Comprendere l’effettiva portata del diritto alla privacy e, in particolare, il diritto dell’interessato a conoscere la logica sottesa ai trattamenti automatizzati, rappresenta una delle questioni più complesse ed enigmatiche nell’attuale contesto regolamentare.

L’operatività di questo diritto, soprattutto quando il trattamento si traduce in un processo decisionale completamente automatizzato, come la profilazione per la valutazione della solvibilità, pone interrogativi interpretativi e pratici di non facile soluzione.

La questione riguarda sia il GDPR che l’AI Act: se i sistemi di IA usano dati personali, occorre rispettare gli articoli 15 e 22 del GDPR oltre alle regole dell’AI Act.

Per questo risulta particolarmente utile esaminare la sentenza della Corte di giustizia dell’Unione europea (CGUE) (Prima Sezione, 27 febbraio 2025, C-203/22), che si confronta in modo diretto con queste problematiche e fornisce preziose indicazioni sull’applicazione concreta dell’articolo 15, paragrafo 1, lettera h), del GDPR.

Interrogativi

La domanda pregiudiziale ha sollevato alcuni importanti interrogativi, in particolare:

• Qual è il contenuto e la portata delle “informazioni significative sulla logica utilizzata” che un titolare del trattamento deve fornire all’interessato in caso di processo decisionale automatizzato, come la profilazione per la solvibilità?
• Il diritto di accesso garantisce all’interessato la possibilità di verificare la correttezza e la veridicità delle informazioni fornite sulla logica di profilazione?
• Come deve essere risolto il conflitto tra il diritto di accesso dell’interessato e la protezione dei dati di terzi o dei segreti commerciali, anche alla luce della direttiva (UE) 2016/943 che tutela i segreti commerciali?
• È compatibile con il GDPR una normativa nazionale che limita in via generale il diritto di accesso in presenza di un segreto commerciale o aziendale?

Fatto e Contesto della Controversia

La controversia nasce dal rifiuto di un operatore di telefonia mobile di concedere un contratto a CK, basato su una valutazione automatizzata (scoring) della solvibilità effettuata dalla Dun & Bradstreet Austria GmbH (D&B).

A seguito dell’esercizio del diritto di accesso, D&B aveva comunicato a CK uno “score” (pronostico sulla probabilità della sua condotta futura), precisando che per ottenerlo erano stati “aggregati in modo equivalente” alcuni dati socio-demografici di CK.

Non soddisfatta del riscontro, CK si è rivolta all’autorità austriaca per la protezione dei dati la quale ha ingiunto a D&B di fornire a CK informazioni significative sulla logica utilizzata nel processo decisionale automatizzato sulla sua solvibilità finanziaria, basato sui dati personali di CK. Cioè, che fossero fornite spiegazioni sufficienti a CK per comprendere come fosse stato stabilito tale “score”.

D&B ha contestato il provvedimento dell’autorità, invocando la protezione di un segreto commerciale e promuovendo ricorso dinanzi alla Corte amministrativa federale austriaca (Bundesverwaltungsgericht).

La Corte ha respinto il ricorso di D&B stabilendo che essa aveva violato l’Articolo 15, paragrafo 1, lettera h), del GDPR, non fornendo spiegazioni sufficienti su come fosse stato determinato il punteggio creditizio (“score”). Secondo il giudice, D&B avrebbe dovuto fornire, come informazioni minime:

• i dati personali di CK trattati nella costituzione di un “fattore” (data di nascita, indirizzo, sesso, ecc.);
• la formula matematica alla base del calcolo che ha portato allo «score» controverso;
• il valore concreto attribuito a CK per ciascun fattore pertinente
• la precisazione degli intervalli entro i quali lo stesso valore è attribuito a dati diversi per lo stesso fattore.

Inoltre, si è scoperto che le informazioni di D & B erano inesatte: sebbene CK risultasse altamente solvibile secondo lo “score” comunicato, la profilazione reale indicava che non era ritenuta in grado di sostenere nemmeno un pagamento mensile di dieci euro per un contratto telefonico.

Nonostante la decisione fosse esecutiva, la domanda di esecuzione forzata di CK è stata inizialmente respinta dall’autorità amministrativa competente con la motivazione che D&B aveva sufficientemente adempiuto all’obbligo di informazione, inducendo CK a ricorrere al Tribunale amministrativo di Vienna (Verwaltungsgericht Wien), per ottenere l’esecuzione forzata della decisione.

Il giudice chiede alla CGUE, in via pregiudiziale:

• se il diritto dell’interessato di conoscere la logica sottostante al processo decisionale automatizzato includa anche la possibilità di verificare la correttezza delle informazioni fornite dal titolare del trattamento
• se, in presenza di un segreto commerciale, e in che misura questo possa limitare il diritto di accesso
• se sia possibile comunicare esclusivamente all’autorità o al giudice adito le informazioni classificate come «segreti commerciali», ai sensi della direttiva 2016/943, affinché costoro possano verificare autonomamente l’esistenza di effettivi segreti commerciali e controllare la veridicità delle informazioni fornite dal titolare del trattamento.

Continua…