Concorrenza e protezione dei dati nei mercati digitali: lessico comune, consenso e paradigmi proprietari

Il 15 ottobre 2026 l’European Data Protection Board (EDPB) e la Commissione europea hanno organizzato un incontro con gli stakeholder per raccogliere contributi in vista delle future linee guida congiunte sull’interazione tra diritto della concorrenza e protezione dei dati personali. Il tema richiama tre nuclei critici: (i) l’esigenza di una terminologia comune ai due ambiti; (ii) il rapporto tra gli obblighi di condivisione e portabilità dei dati imposti ai gatekeeper dall’art. 6 DMA — in particolare dal par. 9 — e le basi giuridiche di cui all’art. 6 GDPR, con specifico riguardo al consenso; (iii) infine, le ricadute delle medesime disposizioni sul mercato della pubblicità online. Il presente contributo muove da una tesi di fondo. Il problema non è soltanto lessicale, ma sistematico: nei mercati digitali il dato può assumere rilievo sia per la tutela della persona sia per l’analisi del potere economico. Le due discipline hanno obiettivi e metodi distinti, ma non sono riconducibili a una rigida opposizione tra logica economica e logica personalistica. La difficoltà di coordinarle emerge soprattutto quando il controllo delle infrastrutture di raccolta e utilizzo dei dati condiziona le possibilità di scelta degli utenti e degli operatori. Il caso delle tecnologie immersive consente di osservare questa asimmetria, distinguendo la dipendenza da un ecosistema tecnologico dalla dominanza in senso antitrust.

Sommario. 1. Introduzione. – 2. Un lessico comune? La nozione di impresa come banco di prova. – 3. Il dato tra bene e diritto: la duplice valenza del diritto europeo. – 3.1. La dimensione economica: la Direttiva (UE) 2019/770. – 3.2. La dimensione sociale: il GDPR. – 3.3. Una tensione strutturale. – 4. DMA e GDPR: l’art. 6, par. 9, DMA e le basi giuridiche del trattamento. – 4.1. La base giuridica del gatekeeper. – 4.2. Autorizzazione DMA e consenso GDPR: due atti da tenere distinti. – 4.3. Il raffronto con gli artt. 5, par. 2, e 6, par. 10, DMA. – 4.4. La libertà del consenso in presenza di dominanza. – 5. Pubblicità online e dati di interazione: l’art. 6, par. 11, DMA nel sistema. – 5.1. Il problema dell’anonimizzazione. – 5.2. Le misure del 2026 e le questioni ancora aperte. – 6. Dominanza e paradigma proprietario: il caso dei visori per la realtà estesa.– 6.1. Dipendenza dall’ecosistema e accertamento della dominanza. – 6.2. Le conseguenze sulla titolarità del trattamento. – 6.3. Gli strumenti disponibili. – 7. Dall’adempimento all’obbligo sostanziale: l’accountability come cambiamento organizzativo. – 8. Conclusioni.

1. Introduzione

Il confronto riguarda convergenze, intersezioni e possibili conflitti tra le due discipline. Il tema richiama tre nuclei critici:

l’esigenza di una terminologia comune ai due ambiti;
il rapporto tra gli obblighi di condivisione e portabilità dei dati imposti ai gatekeeper dall’art. 6 DMA — in particolare dal par. 9 — e le basi giuridiche di cui all’art. 6 GDPR, con specifico riguardo al consenso;
infine, le ricadute delle medesime disposizioni sul mercato della pubblicità online.

Il presente contributo muove da una tesi di fondo. Il problema non è soltanto lessicale, ma sistematico: nei mercati digitali il dato può assumere rilievo sia per la tutela della persona sia per l’analisi del potere economico. Le due discipline hanno obiettivi e metodi distinti, ma non sono riconducibili a una rigida opposizione tra logica economica e logica personalistica. La difficoltà di coordinarle emerge soprattutto quando il controllo delle infrastrutture di raccolta e utilizzo dei dati condiziona le possibilità di scelta degli utenti e degli operatori. Il caso delle tecnologie immersive consente di osservare questa asimmetria, distinguendo la dipendenza da un ecosistema tecnologico dalla dominanza in senso antitrust.

Il lavoro procede come segue. Il § 2 esamina la questione della nomenclatura comune, a partire dalla nozione di impresa. Il § 3 ricostruisce la duplice valenza, economica e sociale, del dato nel diritto europeo. I §§ 4 e 5 affrontano i punti di contatto tra DMA e GDPR in materia di consenso e advertising. Il § 6 analizza, attraverso l’esempio dei visori per la realtà estesa, gli effetti della dipendenza tecnologica e dell’eventuale dominanza sulla governance dei dati. Il § 7 propone una lettura sostanziale, e non meramente adempimentale, degli obblighi del GDPR.

