Provvedimento AGCM A552 n. 30736 del 18/07/2023

Google – ostacoli alla portabilità dei dati

Il provvedimento riguarda un’istruttoria per possibile abuso di posizione dominante ex art. 102 TFUE nei confronti di Alphabet Inc., Google LLC, Google Ireland Limited e Google Italy S.r.l., originata da una segnalazione di Hoda S.r.l. L’oggetto del procedimento è la presunta esistenza di ostacoli, imputati a Google, all’esercizio della portabilità dei dati e allo sviluppo di meccanismi di interoperabilità verso piattaforme terze.

Parti e contesto del procedimento

Google è descritta come un gruppo multinazionale attivo in un ampio ecosistema di servizi digitali, presente in Italia tramite Google Italy S.r.l. e in Europa tramite Google Ireland Limited. Hoda S.r.l. opera invece nell’intermediazione di dati personali attraverso l’app Weople. Nel procedimento sono intervenuti anche Mediaset, CCIA, AIIP e Altroconsumo.

Origine dell’istruttoria e condotte contestate

L’Autorità ha avviato l’istruttoria il 5 luglio 2022 ai sensi dell’art. 14 L. 287/1990 per verificare eventuali violazioni dell’art. 102 TFUE. La contestazione ruota attorno al fatto che Google avrebbe ostacolato l’individuazione di meccanismi di interoperabilità idonei a rendere disponibili a piattaforme alternative i dati presenti nel proprio ecosistema. Secondo Hoda, l’unico strumento offerto agli utenti per ottenere una copia dei propri dati è Takeout, ritenuto complesso e poco agevole, tale da scoraggiare l’effettivo esercizio del diritto alla portabilità ex art. 20 GDPR.

Mercato rilevante e posizione di Google

Il provvedimento colloca il caso nei mercati digitali, dove la disponibilità di Big Data è elemento concorrenziale cruciale. L’Autorità richiama diversi mercati già individuati dalla Commissione europea:

• servizi generali di ricerca online;
• browser per PC e per dispositivi mobili;
• app store per Android;
• pagamenti tramite dispositivi mobili;
• app di navigazione;
• assistenti virtuali;
• distribuzione digitale di musica;
• traduzione digitale;
• dispositivi indossabili.

Per la valutazione del caso, l’Autorità sottolinea in particolare la posizione di Google nella ricerca online in Italia, con quota di mercato intorno al 95% nel triennio 2021-2023, nonché la sua rilevanza anche in altri segmenti, come browser per PC, browser mobile, Android, app store Android e altri servizi connessi.

Impegni presentati da Google

Google ha presentato tre impegni ai sensi dell’art. 14-ter L. 287/1990, con l’obiettivo di rimuovere i profili anticoncorrenziali contestati.

Impegno 1

Google si è impegnata a sviluppare un URL che gli operatori terzi potranno incorporare nelle proprie applicazioni o siti per facilitare l’esportazione, tramite Takeout, dei dati degli utenti finali. Il link indirizza l’utente al proprio profilo Takeout, con alcune categorie di dati preselezionate in base alle preferenze dell’operatore terzo; i dati potranno essere esportati in un formato standard leggibile automaticamente e condivisi con l’operatore terzo tramite un servizio cloud supportato.

Impegno 2

Google metterà a disposizione degli operatori terzi documentazione e informazioni dettagliate sui campi dati relativi a Ricerca, cronologia di Chrome e YouTube inclusi in "Le mie attività", per agevolare parsing e ingestion. Fornirà inoltre ulteriori istruzioni nell’interfaccia Takeout su come individuare e condividere la cartella contenente i dati esportati.

Impegno 3

Google renderà disponibile un early adopter program per consentire agli operatori terzi di testare, prima del rilascio ufficiale, una nuova soluzione di portabilità diretta da servizio a servizio basata su API. L’accesso al programma riguarda inizialmente i dati generati tramite l’uso del motore di ricerca Google; a seguito del market test, Google ha esteso il perimetro di test anche a YouTube.

Consultazione pubblica e osservazioni dei terzi

Nel market test i partecipanti hanno espresso un giudizio in prevalenza positivo, chiedendo però alcuni aggiustamenti. Hoda ha criticato l’Impegno 1, ritenendo che restassero necessari troppi passaggi proattivi dell’utente e che i tempi di portabilità periodica fossero meno chiari rispetto al download one-off. Hoda e Mediaset hanno anche chiesto di estendere l’Impegno 3 a tutte le categorie di dati raccolti da Google, inclusi quelli connessi ad Android e alle app basate su Android. Mediaset ha inoltre chiesto maggiori garanzie di terzietà del fiduciario. CCIA, Netcomm, l’Istituto per le Politiche dell’innovazione e la Fondazione Italia Digitale hanno espresso valutazioni positive, valorizzando la compatibilità degli impegni con la privacy e con il GDPR.

Repliche di Google e modifiche accessorie

Google ha replicato alle osservazioni il 22 maggio 2023. Ha chiarito che la procedura Takeout non introduce differenze sostanziali nei tempi di esportazione tra download one-off e download periodico, e ha escluso di poter inserire un campo e-mail personalizzabile per la condivisione, per ragioni di sicurezza e rischio phishing. Ha inoltre esteso l’Impegno 3 a YouTube, così da consentire il test della futura soluzione di portabilità diretta anche per tale servizio.

Valutazione dell’Autorità

L’Autorità ha ritenuto che gli impegni siano idonei a far venir meno le preoccupazioni concorrenziali iniziali. In particolare, ha valorizzato il fatto che:

• gli impegni rendono più automatizzata la procedura di Takeout, agevolando l’esercizio del diritto alla portabilità;
• essi si avvicinano a un meccanismo di interoperabilità verso terzi;
• l’Impegno 3 consente agli operatori di testare in anticipo la soluzione di portabilità diretta da servizio a servizio;
• la modifica che include YouTube nell’EAP è stata considerata indicativa dell’impegno di Google a implementare rapidamente una soluzione generale.

L’Autorità ha anche osservato che le cautele relative al fiduciario sono coerenti con le best practices della Commissione europea e con precedenti misure adottate nel caso A529 - Google/Compatibilità App Enel X Italia con sistema Android auto.

Esito finale, obblighi e monitoraggio

L’AGCM ha deliberato di rendere obbligatori gli impegni presentati da Alphabet Inc., Google LLC, Google Ireland Limited e Google Italy S.r.l. ai sensi dell’art. 14-ter, comma 1, L. 287/1990, e di chiudere il procedimento senza accertare l’infrazione. Google dovrà:

• presentare entro trenta giorni la proposta per la nomina del fiduciario;
• presentare entro il 1° ottobre 2023 una relazione sullo stato di attuazione degli impegni;
• trasmettere successivamente, con cadenza semestrale, relazioni sul rilascio della nuova soluzione di portabilità diretta da servizio a servizio.

Il provvedimento non contiene sanzioni pecuniarie, poiché il procedimento è stato chiuso con accettazione degli impegni.