Il 15 ottobre 2026 l\u2019European Data Protection Board (EDPB) e la Commissione europea hanno organizzato un incontro con gli stakeholder per raccogliere contributi in vista delle future linee guida congiunte sull\u2019interazione tra diritto della concorrenza e protezione dei dati personali. Il tema richiama tre nuclei critici: (i) l’esigenza di una terminologia comune ai due ambiti; (ii) il rapporto tra gli obblighi di condivisione e portabilit\u00e0 dei dati imposti ai gatekeeper dall’art. 6 DMA \u2014 in particolare dal par. 9 \u2014 e le basi giuridiche di cui all’art. 6 GDPR, con specifico riguardo al consenso; (iii) infine, le ricadute delle medesime disposizioni sul mercato della pubblicit\u00e0 online. Il presente contributo muove da una tesi di fondo. Il problema non \u00e8 soltanto lessicale, ma sistematico: nei mercati digitali il dato pu\u00f2 assumere rilievo sia per la tutela della persona sia per l\u2019analisi del potere economico. Le due discipline hanno obiettivi e metodi distinti, ma non sono riconducibili a una rigida opposizione tra logica economica e logica personalistica. La difficolt\u00e0 di coordinarle emerge soprattutto quando il controllo delle infrastrutture di raccolta e utilizzo dei dati condiziona le possibilit\u00e0 di scelta degli utenti e degli operatori. Il caso delle tecnologie immersive consente di osservare questa asimmetria, distinguendo la dipendenza da un ecosistema tecnologico dalla dominanza in senso antitrust.<\/p>\n\n\n\n
Sommario. 1. Introduzione. <\/a>– 2. Un lessico comune? La nozione di impresa come banco di prova. <\/a>– 3. Il dato tra bene e diritto: la duplice valenza del diritto europeo.<\/a> – 3.1. La dimensione economica: la Direttiva (UE) 2019\/770. <\/a>– 3.2. La dimensione sociale: il GDPR. <\/a>– 3.3. Una tensione strutturale. <\/a>– 4. DMA e GDPR: l’art. 6, par. 9, DMA e le basi giuridiche del trattamento. <\/a>– 4.1. La base giuridica del gatekeeper. <\/a>– 4.2. Autorizzazione DMA e consenso GDPR: due atti da tenere distinti. <\/a>– 4.3. Il raffronto con gli artt. 5, par. 2, e 6, par. 10, DMA. <\/a>– 4.4. La libert\u00e0 del consenso in presenza di dominanza. <\/a>– 5. Pubblicit\u00e0 online e dati di interazione: l’art. 6, par. 11, DMA nel sistema. <\/a>– 5.1. Il problema dell’anonimizzazione.<\/a> – 5.2. Le misure del 2026 e le questioni ancora aperte. <\/a>– 6. Dominanza e paradigma proprietario: il caso dei visori per la realt\u00e0 estesa.<\/a>– 6.1. Dipendenza dall\u2019ecosistema e accertamento della dominanza. <\/a>– 6.2. Le conseguenze sulla titolarit\u00e0 del trattamento. <\/a>– 6.3. Gli strumenti disponibili.<\/a> – 7. Dall’adempimento all’obbligo sostanziale: l’accountability come cambiamento organizzativo.<\/a> – 8. Conclusioni. <\/a><\/p>\n\n\n\n Il 15 ottobre 2026 l\u2019European Data Protection Board (EDPB) e la Commissione europea hanno organizzato un incontro con gli stakeholder per raccogliere contributi in vista delle future linee guida congiunte sull\u2019interazione tra diritto della concorrenza e protezione dei dati personali. L\u2019iniziativa si colloca nel solco delle prime linee guida congiunte EDPB\u2013Commissione sull\u2019interazione tra Digital Markets Act (Reg. (UE) 2022\/1925, \u00abDMA\u00bb) e Regolamento (UE) 2016\/679 (\u00abGDPR\u00bb), approvate il 9 ottobre 2025 nella versione sottoposta a consultazione pubblica fino al 4 dicembre 2025. I due percorsi vanno distinti: il primo prepara orientamenti sul rapporto generale tra concorrenza e protezione dei dati; il secondo riguarda specificamente l\u2019applicazione coordinata di DMA e GDPR.<\/p>\n\n\n\n Il confronto riguarda convergenze, intersezioni e possibili conflitti tra le due discipline. Il tema richiama tre nuclei critici:<\/p>\n\n\n\n Il presente contributo muove da una tesi di fondo. Il problema non \u00e8 soltanto lessicale, ma sistematico: nei mercati digitali il dato pu\u00f2 assumere rilievo sia per la tutela della persona sia per l\u2019analisi del potere economico. Le due discipline hanno obiettivi e metodi distinti, ma non sono riconducibili a una rigida opposizione tra logica economica e logica personalistica. La difficolt\u00e0 di coordinarle emerge soprattutto quando il controllo delle infrastrutture di raccolta e utilizzo dei dati condiziona le possibilit\u00e0 di scelta degli utenti e degli operatori. Il caso delle tecnologie immersive consente di osservare questa asimmetria, distinguendo la dipendenza da un ecosistema tecnologico dalla dominanza in senso antitrust.