2. Un lessico comune? La nozione di impresa come banco di prova

L’esigenza di una nomenclatura condivisa va anzitutto ridimensionata nei suoi termini. Il dialogo terminologico tra i due ambiti non è un’acquisizione da costruire, bensì un dato già presente nel diritto positivo, e in entrambe le direzioni.

Da un lato, il GDPR impiega una propria definizione di «impresa»: l’art. 4, n. 18, comprende la persona fisica o giuridica che eserciti un’attività economica, indipendentemente dalla forma giuridica rivestita. Per le sanzioni amministrative pecuniarie, il considerando 150 richiama invece specificamente la nozione di impresa ai sensi degli artt. 101 e 102 TFUE. I due riferimenti non vanno sovrapposti: il secondo attribuisce rilievo, nella determinazione della sanzione, all’unità economica elaborata dal diritto della concorrenza.

Il richiamo all’impresa antitrust rende pertinente la nozione funzionale elaborata dalla Corte di giustizia sin da Höfner e Elser (C-41/90) e la ricostruzione dell’unità economica sviluppata, tra l’altro, in Akzo Nobel (C-97/08 P). In Deutsche Wohnen (C-807/21, 5 dicembre 2023) la Corte ha chiarito che la sanzione può essere irrogata alla persona giuridica titolare senza che la violazione debba essere previamente imputata a una persona fisica identificata, fermo restando il requisito del dolo o della colpa. In ILVA (C-383/23, 13 febbraio 2025) ha ribadito il rilievo del fatturato mondiale dell’impresa intesa come unità economica per il calcolo del massimo edittale e della sua capacità economica effettiva per una sanzione efficace, proporzionata e dissuasiva. Non ne discende, tuttavia, un’automatica imputazione della violazione a tutte le società appartenenti al gruppo.

Dall’altro lato, il Digital Markets Act attinge alla data protection. L’art. 2, n. 25, rinvia alla definizione di dato personale dell’art. 4, n. 1, GDPR e l’art. 2, n. 32, definisce il «consenso» per rinvio all’art. 4, n. 11, GDPR. Alcune nozioni rilevanti per il DMA, dunque, sono espressamente mutuate dal GDPR.

La domanda, allora, non è soltanto se esista un lessico comune, ma entro quali limiti le nozioni elaborate nel diritto della concorrenza assumano rilievo nella protezione dei dati. La risposta deve distinguere l’ambito applicativo del GDPR, la qualificazione dei soggetti del trattamento e i criteri di determinazione delle sanzioni.

Il GDPR non presuppone l’esercizio di un’attività economica: il titolare è, ai sensi dell’art. 4, n. 7, la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che determina finalità e mezzi del trattamento. Questa ampiezza soggettiva resta soggetta ai limiti materiali e territoriali degli artt. 2 e 3. L’esenzione domestica dell’art. 2, par. 2, lett. c), non è l’unica esclusione; inoltre, per i trattamenti non automatizzati, l’art. 2, par. 1, richiede che i dati siano contenuti in un archivio o destinati a figurarvi.

La nozione antitrust di impresa non definisce quindi il perimetro generale di applicazione del GDPR. Il regolamento attribuisce rilievo all’attività economica e ai rapporti di gruppo in disposizioni diverse, tra cui le definizioni dell’art. 4, nn. 18 e 19, le norme vincolanti d’impresa dell’art. 47 e la designazione di un unico responsabile della protezione dei dati per il gruppo ai sensi dell’art. 37, par. 2. Questi riferimenti non importano indistintamente la logica dell’unità economica. Il doppio binario da esplicitare riguarda, più precisamente, l’imputazione degli obblighi del trattamento ai soggetti individuati secondo il GDPR e la determinazione dell’importo della sanzione ai sensi dell’art. 83, nella quale assume rilievo l’impresa antitrust.

3. Il dato tra bene e diritto: la duplice valenza del diritto europeo

Nei mercati digitali il dato costituisce al tempo stesso input produttivo, possibile fattore di potere di mercato e informazione riferita alla persona. La lettura comparata delle fonti mostra come il diritto europeo riconosca il valore economico dei trattamenti senza trasformare il diritto alla protezione dei dati in un diritto disponibile secondo una logica meramente proprietaria.

3.1. La dimensione economica: la Direttiva (UE) 2019/770

Un esempio di riconoscimento della dimensione economica dei dati è offerto dalla Direttiva (UE) 2019/770, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale e di servizi digitali. L’art. 3, par. 1, secondo comma, estende l’ambito di applicazione ai contratti nei quali il consumatore fornisce o si impegna a fornire dati personali, salvo che essi siano trattati esclusivamente per fornire il contenuto o servizio conformemente alla direttiva o per adempiere obblighi di legge, senza ulteriori finalità. Sul piano funzionale, la disponibilità dei dati può così essere letta come una componente economicamente rilevante dello scambio. Si tratta di una ricostruzione del modello di servizio, non di una qualificazione legislativa generale del dato come bene o corrispettivo contrattuale.

