Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 wp251rev en

estimated reading time: 89 min GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI


Il Gruppo di lavoro è stato istituito in virtù dell’articolo 29 della direttiva 95/46/CE. È l’organo consultivo indipendente dell’UE per
la protezione dei Dati personali e della vita privata. I suoi compiti sono fissati all’articolo 30 della direttiva 95/46/CE e all’articolo
15 della direttiva 2002/58/CE.
Le funzioni di segreteria sono espletate dalla direzione C (Diritti fondamentali e Stato di diritto) della Co mmissione europea,
direzione generale Giustizia e consumatori, B -1049 Bruxelles, Belgio, ufficio MO -59 05/35.
Sito web: http://ec.europa.eu/justice/data- protection/index_en.htm


17/IT
WP 251 rev.01







Linee guida sul Processo decisionale automatizzato relativo alle persone fisiche
e sulla Profilazione
ai fini del regolamento 2016/679


adottate il 3 ottobre 2017
Versione emendata e adottata in data 6 febbraio 2018

2



IL GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL

TRATTAMENTO DEI Dati personali

istituito ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995,

visti gli articoli 29 e 30 della stessa,

visto il suo regolamento interno,

HA ADOTTATO LE PRESENTI LINEE GUIDA:

3


INDICE

I.
INTRODUZIONE ........................................................................................................................................ 5
II. DEFINIZIONI ............................................................................................................................................. 6
A. PROFILAZIONE ............................................................................................................................................ 7
B. PROCESSO DECISIONALE AUTOMATIZZATO ....................................................................................................... 8
C. APPROCCIO DEL REGOLAMENTO A QUESTI CONCETTI .......................................................................................... 9
III. DISPOSIZIONI GENERALI SULLA Profilazione E SUL PROCESSO DECISI ONALE AUTOMATIZZATO ........ 10
A. PRINCIPI IN MATERIA D I PROTEZIONE DEI DAT I ................................................................................................. 10
1. Articolo 5, paragrafo 1, lettera a) - liceità, correttezza e trasparenza ................................................ 10
2. Articolo 5, paragrafo 1, lettera b) - ulteriore Trattamento e limitazione della finalità ........................ 12
3. Articolo 5, paragrafo 1, lettera c) - min imizzazione dei dati ................................................................ 12
4. Articolo 5, paragrafo 1, lettera d) - esattezza ...................................................................................... 13
5. Articolo 5, paragrafo 1, lettera e) - limitazione della conservazione ................................................... 13
B. BASI LEGITTIME PER IL TRATTAMENTO ........................................................................................................... 14
1. Articolo 6, paragrafo 1, lettera a) - Consenso ...................................................................................... 14
2. Articolo 6, paragrafo 1, lettera b) – necessario all’esecuzione di un contratto ................................... 14
3. Articolo 6, paragrafo 1, lettera c) – necessario per adempiere un obbligo legale ............................... 15
4. Articolo 6, paragrafo 1, lettera d) – necessario per la salvaguardia di interessi vitali ........................ 15
5. Articolo 6, paragrafo 1, lettera e) – necessario per l’esecuzione di un compito di interesse pubblico o
connesso all’esercizio di pubblici poteri ........................................................................................................ 15

6. Articolo 6, paragrafo 1, lettera f) – necessario per il perseguimento del legittimo interesse del Titolare
del Trattamento o di terzi ............................................................................................................................. 16

C. ARTICOLO 9 – CATEGORIE PARTICOLA RI DI DATI .............................................................................................. 16
D. DIRITTI DELL ’INTERESSATO .......................................................................................................................... 17
1. Articoli 13 e 14 – diritto di essere informato ....................................................................................... 18
2. Articolo 15 – diritto di accesso ............................................................................................................. 19
3. Articolo 16 – diritto di rettifica; articolo 17 – diritto alla cancellazione; articolo 18 – diritto di
limitazione di Trattamento ........................................................................................................................... 19

4. Articolo 21 – diritto di opposizione ...................................................................................................... 20
IV. DISPOSIZIONI SPECIFICHE RELATIVE A DECIS IONI BASATE UNICAMEN TE SUL Trattamento
AUTOMATIZZATO DI CUI ALL’ARTICOLO 22 .................................................................................................... 21

A. “D ECISIONE BASATA UNICAMENTE SUL TRATTAMEN TO AUTOMATIZZATO ” ............................................................ 23
B. EFFETTI “GIURIDICI ” O “IN MODO ANALOGO SIGNIFICATIVI ” .............................................................................. 23
C. ECCEZIONI AL DIVIETO ................................................................................................................................ 25
1. Esecuzione di un contratto ................................................................................................................... 26

4

2. Autorizzato dal diritto dell’Unione o dello Stato membro ................................................................... 26
3. Consenso esplicito ................................................................................................................................ 27
D. CATEGORIE PARTICOLARI DI Dati personali – ARTICOLO 22, PARAGRAFO 4 ......................................................... 27
E. DIRITTI DELL ’INTERESSATO .......................................................................................................................... 27
1. Articolo 13, paragrafo 2, lettera f), e articolo 14, paragrafo 2, lettera g) - diritto di essere informato ..
............................................................................................................................................................. 27

2. Articolo 15, paragrafo 1, lettera h) - diritto di accesso ........................................................................ 30
F. STABILIRE GARANZIE ADEGUATE ................................................................................................................... 30
V. MINORI E Profilazione ....................................................................................................................... 31
VI. VALUTAZIONI D’IMPATTO SULLA PROTEZIONE DEI DATI E Responsabile DELLA PROTEZIONE DEI DATI ..
.............................................................................................................................................................. 33

ALLEGATO 1 - RACCOMA NDAZIONI SULLE BUONE PRASSI ............................................................................. 35
ALLEGATO 2 – PRINCIP ALI DISPOSIZIONI DEL REGOLAMENTO ....................................................................... 37
PRINCIPALI DISPOSIZIONI DEL REGOLAMENTO C HE FANNO RIFERIMENTO ALLA PROFILA ZIONE E AL PROCESSO DECISIONALE
AUTOMATIZZATO IN GENERALE
................................................................................................................................. 37
PRINCIPALI DISPOSIZIO NI DEL REGOLAMENTO C HE FANNO RIFERIMENTO AL PROCESSO DECISIO NALE AUTOMATIZZATO D I CUI
ALL
’ARTICOLO 22 ................................................................................................................................................... 39
ALLEGATO 3 - APPROFO NDIMENTI ................................................................................................................. 41

5

I. Introduzione

Il regolamento generale sulla protezione dei dati tratta in maniera specifica la Profilazione e il processo
decisionale automatizzato relativo alle persone fisiche, compresa la profilazione 1.

La Profilazione e il Processo decisionale automatizzato sono utilizzati in un numero crescente di
settori, tanto privati quanto pubblici. Banche e finanza, assistenza sanitaria, fiscalità, assicurazioni,
marketing e Pubblicità sono soltanto alcuni esempi dei settori nei quali la Profilazione viene effettuata
con maggiore regolarità a sostegno del processo decisionale.

I progressi tecnologici e le capacità in materia di analisi dei megadati ( big data), intelligenza artificiale
e apprendimento automatico hanno reso più facile la creazione di profili e l ’adozione di decisioni
automati zzate, con potenziali ripercussioni significative sui diritti e sulle libertà delle persone fisiche.

La diffusa disponibilità di Dati personali su Internet e di quelli ricavabili dai dispositivi di Internet
delle cose, associata alla capacità di trovare correlazioni e creare collegamenti, può consentire la
determinazione, l ’analisi e la previsione di aspetti della personalità, del comportamento, degli interessi
e delle abitudini di una persona.

La Profilazione e il Processo decisionale automatizzato possono essere utili per le persone fisiche e le
organizzazioni, offrendo loro vantaggi quali:

• miglioramenti dell ’efficienza;
• risparmi di risorse.

Presentano inoltre numerose applicazioni commerciali: ad esempio, possono essere utilizzati per
segmentare meglio i mercati e personalizzare i servizi e i prodotti allineandoli alle singole esigenze.
Anche la medicina, l ’istruzione, l ’assistenza sanitaria e i trasporti possono beneficiare di questi
processi.

Tuttavia, la Profilazione e il Processo decisionale automatizzato possono comportare rischi
significativi per i diritti e le libertà delle persone fisiche, che richiedono garanzie adeguate.

Questi processi possono essere poco trasparenti. Le persone fisiche potrebbero non sapere di essere
profilate o non comprenderne le conseguenze.
1 Regolamento (UE) 2016/ 679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla
protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di
tali dati e che abroga la direttiva 95/ 46/CE. La Profilazione e il Processo decisionale automatizzato relativo alle
persone fisiche sono disciplinati anche dalla direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del
27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al Trattamento dei Dati personali da
parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o
esecuzione di sanzioni penali, nonché alla libera ci rcolazione di tali dati. Sebbene si concentrino sulla
profilazione e sul Processo decisionale automatizzato relativo alle persone fisiche ai sensi del regolamento
generale sulla protezione dei dati, le presenti linee guida sono rilevanti anche per quanto r iguarda le disposizioni
analoghe su questi due temi contenute nella direttiva 2016/ 680. Le caratteristiche specifiche della Profilazione e
del Processo decisionale automatizzato relativo alle persone fisiche ai sensi della direttiva 2016/ 680 sono
analizzat e nel parere WP 258 “Opinion on some key issues of the Law Enforcement Directive (EU 2016/ 680)”
[Parere su alcune questioni chiave della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie],
adottato dal Gruppo di lavoro il 29 novembre 2017, che tratta tali aspetti alle pagine 11- 14. Tale parere è
disponibile (in inglese) all’indirizzo: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_ id=610178

6


La Profilazione può perpetuare stereotipi e la segregazione sociale. Può anche confinare una persona in
una categoria specifica e limitarla alle preferenze suggerite per tale categoria. Ciò può min are la libertà
delle persone di scegliere, ad esempio, determinati prodotti o servizi quali libri, musica o newsfeed . In
taluni casi, la Profilazione può portare a previsioni imprecise, in altri al diniego di servizi e beni e a
discriminazioni ingiustificate.

Il regolamento introduce nuove disposizioni per far fronte ai rischi derivanti dalla Profilazione e dal
processo decisionale automatizzato, in particolare, ma non solo, in relazione alla tutela della vita
privata. Le presenti linee guida mirano a chiarire tali disposizioni.