<\/p>\n\n\n\n Il lavoro procede come segue. Il \u00a7 2 esamina la questione della nomenclatura comune, a partire dalla nozione di impresa. Il \u00a7 3 ricostruisce la duplice valenza, economica e sociale, del dato nel diritto europeo. I \u00a7\u00a7 4 e 5 affrontano i punti di contatto tra DMA e GDPR in materia di consenso e advertising. Il \u00a7 6 analizza, attraverso l’esempio dei visori per la realt\u00e0 estesa, gli effetti della dipendenza tecnologica e dell\u2019eventuale dominanza sulla governance dei dati. Il \u00a7 7 propone una lettura sostanziale, e non meramente adempimentale, degli obblighi del GDPR.<\/p>\n\n\n\n L’esigenza di una nomenclatura condivisa va anzitutto ridimensionata nei suoi termini. Il dialogo terminologico tra i due ambiti non \u00e8 un’acquisizione da costruire, bens\u00ec un dato gi\u00e0 presente nel diritto positivo, e in entrambe le direzioni.<\/p>\n\n\n\n Da un lato, il GDPR impiega una propria definizione di \u00abimpresa\u00bb: l\u2019art. 4, n. 18, comprende la persona fisica o giuridica che eserciti un\u2019attivit\u00e0 economica, indipendentemente dalla forma giuridica rivestita. Per le sanzioni amministrative pecuniarie, il considerando 150 richiama invece specificamente la nozione di impresa ai sensi degli artt. 101 e 102 TFUE. I due riferimenti non vanno sovrapposti: il secondo attribuisce rilievo, nella determinazione della sanzione, all\u2019unit\u00e0 economica elaborata dal diritto della concorrenza.<\/p>\n\n\n\n Il richiamo all\u2019impresa antitrust rende pertinente la nozione funzionale elaborata dalla Corte di giustizia sin da H\u00f6fner e Elser (C-41\/90) e la ricostruzione dell\u2019unit\u00e0 economica sviluppata, tra l\u2019altro, in Akzo Nobel (C-97\/08 P). In Deutsche Wohnen (C-807\/21, 5 dicembre 2023) la Corte ha chiarito che la sanzione pu\u00f2 essere irrogata alla persona giuridica titolare senza che la violazione debba essere previamente imputata a una persona fisica identificata, fermo restando il requisito del dolo o della colpa. In ILVA (C-383\/23, 13 febbraio 2025) ha ribadito il rilievo del fatturato mondiale dell\u2019impresa intesa come unit\u00e0 economica per il calcolo del massimo edittale e della sua capacit\u00e0 economica effettiva per una sanzione efficace, proporzionata e dissuasiva. Non ne discende, tuttavia, un\u2019automatica imputazione della violazione a tutte le societ\u00e0 appartenenti al gruppo.<\/p>\n\n\n\n Dall’altro lato, il Digital Markets Act attinge alla data protection. L’art. 2, n. 25, rinvia alla definizione di dato personale dell’art. 4, n. 1, GDPR e l’art. 2, n. 32, definisce il \u00abconsenso\u00bb per rinvio all’art. 4, n. 11, GDPR. Alcune nozioni rilevanti per il DMA, dunque, sono espressamente mutuate dal GDPR.<\/p>\n\n\n\n La domanda, allora, non \u00e8 soltanto se esista un lessico comune, ma entro quali limiti le nozioni elaborate nel diritto della concorrenza assumano rilievo nella protezione dei dati. La risposta deve distinguere l\u2019ambito applicativo del GDPR, la qualificazione dei soggetti del trattamento e i criteri di determinazione delle sanzioni.<\/p>\n\n\n\n Il GDPR non presuppone l\u2019esercizio di un\u2019attivit\u00e0 economica: il titolare \u00e8, ai sensi dell\u2019art. 4, n. 7, la persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o altro organismo che determina finalit\u00e0 e mezzi del trattamento. Questa ampiezza soggettiva resta soggetta ai limiti materiali e territoriali degli artt. 2 e 3. L\u2019esenzione domestica dell\u2019art. 2, par. 2, lett. c), non \u00e8 l\u2019unica esclusione; inoltre, per i trattamenti non automatizzati, l\u2019art. 2, par. 1, richiede che i dati siano contenuti in un archivio o destinati a figurarvi.<\/p>\n\n\n\n La nozione antitrust di impresa non definisce quindi il perimetro generale di applicazione del GDPR. Il regolamento attribuisce rilievo all\u2019attivit\u00e0 economica e ai rapporti di gruppo in disposizioni diverse, tra cui le definizioni dell\u2019art. 4, nn. 18 e 19, le norme vincolanti d\u2019impresa dell\u2019art. 47 e la designazione di un unico responsabile della protezione dei dati per il gruppo ai sensi dell\u2019art. 37, par. 2. Questi riferimenti non importano indistintamente la logica dell\u2019unit\u00e0 economica. Il doppio binario da esplicitare riguarda, pi\u00f9 precisamente, l\u2019imputazione degli obblighi del trattamento ai soggetti individuati secondo il GDPR e la determinazione dell\u2019importo della sanzione ai sensi dell\u2019art. 83, nella quale assume rilievo l\u2019impresa antitrust.<\/p>\n\n\n\n Nei mercati digitali il dato costituisce al tempo stesso input produttivo, possibile fattore di potere di mercato e informazione riferita alla persona. La lettura comparata delle fonti mostra come il diritto europeo riconosca il valore economico dei trattamenti senza trasformare il diritto alla protezione dei dati in un diritto disponibile secondo una logica meramente proprietaria.