La scelta è stata consolidata dalla Direttiva (UE) 2019/2161 (cd. Omnibus), che ha esteso alla medesima ipotesi le tutele della Direttiva 2011/83/UE sui diritti dei consumatori. Sul piano interno, essa trova riscontro nella vicenda Facebook dinanzi all’AGCM, conclusa dal Consiglio di Stato (sez. VI, sent. n. 2631/2021), che ha qualificato come ingannevole la presentazione del servizio come «gratuito», riconoscendo il valore economico dei dati raccolti.

Il legislatore europeo, tuttavia, mantiene ferma la tutela della persona. Il considerando 24 della direttiva precisa che, essendo la protezione dei dati un diritto fondamentale, i dati personali non possono essere considerati una merce. L’art. 3, par. 8, stabilisce inoltre la prevalenza del diritto dell’Unione sulla protezione dei dati in caso di conflitto. La direttiva riconosce dunque la rilevanza economica dei modelli fondati sulla fornitura di dati e vi estende le tutele contrattuali, senza disporre dei presupposti di liceità del trattamento. È proprio la coesistenza di queste dimensioni, più che una contraddizione normativa, a caratterizzare l’approccio europeo.

3.2. La dimensione sociale: il GDPR

Parallelamente, il GDPR esprime una dimensione eminentemente personalistica. Esso mira alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (art. 1, par. 1), e sancisce sin dal considerando 1 che «La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea («Carta») e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea («TFUE») stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano».

Al contempo, il considerando 7 riconduce espressamente la protezione dei dati a una funzione di mercato: «Tale evoluzione richiede un quadro più solido e coerente in materia di protezione dei dati nell’Unione, affiancato da efficaci misure di attuazione, data l’importanza di creare il clima di fiducia che consentirà lo sviluppo dell’economia digitale in tutto il mercato interno. È opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano e che la certezza giuridica e operativa sia rafforzata tanto per le persone fisiche quanto per gli operatori economici e le autorità pubbliche».

3.3. Una tensione strutturale

Emerge, dunque, la duplice valenza del diritto europeo, al crocevia tra esigenze sociali ed economiche. La simmetria è speculare: la Direttiva 2019/770, testo di mercato, si premura di ribadire il rango fondamentale del diritto alla protezione dei dati; il GDPR, testo di tutela dei diritti, giustifica sé stesso anche in chiave di fiducia e sviluppo del mercato interno. La base giuridica dell’art. 16 TFUE, che fonda tanto la tutela della persona quanto la libera circolazione dei dati, ne è la sintesi costituzionale.

Per le future linee guida la conseguenza è rilevante. L’interazione tra concorrenza e data protection non può essere costruita come rapporto tra una disciplina esclusivamente economica e una esclusivamente dedicata ai diritti, perché ciascuna contiene entrambe le dimensioni. Il compito interpretativo consiste nel coordinarne obiettivi, condizioni applicative e competenze, rispettando le clausole di salvaguardia previste dalle singole fonti. Il valore economico del dato non consente di derogare ai requisiti di liceità del GDPR, così come il richiamo alla protezione dei dati non può giustificare restrizioni concorrenziali prive di un’effettiva necessità di tutela.

4. DMA e GDPR: l’art. 6, par. 9, DMA e le basi giuridiche del trattamento

L’art. 6, par. 9, DMA impone al gatekeeper di garantire agli utenti finali, e ai terzi da questi autorizzati, la portabilità effettiva e gratuita dei dati forniti o generati attraverso l’uso del servizio di piattaforma di base, incluso l’accesso continuo e in tempo reale. La disposizione va oltre l’art. 20 GDPR: secondo le linee guida congiunte sottoposte a consultazione, essa copre anche i dati osservati e quelli generati sul dispositivo, e consente flussi continui verso l’utente e i terzi autorizzati. La bozza precisa inoltre che l’obbligo non è limitato ai trattamenti originariamente fondati sul consenso o sul contratto, come invece accade per l’art. 20 GDPR (parr. 104–109).

4.1. La base giuridica del gatekeeper

Il par. 105 della bozza congiunta individua la base giuridica del trattamento posto in essere dal gatekeeper nell’art. 6, par. 1, lett. c), GDPR, ossia nell’adempimento di un obbligo legale. La soluzione è coerente: la portabilità non è una scelta organizzativa del gatekeeper, ma un obbligo imposto dal DMA, che costituisce diritto dell’Unione ai sensi dell’art. 6, par. 3, GDPR. Ne segue che il gatekeeper non può subordinare la portabilità a un ulteriore consenso, né utilizzare la raccolta del consenso come strumento di attrito per scoraggiarne l’esercizio.

