Quesiti di soggetti pubblici e privati n. 456 del 04/08/2025

Chiarimenti su Apple ATT, consenso e profilazione

Il Garante per la protezione dei dati personali si esprime su una richiesta di chiarimenti dell’AGCM relativa al sistema App Tracking Transparency (ATT) di Apple e alla sua incidenza sugli obblighi in materia di protezione dei dati personali. Il parere si colloca nel procedimento avviato dall’AGCM nei confronti di Apple per possibili profili anticoncorrenziali connessi all’uso del sistema ATT.

Contesto della richiesta e primi chiarimenti

L’AGCM aveva chiesto un primo chiarimento sul ruolo di Apple nella definizione delle policy imposte agli sviluppatori di app terze nello store, sulla conformità e indispensabilità del prompt ATT per il consenso, e sulla distinzione tra first party data e third party data nella profilazione. Nella comunicazione del 6 maggio 2024, gli uffici del Garante avevano già precisato che Apple, nel sistema ATT, opera come produttore del dispositivo e del sistema operativo, assumendo una scelta progettuale e imprenditoriale che non corrisponde a uno specifico obbligo normativo privacy, ma che risulta compatibile con il considerando 78 del GDPR.

Consenso al tracciamento e base normativa

Quanto al consenso, il Garante aveva distinto tra la decisione di Apple di rendere disponibile l’IDFA e l’obbligo di acquisire il consenso dell’utente per il trattamento che su tale accesso si fonda. L’accesso all’IDFA da parte dello sviluppatore, necessario per il tracciamento e la profilazione commerciale, integra un trattamento soggetto al consenso preventivo dell’interessato ai sensi dell’art. 5, par. 3, della direttiva 2002/58/CE e dell’art. 122 del Codice privacy. Il Garante osserva inoltre che, in mancanza di quel meccanismo, il tracciamento potrebbe comunque essere effettuato con altri strumenti, come i cookie, con conseguente autonoma responsabilità dello sviluppatore nel raccogliere i relativi consensi e adempiere agli altri obblighi privacy.

Distinzione tra dati di prima parte e di terze parti

Il Garante conferma che, ai sensi della disciplina privacy, esiste una distinzione tra trattamenti di dati raccolti direttamente dal titolare per finalità di profilazione commerciale e trattamenti svolti sulla base di dati raccolti da soggetti diversi. L’ATT riguarda esclusivamente l’uso di dati di terze parti per finalità di profilazione commerciale; per tale ragione Apple ha costruito un processo specifico per la raccolta del consenso, lasciando però liberi gli sviluppatori che trattano soltanto dati di prima parte di adottare soluzioni diverse o di non usare il banner ATT.

Seconda richiesta: duplicazione dei consensi e banner ATT

Con la successiva nota del 23 giugno 2025, l’AGCM chiede se sia davvero indispensabile la contemporanea presenza del CMP prompt dello sviluppatore e dell’ATT prompt di Apple e se esistano modalità alternative, meno onerose e più chiare per gli utenti finali. Il Garante risponde che la duplicazione delle richieste di consenso non è imposta da una specifica disposizione della disciplina privacy, ma deriva dalla scelta di Apple di imporre agli sviluppatori una soluzione standardizzata per il consenso relativo all’IDFA e alla profilazione con dati di terze parti. La rigidità del banner ATT e la limitata libertà dello sviluppatore rendono normalmente necessario un secondo strumento di raccolta del consenso per i trattamenti ulteriori effettuati dall’app.

Autonomia del titolare e possibili modelli alternativi

Il Garante sottolinea che la normativa vigente attribuisce al titolare del trattamento, e non a terzi, la responsabilità di determinare forme, contenuti e mezzi della richiesta di consenso e degli obblighi di trasparenza. Nulla vieterebbe, in linea di principio, allo sviluppatore di raccogliere in un’unica soluzione tutti i consensi necessari, purché con adeguata granularità. In tale scenario, resta ferma l’eventuale esigenza che Apple acquisisca un consenso specifico per la comunicazione dell’IDFA agli sviluppatori.

Osservazioni sul contenuto del banner ATT

Il Garante rileva che, anche se il banner ATT viene utilizzato, il suo contenuto dovrebbe essere più preciso rispetto alla formulazione attuale. Le opzioni "Non tracciarmi" e "Consenti" possono risultare ambigue perché evocano un consenso al "tracciamento", concetto non definito in modo specifico dalla normativa. Il banner dovrebbe invece riferirsi all’accesso dell’app allo IDFA, quale presupposto per un’eventuale profilazione commerciale.

Conclusione del parere

La risposta finale dell’Autorità è sostanzialmente affermativa rispetto ai quesiti posti dall’AGCM, nei limiti delle proprie competenze. Il Garante conclude che la disciplina privacy non impone la duplicazione del consenso così come attualmente configurata e che sono astrattamente possibili modalità alternative, più coerenti con l’autonomia del titolare e con gli obblighi di trasparenza previsti dal GDPR e dal Codice privacy.