Il presente documento tratta i seguenti temi:

• definizioni di Profilazione e Processo decisionale automatizzato e approccio del regolamento a
tali aspetti in generale – capitolo II
;
• disposizioni generali sulla Profilazione e sul Processo decisionale automatizzato – capitolo III ;
• disposizioni specifiche sulle decisioni basate unicamente sul Trattamento automatizzato di cui
all ’articolo 22 - capitolo IV
;
• min ori e Profilazione – capitolo V ;
• valutazioni d ’impatto sulla protezione dei dati e responsabili della protezione dei dati –
capitolo VI
.

Gli allegati contengono alcune raccomandazioni sulle migliori prassi, basate sull ’esperienza
accumulata negli Stati membri.

Il Gruppo di lavoro articolo 29 per la protezione dei dati (Gruppo di lavoro) monitorerà l ’attuazione
delle presenti linee guida e provvederà alle integrazioni che si riveleranno opportune.

II. Definizioni
Il regolamento introduce disposizioni per garantire che la Profilazione e il processo decisionale
automatizzato relativo alle persone fisiche (comprensivo o meno di profilazione) non siano utilizzati in
maniera tale da avere un impatto ingiustificato sui diritti delle persone. Esso prevede ad esempio:

• requisiti specifici di trasparenza e correttezza;
• maggiori obblighi in termini di responsabilizzazione;
• basi giuridiche specifiche per il trattamento;
• il diritto delle persone fisiche di opporsi alla profilazione, segnatamente alla Profilazione per
finalità di marketing;
• qualora siano soddisfatte determinate condizioni, la necessità di effettuare una valutazi one
d’ impatto sulla protezione dei dati.

Il regolamento non si concentra soltanto sulle decisioni prese a seguito di un Trattamento automatizzato
o della profilazione. Si applica anche alla raccolta di dati per la creazione di profili e all ’applicazione
di tali profili alle persone fisiche.

7

A. Profilazione

Il regolamento definisce la Profilazione all ’articolo 4, punto 4, come:

qualsiasi forma di Trattamento automatizzato di Dati personali consistente nell ’utilizzo di tali dati
personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per
analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la
salute, le preferenze personali, gli interessi, l ’affidabilità, il comportam ento, l’ubicazione o gli
spostamenti di detta persona fisica.
La Profilazione è costituita da tre elementi:

• deve essere una forma di Trattamento automatizzato ;
• deve essere effettuata su Dati personali ;
• il suo obiettivo deve essere quello di valutare aspe tti personali relativi a una persona fisica.

L ’articolo 4, punto 4, fa riferimento a “qualsiasi forma d i Trattamento automatizzato” e non al
trattamento “ unicamente” automatizzato (di cui all ’articolo 22). La Profilazione deve implicare una
qualche forma di Trattamento automatizzato, sebbene il coinvolgimento umano non comporti
necessariamente l ’esclusione dell ’attività dalla definizione.

La Profilazione è una procedura che può implicare una serie di deduzioni statistiche. Spesso viene
impiegata per effet tuare previsioni su persone usando dati provenienti da varie fonti per dedurre
qualcosa su una persona in base alle qualità di altre persone che sembrano statisticamente simili.

Il regolamento afferma che la Profilazione è il Trattamento automatizzato di Dati personali per valutare
determinati aspetti personali, in particolare per analizzare o prevedere aspett i riguardanti persone
fisiche. L ’uso del verbo “valutare ” suggerisce che la Profilazione implichi una qualche forma di
valutazione o giudizio in mer ito a una persona.

La semplice classificazione di persone basata su caratteristiche note quali età, sesso e altezza non
determina necessariamente una profilazione. Quest ’ultima dipende infatti dalla finalità della
classificazione.
Ad esempio, un’ azienda potrebbe voler classificare i propri clienti in base all ’età o al sesso per finalità
statistiche e per acquisire una panoramica aggregata dei propri clienti senza effettuare previsioni o
trarre conclusioni in merito a una persona specifica. In questo caso , la finalità non è la valutazione
delle caratteristiche individuali e quindi non si tratta di profilazione.

Il regolamento si ispira alla definizione di Profilazione di cui alla raccomandazione CM/Rec (2010)13
2
del Consiglio d’ Europa ma non la riprende tale e quale, infatti la raccomandazione esclude il
trattamento che non include la deduzione. Tuttavia, la raccomandazione spiega in maniera utile che la
profilazione può comportare tre fasi distinte:

• raccolta dei dati;
• analisi automatizzata per individuare correlazioni;
2 Consiglio d’Europa. La protezione delle persone fisiche con riguardo al Trattamento automatizzato di dati
personali nel contesto di attività di profilazione. Raccomandazione CM/Rec ( 2010)13 e relazione. Consiglio
d’Europa, 23 novembre 2010.
https://www.coe.int/t/dghl/standardsetting/cdcj/CDCJ% 20Recommendations/CMRec(2010)13E_Profiling.pdf
.
Accesso effettuato il 24 aprile 2017;

8

• applicazione della correlazione a una persona fisica per individuare caratteristiche di
comportamento presenti o future.

Il Titolare del Trattamento che effettua la Profilazione dovrà assicurarsi di soddisfare le prescrizioni de l
regolamento in relazione a tutte le fasi di cui sopra.

In generale, la Profilazione consiste nella raccolta di informazioni su una persona (o un gruppo di
persone ) e nella valutazione delle loro caratteristiche o dei loro modelli di comportamento al fine di
includerli in una determinata categoria o gruppo, in particolare per analizzare e/o fare previsioni, ad
esempio, in merito a:

• capacità di eseguire un compito;
• interessi, o
• comportamento probabile.




Esempio

Un intermediario di dati raccoglie dati da diverse fonti pubbliche e private, per conto dei suoi clienti o
per finalità proprie. Raccoglie i dati per sviluppare profili sulle persone e inserirle in segmenti e poi
vende queste informazioni alle imprese che desiderano migliorare l ’orientament o dei loro beni e
servizi. L’intermediario di dati esegue la Profilazione inserendo una persona in una determinata
categoria in base ai suoi interessi.

L’esistenza o meno di un processo decisionale automatizzato, così come definito nell ’articolo 22,
paragrafo 1, dipenderà dalle circostanze.


B. Processo decisionale automatizzato

Il Processo decisionale automatizzato ha una portata diversa da quella della profilazione, a cui può
sovrapporsi parzialmente o da cui può derivare. Il processo d ecisionale esclusivamente automatizzato
consiste nella capacità di prendere decisioni impiegando mezzi tecnologici senza coinvolgimento
umano. Le decisioni automatizzate possono essere basate su qualsiasi tipo di dati, ad esempio:

• dati forniti direttament e dall’interessato (come le risposte a un questionario);
• dati osservati riguardo a una persona (come i dati relativi all ’ubicazione raccolti tramite
un’ applicazione);
• dati derivati o desunti, come un profilo della persona che è già stato creato (ad esempi o un
punteggio sull ’affidabilità creditizia).

Le decisioni automatizzate possono essere prese ricorrendo o meno alla profilazione, la quale a sua
volta può essere svolta senza che vengano prese decisioni automatizzate. Tuttavia, la Profilazione e il
proc esso decisionale automatizzato non sono necessariamente attività separate. Qualcosa che inizia
come un semplice Processo decisionale automatizzato potrebbe diventare un processo basato sulla
profilazione, a seconda delle modalità di utilizzo dei dati.

9

Esempio
Infliggere una multa per eccesso di velocità esclusivamente sulla base delle prove fornite
dall’autovelox è un Processo decisionale automatizzato che non implica necessariamente la
profilazione.
Tuttavia la decisione di infliggere la multa sarebbe basata sulla Profilazione se le abitudini di guida
della persona in questione fossero state monitorate nel tempo e, ad esempio, l ’ammontare della multa
fosse il risultato di una valutazione che coinvolge altri fattori quali l ’eventuale recidiva di eccesso di
velocità o l ’eventuale recente violazione di altre disposizioni del codice della strada.

Le decisioni che non sono unicamente automatizzate potrebbero includere anche la profilazione. Ad
esempio, prima di concedere un mutuo, un istituto bancario può pr endere in considerazione il
punteggio sull ’affidabilità creditizia del mutuatario, associandolo a ulteriori interventi significativi
svolti da esseri umani prima che venga adottata qualsiasi decisione relativa alla persona in questione.
C. Approccio del regol amento a questi concetti

Esistono potenzialmente tre modalità d ’uso della profilazione:

i) Profilazione generale;
ii) processo decisionale basato sulla profilazione;
iii) decisione basata unicamente sul Trattamento automatizzato, compresa la profilazione, che
produce effetti giuridici o incide in modo analogo significativamente sull ’interessato (articolo 22,
paragrafo 1).

La differenza tra i punti ii) e iii) è dimostrata più chiaramente dai due esempi che seguono, nei quali
una persona chiede un prestito online:

• un essere umano decide se accordare il prestito sulla base di un profilo prodotto con mezzi
unicamente automatizzati - punto ii);
• un algoritmo decide se il prestito viene accordato e la decisione viene trasmessa
automaticamente alla persona, senza alcuna previa valutazione significativa da parte di un
essere umano - punto iii).

Il Titolare del Trattamento può svolgere attività di Profilazione e processi decisionali automatizzati
purché s ia in grado di soddisfare tutti i principi e disponga di una base legittima per il trattamento.
Garanzie supplementari e limitazioni si applicano nel caso di decisioni basate unicamente sul
trattamento automatizzato, compresa la profilazione, di cui all ’ar ticolo 22, paragrafo 1.

Il capitolo III delle presenti linee guida spiega le disposizioni del regolamento per tutti i processi
decisionali automatizzati relativi alle persone fisiche e di profilazione. Ciò include i processi
decisionali che non sono unicamente automatizzati.

Il capitolo IV delle presenti linee guida spiega le disposizioni specifiche che si applicano
esclusivamente al Processo decisionale automatizzato relativo alle persone fisiche, compresa la
profilazione
3. Esiste un divieto g enerale relativamente a questo tipo di Trattamento al fine di riflettere i
potenziali rischi per i diritti e le libertà delle persone fisiche.