4.2. Autorizzazione DMA e consenso GDPR: due atti da tenere distinti

Il nodo più delicato riguarda la posizione del terzo destinatario. L’«autorizzazione» dell’utente finale prevista dall’art. 6, par. 9, DMA dirige il flusso dei dati e non coincide di per sé con il consenso di cui all’art. 4, n. 11, GDPR. La qualificazione del destinatario dipende dalle funzioni effettivamente svolte: quando determina autonomamente finalità e mezzi dei trattamenti successivi, deve disporre di una propria base giuridica e rispettare, tra gli altri, i principi di limitazione della finalità e minimizzazione. Il par. 106 della bozza contempla anche il terzo che opera come responsabile per conto dell’utente finale, qualora quest’ultimo sia titolare, con applicazione dell’art. 28 GDPR. L’autorizzazione DMA non sostituisce quindi né la qualificazione dei ruoli né la verifica dei presupposti di liceità.

Ulteriore criticità concerne i dati di soggetti diversi dall’utente che esercita la portabilità, presenti in contatti, contenuti condivisi o interazioni. I parr. 112–114 della bozza includono tali dati nell’obbligo di portabilità quando rientrano nell’ambito dell’art. 6, par. 9, ma richiedono garanzie per gli altri interessati. Occorre quindi distinguere l’obbligo legale di trasmissione del gatekeeper dalla liceità degli usi successivi del destinatario. La tutela dei diritti altrui va assicurata attraverso informazione, strumenti di selezione dei dati e rispetto delle responsabilità dei destinatari, alla luce degli artt. 1, par. 6, e 8, par. 1, DMA e del GDPR.

4.3. Il raffronto con gli artt. 5, par. 2, e 6, par. 10, DMA

Il consenso assume invece un ruolo testuale in altre disposizioni. L’art. 6, par. 10, DMA subordina l’accesso degli utenti commerciali ai dati personali degli utenti finali alla condizione che i dati siano direttamente connessi all’uso dei prodotti o servizi dell’utente commerciale e che l’utente finale vi abbia acconsentito. L’art. 5, par. 2, vieta al gatekeeper di trattare a fini pubblicitari i dati personali raccolti tramite servizi di terzi, nonché di combinare o utilizzare in modo incrociato i dati tra servizi, salvo che l’utente abbia ricevuto una scelta specifica e prestato consenso ai sensi del GDPR. Secondo le linee guida, per tali trattamenti il gatekeeper non può ricorrere né all’esecuzione del contratto né al legittimo interesse.

Il confronto suggerisce una ricostruzione sistematica: il DMA utilizza il consenso come presidio laddove il trattamento accresce il vantaggio informativo del gatekeeper (art. 5, par. 2) o apre i dati a operatori commerciali (art. 6, par. 10); lo esclude come presupposto laddove l’obbligo mira a ridurre quel vantaggio restituendo all’utente il controllo dei propri dati (art. 6, par. 9). Le linee guida su concorrenza e data protection potrebbero utilmente adottare questa chiave di lettura funzionale.

4.4. La libertà del consenso in presenza di dominanza

Resta centrale la libertà del consenso prestato a un operatore dominante. In Meta Platforms c. Bundeskartellamt (C-252/21, 4 luglio 2023), la Corte ha affermato che la dominanza non impedisce di per sé un consenso valido, ma costituisce un elemento importante per valutarne la libertà, che il titolare deve dimostrare. Ha inoltre respinto, rispetto ai trattamenti esaminati, l’idea che la personalizzazione pubblicitaria basti a renderli oggettivamente indispensabili all’esecuzione del contratto. La pronuncia ammette che un’autorità della concorrenza, nell’accertare un abuso di posizione dominante, valuti incidentalmente la conformità al GDPR, senza sostituirsi alle autorità di controllo e nel rispetto della leale cooperazione. Il percorso comprende il parere EDPB 08/2024 sui modelli «consent or pay» e la decisione di non conformità della Commissione del 23 aprile 2025, C(2025) 2091, caso DMA.100055 – Meta – Article 5(2). Quest’ultima applica il DMA e va distinta da un provvedimento sanzionatorio adottato ai sensi del GDPR.

