Pokémon Go e la mappa del mondo, cosa non torna sul consenso che abbiamo dato.

Nell’estate del 2016, milioni di persone percorsero strade, attraversarono parchi, entrarono in negozi con il telefono puntato verso il mondo, cercavano Pokémon.

Quello che stavano costruendo, senza saperlo, era qualcosa di assai più duraturo di una collezione di mostri digitali: una mappa pedonale del mondo fisico, ad altissima precisione, costruita su scala planetaria attraverso la partecipazione volontaria e inconsapevole di centinaia di milioni di persone.

Nel marzo 2026, Niantic Spatial, la società derivata da Niantic, creatrice di Pokémon Go, ha reso pubblica la dimensione di quell’operazione: oltre trenta miliardi di immagini georeferenziate, raccolte in dieci anni attraverso il gioco e le applicazioni collegate, confluite in un Large Geospatial Model che alimenta oggi sistemi di navigazione per robot di consegna, occhiali in realtà aumentata e veicoli autonomi.

Il meccanismo di raccolta era il gioco; il prodotto che quella raccolta rendeva possibile era l’infrastruttura.

Questo denota un limite strutturale del modo in cui il diritto europeo concepisce il consenso e la protezione dei dati, che il caso Pokémon Go porta in superficie con una nitidezza difficile da ignorare.

---

Quando il consenso descrive qualcosa che non esiste ancora

Il Regolamento europeo sulla protezione dei dati costruisce il consenso su quattro requisiti fondamentali: deve essere libero, specifico, informato e inequivocabile.

Il requisito che più pesa in questo contesto è la specificità, perché presuppone che la finalità del trattamento sia determinata al momento della raccolta, o almeno determinabile con ragionevole precisione, senza che sia possibile raccogliere dati per uno scopo generico e usarli anni dopo per qualcosa di radicalmente diverso senza una nuova base giuridica.

Quando nel 2016 un giocatore accettava le condizioni d’uso di Pokémon Go, le informative descrivevano raccolta di dati di posizione, accesso alla fotocamera, utilizzo per migliorare l’esperienza di gioco e sviluppare tecnologie di realtà aumentata.

Tutto formalmente corretto, nessuna di quelle formulazioni descriveva però, perché non era ancora descrivibile, che quelle immagini sarebbero confluite dieci anni dopo in un modello geospaziale venduto come infrastruttura commerciale a operatori di robotica e logistica autonoma.

La distanza tra la finalità dichiarata e la destinazione effettiva non nasce da una violazione deliberata, ma da un arco temporale e tecnologico che nessuna informativa del 2016 avrebbe potuto coprire in modo sostanziale.

Niantic ha risposto alle polemiche sostenendo che le scansioni erano facoltative e che i dati non erano collegati ai profili dei giocatori.
Entrambe le affermazioni possono essere tecnicamente vere senza risolvere il problema, dal momento che la facoltatività non incide sulla qualità dell’informazione fornita, e l’anonimizzazione dei singoli contributi non neutralizza il valore, né le implicazioni, dell’insieme di dati aggregato.

Un consenso formalmente acquisito su qualcosa che non era ancora conoscibile nella sua forma reale è, nella sostanza, un consenso su qualcosa d’altro.

---

Il dato geospaziale aggregato e il vuoto normativo

Il GDPR presidia male una zona ibrida che il caso Niantic rende concreta.

Il Regolamento è costruito attorno alla protezione del dato personale, inteso come informazione riferita a una persona identificata o identificabile.
Il dato geospaziale aggregato e anonimizzato non è direttamente identificativo della persona che lo ha prodotto, ma non è nemmeno neutro rispetto agli interessi di chi vive e si muove negli spazi mappati.

Una mappa pedonale ad altissima precisione di un quartiere residenziale, costruita attraverso scansioni ripetute in orari e condizioni diverse, non contiene dati personali nel senso tecnico del termine, ma contiene qualcosa di strutturalmente analogo: la geometria degli spazi in cui le persone abitano, lavorano, si incontrano.

Quando quella mappa diventa infrastruttura per sistemi autonomi commerciali, la questione non è più soltanto la tutela del singolo interessato, ma la governance di un bene che ha tutte le caratteristiche dell’infrastruttura pubblica pur essendo detenuto privatamente.