<\/p>\n\n\n\n Un esempio di riconoscimento della dimensione economica dei dati \u00e8 offerto dalla Direttiva (UE) 2019\/770, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale e di servizi digitali. L\u2019art. 3, par. 1, secondo comma, estende l\u2019ambito di applicazione ai contratti nei quali il consumatore fornisce o si impegna a fornire dati personali, salvo che essi siano trattati esclusivamente per fornire il contenuto o servizio conformemente alla direttiva o per adempiere obblighi di legge, senza ulteriori finalit\u00e0. Sul piano funzionale, la disponibilit\u00e0 dei dati pu\u00f2 cos\u00ec essere letta come una componente economicamente rilevante dello scambio. Si tratta di una ricostruzione del modello di servizio, non di una qualificazione legislativa generale del dato come bene o corrispettivo contrattuale.<\/p>\n\n\n\n La scelta \u00e8 stata consolidata dalla Direttiva (UE) 2019\/2161<\/strong> (cd. Omnibus<\/em><\/strong>), che ha esteso alla medesima ipotesi le tutele della Direttiva 2011\/83\/UE<\/strong> sui diritti dei consumatori. Sul piano interno, essa trova riscontro nella vicenda Facebook dinanzi all’AGCM, conclusa dal Consiglio di Stato (sez. VI, sent. n. 2631\/2021), che ha qualificato come ingannevole la presentazione del servizio come \u00abgratuito\u00bb, riconoscendo il valore economico dei dati raccolti.<\/p>\n\n\n\n Il legislatore europeo, tuttavia, mantiene ferma la tutela della persona. Il considerando 24 della direttiva precisa che, essendo la protezione dei dati un diritto fondamentale, i dati personali non possono essere considerati una merce. L\u2019art. 3, par. 8, stabilisce inoltre la prevalenza del diritto dell\u2019Unione sulla protezione dei dati in caso di conflitto. La direttiva riconosce dunque la rilevanza economica dei modelli fondati sulla fornitura di dati e vi estende le tutele contrattuali, senza disporre dei presupposti di liceit\u00e0 del trattamento. \u00c8 proprio la coesistenza di queste dimensioni, pi\u00f9 che una contraddizione normativa, a caratterizzare l\u2019approccio europeo.<\/p>\n\n\n\n Parallelamente, il GDPR esprime una dimensione eminentemente personalistica. Esso mira alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonch\u00e9 alla libera circolazione di tali dati (art. 1, par. 1), e sancisce sin dal considerando 1 che \u00abLa protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale \u00e8 un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (\u00abCarta\u00bb) e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea (\u00abTFUE\u00bb) stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano\u00bb.<\/p>\n\n\n\n Al contempo, il considerando 7 riconduce espressamente la protezione dei dati a una funzione di mercato: \u00abTale evoluzione richiede un quadro pi\u00f9 solido e coerente in materia di protezione dei dati nell’Unione, affiancato da efficaci misure di attuazione, data l’importanza di creare il clima di fiducia che consentir\u00e0 lo sviluppo dell’economia digitale in tutto il mercato interno. \u00c8 opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano e che la certezza giuridica e operativa sia rafforzata tanto per le persone fisiche quanto per gli operatori economici e le autorit\u00e0 pubbliche\u00bb.<\/p>\n\n\n\n Emerge, dunque, la duplice valenza del diritto europeo, al crocevia tra esigenze sociali ed economiche. La simmetria \u00e8 speculare: la Direttiva 2019\/770, testo di mercato, si premura di ribadire il rango fondamentale del diritto alla protezione dei dati; il GDPR, testo di tutela dei diritti, giustifica s\u00e9 stesso anche in chiave di fiducia e sviluppo del mercato interno. La base giuridica dell’art. 16 TFUE, che fonda tanto la tutela della persona quanto la libera circolazione dei dati, ne \u00e8 la sintesi costituzionale.<\/p>\n\n\n\n Per le future linee guida la conseguenza \u00e8 rilevante. L\u2019interazione tra concorrenza e data protection non pu\u00f2 essere costruita come rapporto tra una disciplina esclusivamente economica e una esclusivamente dedicata ai diritti, perch\u00e9 ciascuna contiene entrambe le dimensioni. Il compito interpretativo consiste nel coordinarne obiettivi, condizioni applicative e competenze, rispettando le clausole di salvaguardia previste dalle singole fonti. Il valore economico del dato non consente di derogare ai requisiti di liceit\u00e0 del GDPR, cos\u00ec come il richiamo alla protezione dei dati non pu\u00f2 giustificare restrizioni concorrenziali prive di un\u2019effettiva necessit\u00e0 di tutela.