5. Pubblicità online e dati di interazione: l’art. 6, par. 11, DMA nel sistema

L’art. 6, par. 11, DMA impone al gatekeeper che gestisce un motore di ricerca online di fornire alle imprese terze che offrono motori di ricerca, a condizioni eque, ragionevoli e non discriminatorie, accesso ai dati relativi a posizionamento, ricerche, clic e visualizzazioni generati dagli utenti finali in relazione a ricerche gratuite e a pagamento, previa anonimizzazione dei dati personali degli utenti che le effettuano. Esiste quindi un collegamento testuale anche con la ricerca a pagamento, pur non trattandosi di una disciplina generale della pubblicità online. A quest’ultima si riferiscono inoltre l’art. 5, par. 2, sui trattamenti pubblicitari e sulla combinazione o utilizzazione incrociata dei dati, l’art. 5, parr. 9 e 10, sulla trasparenza di prezzi e remunerazioni, e l’art. 6, par. 8, sulla misurazione delle prestazioni.

La condivisione dei dati può ridurre il vantaggio informativo del motore di ricerca designato e favorire l’ingresso o lo sviluppo di concorrenti, con ricadute anche sul search advertising. Non ne discende però un diritto generale a riutilizzare i dati per pubblicità e profilazione: le misure adottate dalla Commissione per Google Search nel luglio 2026 vincolano l’uso allo sviluppo e all’ottimizzazione dei servizi di ricerca, escludendo finalità estranee. La tensione tra utilità economica della condivisione e tutela degli interessati va dunque esaminata entro le finalità e le condizioni concretamente ammesse.

5.1. Il problema dell’anonimizzazione

Il punto critico è lo standard di anonimizzazione. Le query possono consentire di identificare gli utenti e rivelare informazioni comprese nell’art. 9 GDPR. Al tempo stesso, trasformazioni e soppressioni troppo estese possono ridurre l’utilità dei dati per i concorrenti. La verifica richiesta dal considerando 26 GDPR riguarda i mezzi ragionevolmente utilizzabili per identificare gli interessati; la sola rimozione degli identificativi diretti non dimostra l’anonimato. Occorre distinguere i dati dell’utente che effettua la ricerca da quelli delle persone menzionate nel testo della query: l’anonimato rispetto al primo non comporta necessariamente l’assenza di dati personali relativi alle seconde.

La sentenza EDPS c. SRB (C-413/23 P, 4 settembre 2025), resa sul regolamento (UE) 2018/1725, è rilevante per l’interpretazione coerente della nozione di dato personale nel diritto dell’Unione. La Corte riconosce che la pseudonimizzazione può, secondo le circostanze, impedire l’identificazione da parte di un destinatario, senza che ciò elimini gli obblighi del titolare valutati dal suo punto di vista e al momento pertinente. Non si tratta di un’esenzione generale per chi riceve dati pseudonimizzati. I parr. 179–189 della bozza DMA–GDPR applicano già questa impostazione alla condivisione dei dati di ricerca, richiedendo trasformazioni tecniche integrate da misure organizzative, amministrative e contrattuali idonee a rendere insignificante la probabilità residua di identificazione. Il par. 183 precisa che il GDPR continua ad applicarsi ai dati delle altre persone identificabili attraverso le query.

5.2. Le misure del 2026 e le questioni ancora aperte

L’analisi deve confrontarsi con sviluppi già intervenuti. L’EDPB ha formulato, il 5 maggio 2026, osservazioni sulle misure proposte dalla Commissione nel procedimento relativo ad Alphabet. Il 16 luglio 2026 la Commissione ha adottato la decisione che specifica le misure necessarie per l’applicazione dell’art. 6, par. 11, a Google Search (caso DMA.100209). Le misure combinano trasformazioni dei dati, vincoli di utilizzo, audit indipendenti e riesame. Il problema non è quindi soltanto definire uno standard esterno all’autovalutazione del gatekeeper, ma verificare l’efficacia e la tenuta nel tempo delle soluzioni prescritte.

Le questioni aperte riguardano la verifica del rischio residuo alla luce delle informazioni ausiliarie disponibili, la tutela delle persone menzionate nelle query e la proporzionalità delle condizioni imposte ai destinatari. Occorre inoltre coordinare l’attuazione del DMA con la valutazione dei trattamenti ancora soggetti al GDPR, senza considerare l’adozione delle misure di condivisione come attestazione generale di liceità di ogni uso successivo. Le future linee guida sulla concorrenza possono valorizzare questa esperienza per chiarire metodi di cooperazione e criteri di verifica, mantenendo distinti gli obblighi dei diversi soggetti.

6. Dominanza e paradigma proprietario: il caso dei visori per la realtà estesa

Gli ecosistemi proprietari possono condizionare le possibilità di scelta di utenti e operatori, anche senza che sia già stata accertata una posizione dominante. Architetture chiuse, dipendenze applicative e condizioni standardizzate possono limitare la capacità dell’erogatore di un servizio di configurare i flussi di dati. Questa situazione non attenua gli obblighi del GDPR, ma rende necessario valutare in concreto quali trattamenti siano imposti dal dispositivo, quali possano essere evitati e chi ne determini finalità e mezzi.

