Provvedimento AGCM A552 n. 30215 del 05/07/2022

Google – ostacoli alla portabilità dei dati verso Weople

Il provvedimento n. 30215 riguarda l’avvio di un’istruttoria nei confronti di Alphabet Inc., Google LLC, Google Ireland Limited e Google Italy S.r.l. per una possibile violazione dell’articolo 102 TFUE. L’istruttoria trae origine dalla segnalazione di Hoda S.r.l., società italiana che gestisce l’app Weople e intende sviluppare un modello di intermediazione e valorizzazione dei dati personali degli utenti.

Parti e origine del procedimento

Google, attraverso il proprio ecosistema di servizi digitali, raccoglie, custodisce ed elabora una quantità rilevante di dati degli utenti. Nel procedimento il termine Google identifica complessivamente Alphabet Inc. e le società del gruppo indicate nel provvedimento.

Hoda è una start-up innovativa attiva nell’intermediazione di dati personali. Attraverso Weople, gli utenti possono registrarsi, conferire una delega a Hoda e consentire la raccolta dei propri dati presenti su varie piattaforme e servizi digitali. I dati sono destinati a essere trattati in forma statistica, aggregata e anonima e messi a disposizione di imprese interessate alla profilazione commerciale, alla creazione di database statistici o ad attività di data enrichment.

La segnalazione è stata presentata il 9 settembre 2021 e successivamente integrata, da ultimo, il 31 maggio 2022.

Attività di Weople e necessità di interoperabilità

Per rendere effettivo il servizio, Hoda necessita di un’interlocuzione tecnologica stabile con le piattaforme presso le quali sono conservati i dati degli utenti. Tale interlocuzione dovrebbe permettere il trasferimento diretto e l’aggiornamento continuo dei flussi di dati verso Weople, sulla base della delega dell’utente o di una sua richiesta diretta.

Dal maggio 2019 Hoda ha avviato contatti con Google per individuare meccanismi di interoperabilità, anche attraverso API, che consentissero all’utente Weople di trasferire i propri dati da Google al proprio account Weople. La richiesta era ricondotta da Hoda all’articolo 20, comma 2, del GDPR, che riconosce all’interessato il diritto di ottenere, ove tecnicamente fattibile, la trasmissione diretta dei dati personali da un titolare del trattamento a un altro.

Condotta segnalata e procedura Google Takeout

Dagli elementi disponibili emerge che Google avrebbe dichiarato di stare lavorando a un framework condiviso per l’interoperabilità, sostenendo nel frattempo di non disporre delle risorse necessarie per realizzare un protocollo dedicato esclusivamente a Hoda. Google avrebbe inoltre indicato che le richieste di portabilità potevano essere processate soltanto se provenienti direttamente da un account Google, al fine dichiarato di proteggere la privacy degli utenti.

L’unica modalità concretamente offerta da Google per ottenere una copia dei dati sarebbe stata Google Takeout. La procedura richiede che ciascun utente effettui individualmente l’accesso al proprio account Google, si autentichi con ID e password, richieda l’archivio e successivamente lo trasferisca o lo carichi su Weople.

Secondo Hoda, la procedura è articolata e poco agevole e avrebbe scoraggiato in modo significativo l’esercizio del diritto alla portabilità. Nei tre mesi precedenti all’introduzione della procedura fai-da-te, Weople avrebbe ricevuto circa 20.000-25.000 richieste di trasferimento di dati Google. Nei due anni successivi, le richieste realizzate attraverso Google Takeout sarebbero state poco più di 1.500-2.500, con una riduzione indicata da Hoda nell’ordine del 90-95%. Al momento della segnalazione, sarebbero stati trasferiti a Weople circa due archivi dati Google al mese, a fronte di circa 50.000-60.000 iscritti alla piattaforma.

Mercati rilevanti e ruolo dei dati

L’AGCM considera rilevanti, ai fini dell’analisi, l’insieme delle attività che consentono a Google di accumulare, custodire ed elaborare i dati degli utenti finali. Il provvedimento richiama i seguenti mercati, già esaminati in precedenti della Commissione europea:

• servizi generali di ricerca online, di ampiezza nazionale;
• browser per dispositivi mobili e per personal computer, di ampiezza mondiale esclusa la Cina;
• App Stores per il sistema operativo Android, di ampiezza mondiale esclusa la Cina;
• servizi di pagamento attraverso dispositivi mobili, almeno nazionali;
• applicazioni di navigazione con indicazioni passo per passo, almeno europee;
• assistenti virtuali, almeno nazionali;
• distribuzione digitale di musica, almeno nazionale;
• servizi di traduzione digitale, almeno nazionali e potenzialmente europei o mondiali;
• dispositivi indossabili, almeno europei.

L’ecosistema Google comprende, tra gli altri, Search, Chrome, Wallet, Play, Gmail, YouTube, Google Docs, Google Drive, Google Foto, Maps, Waze, Google Assistant e dispositivi indossabili. L’interconnessione tra questi servizi consente di associare a ciascun account una sequenza articolata di informazioni, comprendenti dati di contatto e demografici, luoghi di vita e lavoro, spostamenti, pagamenti e informazioni generate dall’utilizzo dei servizi.