<\/p>\n\n\n\n L’art. 6, par. 9, DMA impone al gatekeeper di garantire agli utenti finali, e ai terzi da questi autorizzati, la portabilit\u00e0 effettiva e gratuita dei dati forniti o generati attraverso l’uso del servizio di piattaforma di base, incluso l’accesso continuo e in tempo reale. La disposizione va oltre l’art. 20 GDPR: secondo le linee guida congiunte sottoposte a consultazione, essa copre anche i dati osservati e quelli generati sul dispositivo, e consente flussi continui verso l’utente e i terzi autorizzati. La bozza precisa inoltre che l\u2019obbligo non \u00e8 limitato ai trattamenti originariamente fondati sul consenso o sul contratto, come invece accade per l\u2019art. 20 GDPR (parr. 104\u2013109).<\/p>\n\n\n\n Il par. 105 della bozza congiunta individua la base giuridica del trattamento posto in essere dal gatekeeper nell’art. 6, par. 1, lett. c), GDPR, ossia nell’adempimento di un obbligo legale. La soluzione \u00e8 coerente: la portabilit\u00e0 non \u00e8 una scelta organizzativa del gatekeeper, ma un obbligo imposto dal DMA, che costituisce diritto dell’Unione ai sensi dell’art. 6, par. 3, GDPR. Ne segue che il gatekeeper non pu\u00f2 subordinare la portabilit\u00e0 a un ulteriore consenso, n\u00e9 utilizzare la raccolta del consenso come strumento di attrito per scoraggiarne l’esercizio.<\/p>\n\n\n\n Il nodo pi\u00f9 delicato riguarda la posizione del terzo destinatario. L\u2019\u00abautorizzazione\u00bb dell\u2019utente finale prevista dall\u2019art. 6, par. 9, DMA dirige il flusso dei dati e non coincide di per s\u00e9 con il consenso di cui all\u2019art. 4, n. 11, GDPR. La qualificazione del destinatario dipende dalle funzioni effettivamente svolte: quando determina autonomamente finalit\u00e0 e mezzi dei trattamenti successivi, deve disporre di una propria base giuridica e rispettare, tra gli altri, i principi di limitazione della finalit\u00e0 e minimizzazione. Il par. 106 della bozza contempla anche il terzo che opera come responsabile per conto dell\u2019utente finale, qualora quest\u2019ultimo sia titolare, con applicazione dell\u2019art. 28 GDPR. L\u2019autorizzazione DMA non sostituisce quindi n\u00e9 la qualificazione dei ruoli n\u00e9 la verifica dei presupposti di liceit\u00e0.<\/p>\n\n\n\n Ulteriore criticit\u00e0 concerne i dati di soggetti diversi dall\u2019utente che esercita la portabilit\u00e0, presenti in contatti, contenuti condivisi o interazioni. I parr. 112\u2013114 della bozza includono tali dati nell\u2019obbligo di portabilit\u00e0 quando rientrano nell\u2019ambito dell\u2019art. 6, par. 9, ma richiedono garanzie per gli altri interessati. Occorre quindi distinguere l\u2019obbligo legale di trasmissione del gatekeeper dalla liceit\u00e0 degli usi successivi del destinatario. La tutela dei diritti altrui va assicurata attraverso informazione, strumenti di selezione dei dati e rispetto delle responsabilit\u00e0 dei destinatari, alla luce degli artt. 1, par. 6, e 8, par. 1, DMA e del GDPR.<\/p>\n\n\n\n Il consenso assume invece un ruolo testuale in altre disposizioni. L’art. 6, par. 10, DMA subordina l’accesso degli utenti commerciali ai dati personali degli utenti finali alla condizione che i dati siano direttamente connessi all’uso dei prodotti o servizi dell’utente commerciale e che l’utente finale vi abbia acconsentito. L’art. 5, par. 2, vieta al gatekeeper di trattare a fini pubblicitari i dati personali raccolti tramite servizi di terzi, nonch\u00e9 di combinare o utilizzare in modo incrociato i dati tra servizi, salvo che l’utente abbia ricevuto una scelta specifica e prestato consenso ai sensi del GDPR. Secondo le linee guida, per tali trattamenti il gatekeeper non pu\u00f2 ricorrere n\u00e9 all’esecuzione del contratto n\u00e9 al legittimo interesse.<\/p>\n\n\n\n Il confronto suggerisce una ricostruzione sistematica: il DMA utilizza il consenso come presidio laddove il trattamento accresce il vantaggio informativo del gatekeeper (art. 5, par. 2) o apre i dati a operatori commerciali (art. 6, par. 10); lo esclude come presupposto laddove l’obbligo mira a ridurre quel vantaggio restituendo all’utente il controllo dei propri dati (art. 6, par. 9). Le linee guida su concorrenza e data protection potrebbero utilmente adottare questa chiave di lettura funzionale.<\/p>\n\n\n\n Resta centrale la libert\u00e0 del consenso prestato a un operatore dominante. In Meta Platforms c. Bundeskartellamt (C-252\/21, 4 luglio 2023), la Corte ha affermato che la dominanza non impedisce di per s\u00e9 un consenso valido, ma costituisce un elemento importante per valutarne la libert\u00e0, che il titolare deve dimostrare. Ha inoltre respinto, rispetto ai trattamenti esaminati, l\u2019idea che la personalizzazione pubblicitaria basti a renderli oggettivamente indispensabili all\u2019esecuzione del contratto. La pronuncia ammette che un\u2019autorit\u00e0 della concorrenza, nell\u2019accertare un abuso di posizione dominante, valuti incidentalmente la conformit\u00e0 al GDPR, senza sostituirsi alle autorit\u00e0 di controllo e nel rispetto della leale cooperazione. Il percorso comprende il parere EDPB 08\/2024 sui modelli \u00abconsent or pay\u00bb e la decisione di non conformit\u00e0 della Commissione del 23 aprile 2025, C(2025) 2091, caso DMA.100055 \u2013 Meta \u2013 Article 5(2). Quest\u2019ultima applica il DMA e va distinta da un provvedimento sanzionatorio adottato ai sensi del GDPR.