6.1. Dipendenza dall’ecosistema e accertamento della dominanza

Si pensi all’impiego di visori per servizi immersivi privati, come formazione aziendale e intrattenimento, o pubblici, come sanità, beni culturali e istruzione. Un erogatore può incontrare difficoltà a sostituire un dispositivo, ad esempio un visore Meta, per ragioni di compatibilità applicativa, qualità, prezzo o costi di migrazione. È un’ipotesi utile a illustrare la dipendenza tecnologica, ma non dimostra di per sé la dominanza del produttore. Quest’ultima richiede una definizione del mercato rilevante e una valutazione delle pressioni concorrenziali effettive, delle barriere all’ingresso e dei vincoli alla sostituzione.

La Comunicazione della Commissione sulla definizione del mercato rilevante (C/2024/1645, pubblicata il 22 febbraio 2024) offre gli strumenti per considerare qualità, innovazione, costi di sostituzione e relazioni tra componenti di un ecosistema. Non consente però di dedurre automaticamente la dominanza dalla diffusione commerciale di un dispositivo o dalla sua idoneità a un determinato progetto. L’eventuale applicazione dell’art. 102 TFUE richiede inoltre l’accertamento di una condotta abusiva. Il DMA, dal canto suo, opera attraverso categorie di servizi di piattaforma di base e specifiche designazioni: gli obblighi di un’impresa designata non si estendono automaticamente a ogni suo prodotto, né a qualsiasi servizio di realtà estesa.

6.2. Le conseguenze sulla titolarità del trattamento

I visori possono raccogliere, secondo il modello e la configurazione, dati sul movimento degli occhi e delle mani, sulla mappatura degli ambienti e su caratteristiche fisiologiche o comportamentali. La qualificazione richiede di distinguere dati biometrici trattati per identificare univocamente una persona e dati che rivelano condizioni di salute: questi ultimi possono rientrare nell’art. 9 GDPR anche in assenza di una finalità identificativa. Le informazioni sugli stati emotivi non costituiscono invece, per il solo fatto di essere tali, una categoria particolare, pur potendo rivelare informazioni protette dall’art. 9. La valutazione riguarda il trattamento effettivo e le informazioni che esso consente di ricavare.

Il produttore o il fornitore del sistema operativo può determinare autonomamente finalità e mezzi di alcuni trattamenti, ad esempio per account, telemetria o miglioramento del prodotto; ciò deve essere verificato per ciascuna operazione. L’erogatore del servizio immersivo resta responsabile dei trattamenti che gli sono imputabili e della scelta di soluzioni compatibili con i propri obblighi. Deve quindi valutare trasparenza ai sensi degli artt. 13 e 14, protezione dei dati fin dalla progettazione e per impostazione predefinita ai sensi dell’art. 25, necessità di una DPIA quando ricorrono i presupposti dell’art. 35 ed eventuali trasferimenti ai sensi degli artt. 44 ss. La scelta del dispositivo fa parte di questa valutazione e non esonera dall’esame dei flussi imposti dall’ecosistema.

La qualificazione dei ruoli non deriva dalla forza contrattuale delle parti. Alla luce di Wirtschaftsakademie (C-210/16), Jehovan todistajat (C-25/17) e Fashion ID (C-40/17), la contitolarità presuppone una partecipazione alla determinazione di finalità e mezzi e può essere circoscritta a determinate fasi, come raccolta e trasmissione. Non richiede un’influenza equivalente né l’accesso di ciascun soggetto a tutti i dati. L’integrazione di componenti del produttore non basta, da sola, a qualificarne l’utilizzatore come contitolare. Quando i presupposti ricorrono, l’accordo dell’art. 26 deve riflettere le responsabilità effettive: condizioni predisposte unilateralmente non possono modificarne l’imputazione legale. L’asimmetria economica può dunque condizionare l’assetto concreto, ma non sostituire la verifica funzionale dei ruoli.

6.3. Gli strumenti disponibili

Il Data Act (Reg. (UE) 2023/2854) offre un ulteriore strumento, nella misura in cui il dispositivo rientri nella definizione di prodotto connesso dell’art. 2, n. 5. Dal 12 settembre 2025 gli artt. 4 e 5 riconoscono all’utente diritti di accesso e condivisione relativi ai dati e metadati rientranti nel loro ambito, con riferimento ai dati prontamente disponibili presso il titolare dei dati. Non si tratta di un diritto indistinto su qualsiasi informazione elaborata dal dispositivo. L’obbligo di accessibilità fin dalla progettazione dell’art. 3, par. 1, riguarda i prodotti connessi e i relativi servizi immessi sul mercato dopo il 12 settembre 2026 (art. 50). Restano ferme le condizioni del GDPR per i dati personali, in particolare quando l’utente non coincide con l’interessato. È significativo, in chiave concorrenziale, che l’art. 5, par. 3, escluda i gatekeeper designati dai terzi beneficiari del diritto di condivisione.