3 Come stabilito all’articolo 22 , paragrafo 1, del regolamento generale sulla protezione dei dati.

10


III. Disposizioni generali sulla Profilazione e sul
processo decisionale automatizzato
La presente panoramica delle disposizioni si applica a tutte le profilazioni e a tutti i processi
decisionali automatizzati. Qualora il Trattamento soddisfi la definizione di cui all’ articolo 22,
paragrafo 1, si applicano le disposizioni specifiche supplementari di cui al capitolo IV.
A. Principi in materia di protezione dei dati
I principi in materia di protezione dei dati sono pertinenti per tutte le attività di Profilazione e tutti i
processi decisionali automatizzati che comportano l ’uso di dati personali 4. Al fine di agevolare il
rispetto delle norme, il Titolare del Trattamento dovrebbe considerare i seguenti elementi fondamentali:
1. Articolo 5, paragrafo 1, lettera a) - liceità, correttezza e trasparenza
La trasparenza del trattamento 5 è una prescrizione fondamentale sancita dal regolamento.
Spesso il processo di Profilazione è invisibile all ’interessato. Funziona creando dati derivati o desunti
in merito a persone fisiche, ossia Dati personali “nuovi ” che non sono stati forniti diretta mente dagli
interessati. Le persone fisiche hanno gradi diversi di comprensione e per alcune potrebbe essere
difficile comprendere le complesse tecniche coinvolte nella Profilazione e nei processi decisionali
automatizzati.
Ai sensi dell ’articolo 12, para grafo 1, il Titolare del Trattamento deve fornire agli interessati
informazioni concise, trasparenti, intelligibili e facilmente accessibili sul Trattamento dei loro dati
personali
6.

Per i dati raccolti direttamente dall ’interessato, tali informazioni devono essere fornite al momento
della raccolta (articolo 13); per i dati ottenuti indirettamente, le informazioni devono essere fornite
entro i termini stabiliti all’articolo 14, paragrafo 3.

4 Regolamento generale sulla protezione dei dati, considerando 72: “la Profilazione è soggetta alle norme del
presente regolamento che disciplinano il Trattamento dei dati personali, quali le basi giuridiche del Trattamento o i
principi di protezione dei dati”.
5 Le linee guida del Gruppo di lavoro in materia di trasparenza trattano della trasparenza in modo più
approfondito; cfr. “Guidelines on Transparency under Regulation 2016/ 679 (wp 260r ev.01)” [Linee guida sulla
trasparenza ai sensi del regolamento (UE) 2016/ 679], 11 aprile 2018 (in inglese)
http://ec.europa.eu/newsroom/article 29/item-detail.cfm?item _id=622227
.
6 Ufficio del commissario australiano per l’informazione. Bozza di consultazione: Guide to Big Data and the
Australian privacy Principles [Guida ai megadati e ai principi australiani in materia di tutela della vita privata],
05/ 2016. In tale d ocumento si afferma che: “le informative sulla protezione dei dai personali devono comunicare
le informazioni relative alle prassi applicate in maniera chiara e semplice, nonché esaustiva e con sufficiente
specificità da poter essere significative. La stes sa tecnologia che porta a una maggiore raccolta di informazioni
personali offre anche l’opportunità di realizzare informative sulla protezione dei dati più dinamiche, a più livelli
e incentrate sull’utente”.
https://www.oaic.gov.au/engage -with -us/consultations/gu ide-to -big -data -and -the -
australian -privacy- principles/consultation -draft -guide -to -big -data -and -the -australian -privacy- principles .
Accesso effettuato il 24 aprile 2017.

11

Esempio
Alcuni assicuratori offrono tariffe e servizi assicur ativi in base al comportamento di guida delle
persone. Gli elementi presi in considerazione in questi casi potrebbero includere la distanza percorsa,
il tempo trascorso alla guida e l’itinerario percorso, nonché previsioni basate su altri dati raccolti dai
sensori dell’auto (intelligente). I dati raccolti vengono utilizzati per fini di Profilazione con l ’obiettivo
di individuare comportamenti di guida errati (come accelerazione rapida, frenata improvvisa ed
eccesso di velocità). Queste informazioni possono essere incrociate con altre fonti (ad esempio il
clima, il traffico, il tipo di strada) in maniera da comprendere meglio il comportamento del
conducente.
Il Titolare del Trattamento deve assicurarsi di disporre di una base legittima per tale tipo di trattamento.
Il Titolare del Trattamento deve inoltre fornire all ’interessato informazioni sui dati raccolti e, se del
caso, sull ’esistenza di processi decisionali automatizzati di cui all ’articolo 22, paragrafi 1 e 4, sulla
logica applicata, nonché sulla rilev anza e sulle conseguenze previste di tale trattamento.
I requisiti specifici riguardanti le informazioni e l’accesso ai Dati personali sono esaminati nei capitoli
III (sezione D) e IV (sezione E).
Il Trattamento deve inoltre essere corretto e trasparente.
La Profilazione può essere iniqua e creare discriminazioni, ad esempio negando l ’accesso a
opportunità di lavoro, credito o assicurazione oppure offrendo prodotti finanziari eccessivamente
rischiosi o costosi. L ’esempio seguente, che non rispetta le prescrizioni di cui all ’articolo 5 ,
paragrafo 1, lettera a), illustra come una Profilazione iniqua può portare a proporre ad alcuni
consumatori offerte meno interessanti rispetto ad altri.
Esempio
Un intermediario di dati vende profili di consumatori a società finanziarie senza il Consenso dei
consumatori o senza che essi conoscano i dati sottostanti. I profili classificano i consumatori in
categorie (con diciture quali “ popolazione rurale e che ce la fa a malapena” , “membro di una
minoranza etnica che vive in povertà in una realtà urbana secondaria ”, “inizi difficili: giovani genitori
single ”) oppure assegnano loro dei punteggi, concentrandosi sulla vulnerabili tà finanziaria dei
consumatori. Le società finanziarie offrono a questi consumatori prestiti a breve termine ( payday loan)
e altri servizi finanziari “ non tradizionali” (prestiti a costo elevato e altri prodotti finanziariamente
rischiosi) 7.

7 Questo esempio è tratto da: Senato degli Stati Uniti, Comitato per il commercio, la s cienza e i trasporti. A
Review of the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes
[Rassegna del settore degli intermediari: raccolta, utilizzo e vendita di dati sui consumatori per finalità di
marketing], rapport o informativo per il presidente Rockefeller, 18 dicembre 2013 (in inglese).
https://www.commerce.senate.gov/public/_cache/files/0 d2b3642- 6221-4888- a631 -
08f2f255b 577/AE 5D 72CBE 7F 44F 5BFC 846BECE 22C875B. 12.18.13- senate -commerce -committee -report -on -
data -broker -industry.pdf . Cfr. pagina ii della sintesi e pagina 12 del corpo principale del documento. Accesso
effettuato il 21 luglio 2017.

12
2.
Articolo 5, paragrafo 1, lettera b) - ulteriore Trattamento e
limitazione della finalità
La Profilazione può comportare l ’utilizzo di Dati personali originariamente raccolti per una finalità
diversa.

Esempio
Alcune applicazioni mobili forniscono servizi di localizzazione che consentono all ’utente di trovare
ristoranti nelle vicinanze che offrono sconti. Tuttavia, i dati raccolti vengono utilizzati anche per
creare un profilo dell ’interessato per finalità di marketing, ossia per individuare le sue preferenze
alimentari o il suo stile di vita in general e. L’interessato si aspetta che i suoi dati vengano utilizzati per
trovare ristoranti, ma non per ricevere Pubblicità relative alla consegna di pizza a domicilio soltanto
perché l ’applicazione ha stabilito che arriva a casa tardi. Questo ulteriore utilizzo dei dati relativi
all’ubicazione potrebbe non essere compatibile con le finalità per le quali tali dati sono stati
originariamente raccolti e può quindi richiedere il Consenso dell ’interessato 8.
La compatibilità di tale ulteriore Trattamento con le finalità originarie per le quali i dati sono stati
raccolti dipenderà da una serie di fattori 9, tra gli altri, le informazioni che il Titolare del Trattamento ha
inizialmente fornito all’ interessato. Tali fattori si riflettono nel regolamento 10 e sono così riassunti:
• il rapporto tra le finalità per cui i Dati personali sono stati raccolti e le finalità dell ’ulteriore
trattamento;
• il contesto in cui i Dati personali sono stati raccolti e le ragionevoli aspettative dell ’interessato
in merito al loro uso futuro;
• la natura dei dati;
• l’ impatto dell ’ulteriore Trattamento sull ’interessato;
• le garanzie applicate dal Titolare del Trattamento per assicurare un Trattamento corretto e
prevenire qualsiasi impatto indebito sull ’interessato.
3. Articolo 5, paragrafo 1, lettera c) - min imizzazione dei dati
Le opportunità commerciali create dalla profilazione, da costi di memorizzazione più economici e
dalla capacità di trattare grandi quantità di informazioni possono incoraggiare le organizzazioni a
raccogliere più Dati personali d i quelli di cui hanno effettivamente bisogno, poiché tali dati potrebbero
rivelarsi utili in futuro. Il Titolare del Trattamento deve assicurarsi di rispettare il principio di
minimizzazione dei dati e le prescrizioni dei principi di limitazione della fina lità e limitazione della
conservazione.
8 Si noti che possono trovare applicazione anche le disposizioni del futuro regolamento sulla vita privata e le
comunicazioni elettroniche .
9 Evidenziati nel documento del Gruppo di lavoro “ Opinion 03/2013 on purpose limitation” [Parere 03/ 2013
sulla limitazione della finalità], 2 aprile 2013 (in inglese).
http://ec.europa.eu/justice/data -protection/article -
29/documentation/opinion -recommendation/files/2013/wp 203_en.pdf . Accesso effettuato il 24 aprile 2017;
10 Articolo 6, paragrafo 4 , del regolamento generale sulla protezione dei dati.

13

Il Titolare del Trattamento dovrebbe essere in grado di spiegare in maniera chiara e giustificare la
necessità della raccolta e della conservazione dei Dati personali oppure prendere in considerazione
l ’ utilizzo di dati aggregati, anonimizzati o (laddove ciò consenta una protezione sufficiente)
pseudonimizzati per la profilazione.