<\/p>\n\n\n\n L\u2019art. 6, par. 11, DMA impone al gatekeeper che gestisce un motore di ricerca online di fornire alle imprese terze che offrono motori di ricerca, a condizioni eque, ragionevoli e non discriminatorie, accesso ai dati relativi a posizionamento, ricerche, clic e visualizzazioni generati dagli utenti finali in relazione a ricerche gratuite e a pagamento, previa anonimizzazione dei dati personali degli utenti che le effettuano. Esiste quindi un collegamento testuale anche con la ricerca a pagamento, pur non trattandosi di una disciplina generale della pubblicit\u00e0 online. A quest\u2019ultima si riferiscono inoltre l\u2019art. 5, par. 2, sui trattamenti pubblicitari e sulla combinazione o utilizzazione incrociata dei dati, l\u2019art. 5, parr. 9 e 10, sulla trasparenza di prezzi e remunerazioni, e l\u2019art. 6, par. 8, sulla misurazione delle prestazioni.<\/p>\n\n\n\n La condivisione dei dati pu\u00f2 ridurre il vantaggio informativo del motore di ricerca designato e favorire l\u2019ingresso o lo sviluppo di concorrenti, con ricadute anche sul search advertising. Non ne discende per\u00f2 un diritto generale a riutilizzare i dati per pubblicit\u00e0 e profilazione: le misure adottate dalla Commissione per Google Search nel luglio 2026 vincolano l\u2019uso allo sviluppo e all\u2019ottimizzazione dei servizi di ricerca, escludendo finalit\u00e0 estranee. La tensione tra utilit\u00e0 economica della condivisione e tutela degli interessati va dunque esaminata entro le finalit\u00e0 e le condizioni concretamente ammesse.<\/p>\n\n\n\n Il punto critico \u00e8 lo standard di anonimizzazione. Le query possono consentire di identificare gli utenti e rivelare informazioni comprese nell\u2019art. 9 GDPR. Al tempo stesso, trasformazioni e soppressioni troppo estese possono ridurre l\u2019utilit\u00e0 dei dati per i concorrenti. La verifica richiesta dal considerando 26 GDPR riguarda i mezzi ragionevolmente utilizzabili per identificare gli interessati; la sola rimozione degli identificativi diretti non dimostra l\u2019anonimato. Occorre distinguere i dati dell\u2019utente che effettua la ricerca da quelli delle persone menzionate nel testo della query: l\u2019anonimato rispetto al primo non comporta necessariamente l\u2019assenza di dati personali relativi alle seconde.<\/p>\n\n\n\n La sentenza EDPS c. SRB (C-413\/23 P, 4 settembre 2025), resa sul regolamento (UE) 2018\/1725, \u00e8 rilevante per l\u2019interpretazione coerente della nozione di dato personale nel diritto dell\u2019Unione. La Corte riconosce che la pseudonimizzazione pu\u00f2, secondo le circostanze, impedire l\u2019identificazione da parte di un destinatario, senza che ci\u00f2 elimini gli obblighi del titolare valutati dal suo punto di vista e al momento pertinente. Non si tratta di un\u2019esenzione generale per chi riceve dati pseudonimizzati. I parr. 179\u2013189 della bozza DMA\u2013GDPR applicano gi\u00e0 questa impostazione alla condivisione dei dati di ricerca, richiedendo trasformazioni tecniche integrate da misure organizzative, amministrative e contrattuali idonee a rendere insignificante la probabilit\u00e0 residua di identificazione. Il par. 183 precisa che il GDPR continua ad applicarsi ai dati delle altre persone identificabili attraverso le query.<\/p>\n\n\n\n L\u2019analisi deve confrontarsi con sviluppi gi\u00e0 intervenuti. L\u2019EDPB ha formulato, il 5 maggio 2026, osservazioni sulle misure proposte dalla Commissione nel procedimento relativo ad Alphabet. Il 16 luglio 2026 la Commissione ha adottato la decisione che specifica le misure necessarie per l\u2019applicazione dell\u2019art. 6, par. 11, a Google Search (caso DMA.100209). Le misure combinano trasformazioni dei dati, vincoli di utilizzo, audit indipendenti e riesame. Il problema non \u00e8 quindi soltanto definire uno standard esterno all\u2019autovalutazione del gatekeeper, ma verificare l\u2019efficacia e la tenuta nel tempo delle soluzioni prescritte.