Per i soggetti pubblici, la scelta del fornitore e la definizione dei capitolati costituiscono una leva concreta: requisiti di minimizzazione, configurabilità dei flussi, interoperabilità, trasparenza e controllo sui trasferimenti possono tradurre la protezione dei dati fin dalla progettazione in caratteristiche verificabili della fornitura. Eventuali requisiti di localizzazione devono trovare una giustificazione nella disciplina applicabile e nel contesto, senza essere presentati come conseguenza automatica dell’art. 25 GDPR. La disponibilità di alternative effettive può rafforzare la capacità negoziale dell’amministrazione, ma la loro scarsità non rende lecito un trattamento che non soddisfi le condizioni del regolamento.

7. Dall’adempimento all’obbligo sostanziale: l’accountability come cambiamento organizzativo

L’esempio delle tecnologie immersive apre la scena a una considerazione ulteriore. Le regole del GDPR non hanno natura di mero adempimento formale: esse vanno intese come obblighi sostanziali, che richiedono un cambiamento organizzativo e un approccio maturo alla protezione dei dati.

Il fondamento normativo è il principio di responsabilizzazione. L’art. 5, par. 2, GDPR impone al titolare di rispettare i principi e di essere in grado di comprovarlo; l’art. 24 richiede misure tecniche e organizzative adeguate alla natura, all’ambito, al contesto, alle finalità e ai rischi del trattamento. Si tratta di obblighi sostanziali di adeguatezza, attuazione e dimostrazione delle misure, non di una garanzia assoluta contro qualsiasi violazione. Informativa, registro e DPIA hanno funzioni giuridiche proprie e devono essere correttamente predisposti, ma la loro esistenza formale non sostituisce la verifica dei processi effettivi.

La giurisprudenza aiuta a distinguere questi piani. Deutsche Wohnen subordina la sanzione pecuniaria al dolo o alla colpa, senza trasformare l’accountability in una responsabilità oggettiva. Più direttamente, in Natsionalna agentsia za prihodite (C-340/21, 14 dicembre 2023), la Corte richiede che l’adeguatezza delle misure di sicurezza sia valutata in concreto, in relazione ai rischi, e chiarisce che una divulgazione o un accesso non autorizzati non ne dimostrano, da soli, l’inadeguatezza. Nell’azione risarcitoria esaminata, spetta al titolare provare l’adeguatezza delle misure adottate. L’approccio sostanziale esige quindi un’organizzazione effettiva e verificabile, commisurata al rischio, senza postulare l’eliminazione di ogni rischio.

Significativamente, una logica analoga attraversa il DMA. L’art. 28 impone al gatekeeper una funzione di controllo della conformità, indipendente dalle funzioni operative, che richiama in larga misura la figura del responsabile della protezione dei dati (artt. 37-39 GDPR); l’art. 15 prevede la trasmissione alla Commissione di una descrizione sottoposta ad audit indipendente delle tecniche di profilazione, che la Commissione comunica all’EDPB. Le due discipline convergono dunque sul piano della governance interna: in entrambe la conformità è un assetto organizzativo verificabile.

Per gli erogatori di servizi immersivi, l’approccio sostanziale comporta valutare il dispositivo prima dell’acquisto, integrare tale esame nella DPIA quando necessaria, qualificare i ruoli per ciascun trattamento e predisporre gli accordi degli artt. 26 o 28 quando ne ricorrano i presupposti. Richiede inoltre configurazioni restrittive dei flussi verso il produttore e la documentazione dei criteri impiegati per confrontare le alternative. L’accountability può così orientare la domanda verso soluzioni che consentono una protezione più efficace dei dati, contribuendo alla concorrenza sulla qualità. Tale effetto è possibile, non automatico: dipende dalla visibilità delle caratteristiche dell’offerta e dall’esistenza di alternative effettivamente utilizzabili.

8. Conclusioni

L’analisi consente di formulare quattro proposte per le future linee guida congiunte su concorrenza e protezione dei dati.