Secondo l’AGCM, nei mercati digitali la disponibilità di Big Data è una leva concorrenziale essenziale, poiché incide sulla personalizzazione, sull’innovazione e sulla qualità dei servizi. I dati raccolti da Google costituiscono inoltre la base della sua attività nei mercati della pubblicità online e, in particolare, della posizione dominante nella pubblicità search.

Posizione dominante di Google

L’AGCM richiama la nozione di posizione dominante elaborata nell’ambito dell’articolo 102 TFUE, quale situazione di potere economico che consente all’impresa di ostacolare la concorrenza effettiva e di agire in modo significativamente indipendente da concorrenti, clienti e consumatori.

Il provvedimento richiama precedenti della Commissione europea e dati di mercato relativi alla presenza di Google nei diversi segmenti. Nel mercato italiano dei servizi generali di ricerca online, Google avrebbe mantenuto, anche nel biennio 2020-2021, una quota superiore al 95%. Chrome avrebbe detenuto circa il 70% dei browser per PC e, nel mercato dei browser mobili considerato, oltre il 62%, con una quota stimata intorno all’88% escludendo Safari.

Google avrebbe inoltre detenuto una quota superiore al 90% nel mercato degli App Stores per Android. Nel mercato delle app di navigazione con indicazioni passo per passo, la quota sarebbe stata pari al 70-80% a livello mondiale e al 60-70% a livello europeo nel periodo 2017-2019. Nei servizi di traduzione digitale, la quota mondiale sarebbe stata stabilmente superiore al 90% e quella europea superiore all’80%.

L’AGCM considera particolarmente rilevante il fatto che la dominanza di Google sia rafforzata dalla capacità di raccogliere dati attraverso una pluralità di servizi interconnessi. Tale capacità consentirebbe una profilazione degli utenti difficilmente replicabile dagli operatori alternativi.

Qualificazione della condotta ai sensi dell’articolo 102 TFUE

L’AGCM ritiene che gli ostacoli frapposti da Google all’individuazione di meccanismi di interoperabilità con Weople possano pregiudicare l’esercizio del diritto degli utenti alla portabilità dei dati previsto dall’articolo 20 GDPR.

La condotta è considerata potenzialmente abusiva sotto due profili. Da un lato, potrebbe sfruttare indebitamente i consumatori, limitando i benefici economici che essi potrebbero ricavare dalla valorizzazione dei propri dati personali. Dall’altro, potrebbe produrre effetti escludenti, ostacolando la possibilità per operatori alternativi di sviluppare servizi innovativi e modelli di business fondati su forme diverse di utilizzo dei dati.

Secondo la prospettazione dell’Autorità, l’indisponibilità di un sistema interoperabile e l’affidamento esclusivo a una procedura manuale e individuale come Google Takeout potrebbero rendere sostanzialmente meno effettivo il diritto alla portabilità. L’AGCM osserva che, in presenza del consenso dell’utente e delle altre condizioni previste dall’articolo 20 GDPR, il titolare della piattaforma dovrebbe porre in essere le attività necessarie a garantire l’interoperabilità, risultando non decisiva la specifica modalità tecnica prescelta.

Funzione pro-concorrenziale della portabilità dei dati

Il provvedimento attribuisce alla portabilità dei dati una duplice funzione pro-concorrenziale. Essa può ridurre i costi di switching, facilitare la mobilità degli utenti e attenuare gli effetti di rete e i rischi di lock-in tipici delle piattaforme digitali. Inoltre, può consentire agli utenti di accedere a modalità alternative di valorizzazione economica dei dati personali.

L’AGCM richiama l’Indagine conoscitiva IC53 sui Big Data, condotta congiuntamente con AGCom e Garante per la protezione dei dati personali, secondo cui la portabilità può ridurre le barriere all’ingresso e favorire una concorrenza basata sul merito.

In questa prospettiva, l’ostacolo all’accesso interoperabile ai dati potrebbe preservare il vantaggio di Google nello sfruttamento commerciale delle informazioni raccolte attraverso il proprio ecosistema, impedendo la nascita o l’espansione di modalità alternative di valorizzazione dei dati.

Pregiudizio al commercio tra Stati membri

L’AGCM ritiene sussistente il possibile pregiudizio al commercio intraeuropeo richiesto dall’articolo 102 TFUE. Google è infatti un operatore di primaria importanza nei mercati interessati e le condotte contestate potrebbero ostacolare l’ingresso o l’operatività, anche sul mercato italiano, di concorrenti attuali e potenziali esteri.

L’Autorità considera pertanto opportuno valutare la fattispecie secondo la normativa unionale e, in particolare, ai sensi dell’articolo 102 TFUE, in coordinamento con il Regolamento CE n. 1/2003.

Avvio dell’istruttoria e termini procedurali

L’AGCM ha deliberato l’avvio dell’istruttoria ai sensi dell’articolo 14 della legge n. 287/1990 nei confronti di Alphabet Inc., Google LLC, Google Ireland Limited e Google Italy S.r.l., per accertare l’eventuale violazione dell’articolo 102 TFUE.

Il provvedimento non contiene un accertamento definitivo dell’infrazione, non irroga sanzioni e non dispone misure cautelari o impegni. È stato fissato un termine di 60 giorni dalla notificazione per l’eventuale richiesta di audizione, da presentare almeno 15 giorni prima della scadenza. Il procedimento è affidato al responsabile individuato dall’Autorità e deve concludersi entro il 30 giugno 2023.