4. Articolo 5, paragrafo 1, lettera d) - esattezza
Il Titolare del Trattamento dovrebbe esaminare l ’esattezza in tutte le fasi del processo di profilazione, in
particolare quando:
• raccoglie i dati;
• analizza i dati;
• crea un profilo per una persona o
• applica un profilo per prendere una decisione su una persona.
Se i dati utilizzati nel contesto di un Processo decisionale automatizzato o di prof ilazione non sono
esatti, qualsiasi decisione o profilo che ne deriverà sarà viziato. Le decisioni possono essere prese sulla
base di dati obsoleti o di un ’interpretazione errata di dati esterni. Eventuali inesattezze possono portare
a previsioni o afferma zioni inappropriate in merito, ad esempio, alla salute, al rischio di credito o al
rischio assicurativo di una data persona.
Anche qualora i dati grezzi siano registrati in maniera esatta, l ’insieme dei dati potrebbe non essere
pienamente rappresentativo oppure l ’analisi potrebbe contenere distorsioni nascoste.
Il Titolare del Trattamento deve introdurre misure efficaci per verificare e assicurare su base
continuativa che i dati riutilizzati od ottenuti indirettamente siano esatti e aggiornati. Ciò sottolinea
ulteriormente l ’importanza di fornire informazioni chiare sui Dati personali trattati, in maniera da
consentire all ’interessato di correggere eventuali inesattezze e migliorare la qualità dei dati.
5. Articolo 5, paragrafo 1, lettera e) - limitazione della conservazione
Gli algoritmi di apprendimento automatico sono progettati per trattare grandi volumi di informazioni e
creare correlazioni che consentano alle organizzazioni di creare profili estremamente esaustivi e
personali delle persone fisiche. Sebbene possano esservi vantaggi nel conservare i dati in caso di
profilazione, dal momento che sarà disponibile una quantità maggiore di dati dai quali l ’algoritmo può
apprendere, il Titolare del Trattamento deve rispettare il principio di min imizzazione dei dati all ’atto
della raccolta e assicurare che i dati non siano conservati per un periodo superiore a quello necessario
e proporzionato alle finalità per le quali i dati vengono trattati.
La politica di conservazione del Titolare del Trattamento dovrebbe tenere conto dei diritti e delle libertà
delle persone fisiche in linea con le prescrizioni di cui all ’articolo 5, paragrafo 1, lettera e).
Il Titolare del Trattamento dovrebbe inoltre assicurarsi che i dati rimangano aggiornati durante il
periodo di conservazione in maniera da ridurre il rischio di inesattezze
11.

11 Autorità norvegese di protezione dei dati. “ The Great Data Race – How commercial utilisation of personal
data challenges privacy ” [La corsa ai dati eccezionali – Quali sono le sfide in termini di tutela della vita privata
post e dall’utilizzo commerciale di dati personali], relazione, novembre 2015. Datatilsynet
https://www.datatilsynet.no/English/Publications/The -Great -Data -Race/ . Accesso e ffettuato il 24 aprile 2017.

14

B. Basi legittime per il Trattamento
Il Processo decisionale automatizzato di cui all ’articolo 22, paragrafo 1, è consentito soltanto qualora
si applichi una delle eccezioni di cui al capitolo IV (sezioni C e D). Le seguenti basi legittime per il
trattamento sono pertinenti per tutti i processi decisionali automatizzati relativi alle persone fisiche e di
profilazione.
1. Articolo 6, paragrafo 1, lettera a) - Consenso
Il Consenso come base per il Trattamento in generale è trattato nelle Linee guida del Gruppo di lavoro
sul consenso 12. Il Consenso esplicito è una delle eccezioni al divieto di processo decisionale
automatizzato e Profilazione di cui all’ articolo 22, paragrafo 1.
La Profilazione può no n essere trasparente. Spesso si basa su dati derivati o desunti da altri dati,
anziché su dati forniti direttamente dall ’interessato.
Il Titolare del Trattamento che intende fare affidamento sul Consenso come base per la Profilazione
dovrà dimostrare che gli interessati comprendono esattamente a cosa stanno acconsentendo e dovrà
ricordare che il Consenso non è sempre una base appropriata per il trattamento
13. In tutti i casi, gli
interessati dovrebbero disporre di sufficienti informazioni pertinenti sull ’uso previsto e sulle
conseguenze del Trattamento in maniera da assicurare che il Consenso fornito sia frutto di una scelta
informata.

2. Articolo 6, paragrafo 1, lettera b) – necessario all ’esecuzione di un
contratto
Il Titolare del Trattamento potrebbe vole r utilizzare la Profilazione e i processi decisionali automatizzati
perché tali processi:

• consentono potenzialmente una maggiore coerenza o correttezza nel processo decisionale (ad
esempio riducendo le possibilità di errore umano, discriminazione e abuso di potere);
• riducono il rischio che i clienti non riescano a soddisfare i pagamenti per beni o servizi (ad
esempio utilizzando referenze per il credito), o
• consentono di prendere decisioni in tempi più brevi e migliorare l ’efficienza.

Indipendentemente da quanto sopra, queste considerazioni da sole non sono sufficienti a dimostrare
che questo tipo di Trattamento è necessario ai sensi dell’articolo 6, paragrafo 1, lettera b), per
l ’ esecuzione di un contratto. Come descritto nel parere de l Gruppo di lavoro sull’interesse legittimo
14,
la nozione di necessità deve essere interpretata in maniera restrittiva.

Quello che segue è un esempio di Profilazione che non soddisfa le condizioni di cui all’articolo 6,
paragrafo 1, lettera b).

12 Gruppo di lavoro articolo 29, Linee guida sul Consenso ai sensi del regolamento (UE) 2016/ 679, 28 novembre
2017, http://ec.europa.eu/newsroom/just /document.cfm?doc_id=48849. Accesso effettuato il 18 dicembre 2017.

13 Ibidem.
14 Parere 06/2014 sul concetto di interesse legittimo del Titolare del Trattamento ai sensi dell’articolo 7 della
direttiva 95/46/CE. Commissione europea, 9 aprile 2014.
http://ec.europa.eu/justice/article -
29/documentation/opinion-recommendation/files/2014/wp 217_it.pdf . Accesso effettuato il 24 aprile 2017;

15


Esempio

Un utente acquista alcuni articoli da un rivenditore al dettaglio online. Per soddisfare il contratto, il
rivenditore deve trattare le informazioni della carta di credito dell ’utente per finalità di pagamento e
l’ indirizzo dell ’utente per consegnare la merce. Il completamento del contratto non dipende dalla
creazione di un profilo dei gusti e delle scelte in termini di stile di vita dell’ utente, basato sulle sue
visite sul sito web. Anche se la Profilazione è espressamente menzionata in caratteri min usco li nel
contratto, questo fatto, da solo, non la rende “necessaria” all’esecuzione del contratto.

3. Articolo 6, paragrafo 1, lettera c) – necessario per adempiere un
obbligo legale
Vi possono essere casi in cui sussiste un obbligo legale 15 all’esecuzione della profilazione, ad esempio
in relazione alla prevenzione delle frodi o al riciclaggio di denaro. Il parere del Gruppo di lavoro sugli
interessi legittimi
16 fornisce informazioni utili su questa base per il Trattamento e sulle garanzie da
applicare.
4. Articolo 6, paragrafo 1, lettera d) – necessario per la salvaguardia
di interessi vitali
Tale base si applica nelle circostanze in cui il Trattamento è necessario per la salvaguardia di un
interesse essenziale per la vita dell ’interessato o di un ’altra person a fisica.

Determinati tipi di Trattamento possono essere necessari per importanti motivi di interesse pubblico e
per proteggere gli interessi vitali dell ’interessato, come la Profilazione per sviluppare modelli che
individuino in anticipo la diffusione di malattie potenzialmente letali o in situazioni di emergenza
umanitaria. In questi casi, tuttavia, e in linea di principio, il Titolare del Trattamento può basarsi su
motivi di interesse vitale unicamente se non sono disponibili altre basi giuridiche per il trattamento
17.
Se il Trattamento comprende Dati personali appartenenti a categorie particolari, il Titolare del
trattamento deve altresì assicurarsi di soddisfare le prescrizioni di cui all ’a rticolo 9, paragrafo 2,
lettera c).
5. Articolo 6, paragrafo 1, lettera e) – necessario per l ’esecuzione di
un compito di interesse pubblico o connesso all ’esercizio di pubblici poteri
L’articolo 6, paragrafo 1, lettera e), potrebbe costituire una base adeguata per la Profilazione nel
settore pubblico in determinate ci rcostanze. Il compito o la funzione devono avere una base giuridica
chiara.
15 Considerando 41 e 45 del regolamento generale sulla protezione dei dati.
16 Pagina 22 Gruppo di lavoro articolo 29, Parere 06 /2014 sul concetto di interesse legittimo del Titolare del
trattamento ai sensi dell’articolo 7 della direttiva 95/ 46/CE. Commission e europea, 9 aprile 2014.
http://ec.europa.eu/justice/article -29/documentation/opinion -recommendation/files/ 2014/wp217_it.pdf
. Accesso
e ffettuato il 24 aprile 2017;
17 Considerando 46 del regolamento generale sulla protezione dei dati.

16
6.
Articolo 6, paragrafo 1, lettera f) – necessario per il perseguimento
del legittimo interesse
18 del Titolare del Trattamento o di terzi
La Profilazione è consentita se è necessaria ai fini degli interessi legittimi 19 perseguiti dal Titolare del
trattamento o da un terzo. Tuttavia, l ’articolo 6, paragrafo 1, lettera f), non si applica automaticamente
soltanto perché il Titolare del Trattamento o il Terzo ha un legittimo interesse. Il Titolare del Trattamento
deve procedere a una ponderazione per valutare se gli interessi o i diritti e le libertà fondamentali
dell ’interessato non prevalgano sui propri interessi.

I seguenti aspetti sono particolarmente rilevanti:
• il livello di dettaglio del profilo (un interessato profilato in un gruppo descritto in maniera
ampia come “ persone interessate alla letteratura inglese” o segmentato e mirato a livello
granulare);
• la completezza del profilo (il profilo descrive solo un aspetto min ore dell ’inte ressato oppure
dipinge un quadro più completo);
• l’ impatto della Profilazione (gli effetti sull’ interessato);
• le garanzie destinate ad assicurare la correttezza, la non discriminazione e l ’esattezza nel
processo di profilazione.
Sebbene si basi sull ’artic olo 7 della direttiva 95/46/CE sulla protezione dei dati, il parere del Gruppo
di lavoro sui legittimi interessi
20 contiene esempi che sono comunque utili e pertinenti per il Titolare
del Trattamento che svolge attività di Profilazione . Tale parere suggerisce inoltre che sarebbe difficile
per il Titolare del Trattamento giustificare il ricorso al legittimo interesse come base legittima per
pratiche intrusive di Profilazione e tracciamento per finalità di marketing o pubblicità, ad esempio
quelle che comporta no il tracciamento di persone fisiche su più siti web, ubicazioni, dispositivi, servizi
o l ’intermediazione di dati.