<\/p>\n\n\n\n Le questioni aperte riguardano la verifica del rischio residuo alla luce delle informazioni ausiliarie disponibili, la tutela delle persone menzionate nelle query e la proporzionalit\u00e0 delle condizioni imposte ai destinatari. Occorre inoltre coordinare l\u2019attuazione del DMA con la valutazione dei trattamenti ancora soggetti al GDPR, senza considerare l\u2019adozione delle misure di condivisione come attestazione generale di liceit\u00e0 di ogni uso successivo. Le future linee guida sulla concorrenza possono valorizzare questa esperienza per chiarire metodi di cooperazione e criteri di verifica, mantenendo distinti gli obblighi dei diversi soggetti.<\/p>\n\n\n\n Gli ecosistemi proprietari possono condizionare le possibilit\u00e0 di scelta di utenti e operatori, anche senza che sia gi\u00e0 stata accertata una posizione dominante. Architetture chiuse, dipendenze applicative e condizioni standardizzate possono limitare la capacit\u00e0 dell\u2019erogatore di un servizio di configurare i flussi di dati. Questa situazione non attenua gli obblighi del GDPR, ma rende necessario valutare in concreto quali trattamenti siano imposti dal dispositivo, quali possano essere evitati e chi ne determini finalit\u00e0 e mezzi.<\/p>\n\n\n\n Si pensi all\u2019impiego di visori per servizi immersivi privati, come formazione aziendale e intrattenimento, o pubblici, come sanit\u00e0, beni culturali e istruzione. Un erogatore pu\u00f2 incontrare difficolt\u00e0 a sostituire un dispositivo, ad esempio un visore Meta, per ragioni di compatibilit\u00e0 applicativa, qualit\u00e0, prezzo o costi di migrazione. \u00c8 un\u2019ipotesi utile a illustrare la dipendenza tecnologica, ma non dimostra di per s\u00e9 la dominanza del produttore. Quest\u2019ultima richiede una definizione del mercato rilevante e una valutazione delle pressioni concorrenziali effettive, delle barriere all\u2019ingresso e dei vincoli alla sostituzione.<\/p>\n\n\n\n La Comunicazione della Commissione sulla definizione del mercato rilevante (C\/2024\/1645, pubblicata il 22 febbraio 2024) offre gli strumenti per considerare qualit\u00e0, innovazione, costi di sostituzione e relazioni tra componenti di un ecosistema. Non consente per\u00f2 di dedurre automaticamente la dominanza dalla diffusione commerciale di un dispositivo o dalla sua idoneit\u00e0 a un determinato progetto. L\u2019eventuale applicazione dell\u2019art. 102 TFUE richiede inoltre l\u2019accertamento di una condotta abusiva. Il DMA, dal canto suo, opera attraverso categorie di servizi di piattaforma di base e specifiche designazioni: gli obblighi di un\u2019impresa designata non si estendono automaticamente a ogni suo prodotto, n\u00e9 a qualsiasi servizio di realt\u00e0 estesa.<\/p>\n\n\n\n I visori possono raccogliere, secondo il modello e la configurazione, dati sul movimento degli occhi e delle mani, sulla mappatura degli ambienti e su caratteristiche fisiologiche o comportamentali. La qualificazione richiede di distinguere dati biometrici trattati per identificare univocamente una persona e dati che rivelano condizioni di salute: questi ultimi possono rientrare nell\u2019art. 9 GDPR anche in assenza di una finalit\u00e0 identificativa. Le informazioni sugli stati emotivi non costituiscono invece, per il solo fatto di essere tali, una categoria particolare, pur potendo rivelare informazioni protette dall\u2019art. 9. La valutazione riguarda il trattamento effettivo e le informazioni che esso consente di ricavare.<\/p>\n\n\n\n Il produttore o il fornitore del sistema operativo pu\u00f2 determinare autonomamente finalit\u00e0 e mezzi di alcuni trattamenti, ad esempio per account, telemetria o miglioramento del prodotto; ci\u00f2 deve essere verificato per ciascuna operazione. L\u2019erogatore del servizio immersivo resta responsabile dei trattamenti che gli sono imputabili e della scelta di soluzioni compatibili con i propri obblighi. Deve quindi valutare trasparenza ai sensi degli artt. 13 e 14, protezione dei dati fin dalla progettazione e per impostazione predefinita ai sensi dell\u2019art. 25, necessit\u00e0 di una DPIA quando ricorrono i presupposti dell\u2019art. 35 ed eventuali trasferimenti ai sensi degli artt. 44 ss. La scelta del dispositivo fa parte di questa valutazione e non esonera dall\u2019esame dei flussi imposti dall\u2019ecosistema.<\/p>\n\n\n\n La qualificazione dei ruoli non deriva dalla forza contrattuale delle parti. Alla luce di Wirtschaftsakademie (C-210\/16), Jehovan todistajat (C-25\/17) e Fashion ID (C-40\/17), la contitolarit\u00e0 presuppone una partecipazione alla determinazione di finalit\u00e0 e mezzi e pu\u00f2 essere circoscritta a determinate fasi, come raccolta e trasmissione. Non richiede un\u2019influenza equivalente n\u00e9 l\u2019accesso di ciascun soggetto a tutti i dati. L\u2019integrazione di componenti del produttore non basta, da sola, a qualificarne l\u2019utilizzatore come contitolare. Quando i presupposti ricorrono, l\u2019accordo dell\u2019art. 26 deve riflettere le responsabilit\u00e0 effettive: condizioni predisposte unilateralmente non possono modificarne l\u2019imputazione legale. L\u2019asimmetria economica pu\u00f2 dunque condizionare l\u2019assetto concreto, ma non sostituire la verifica funzionale dei ruoli.