Il 10 settembre la Commissione europea ha finalmente pubblicato le misure a cui Google si dovrà attenere ai sensi dell’art. 6(11) del DMA per l’anonimizzazione delle query di ricerca degli utenti europei, che dovranno essere rilasciate ai motori di ricerca alternativi in modo da favorirne un posizionamento nel mercato che non risulti condizionato da barriere di ingresso, né dalla dominanza di cui Google gode nel settore[1].
Si è già avuto modo di sviluppare su queste pagine un ragionamento sulla ratio dell’obbligo a favore della competizione allorquando, ad aprile di quest’anno, la Commissione aveva pubblicato e sottoposto a consultazione pubblica un insieme di misure preliminari[2].
La recente pubblicazione delle misure definitive ci consente di svolgere un’analisi comparativa rispetto alle misure individuate in origine dalla Commissione, e quindi di sviluppare un ulteriore ragionamento sul ruolo dell’anonimizzazione dei dati personali come strumento di contendibilità da parte di soggetti europei di particolari settori del mercato digitale, ancora oggi saldamente nelle mani di pochi soggetti extra-europei. Importante anche riflettere su una nuova dimensione economica del processo di “relativizzazione” del concetto di dato personale, già avviato su un piano più giuridico dalla sentenza SRB della Corte di Giustizia dell’Unione Europea, che l’applicazione dell’art 6(11) del DMA rende evidente.
Indice degli argomenti
Metadati e mini-sessionization nelle misure definitive
Sull’analisi comparativa non servono troppe parole: le modifiche appaiono minime e, tutto sommato, tendono a compensarsi tra loro. Da una parte, infatti, si registra un minore dettaglio nella scala dei metadati: tempi, luoghi, tipologie di terminali associati alle query sono rappresentati attraverso categorie più lasche, e ciò determinerà classi di equivalenza più ampie e dunque una minore probabilità di identificazione del soggetto a cui la query si riferisce (l’estensore della query, ma anche il soggetto le cui vicende la query narra).
Dall’altra, si introduce la nozione di mini-sessionization, ovvero la ricongiunzione di singole query con i relativi metadati e le interazioni dell’utente, fino a un massimo di tre query, qualora quest’ultimo abbia espresso a Google un primo quesito di ricerca generico, seguito da una seconda e/o una terza query più specifiche, riconoscibili dal fatto che le query successive incorporino letteralmente parti della prima (ad esempio, “gelateria vegana” seguita da “gelateria vegana a Barletta” e “gelateria vegana a Barletta in piazza Mazzini”).
In questo caso il potere identificativo della mini-sessione, considerato l’evidente maggiore dettaglio nella narrazione, è superiore a quello della query di partenza e dunque l’intervento operato dalla Commissione è di segno opposto rispetto alla diluzione della scala applicata ai metadati. C’è dunque un effetto di compensazione tra gli interventi della Commissione.
Allow-list e soglia di rarità delle query
Resta invece invariata la misura relativa alla creazione di allow-list su base entity.
Da ciò che si comprende (ma la specifica avrebbe potuto essere scritta più chiaramente), ogni query di ricerca viene sottoposta a un filtro per l’estrazione di “entità” (ad esempio, nomi, indirizzi, numeri di telefono, luoghi, ma anche singole parole comuni individuate dall’interposizione tra queste di uno spazio).
Se una qualsiasi di queste “entità”, presa singolarmente, non è stata oggetto di ricerca da parte di almeno 50 utenti distinti nell’ultimo anno, la query non è oggetto di condivisione. In altri termini, una query del tipo “[entità1] [entità2]” passa il test di rarità se entrambe le entità sono state richieste separatamente almeno una volta da almeno 50 utenti nell’ultimo anno, mentre è bloccata se anche solo una delle due non supera questa soglia di rarità.
Questo è sicuramente il nodo più delicato dal punto di vista della protezione dei dati.
Sulla base del criterio immodificato dalla Commissione infatti, una query del tipo “sono il comandante del reggimento [nome del reggimento], conosco [questa tal cosa] e mi serve [quest’altra cosa]” potrebbe dover essere rilasciata da Google ad altri soggetti come dato anonimizzato, se [nome del reggimento], [questa tal cosa] e [quest’altra cosa] sono entità singolarmente frequenti, cioè citate almeno una volta da più di 50 utenti nell’anno, con ogni riflesso non soltanto sulla privacy ma anche sulla sicurezza del soggetto estensore della query e persino di terzi, nel caso in cui chi dichiara il proprio status all’interno della stringa di ricerca, come nell’esempio qui proposto, dovesse rivestire posizioni di rilievo istituzionale.
Con mente malevola, si potrebbe persino ipotizzare la creazione di una batteria di utenti fittizi (ne basterebbero 51!) che intervengano per rendere meno rare le entità, inondando il motore di ricerca con almeno una query nell’anno contenente le parole di senso compiuto di maggiore interesse (potenzialmente, anche tutte) estratte dai dizionari delle più diffuse lingue del mondo.