Il diritto alla protezione dei dati, nella sua architettura attuale, lavora su relazioni bilaterali tra titolare e interessato, e su dati riferibili a persone fisiche; non ha strumenti adeguati per raccolte di dati aggregate che producono valore collettivo e incidono su spazi condivisi senza che nessun singolo individuo possa rivendicare un diritto specifico su di essi.

Il danno, in questo schema, non è individuale e quindi non trova un soggetto legittimato a farlo valere con gli strumenti ordinari.

Uno schema che si ripete

Il meccanismo non nasce con Pokémon Go.

Google ha operato con reCAPTCHA per anni presentandolo come verifica antibot, mentre nella sostanza era un sistema di addestramento per il riconoscimento visivo di immagini su scala massiva: milioni di utenti che cliccavano su semafori e strisce pedonali etichettavano insiemi di dati per la visione artificiale, con un volume stimato di ore di lavoro nell’ordine delle centinaia di milioni.

I sistemi di moderazione dei contenuti sulle piattaforme social hanno usato le decisioni degli utenti come segnale di addestramento per classificatori automatici.

In tutti questi casi, un servizio percepito come utile o necessario, erogato gratuitamente o a costo marginale, produceva come effetto principale una raccolta di dati di valore economico certificabile.

La differenza con Pokémon Go è che qui la raccolta di dati non era un sottoprodotto ma l’obiettivo progettuale, con il gioco come meccanismo di incentivazione costruito per massimizzare la copertura geografica e la densità del campionamento.

Niantic non ha scoperto a posteriori di avere in mano qualcosa di prezioso: lo stava costruendo deliberatamente, con un’architettura pensata per questo.

Che questa condotta non sia necessariamente illecita non esaurisce il problema, perché un modello in cui il valore economico principale di un servizio non è il servizio dichiarato ma la raccolta di dati che quel servizio produce lascia senza risposta adeguata sia la questione dell’informativa sia quella della distribuzione del valore verso chi lo ha generato senza comprenderlo.

---

Cosa manca nel quadro normativo europeo

Il mercato si muove in una direzione che la regolazione non ha ancora imparato a “cartografare”, e nel caso specifico, l’ironia è del tutto letterale.

A livello accademico e politico europeo circolano alcune proposte: registri pubblici obbligatori per chi gestisce raccolte di dati geospaziali su scala urbana, con indicazione della copertura e dei clienti commerciali; meccanismi di consultazione civica sulle aree oggetto di mappatura intensiva; standard di trasparenza analoghi a quelli previsti per le infrastrutture critiche.

Nessuna ha ancora trovato una traduzione normativa compiuta, né a livello nazionale né europeo.

La distanza tra mercato e regolazione, in questo campo, non è soltanto questione di velocità, ma di categoria: il mercato opera su raccolte di dati aggregate e su archi temporali lunghi, mentre la regolazione è costruita per tutelare individui in relazione a trattamenti determinati.

Finché quella asimmetria non viene affrontata in modo esplicito, casi come Pokémon Go rimarranno giuridicamente opachi non perché qualcuno abbia violato le regole, ma perché le regole sono state scritte per un problema diverso.

---

Una finzione ben intenzionata

Il consenso informato regge come strumento giuridico finché chi firma riesce a immaginare, in quel momento, le conseguenze di quello che sta autorizzando.

Quando la distanza temporale e tecnologica tra il momento del consenso e il momento dell’utilizzo diventa abbastanza ampia, quella possibilità di immaginazione viene meno, e ciò che resta è una forma giuridicamente ineccepibile ma sostanzialmente vuota.

Pokémon Go ha prodotto trenta miliardi di immagini georeferenziate, nessuno le ha scattate consapevolmente come contributo a un’infrastruttura geospaziale commerciale, le ha prodotte una moltitudine di persone convinte di fare tutt’altro, attraverso un meccanismo progettato con precisione per ottenere esattamente quel risultato.

Ricostruire per intero quella storia e misurarne le conseguenze concrete sul modo in cui i dati vengono raccolti e valorizzati, è il passo necessario per capire di cosa stiamo davvero parlando.