<\/p>\n\n\n\n Il Data Act (Reg. (UE) 2023\/2854) offre un ulteriore strumento, nella misura in cui il dispositivo rientri nella definizione di prodotto connesso dell\u2019art. 2, n. 5. Dal 12 settembre 2025 gli artt. 4 e 5 riconoscono all\u2019utente diritti di accesso e condivisione relativi ai dati e metadati rientranti nel loro ambito, con riferimento ai dati prontamente disponibili presso il titolare dei dati. Non si tratta di un diritto indistinto su qualsiasi informazione elaborata dal dispositivo. L\u2019obbligo di accessibilit\u00e0 fin dalla progettazione dell\u2019art. 3, par. 1, riguarda i prodotti connessi e i relativi servizi immessi sul mercato dopo il 12 settembre 2026 (art. 50). Restano ferme le condizioni del GDPR per i dati personali, in particolare quando l\u2019utente non coincide con l\u2019interessato. \u00c8 significativo, in chiave concorrenziale, che l\u2019art. 5, par. 3, escluda i gatekeeper designati dai terzi beneficiari del diritto di condivisione.<\/p>\n\n\n\n Per i soggetti pubblici, la scelta del fornitore e la definizione dei capitolati costituiscono una leva concreta: requisiti di minimizzazione, configurabilit\u00e0 dei flussi, interoperabilit\u00e0, trasparenza e controllo sui trasferimenti possono tradurre la protezione dei dati fin dalla progettazione in caratteristiche verificabili della fornitura. Eventuali requisiti di localizzazione devono trovare una giustificazione nella disciplina applicabile e nel contesto, senza essere presentati come conseguenza automatica dell\u2019art. 25 GDPR. La disponibilit\u00e0 di alternative effettive pu\u00f2 rafforzare la capacit\u00e0 negoziale dell\u2019amministrazione, ma la loro scarsit\u00e0 non rende lecito un trattamento che non soddisfi le condizioni del regolamento.<\/p>\n\n\n\n L’esempio delle tecnologie immersive apre la scena a una considerazione ulteriore. Le regole del GDPR non hanno natura di mero adempimento formale: esse vanno intese come obblighi sostanziali, che richiedono un cambiamento organizzativo e un approccio maturo alla protezione dei dati.<\/p>\n\n\n\n Il fondamento normativo \u00e8 il principio di responsabilizzazione. L\u2019art. 5, par. 2, GDPR impone al titolare di rispettare i principi e di essere in grado di comprovarlo; l\u2019art. 24 richiede misure tecniche e organizzative adeguate alla natura, all\u2019ambito, al contesto, alle finalit\u00e0 e ai rischi del trattamento. Si tratta di obblighi sostanziali di adeguatezza, attuazione e dimostrazione delle misure, non di una garanzia assoluta contro qualsiasi violazione. Informativa, registro e DPIA hanno funzioni giuridiche proprie e devono essere correttamente predisposti, ma la loro esistenza formale non sostituisce la verifica dei processi effettivi.<\/p>\n\n\n\n La giurisprudenza aiuta a distinguere questi piani. Deutsche Wohnen subordina la sanzione pecuniaria al dolo o alla colpa, senza trasformare l\u2019accountability in una responsabilit\u00e0 oggettiva. Pi\u00f9 direttamente, in Natsionalna agentsia za prihodite (C-340\/21, 14 dicembre 2023), la Corte richiede che l\u2019adeguatezza delle misure di sicurezza sia valutata in concreto, in relazione ai rischi, e chiarisce che una divulgazione o un accesso non autorizzati non ne dimostrano, da soli, l\u2019inadeguatezza. Nell\u2019azione risarcitoria esaminata, spetta al titolare provare l\u2019adeguatezza delle misure adottate. L\u2019approccio sostanziale esige quindi un\u2019organizzazione effettiva e verificabile, commisurata al rischio, senza postulare l\u2019eliminazione di ogni rischio.<\/p>\n\n\n\n Significativamente, una logica analoga attraversa il DMA. L’art. 28 impone al gatekeeper una funzione di controllo della conformit\u00e0, indipendente dalle funzioni operative, che richiama in larga misura la figura del responsabile della protezione dei dati (artt. 37-39 GDPR); l’art. 15 prevede la trasmissione alla Commissione di una descrizione sottoposta ad audit indipendente delle tecniche di profilazione, che la Commissione comunica all’EDPB. Le due discipline convergono dunque sul piano della governance interna: in entrambe la conformit\u00e0 \u00e8 un assetto organizzativo verificabile.