Si mantengono sul criterio di creazione delle allow-list tutte le riserve già espresse[3], e in particolare si ribadisce la necessità di introdurre soglie di rarità meno facili da scavalcare, ad esempio più elevate di 50, e di proteggere la rarità complessiva della query, e non soltanto la rarità delle singole entità, introducendo delle forme di conteggio relative alla congiunzione logica di entità multiple.
Dalla sentenza SRB all’anonimizzazione delle query
La decisione della Commissione merita però attenzione anche per un’altra ragione, forse più sostanziale in quanto sistemica. Essa infatti introduce una nuova forma di relativizzazione del concetto di dato personale che si sovrappone a quella già avanzata dalla Corte nella celebre sentenza SRB.
Dati personali diversi per sender e recipient
Secondo la Corte, infatti, è possibile che un dato, o un set di dati che sono personali nelle mani di un soggetto non lo siano nelle mani di un altro che non disponga dei mezzi per l’identificazione.
Ciò implica che se un soggetto A (sender) condivide con un soggetto B (recipient) un insieme di dati D, frutto di una trasformazione di dati personali per A, può ben darsi il caso che questo insieme, visto con gli occhi di B, abbia al suo interno due distinti sottoinsiemi D1 e D2 in cui l’insieme D1 è personale anche per B, ma non l’insieme D2.
Questa situazione, se ben congegnata e realizzata, non determina tuttavia un affievolimento delle tutele, dal momento che per il sottoinsieme di dati personali D1 si applicano per intero le tutele previste dal GDPR, mentre per il sottoinsieme D2 valgono le tutele realizzate dall’applicazione delle tecniche di anonimizzazione[4].
Se questa forma di anonimizzazione relativa del dataset dovesse essere insufficiente e mantenere presso B una ragionevole possibilità di identificazione dei soggetti a cui i dati relativi al sottoinsieme D2 si riferiscono, per il recipient si aprirebbero diverse possibilità ugualmente lecite: ovviamente, rinunciare al trattamento di D2, ma anche applicare tecniche di anonimizzazione più efficaci, o ancora riportare il trattamento di D2 all’interno dell’alveo del GDPR considerandolo un trattamento di dati personali.
Quando le query di Google restano dati personali
Per il trasferimento di dati da Google verso gli altri motori di ricerca lo scenario cambia e, seppure apparentemente vi sia una assimilazione di schema con il caso SRB per la presenza di un soggetto che trasmette dati anonimizzati e uno che li riceve, il prodotto della trasformazione operata da Google secondo le misure individuate dalla Commissione è ben diverso dal prodotto della anonimizzazione relativa indicato dalla sentenza SRB.
Esso è infatti un blocco unico di dati, nel quale è praticamente impossibile scindere la componente D1 di dati che restano personali, in quanto la query rilasciata consente con sforzo ragionevole l’identificazione del suo estensore, dalla componente D2 di dati effettivamente anonimi per il recipient.
Il costo-opportunità della protezione dei dati
Questa situazione apre una breccia nel concetto di protezione del dato come diritto della persona su cui è opportuna una riflessione di carattere generale.
Anche se la proporzione di soggetti a cui si riferiscono i dati D1 fosse (come in effetti è) molto piccola all’esito dell’applicazione delle misure individuate dalla Commissione, si tratta di persone reali a cui è sottratta ogni scelta e ogni tutela: essi infatti non possono opporsi al trasferimento delle loro query a un soggetto diverso da Google, che è effettuato “in blocco” su un presupposto di anonimizzazione generale, e se una identificazione ha luogo nelle mani di questo soggetto terzo non esistono rimedi esperibili, salvo la realizzazione di un insieme di misure organizzative, complementari rispetto alle misure tecniche, che dovrebbero garantire un vincolo “comportamentale” sulla condotta del soggetto che riceve i dati.
Detto in altri termini, mentre anche nella sentenza SRB la protezione del dato è un diritto riconosciuto a tutti, che può però avere diverse declinazioni (giuridiche per i soggetti del dataset personali D1 e tecniche “di esclusione” dal novero dei dati personali per i soggetti del dataset anonimo D2), con la realizzazione delle misure per l’applicazione dell’art 6(11) la protezione del dato diventa un costo-opportunità, cioè assume una connotazione economica.
Ogni dato è un oggetto che viaggia e che porta con sé una certa probabilità di identificazione. Giunto a destinazione, per ogni dato viene “lanciata la moneta” e se essa mostra la faccia di dato personale, anche se il blocco di dati era considerato anonimo, allora vi è una identificazione e l’esercizio del diritto è sottratto, mentre se mostra la faccia di dato anonimo ciò non reca pregiudizi all’utente.
Sarebbe un precedente applicabile ad altri contesti nei quali questa disparità potrebbe eventualmente tradursi in una forma di discriminazione verso la minoranza dei soggetti esposti.