Lessico. Esplicitare il rapporto tra qualificazione dei soggetti del trattamento e nozione di impresa, distinguendo l’imputazione degli obblighi GDPR dal rilievo dell’unità economica nella determinazione delle sanzioni.
Consenso. Distinguere l’autorizzazione dell’utente ai sensi dell’art. 6, par. 9, DMA dal consenso GDPR e dalla qualificazione del destinatario. Il gatekeeper adempie al proprio obbligo legale ai sensi dell’art. 6, par. 1, lett. c); il destinatario che opera come titolare deve individuare una propria base giuridica, mentre per il responsabile si applica l’art. 28.
Dati di interazione. Chiarire come verificare e aggiornare le garanzie di anonimizzazione alla luce della bozza DMA–GDPR, delle osservazioni EDPB e delle misure Alphabet del 2026. Occorre distinguere l’anonimato dell’utente che effettua la ricerca dai dati personali delle persone menzionate nelle query.
Potere di mercato e ruoli. Valutare gli effetti di dominanza, lock-in e dipendenza tecnologica sulla libertà delle scelte e sull’organizzazione concreta dei trattamenti, mantenendo distinti l’accertamento antitrust e la qualificazione funzionale di titolari, contitolari e responsabili, anche fuori dai servizi designati ai sensi del DMA.

La tesi sostenuta è che l’interazione tra le discipline non possa essere ridotta al conflitto tra una logica economica e una logica dei diritti. Un punto critico è lo scarto tra il controllo dell’infrastruttura e la capacità degli altri soggetti di incidere sulle condizioni del trattamento. Questo scarto non giustifica né una dilatazione automatica della contitolarità né un’attenuazione degli obblighi GDPR. Richiede strumenti di coordinamento che rendano verificabili le responsabilità e favoriscano alternative tecniche conformi. Su questo terreno concorrenza e protezione dei dati possono operare insieme, ciascuna secondo i propri presupposti, attraverso un approccio sostanziale all’accountability.

Riferimenti normativi e giurisprudenziali

Fonti normative e di soft law

Carta dei diritti fondamentali dell’UE, art. 8; TFUE, artt. 16, 101, 102
Reg. (UE) 2016/679 (GDPR), artt. 1–6, 9, 13–14, 20, 24–26, 28, 30, 32, 35, 37–39, 44 ss., 47, 82–83; considerando 1, 7, 26, 150.
Reg. (UE) 2022/1925 (DMA), artt. 1–3, 5–6, 8, 15, 28; considerando 59 e 61.
Reg. (UE) 2023/2854 (Data Act), artt. 1–5 e 50.
Dir. (UE) 2019/770, art. 3; considerando 24
Dir. (UE) 2019/2161 (Omnibus)
Commissione europea, Comunicazione sulla definizione del mercato rilevante ai fini del diritto della concorrenza dell’Unione, C/2024/1645, GU C del 22 febbraio 2024.
EDPB, Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, 17 aprile 2024.
EDPB–Commissione europea, Joint Guidelines on the Interplay between the Digital Markets Act and the General Data Protection Regulation, versione per consultazione del 9 ottobre 2025, in particolare parr. 104–114 e 175–190.
EDPB–Commissione europea, Stakeholder event on guidelines on the interplay between data protection and competition law, 15 ottobre 2026; annuncio EDPB del 23 luglio 2026.
EDPB, Comments on the European Commission’s draft measures in the specification proceedings concerning Alphabet’s compliance with Article 6(11) Digital Markets Act, 5 maggio 2026. Fonte ufficiale
Commissione europea, decisione di specificazione del 16 luglio 2026, caso DMA.100209 – SP – Alphabet – Article 6(11); sintesi CELEX 52026DMA100209 e scheda ufficiale Alphabet specification proceedings – Sharing of Google Search data. Fonte ufficiale

Giurisprudenza

CGUE, 23 aprile 1991, C-41/90, Höfner e Elser
CGUE, 10 settembre 2009, C-97/08 P, Akzo Nobel
CGUE, 5 giugno 2018, C-210/16, Wirtschaftsakademie Schleswig-Holstein
CGUE, 10 luglio 2018, C-25/17, Jehovan todistajat
CGUE, 29 luglio 2019, C-40/17, Fashion ID
CGUE, 4 luglio 2023, C-252/21, Meta Platforms c. Bundeskartellamt
CGUE, 5 dicembre 2023, C-807/21, Deutsche Wohnen
CGUE, 14 dicembre 2023, C-340/21, Natsionalna agentsia za prihodite, ECLI:EU:C:2023:986, in particolare punti 29–32, 40 e 52–57.
CGUE, 13 febbraio 2025, C-383/23, ILVA
CGUE, 4 settembre 2025, C-413/23 P, EDPS c. SRB
Cons. Stato, sez. VI, 29 marzo 2021, n. 2631 (Facebook)
Commissione europea, decisione del 23 aprile 2025, C(2025) 2091, caso DMA.100055 – Meta – Article 5(2);

Di Alessia Palladino Assegnista di ricerca e Cultore della Materia in «Informatica giuridica» e «Computer Law» presso l’Università degli Studi di Cagliari.