<\/p>\n\n\n\n Per gli erogatori di servizi immersivi, l\u2019approccio sostanziale comporta valutare il dispositivo prima dell\u2019acquisto, integrare tale esame nella DPIA quando necessaria, qualificare i ruoli per ciascun trattamento e predisporre gli accordi degli artt. 26 o 28 quando ne ricorrano i presupposti. Richiede inoltre configurazioni restrittive dei flussi verso il produttore e la documentazione dei criteri impiegati per confrontare le alternative. L\u2019accountability pu\u00f2 cos\u00ec orientare la domanda verso soluzioni che consentono una protezione pi\u00f9 efficace dei dati, contribuendo alla concorrenza sulla qualit\u00e0. Tale effetto \u00e8 possibile, non automatico: dipende dalla visibilit\u00e0 delle caratteristiche dell\u2019offerta e dall\u2019esistenza di alternative effettivamente utilizzabili.<\/p>\n\n\n\n L’analisi consente di formulare quattro proposte per le future linee guida congiunte su concorrenza e protezione dei dati.<\/p>\n\n\n\n La tesi sostenuta \u00e8 che l\u2019interazione tra le discipline non possa essere ridotta al conflitto tra una logica economica e una logica dei diritti. Un punto critico \u00e8 lo scarto tra il controllo dell\u2019infrastruttura e la capacit\u00e0 degli altri soggetti di incidere sulle condizioni del trattamento. Questo scarto non giustifica n\u00e9 una dilatazione automatica della contitolarit\u00e0 n\u00e9 un\u2019attenuazione degli obblighi GDPR. Richiede strumenti di coordinamento che rendano verificabili le responsabilit\u00e0 e favoriscano alternative tecniche conformi. Su questo terreno concorrenza e protezione dei dati possono operare insieme, ciascuna secondo i propri presupposti, attraverso un approccio sostanziale all\u2019accountability.<\/p>\n\n\n\n Fonti normative e di soft law<\/strong><\/p>\n\n\n\n Giurisprudenza<\/strong><\/p>\n\n\n\n Di Alessia Palladino<\/strong> Assegnista di ricerca e Cultore della Materia in \u00abInformatica giuridica\u00bb e \u00abComputer Law\u00bb presso l\u2019Universit\u00e0 degli Studi di Cagliari.<\/p>\n","protected":false},"excerpt":{"rendered":" Il 15 ottobre 2026 l\u2019European Data Protection Board (EDPB) e la Commissione europea hanno organizzato un incontro con gli stakeholder per raccogliere contributi in vista delle future linee guida congiunte sull\u2019interazione tra diritto della concorrenza e […]<\/p>\n","protected":false},"author":9973,"featured_media":1468,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[50],"tags":[13,135,137,11,8,12,133],"class_list":["post-1467","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-approfondimenti","tag-artificial-intelligence","tag-competition","tag-concorrenza","tag-dataprotection","tag-ia","tag-intelligenza_artificiale","tag-mercato"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1467","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/9973"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1467"}],"version-history":[{"count":2,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1467\/revisions"}],"predecessor-version":[{"id":1470,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1467\/revisions\/1470"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1468"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1467"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1467"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1467"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}1. Introduzione<\/h2>\n\n\n\n
\n
2. Un lessico comune? La nozione di impresa come banco di prova<\/h2>\n\n\n\n
3. Il dato tra bene e diritto: la duplice valenza del diritto europeo<\/h2>\n\n\n\n
3.1. La dimensione economica: la Direttiva (UE) 2019\/770<\/h3>\n\n\n\n
3.2. La dimensione sociale: il GDPR<\/h3>\n\n\n\n
3.3. Una tensione strutturale<\/h3>\n\n\n\n
4. DMA e GDPR: l’art. 6, par. 9, DMA e le basi giuridiche del trattamento<\/h2>\n\n\n\n
4.1. La base giuridica del gatekeeper<\/h3>\n\n\n\n
4.2. Autorizzazione DMA e consenso GDPR: due atti da tenere distinti<\/h3>\n\n\n\n
4.3. Il raffronto con gli artt. 5, par. 2, e 6, par. 10, DMA<\/h3>\n\n\n\n
4.4. La libert\u00e0 del consenso in presenza di dominanza<\/h3>\n\n\n\n
5. Pubblicit\u00e0 online e dati di interazione: l’art. 6, par. 11, DMA nel sistema<\/h2>\n\n\n\n
5.1. Il problema dell’anonimizzazione<\/h3>\n\n\n\n
5.2. Le misure del 2026 e le questioni ancora aperte<\/h3>\n\n\n\n
6. Dominanza e paradigma proprietario: il caso dei visori per la realt\u00e0 estesa<\/h2>\n\n\n\n
6.1. Dipendenza dall\u2019ecosistema e accertamento della dominanza<\/h3>\n\n\n\n
6.2. Le conseguenze sulla titolarit\u00e0 del trattamento<\/h3>\n\n\n\n
6.3. Gli strumenti disponibili<\/h3>\n\n\n\n
7. Dall’adempimento all’obbligo sostanziale: l’accountability come cambiamento organizzativo<\/h2>\n\n\n\n
8. Conclusioni<\/h2>\n\n\n\n
\n
Riferimenti normativi e giurisprudenziali<\/h2>\n\n\n\n
\n
\n