Una richiesta di finanziamento respinta in pochi secondi, una candidatura scartata prima che qualcuno l'abbia letta, un premio assicurativo calcolato da un modello statistico. Sempre più decisioni che incidono sulla vita delle persone vengono prese, in tutto o in parte, da sistemi automatici. Il GDPR non le vieta in assoluto, ma pone limiti precisi e ti dà strumenti per non essere soltanto l'oggetto di un calcolo.
Due concetti da distinguere
Profilazione
L'articolo 4, punto 4, del Regolamento (UE) 2016/679 definisce la profilazione come qualsiasi forma di trattamento automatizzato che utilizza dati personali per valutare aspetti personali, in particolare per analizzare o prevedere rendimento professionale, situazione economica, salute, preferenze, interessi, affidabilità, comportamento, ubicazione o spostamenti.
La profilazione in sé è lecita se ha una base giuridica e rispetta i principi del GDPR. Contro la profilazione per marketing puoi sempre opporti, ai sensi dell'articolo 21.
Decisione basata unicamente su un trattamento automatizzato
È qualcosa di più specifico: una decisione presa senza un intervento umano significativo, che produce effetti giuridici che ti riguardano o che incide in modo analogo significativamente sulla tua persona. È questo il caso regolato dall'articolo 22.
| Situazione | Rientra nell'art. 22? |
|---|---|
| Annunci pubblicitari personalizzati in base agli interessi | Di regola no, salvo casi particolarmente invasivi |
| Richiesta di prestito online respinta automaticamente | Sì, se nessuno valuta davvero la pratica |
| Candidature filtrate da un software che esclude chi non supera una soglia | Sì, se l'esclusione è automatica |
| Punteggio calcolato da un sistema e poi esaminato da un analista che può discostarsene | No, se l'intervento umano è reale |
Un intervento umano solo formale, in cui l'operatore si limita a confermare sempre l'esito del sistema, non basta a far uscire la decisione dall'ambito dell'articolo 22.
La regola e le eccezioni
L'articolo 22 stabilisce che hai il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato con quegli effetti. La decisione è ammessa solo se:
- è necessaria per la conclusione o l'esecuzione di un contratto tra te e il titolare;
- è autorizzata dal diritto dell'Unione o dello Stato membro, con misure adeguate a tutela dei tuoi diritti;
- si basa sul tuo consenso esplicito.
Nei casi 1 e 3 il titolare deve garantirti almeno tre tutele:
- il diritto di ottenere l'intervento umano da parte del titolare;
- il diritto di esprimere la tua opinione;
- il diritto di contestare la decisione.
Le decisioni automatizzate basate su categorie particolari di dati, come salute o origine etnica, sono ammesse solo in condizioni ancora più ristrette.
Il diritto di capire
Le decisioni algoritmiche sono difficili da contestare se non sai come sono state prese. Gli articoli 13, 14 e 15 del GDPR prevedono che, in presenza di decisioni automatizzate, tu riceva informazioni significative sulla logica utilizzata, nonché sull'importanza e sulle conseguenze previste del trattamento.
Non significa ottenere il codice sorgente dell'algoritmo, ma una spiegazione comprensibile: quali fattori sono stati considerati, quale peso hanno avuto in generale, che cosa avrebbe potuto cambiare l'esito.
Il caso del punteggio di credito
La Corte di giustizia dell'Unione europea, nella causa C-634/21 (SCHUFA), ha affermato che il calcolo automatizzato di un punteggio di affidabilità creditizia da parte di una società specializzata costituisce una decisione automatizzata ai sensi dell'articolo 22 quando quel punteggio ha un ruolo determinante nella decisione di un terzo, come una banca, di concludere o meno un contratto. È un principio rilevante perché impedisce di aggirare le tutele separando chi calcola il punteggio da chi lo usa.
Come reagire a una decisione automatizzata
- Chiedi se la decisione è stata automatizzata. Puoi farlo con una richiesta di accesso ai sensi dell'articolo 15.
- Chiedi informazioni sulla logica: quali dati sono stati usati e quali fattori hanno inciso sull'esito.
- Verifica l'esattezza dei dati. Molte decisioni sbagliate dipendono da dati errati: in quel caso puoi chiedere la rettifica dell'articolo 16.
- Chiedi l'intervento umano e presenta il tuo punto di vista, allegando eventuali documenti, per esempio prove di reddito aggiornate.
- Contesta formalmente la decisione e, se non ricevi risposta adeguata, proponi reclamo al Garante per la protezione dei dati personali.
Un esempio concreto
Chiedi online un finanziamento per l'acquisto di un elettrodomestico e ricevi un rifiuto immediato. Con una richiesta di accesso scopri che il sistema ha considerato un vecchio ritardo di pagamento, in realtà già regolarizzato. Chiedi la rettifica del dato e un riesame da parte di un operatore, allegando la quietanza. Il riesame umano, basato su dati corretti, può portare a un esito diverso.
In sintesi
- La profilazione valuta aspetti personali; la decisione automatizzata dell'art. 22 produce effetti giuridici o significativi senza intervento umano reale.
- Le decisioni unicamente automatizzate sono ammesse solo per contratto, per legge o con consenso esplicito.
- Hai diritto all'intervento umano, a esprimere la tua opinione e a contestare la decisione.
- Puoi ottenere informazioni significative sulla logica utilizzata.
- Verifica sempre l'esattezza dei dati usati: spesso l'errore nasce lì.