Nel valutare la validità del Trattamento ai sensi dell ’articolo 6, paragrafo 1, lettera f), il Titolare del
trattamento dovrebbe altresì considerare l ’uso futuro o la combinazione di profili.
C. Articolo 9 – categorie particolari di dati
Il Titolare del Trattamento può trattare Dati personali appartenenti a categorie particolari soltanto se
ricorrono una delle condizioni di cui all ’articolo 9, paragrafo 2, e una condizione di cui all ’articolo 6.
Questo vale anche per i dati appartenenti a categorie particolari derivati o desunti da attività di
profilazione.
La Profilazione può creare dati appartenenti a categorie particolari desumendoli da dati che di per sé
non appartengono a categorie particolari ma che diventano tali se combinati con altri dati. Ad esempio,
può essere possibile desumere lo stato di salute di una persona associando le registrazioni dei suoi
acquisti di alimenti a dati sulla qualità e sul contenuto energetico di tali alimenti.

18 I legittimi interessi elencati nel considerando 47 del regolamento comprendono il Trattamento per finalità di
marketing diretto e il Trattamento strettamente necessario a fini di prevenzione delle frodi.
19 Il “legittimo interesse” del Titolare del Trattamento non può rendere lecita la Profilazione se il Trattamento
rientra nella definizione di cui all’articolo 22, paragrafo 1 .
20 Gruppo di lavoro articolo 29, Parere 06/2014 sul concetto di interesse legittimo del Titolare del Trattamento ai
sensi dell’articolo 7 della direttiva 95/ 46/CE. Commissione europe a, 9 aprile 2014, pagina 55, esempi alle pagine
70 e 71 . http://ec.europa.eu/justice/article -29/documentation/opinion -recommendation/file s/2014/wp 217_it.pdf
.
Accesso effettuato il 24 aprile 2017.

17

Possono essere scoperte correlazioni che forniscono indicazioni sulla salute, sulle convinzioni
politiche o religiose oppure sull ’orientamento sessuale delle persone, come dimostrato dal seguente
esempi o:
Esempio
Uno studio 21 ha combinato i “Mi Piace” di Facebook con informazioni limitate tratte da sondaggi e ha
rilevato che i ricercatori hanno predetto con precisione l ’orientamento sessuale di un utente maschile
nell ’88 % dei casi, l ’origine etnica di un utente nel 95 % dei casi e se un utente era cristiano o
musulmano nell ’82 % dei casi.

Se dalla Profilazione sono dedotte preferenze e caratteristiche sensibili, il Titolare del Trattamento
dovrebbe assicurarsi:
• che il Trattamento non sia incompatibile c on la finalità originaria;
• di aver individuato una base legittima per il Trattamento di dati appartenenti a categorie
particolari;
• di informare l ’interessato sul trattamento.
Il processo decisionale automatizzato, così come descritto dall ’articolo 22, par agrafo 1, basato su
categorie particolari di dati, è trattato nel capitolo IV (sezione D).

D. Diritti dell ’interessato 22
Il regolamento introduce maggiori diritti per gli interessati e crea nuovi obblighi per i titolari del
trattamento.
Nel contesto della Profilazione questi diritti possono essere esercitati nei confronti del Titolare del
trattamento che crea il profilo e del Titolare del Trattamento che prende una decisione automatizzata su
un interessato (con o senza intervento umano), qualora tali sogget ti non siano il medesimo.

Esempio
Un intermediario di dati effettua la Profilazione di dati personali. In linea con gli obblighi di cui agli
articoli 13 e 14, deve informare l’interessato in merito al Trattamento e al fatto che intende condividere
il pro filo con altre organizzazioni. Deve inoltre indicare separatamente anche i dettagli relativi al
diritto di opposizione di cui all ’articolo 21, paragrafo 1.
L ’intermediario di dati condivide il profilo con un ’altra impresa. Tale impresa utilizza il profilo per
inviare alla persona in questione comunicazioni di marketing diretto.
21 Michael Kosinski, David Stilwell e Thore Graepel. Private traits and attributes are predictable from digital
records of human behaviour [Tratti e attributi privati sono prevedibili dalle registrazioni digitali del
comportamento umano]. Atti della National Academy of Sciences degli Stati Uniti d’America,
http://www.pnas.org/content/110/ 15/5802.full.pdf
. Accesso effettuato il 29 marzo 2017.
22 La presente sezione è pertinente tanto per la Profilazione quanto per il processo decisionale automatizzato. Per
il Processo decisionale automatizzato ai sensi dell’articolo 22, si ricorda che esistono anche requisiti aggiuntivi
come descritto nel capitolo IV.

18

L’impresa deve informare l ’interessato [articolo 14, paragrafo 1, lettera c)] in merito alle finalità
dell ’utilizzo del profilo e alla fonte da cui ha ottenuto l ’informazione [articolo 14, paragrafo 2, lettera
f)] nonché al diritto dell ’interessato di opporsi al trattamento, compresa la profilazione, per finalità di
marketing diretto (articolo 21, paragrafo 2).
L’intermediario di dati e l ’impresa devono consentire all ’interessa to di accedere alle informazioni
utilizzate (articolo 15) per correggere eventuali informazioni errate (articolo 16) e, in determinate
circostanze, di cancellare il profilo o i Dati personali utilizzati per crearlo (articolo 17). L ’interessato
deve inoltre ricevere informazioni sul proprio profilo, ad esempio, in merito ai “segmenti ” o alle
“ categorie ” nei quali viene collocato 23.
Se utilizza il profilo per prendere una decisione basata unicamente sul Trattamento automatizzato che
produce effetti giuridici o che incide in modo analogo significativamente sull ’interessato, l ’impresa è
soggetta alle disposizioni dell ’articolo 22. (Ciò non esclude l ’intermediario di dati dall ’articolo 22 se il
trattamento soddisfa la soglia pertinente).

1. Articoli 13 e 14 – diritto di essere informato
In considerazione del principio fondamentale della trasparenza che sta alla base del regolamento, il
titolare del Trattamento deve spiegare in maniera chiara e semplice alle persone interessate come
funziona la Profilazione o il processo decisionale automatizzato.
In particolare, quando il Trattamento implica un processo decisionale basato sulla Profilazione
(indipendentemente dal fatto che rientri nell ’applicazione delle disposizioni di cui all ’articolo 22),
deve essere chiarito all ’interessato
24 il fatto che il Trattamento avviene per finalità di a) Profilazione e
di b) adozione di decisioni basate sul profilo generato.

Il considerando 60 afferma che fornire informazioni sulla Profilazione fa parte degli obblighi di
trasparenza del Titolare del Trattamento ai sensi dell’ articolo 5, paragrafo 1, lettera a). L’interessato ha
diritto di essere informato dal Titolare del Trattamento e, in alcune circostanze, gode di un diritto di
opposizione alla “profilazione ”, indipendentemente del fatto che abbia luogo un processo decisionale
unicamente automatizzato relativo alle persone fisiche.
Ulteriori orientamenti sulla trasparenza in generale sono disponibili nelle Linee guida del Gruppo di
lavoro sulla trasparenza ai sensi del regolamento
25.

23 Autorità norvegese di protezione dei dati. “ The Great Data Race - How commercial utilisation of personal
data challenges privacy ”. Relazione, novembre 2015.
https://www.datatilsynet.no/English/Publications/The -
Great-Data -Race/ Accesso effettuato il 24 aprile 2017.
24 Articolo 13, paragrafo 1 , lettera c), e articolo 14 , paragrafo 1, lettera c), del regolamento generale sulla
protezione dei dati. L’articolo 13, paragrafo 2 , lettera f), e l’articolo 14, paragrafo 2, lettera g), impongono al
titolare del Trattamento di informare l’interessato dell’esistenza di un processo decisionale automatizzato,
compresa la profilazione, di cui all’articolo 22, paragrafi 1 e 4. Questo aspetto è spiegato ulteriormente nel
capitolo IV.
25 Gruppo di lavoro articolo 29, Linee guida sulla trasparenza ai sensi del regolamento (UE) 2016/ 679 (WP
260), 28 novembre 2017 (in inglese) http://ec.europa.eu/newsroom/just/document.cfm?doc_id= 48850
, Accesso
effettuato il 18 dicembre 2017.

19
2.
Articolo 15 – diritto di accesso
L’articolo 15 conferisce all ’interessato il diritto di ottenere informazioni dettagliate sui Dati personali
utilizzati per la profilazione, ivi comprese le categorie di dati impiegati per creare un profilo.
Oltre alle informazioni generali sul trattamento, ai sensi dell ’articolo 15, paragrafo 3, il Titolare del
trattamento deve rendere disponibili i dati utilizzati come input per creare il profilo, e consentire
l ’ accesso alle informazioni sul profilo e ai dettagli dei s egmenti nei quali l’interessato è stato inserito.
Ciò differisce dal diritto alla portabilità dei dati di cui all ’articolo 20, nel contesto del quale il Titolare
del Trattamento è tenuto soltanto a comunicare i dati forniti dall ’interessato o osservati dal Titolare del
trattamento e non il profilo stesso
26.

Il considerando 63 offre una certa protezione al Titolare del Trattamento nei confronti della
divulgazione di segreti aziendali o proprietà intellettuale, che può essere particolarmente pertinente in
relazione alla profilazione. Tale considerando afferma c he il diritto di accesso “non dovrebbe ledere i
diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale,
segnatamente i diritti d ’autore che tutelano il software ”. Tuttavia, il Titolare del Trattamento non può
fare affidamento sulla protezione dei segreti aziendali come scusa per negare l ’accesso o rifiutarsi di
fornire informazioni all ’interessato.
Il considerando 63 specifica inoltre che “ ove possibile, il Titolare del Trattamento dovrebbe poter
fornire l ’acc esso remoto a un sistema sicuro che consenta all ’interessato di consultare direttamente i
propri Dati personali ”.


3. Articolo 16 – diritto di rettifica; articolo 17 – diritto alla
cancellazione; articolo 18 – diritto di limitazione di Trattamento
La Profilazione può comportare un elemento di previsione, il che aumenta il rischio di inesattezza. I
dati di input possono essere inesatti o irrilevanti oppure avulsi dal contesto. L ’algoritmo utilizzato per
individuare le correlazioni potrebbe presentare lacune.

Il diritto di rettifica di cui all’ articolo 16 potrebbe applicarsi, ad esempio, nel caso in cui una persona
venga inserita in una categoria che esprime un giudizio sulla propria capacità di eseguire un compito, e
tale profilo sia basato su informazioni errate. Le persone potrebbero voler contestare l ’esattezza dei
dati utilizzati e qualsiasi raggruppamento o categoria che è stata loro applicata.