Se l’anonimizzazione diventa (come ben si presta a essere) uno strumento di randomizzazione del dato personale, che genera una esposizione e dunque un costo e un beneficio probabilistico, allora questi costi e questi benefici devono essere ben quantificati e, se accettati in ragione di un superiore interesse, correttamente allocati.
Il costo dell’incertezza nelle query anonimizzate
Il meccanismo di apertura del mercato ideato dalla Commissione Europea si regge su un insieme di pur valide misure di anonimizzazione, che però non sono perfette (né potrebbero esserlo) e che introducono un’incertezza probabilistica sulla natura del dato, lasciando sempre un margine di identificazione possibile per una parte dei soggetti rappresentati nel dataset.
Se un caso di identificazione avviene, in definitiva, è il soggetto identificato (una persona reale) a pagare con la propria esposizione il costo dell’incertezza.
Una situazione che se osservata attraverso la lente della tutela di un diritto fondamentale genera qualche perplessità, perché declina il concetto di relatività della natura del dato in termini di disuguaglianze di risultato (taluni godono del diritto, altri no), e che se osservata attraverso la lente dell’analisi economica fornisce un risultato aberrante, giacché viene allocato un costo a un soggetto (l’interessato) che invece dovrebbe essere più correttamente tutelato e “remunerato”, latu sensu, per il rischio a cui va incontro.
Questa cornice di gestione del rischio, che non parla il linguaggio della tutela di un diritto fondamentale ma quello della valutazione economico-finanziaria di un costo-opportunità individuale e collettivo, manca del tutto nelle valutazioni della Commissione.
Query Google e rischio di identificazione degli utenti
Infine un’ultima considerazione. Provare a individuare analiticamente la quota di soggetti esposti a un rischio di identificazione a partire dalle caratteristiche delle misure definite dalla Commissione è un esercizio molto difficile.
Eppure questo parametro è un elemento essenziale di fiducia nell’azione del regolatore. Esso indica la quantità di utenti che con la loro esposizione sosterranno il vero costo della condivisione dei dati. Questa quota deve essere indicata dalla Commissione. Fa parte della responsabilità del regolatore.
Non si può unicamente enunciare delle misure, spiegandone anche la ratio, e non indicare in via preventiva le prestazioni che ci si attende da tali misure.
Il numero di persone che sono esposte a rischi di identificazione dipende da questo parametro e dalla quantità di query richieste dagli utenti di Google. Poiché il numero di query degli utenti di Google è nell’ordine delle migliaia di miliardi su base annua (1012 query), ciò significa che anche se la quota di utenti esposti fosse molto bassa (come è lecito attendersi), il numero complessivo di utenti reali identificati potrebbe essere di assoluto rilievo.
Questo aspetto non può essere sottaciuto e questi utenti identificati non possono essere abbandonati al loro destino.
Una governance per l’anonimizzazione delle query di Google
L’anonimizzazione è una forma di randomizzazione sulla natura di un dato, lo rende una moneta probabilistica. Limitare la probabilità che esca testa, cioè dato personale etichettato come anonimo con conseguente assenza del diritto, è il perno dell’azione di regolamentazione del mercato.
Tale probabilità non deve soltanto essere dichiarata, ma anche verificata (ad esempio, fornendo i medesimi dati alla comunità accademica per ogni possibile esperimento “neutrale” di identificazione).
Siamo tutti consapevoli che nel riuso del dato è racchiuso un grande valore economico e che una governance dei dati è necessaria per offrire reali prospettive di sviluppo[5], ma questa deve passare per una multilateralità che affronti compiutamente tanto i temi dei diritti fondamentali quanto quelli più economici legati alla valutazione e, se del caso, all’accettazione ragionata dei rischi e all’allocazione dei costi e benefici attesi, che non si è certi che l’attuale approccio della Commissione abbia debitamente intrapreso.
I contenuti di questo articolo esprimono esclusivamente il punto di vista personale dell’autore.
Note
[1] https://ec.europa.eu/competition/digital_markets_act/cases/202637/DMA_100209_2799.pdf ↩
[2] https://www.agendadigitale.eu/sicurezza/privacy/il-dma-vuole-aprire-i-dati-ma-lanonimizzazione-resta-il-nodo-centrale/ ↩
[3] Cfr. supra, nota 2 ↩
[4] Sulle condizioni che devono verificarsi affinché un dataset personale per un sender possa essere considerato relativamente anonimo per un recipient, sia consentito rinviare a G. D’Acquisto, F. Ricciato, Relativizing the Notion of Personal Data: A Proposed Framework for Data Sharing, Privacy Technologies and Policy 14th Annual Privacy Forum, APF 2026, Salzburg, Austria, September 9–10, 2026, pages 135-153, https://link.springer.com/book/10.1007/978-3-032-35899-8 ↩
[5] B. Moens and H. Foy, EU resists Mario Draghi’s competitiveness cures, The Financial Times, Sep. 9th 2026, https://www.ft.com/content/4dde2b92-eadb-41e3-9fad-c9bf0636010a?syn-25a6b1a6=1 ↩
Partecipa alla community