ai sensi dell'art. 27, comma 6, del Codice del consumo, ha dichiarato di non poter esprimere il parere richiesto, ritenendo che la materia rientrasse nella propria competenza quale Coordinatore dei servizi digitali per l'Italia. L'AGCM ha però precisato che il caso non riguardava contenuti illeciti sui servizi intermediari né rischi sistemici del DSA, ma la modalità di redazione e diffusione della richiesta di consenso ex art. 5(2) DMA. Ha inoltre ribadito che l'enforcement del DMA spetta alla Commissione europea, in cooperazione con le autorità nazionali competenti in materia di concorrenza.

Provvedimento finale, obblighi e sanzioni

L'Autorità ha ritenuto gli impegni idonei a far venir meno i possibili profili di scorrettezza e li ha resi obbligatori nei confronti di Alphabet Inc. e Google Ireland Limited. Il procedimento è stato chiuso senza accertare l'infrazione.

Google dovrà comunicare entro 180 giorni dalla notifica del provvedimento l'avvenuta attuazione degli impegni. Il procedimento potrà essere riaperto d'ufficio se gli impegni non verranno attuati, se muterà la situazione di fatto rilevante o se la decisione si sia fondata su informazioni incomplete, inesatte o fuorvianti. In caso di inottemperanza, l'art. 27, comma 12, del Codice del consumo prevede una sanzione da 10.000 a 10.000.000 euro; nei casi di reiterata inottemperanza può essere disposta anche la sospensione dell'attività di impresa per un massimo di trenta giorni.