I diritti di rettifica e di cancellazione
27 si applicano tanto ai “ Dati personali di input” (i Dati personali
utilizzati per creare il profilo) quanto ai “ dati di output” (il profilo stesso o il “ punteggio” assegnato
alla persona fisica).

L ’articolo 16 prevede altresì il diritto dell ’interessato di integrare i Dati personali con informazioni
aggiuntive.

26 Pagina 9 del documento del Gruppo di lavoro, Linee guida sul diritto alla portabilità dei dati, WP 242
https://www.garanteprivacy.it/documents/10160/5184810/Linee-
guida+sul+diritto+alla+portabilit%C 3%A 0+dei+dati+- +WP+242.pdf . Accesso effettuato il 8 gennaio 2018.
27 Articolo 17 del regolamento generale sulla protezione dei dati.

20

Esempio

Il sistema informatico di un centro medico locale colloca una persona in un gruppo che presenta
maggiori probabilità di sviluppare malattie cardiache. Questo “ profilo” non è necessariamente
impreciso nonostante tale persona non abbia mai sofferto di malattie cardiache.
Il profilo afferma semplicemente che la persona in questione ha maggiori probabilità di sviluppare
malattie cardiache. Ciò può essere di fatto corretto, in termini statistici.

Ciò nonostante l’interessato ha il diritto, tenendo conto della finalità del trattamento, di fornire una
dichiarazione integrativa. Nella fattispecie, la dichiarazione potrebbe essere basata, ad esempio, su un
sistema informatico m edico (e su un modello statistico) più avanzato che include nel calcolo dati
aggiuntivi e svolge esami più dettagliati rispetto a quello del centro medico locale con capacità più
limitate.


Il diritto di limitazione di Trattamento (articolo 18) si applic a a qualsiasi fase del processo di
profilazione.
4. Articolo 21 – diritto di opposizione
Il Titolare del Trattamento deve portare espressamente all’attenzione dell ’interessato informazioni
dettagliate in merito al diritto di opposizione di cui all ’articolo 21, paragrafi 1 e 2, e presentare tale
diritto chiaramente e separatamente da qualsiasi altra informazione (articolo 21, paragrafo 4).

Ai sensi dell ’articolo 21, paragrafo 1, l ’interessato può opporsi al Trattamento (compresa la
profilazione), per motivi connessi alla sua situazione particolare. Il Titolare del Trattamento è
specificamente tenuto a riconoscere tale diritto in tutti i casi nei quali il Trattamento si basi sull ’articolo
6, paragrafo 1, lettere e) o f).

Dopo che l ’interessato ha esercitato questo diritto, il Titolare del Trattamento deve interrompere
28 (o
evitare di iniziare) il processo di profilazione, a meno che non possa dimostrare l ’esistenza di motivi
legittimi cogenti che prevalgono sugli interessi, sui diritti e sulle libertà dell ’int eressato. Il Titolare del
trattamento potrebbe altresì dover cancellare i Dati personali pertinenti
29.

Il regolamento non fornisce alcuna spiegazione di motivi che sarebbero consid erati motivi legittimi
cogenti
30. Può accadere, ad esempio, che la profilazi one sia utile per la società in senso lato (o per la
comunità più ampia) e non soltanto per gli interessi aziendali del Titolare del trattamento, come nel
caso della Profilazione volta a individuare in anticipo la diffusione di malattie contagiose.

28 Articolo 18, paragrafo 1 , lettera d), del regolamento.
29 Articolo 17, paragrafo 1 , lettera c), del regolamento.
30 Cfr. la spiegazione di legittimità nel documento del Gruppo di lavoro “Parere 06 /2014 sul concetto di
interesse legittimo del Titolare del Trattamento ai sensi dell’articolo 7 della direttiva 95/ 46/CE”. 9 aprile 2014.
Pagine 28-31.
http://ec.europa.eu/justice/article -29/documentation/opinion -
recommendation/files/2014/wp 217_it.pdf . Accesso effettuato il 24 aprile 2017;

21

Il Titolare del Trattamento dovrebbe:

• considerare l ’importanza della Profilazione per il proprio particolare obiettivo;
• considerare l ’impatto della Profilazione sugli interessi, sui diritti e sulle libertà
dell ’interessato, che dovrebbe essere limitato al min imo necessario per conseguire l ’obiettivo;
• procedere a una ponderazione.

È sempre necessario procedere a una ponderazione tra gli interessi concorrenti del Titolare del
trattamento e la base per l ’opposizione dell ’interessato (che può fondarsi su mot ivi personali, sociali o
professionali). A differenza della direttiva 95/46/CE, l ’onere della prova di dimostrare l ’esistenza di
motivi legittimi cogenti spetta al Titolare del Trattamento e non all’ interessato.

Dalla formulazione dell ’articolo 21 risulta evidente che la ponderazione differisce da quella di cui
all ’articolo 6, paragrafo 1, lettera f). In altre parole, non è sufficiente che il Titolare del Trattamento
dimostri soltanto che la sua precedente analisi dell’ interesse legittimo era corretta, occorre inoltre che
detto interesse legittimo sia cogente , il che implica una soglia maggiore per prevalere rispetto alle
opposizioni.

L ’articolo 21, paragrafo 2, riconosce all ’interessato un diritto incondizionato ad opporsi al
trattamento dei suoi Dati personali per finalità di marketing diretto, compresa la Profilazione nella
misura in cui sia connessa a tale marketing diretto
31. Ciò significa che non è necessario effettuare
alcun bilanciamento degli interessi; il Titolare del Trattamento deve rispe ttare le volontà dell’interessato
senza mettere in discussione i motivi dell ’opposizione. Il considerando 70 fornisce ulteriore contesto a
questo diritto e afferma che può essere esercitato in qualsiasi momento e gratuitamente.

IV. Disposizioni specifiche rel ative a decisioni basate
unicamente sul Trattamento automatizzato di cui
all’ articolo 22
L’articolo 22, paragrafo 1, afferma che:
l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul Trattamento
automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in
modo analogo significativamente sulla sua persona.

Il termine “ diritto” contenuto nella disposizione non significa che l ’articolo 22, paragrafo 1, si applica
soltanto se invocato attivamente dall ’interessato. L ’articolo 22, paragrafo 1, stabilisce un divieto
generale nei confronti del processo decisionale basato unicamente sul Trattamento automatizzato. Tale
divieto si applica indipendentemente dal fatto che l ’interessato intraprenda un’ azione in merito al
trattamento dei propri dati personali.

31 In linea con l’articolo 12, paragrafo 2 , il Titolare del Trattamento che raccoglie Dati personali da persone fisiche
allo scopo di utilizzarli per finalità di marketing diretto dovrebbe, al momento della raccolta, considerare la
possibilità di offrire agli interessati un modo semplice per indicare che non de siderano che i loro Dati personali
siano utilizzati per finalità di marketing diretto, anziché richiedere loro di esercitare il diritto di opposizione in un
secondo momento.

22

In sintesi, l’articolo 22 stabilisce che:

i) di norma, esiste un divieto generale all ’adozione di decisioni completamente automatizzate relative
alle persone fisiche, compresa la profilazione, che hanno un effetto giuridico o che incidono in modo
analogo significativamente;
ii) esistono eccezioni alla regola;
iii) laddove si applichi una di tali eccezioni, devono essere adottate misure adeguate a tutela dei diritti,
delle libertà e dei legittimi interessi dell’ interessato
32.

Questa interpretazione sostiene l ’idea secondo la quale l ’interessato deve avere il controllo sui propri
dati personali, in linea con i principi fondamentali del regolamento. Interpretare l ’articolo 22 come un
divieto piuttosto che come un diritto da invocare significa che le persone sono automaticamente
protette dagli effetti potenziali che questo tipo di Trattamento può avere. La formulazione dell ’articolo
suggerisce che questa è l ’intenzione, sostenuta anche dal considerando 71, che afferma:

tuttavia, è opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la
profilazione, se ciò è espressamente previsto dal diritto dell ’Unione o degli Stati membri (...) , o se è
necessario p er la conclusione o l ’esecuzione di un contratto ( ...), o se l ’interessato ha espresso il
proprio Consenso esplicito.
Ciò implica che il Trattamento ai sensi dell’ articolo 22, paragrafo 1, non è consentito in generale 33.

Tuttavia il divieto di cui all ’arti colo 22, paragrafo 1 si applica esclusivamente in circostanze specifiche
quando una decisione basata unicamente sul Trattamento automatizzato, compresa la profilazione, ha
un effetto giuridico o incide in modo analogo significativamente su una persona, com e spiegato
ulteriormente nelle linee guida. Anche in questi casi esistono precise eccezioni che consentono
l ’ esecuzione di tale trattamento.

Le garanzie richieste, discusse in maggior dettaglio in appresso, comprendono il diritto di essere
informati (di c ui agli articoli 13 e 14 – informazioni specificamente significative sulla logica utilizzata,
nonché sull ’importanza e sulle conseguenze previste per l ’interessato) e garanzie, quali il diritto di
ottenere l ’intervento umano e il diritto di contestare la decisione (di cui all ’articolo 22, paragrafo 3).

Qualsiasi Trattamento che possa presentare un rischio elevato per gli interessati impone al Titolare del
trattamento di svolgere una valutazione d’impatto sulla protezione dei dati
34. Oltre ad affrontare
qualsiasi altro rischio connesso al trattamento, una valutazione d’ impatto sulla protezione dei dati può
essere particolarmente utile per i titolari del Trattamento che non sono certi che le attività da loro
propos te rientrino nella definizione di cui all ’articolo 22, paragrafo 1, e, laddove tali attività siano
consentite da un ’eccezione individuata, non sappiano quali garanzie debbano essere applicate.


32 Il considerando 71 afferma che tale Trattamento dovrebbe essere “subordinato a g aranzie adeguate, che
dovrebbero comprendere la specifica informazione all’interessato e il diritto di ottenere l’intervento umano, di
esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di
contesta re la decisione”.
33 Ulteriori commenti sull’interpretazione dell’articolo 22 come divieto sono riportati nell’allegato 2.
34 Gruppo di lavoro articolo 29, Linee guida in materia di valutazione d’impatto sulla protezione dei dati e
determinazione della possi bilità che il Trattamento “possa presentare un rischio elevato” ai fini del regolamento
2016/ 679. 4 aprile 2017. Commissione europea.
https://www.garanteprivacy.it/documents/10160/ 0/WP+ 248+-
+Linee- guida+concernenti+valutazione+impatto+sulla+protezione+dati Accesso effettuato il 24 aprile 2017.

23

A. “Decisione basata unicamente sul Trattamento automatizzato”

L ’articolo 22, paragrafo 1, si riferisce a decisioni “basate unicamente” sul Trattamento automatizzato.
Ciò significa che non vi è alcun coinvolgimento umano nel processo decisionale.

Esempio

Un processo automatizzato produce ciò che di fatto è una raccomandazione riguardante un interessato.
Se un essere umano riesamina il risultato del processo automatizzato e tiene conto di altri fattori nel
prendere la decisione finale, tale decisione non sarà “ basata unicamente” sul Trattamento
automatizzato.

Il Titolare del Trattamento non può eludere le disposizioni dell ’articolo 22 creando coinvolgimenti
umani fittizi. Ad esempio, se qualcuno applica abitualmente profili generati automaticamente a
person e fisiche senza avere alcuna influenza effettiva sul risultato, si tratterà comunque di una
decisione basata unicamente sul Trattamento automatico.

Per aversi un coinvolgimento umano, il Titolare del Trattamento deve garantire che qualsiasi controllo
dell a decisione sia significativo e non costituisca un semplice gesto simbolico. Il controllo dovrebbe
essere effettuato da una persona che dispone dell ’autorità e della competenza per modificare la
decisione. Nel contesto dell ’analisi, tale persona dovrebbe prendere in considerazione tutti i dati
pertinenti.

Nell ’ambito della valutazione d ’impatto sulla protezione dei dati, il Titolare del Trattamento dovrebbe
individuare e registrare il grado di coinvolgimento umano nel processo decisionale e la fase nella quale
quest ’ultimo ha luogo.


B. Effetti “giuridici ” o “in modo analogo significativi ”
Il regolamento riconosce che il processo decisionale automatizzato, compresa la profilazione, può
avere gravi conseguenze per le persone fisiche. Il regolamento non definis ce i concetti di “giuridico” o
“ in modo analogo significativi ”, tuttavia la formulazione dell ’articolo 22 chiarisce che rientreranno
nell ’applicazione dell ’articolo soltanto gli effetti che hanno un impatto grave.
“Decisione che produce effetti giuridici”
Un effetto giuridico richiede che la decisione, basata unicamente su un Trattamento automatico, incida
sui diritti giuridici di una persona, quali la libertà di associarsi ad altre persone, di votare nel contesto
di un ’elezione o di intraprendere azioni l egali. Un effetto giuridico può altresì essere qualcosa che
influisce sullo status giuridico di una persona o sui suoi diritti ai sensi di un contratto. Tra gli esempi
di questo tipo di effetto figurano le decisioni automatizzate su una persona fisica che portano:
• alla cancellazione di un contratto;
• alla concessione o alla negazione del diritto a una particolare prestazione sociale concessa
dalla legge, come l ’indennità di alloggio o le prestazioni per figli a carico;
• al rifiuto dell ’ammissione in un paese o la negazione della cittadinanza.

24

“Incida in modo analogo significativamente sulla sua persona”

Anche se un processo decisionale non ha effetto sui diritti giuridici delle persone, potrebbe comunque
rientrare nell ’ambito di applicazione dell ’articolo 22 se produce un effetto equivalente o in modo
analogo significativo in termini di impatto.
In altre parole, anche qualora non vi sia alcun cambiamento nei suoi diritti od obblighi giuridici,
l ’ interessato potrebbe comunque subire ripercussioni sufficienti d a richiedere le protezioni previste da
questa disposizione. Il regolamento introduce l ’espressione “in modo analogo” (non presente
nell ’articolo 15 della direttiva 95/46/CE) associandola a “ incida significativamente”. Di conseguenza
la soglia per l ’importanza deve essere analoga a quella di una decisione che produce un effetto
giuridico.
Il considerando 71 fornisce i seguenti esempi tipici: “ rifiuto automatico di una domanda di credito
online ” o “pratiche di assunzione elettronica senza interventi um ani”.

Affinché il Trattamento dei dati sia considerato incidere in maniera significativa su una persona, i suoi
effetti devono essere sufficientemente rilevanti o importanti da meritare attenzione. In altre parole, la
decisione deve poter essere in grado di:

• incidere in maniera significativa sulle circostanze, sul comportamento o sulle scelte
dell ’interessato ;
• avere un impatto prolungato o permanente sull ’interessato; o
• nel caso più estremo, portare all’esclusione o alla discriminazione di persone.

È d ifficile essere precisi su ciò che può essere considerato sufficientemente significativo per il
raggiungimento della soglia, sebbene le seguenti decisioni possano rientrare in tale categoria:
• decisioni che influenzano le circostanze finanziarie di una per sona, come la sua ammissibilità
al credito;
• decisioni che influenzano l ’accesso di una persona ai servizi sanitari;
• decisioni che negano a una persona un ’opportunità di impiego o pongono tale persona in una
posizione di notevole svantaggio;
• decisioni che influenzano l’accesso di una persona all ’istruzione, ad esempio le ammissioni
universitarie.
Ciò conduce anche al problema della Pubblicità online, che si basa sempre più su strumenti
automatizzati e implica decisioni basate unicamente sul Trattamento auto matizzato. Oltre al
soddisfacimento delle disposizioni generali del regolamento, trattate nel capitolo III, possono essere
pertinenti anche le disposizioni della proposta di regolamento sulla vita privata e le comunicazioni
elettroniche. Inoltre, i min ori richiedono una protezione maggiore, come sarà esaminato in appresso
nel capitolo V.
In numerosi casi tipici, la decisione di proporre Pubblicità mirata basata sulla Profilazione non inciderà
in modo analogo significativamente sulle persone, ad esempio nel caso di una Pubblicità per un outlet
di moda online basato su un semplice profilo demografico: “ donne nella regione di Bruxelles di età
compresa tra 25 e 35 che potrebbero essere interessate alla moda e ad alcuni capi di abbigliamento ”.
Tuttavia è possibi le che ciò possa accadere, a seconda delle particolari caratteristiche del caso, tra le
quali:
• l’ invasività del processo di profilazione, compreso il tracciamento delle persone su siti web,
dispositivi e servizi diversi;
• le aspettative e le volontà delle p ersone interessate;

25

• il modo in cui viene reso disponibile l ’annuncio pubblicitario; o
• lo sfruttamento della conoscenza di vulnerabilità degli interessati coinvolti.
Un Trattamento che potrebbe avere un impatto min imo sulle persone in generale potrebbe in effetti
incidere in maniera significativa su taluni gruppi della società, quali gruppi min oritari o adulti
vulnerabili. Ad esempio, una persona di cui sono note le difficoltà finanziarie, effettive o potenziali, e
che riceve regolarmente annunci pubblicit ari di prestiti ad alto interesse potrebbe sottoscrivere tali
offerte e incorrere così in ulteriori debiti.
Anche un Processo decisionale automatizzato che si traduce in una fissazione dei prezzi differenziata
basata su Dati personali o caratteristiche per sonali potrebbe incidere in maniera significativa se, ad
esempio, prezzi proibitivi elevati impediscono effettivamente a una persona di ottenere determinati
beni o servizi.
Analogamente, effetti significativi possono risultare anche da azioni di persone di verse dalla persona
alla quale fa riferimento la decisione automatizzata. Un ’illustrazione di questo caso è riportata in
appresso.

Esempio

Ipoteticamente, una società che fornisce carte di credito potrebbe ridurre il limite della carta di un
cliente non sulla base dello storico dei rimborsi di quel cliente, bensì su criteri di credito non
tradizionali, quali un’ analisi di altri clienti che vivono nella medesima area e acquistano presso i
medesimi negozi.

Ciò potrebbe comportare la limitazione delle oppo rtunità di una persona sulla base di azioni di terzi.

In un contesto diverso, il ricorso a questi tipi di caratteristiche potrebbe avere il vantaggio di estendere
il credito a coloro che non hanno una storia creditizia convenzionale, alle quali sarebbe a ltrimenti
negato l’accesso.
C. Eccezioni al divieto

L ’articolo 22, paragrafo 1, stabilisce un divieto generale all ’adozione di un processo decisionale
unicamente automatizzato relativo alle persone fisiche con effetti giuridici o che incidono in modo
analogo significativamente, come descritto sopra.

Di conseguenza il Titolare del Trattamento non dovrebbe intraprender e il Trattamento descritto
nell ’articolo 22, paragrafo 1, a meno che non si applichi una delle seguenti eccezioni di cui all ’articolo
22, paragrafo 2, nel contesto delle quali la decisione:

a) è necessaria per la conclusione o l ’esecuzione di un contratto ;
b) è autorizzata dal diritto dell ’Unione o dello Stato membro cui è soggetto il Titolare del trattamento,
che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi
dell ’interessato; o
c) si basa sul Consenso esplicito dell ’interessato.

Laddove il processo decisionale coinvolga categorie particolari di dati definite all ’articolo 9, paragrafo
1, il Titolare del Trattamento deve altresì garantire di poter soddisfare i requisiti di cui all ’articolo 22,
paragrafo 4.

26
1.
Esecuzione di un contratto

Il Titolare del Trattamento potrebbe voler ricorrere a processi decisionali basati unicamente sul
trattamento automatizzato per finalità contrattuali ritenendo che sia il modo più appropriato per
conseguire l ’obiettivo. Talvolta il coinvolgimento umano di routine può essere impraticabile o
impossibile in ragione della notevole quantità di dati che vengono trattati.

Il Titolare del Trattamento deve essere in grado di dimostrare che questo tipo di Trattamento è
necessario, tenend o conto della possibilità di adottare un metodo più rispettoso della vita privata
35. Se
esistono altri mezzi efficaci e meno invasivi per il conseguimento del medesimo obiettivo, allora il
trattamento non sarà “necessario ”.

Il processo decisionale automati zzato di cui all’articolo 22, paragrafo 1, può essere necessario anche
per un Trattamento precontrattuale.

Esempio

Un’azienda pubblicizza un posto di lavoro vacante. Essendo il posto molto ambito, l ’azienda riceve
decine di migliaia di candidature. In ragione del volume eccezionalmente elevato di candidature
l’ azienda potrebbe ritenere che non è possibile individuare i candidati idonei senza prima utilizzare
mezzi unicamente automatizzati per scartare le candidature non pertinenti. In questo caso potrebbe
essere necessario ricorrere a un Processo decisionale automatizzato per stilare un elenco ristretto di
possibili candidati allo scopo di stipulare un contratto con un interessato.

Il capitolo III (sezione B) fornisce maggiori informazioni sui contratti come base legittima per il
trattamento.
2. Autorizzato dal diritto dell ’Unione o dello Stato membro

Il processo decisionale automatizzato, compresa la profilazione, potrebbe potenzialmente aver luogo ai
sensi dell ’articolo 22, paragrafo 2, lettera b), se il diritto dell’Unione o dello Stato membro ne
autorizza l ’uso. La legislazione pertinente deve altresì prevedere misure adeguate a tutela dei diritti,
delle libertà e dei legittimi interessi dell ’interessato.

Il considerando 71 afferma che tale Trattamento potrebbe includere il ricorso al processo decisionale
automatizzato di cui all ’articolo 22, paragrafo 1, per fini di monitoraggio e prevenzione delle frodi e
dell ’evasione fiscale o a garanzia della sicurezza e dell ’affidabilità di un servizio fornito dal Titolare
del trattamento.

35 Buttarelli, Giovanni. Assessing the necessity of measures that limit the fundamental right to the protection of
personal data. A Toolkit [Valutazione della necessità di misure che limitano il diritto fondamentale alla
protezione dei dati personali. Uno strumentario]. Garante europeo della protezione dei dati, 11 aprile 2017, (in
inglese) https://edps.europa.eu/sites/edp/files/publication/17- 04-11_necessity_toolkit_en_0 .pdf
. Accesso
effettuato il 24 aprile 2017.

27
3.
Consenso esplicito
L’articolo 22 richiede il Consenso esplicito . Il Trattamento che rientra nella definizione di cui
all ’articolo 22, paragrafo 1, pone rischi significativi in termini di protezione dei dati e pertanto si
ritiene opportuno un livello elevato di controllo individuale sui dati personali.
Il “ Consenso esplicito ” non è definito nel regolamento; tuttavia le linee guida del Gruppo di lavoro sul
consenso
36 forniscono orientamenti in merito alla sua interpretazione.
Il capitolo III (sezione B) fornisce maggiori informazioni sul Consenso in generale.

D. Categorie particolari di Dati personali – articolo 22, paragrafo 4
Il Processo decisionale automatizzato (di cui all ’articolo 22, paragrafo 1) che comporta l ’uso di
cat egorie particolari di Dati personali è consentito soltanto se sono soddisfatte le seguenti condizioni
cumulative (articolo 22, paragrafo 4):
• esiste un ’esenzione applicabile in virtù dell ’articolo 22, paragrafo 2;
• si applicano la lettera a) o g) dell ’artic olo 9, paragrafo 2.
Articolo 9, paragrafo 2, lettera a) - Consenso esplicito dell’interessato; o
Articolo 9, paragrafo 2, lettera g) - Trattamento necessario per motivi di interesse pubblico
rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla
finalità perseguita, rispettare l ’essenza del diritto alla protezione dei dati e prevedere misure
appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell ’interessato.
In entrambi i casi di cui sopra, il Titolare del Trattamento deve altresì adottare misure adeguate a tutela
dei diritti, delle libertà e dei legittimi interessi dell’ interessato.

E. Diritti dell ’interessato 37
1. Articolo 13, paragrafo 2, lettera f), e articolo 14, paragrafo 2,
let tera g) - diritto di essere informato
In considerazione dei potenziali rischi e delle interferenze che la Profilazione di cui all ’articolo 22
pone in relazione ai diritti degli interessati, il Titolare del Trattamento dovrebbe prestare particolare
attenzi one agli obblighi in materia di trasparenza.
L ’articolo 13, paragrafo 2, lettera f), e l ’articolo 14, paragrafo 2, lettera g), impongono al Titolare del
trattamento di fornire informazioni specifiche e facilmente accessibili sul processo decisionale
36 Gruppo di lavoro articolo 29 , Linee guida sul Consenso ai sensi del regolamento 2016/ 679, WP 259. 28
novembre 2017, http://ec.europa.eu/newsroom/just/document.cfm?doc_id= 48849
. Accesso effettuato il 18
dicembre 2017.
37 L’articolo 12 del regolamento stabilisce le modalità applicabili all’esercizio dei diritti dell’interessato.

28

automatizzato, basato unicamente sul Trattamento automatizzato, compresa la profilazione, che
produce effetti giuridici o in modo analogo significativi 38.
Se prende decisioni automatizzate come descritto nell ’articolo 22, paragrafo 1, il Titolare del
trattamento deve:
• comunicare all ’interessato che sta svolgendo tale tipo di attività;
• fornire informazioni significative sulla logica utilizzata;
• spiegare l ’importanza e le conseguenze previste di tale trattamento.

Fornire queste informazioni aiuterà altresì il Titolare del Trattamento a garantire il rispetto di talune
garanzie obbligatorie di cui all ’articolo 22, paragrafo 3, e al considerando 71.
Se il Processo decisionale automatizzato e la Profilazione non soddisfano la definizione di cui
all ’articolo 22, pa ragrafo 1, è comunque buona prassi fornire le informazioni di cui sopra. In ogni caso
il Titolare del Trattamento deve fornire informazioni sufficienti all ’interessato in maniera da rendere il
trattamento corretto
39 e soddisfare tutti gli altri requisiti in materia di informazione di cui agli articoli
13 e 14.
Informazioni significative sulla “logica utilizzata ”
La crescita e la complessità dell’apprendimento automatico possono rendere difficile comprendere
come funzionano un processo decisionale automatizz ato o la creazione di profili.
Il Titolare del Trattamento dovrebbe trovare modi semplici per comunicare all ’interessato la logica o i
criteri sui quali si basa l’ adozione della decisione. Il regolamento impone al Titolare del Trattamento di
fornire inform azioni significative sulla logica utilizzata, ma non necessariamente una spiegazione
complessa degli algoritmi utilizzati o la divulgazione dell ’algoritmo completo
40. Le informazioni
fornite dovrebbero tuttavia essere sufficientemente complete affinché l ’in teressato possa comprendere
i motivi alla base della decisione.
Esempio

Un Titolare del Trattamento utilizza il punteggio di affidabilità creditizia ( credit scoring) per valutare e
respingere una domanda di prestito di una persona. Tale punteggio può essere stato fornito da
un’ agenzia di referenze per il credito oppure calcolato direttamente sulla base delle informazioni
detenute dal Titolare del trattamento.

Indipendentemente dalla fonte (le informazioni sulla fonte devono essere fornite all ’interes sato ai sensi
dell ’articolo 14, paragrafo 2, lettera f), qualora i Dati personali non siano stati ottenuti dall ’interessato),
se il Titolare del Trattamento si basa su tale punteggio, deve essere in grado di spiegarlo e di illustrarne
38 Di cui all’articolo 22, paragrafi 1 e 4. Le linee guida del Gruppo di lavoro sulla trasparenza trattano dei
re quisiti generali in materia di informazione di cui agli articoli 13 e 14.
39 Considerando 60 del regolamento: “il Titolare del Trattamento dovrebbe fornire all’interessato eventuali
ulteriori informazioni necessarie ad assicurare un Trattamento corretto e trasparente, prendendo in considerazione
le circostanze e del contesto specifici in cui i Dati personali sono trattati Inoltre l’interessato dovrebbe essere
informato dell’esistenza di una Profilazione e delle conseguenze della stessa”.
40 La complessità non è una scusa per non fornire informazioni all’interessato. Il considerando 58 afferma che il
principio di trasparenza è “particolarmente utile in situazioni in cui la molteplicità degli operatori coinvolti e la
complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se, da chi e per
quali fi nalità sono raccolti Dati personali che lo riguardano, quali la Pubblicità online”.

29

la logica all ’interes sato.

Il Titolare del Trattamento spiega che tale processo lo aiuta a prendere decisioni corrette e responsabili
in merito ai prestiti concessi. Fornisce dettagli sulle principali caratteristiche considerate per giungere
alla decisione, sulla fonte di ta li informazioni e sulla loro importanza. Ciò può includere, ad esempio:

• informazioni fornite dall ’interessato nel modulo di domanda;
• informazioni sulla situazione anteriore del conto, compresi eventuali pagamenti arretrati;
• informazioni derivanti da registri pubblici ufficiali, quali i registri di frodi e i registri
d’insolvenza.

Il Titolare del Trattamento include altresì informazioni per spiegare all’ interessato che i metodi di
valutazione del grado di affidabilità creditizia utilizzati sono sottop osti a verifiche regolari per
garantire che rimangano corretti, efficaci ed esenti da distorsioni.
Il Titolare del Trattamento fornisce i dati di contatto affinché l ’interessato possa chiedere il riesame di
qualsiasi decisione respinta, in linea con le di sposizioni di cui all ’articolo 22, paragrafo 3.

“Importanza” e “conseguenze previste”
Questi termini suggeriscono che devono essere fornite informazioni sul Trattamento previsto o futuro,
nonché sulle possibili conseguenze del Processo decisionale automatizzato sull ’interessato 41. Per
rendere queste informazioni significative e comprensibili, dovrebbero essere forniti esempi reali e
concreti del tipo di possibili effetti.
In un contesto digitale, il Titolare del Trattamento potrebbe essere in grado d i utilizzare strumenti
aggiuntivi per illustrare tali effetti.
Esempio
Una compagnia assicurativa utilizza un Processo decisionale automatizzato per definire i premi
assicurativi per gli autoveicoli in funzione del comportamento di guida dei clienti. Per illustrare il
significato e le conseguenze previste del trattamento, la compagnia spiega che una guida pericolosa
può comportare premi assicurativi più elevati e fornisce un’ applicazione che confronta conducenti
fittizi, tra i quali uno con abitudini di guida pericolose come rapide accelerazioni e frenate all ’ultimo
minuto.
Usa elementi grafici per dare consigli su come migliorare tali abitudini e, di conseguenza, su come
ridurre i premi assicurativi.
41 Consiglio d’Europa. Draft Explanatory Report on the modernised version of CoE Convention 108 [Progetto di
relazione esplicativa sulla versione modernizzata della convenzi one 108 del CdE], punto 75 : “gli interessati
dovrebbero avere il diritto di conoscere il ragionamento alla base del Trattamento dei loro dati, nonché le
conseguenze di tale ragionamento, che ha portato a conclusioni conclusive, in particolare nei casi che prevedono
l’uso di algoritmi per il processo decisionale automatizzato, compresa la profilazione. Ad esempio nel caso del
grado di affidabilità creditizia, gli interessati dovrebbero avere il diritto di conoscere la logica alla base del
trattamento dei lor o dati risultante in una decisione “sì” o “no” e non semplicemente informazioni sulla decisione
stessa. In assenza di comprensione di questi aspetti non potrebbe esserci alcun effettivo esercizio di altre
garanzie essenziali quali i