[…] L’interessato ha il diritto di non essere oggetto di una decisione basata esclusivamente su un trattamento automatizzato, tra cui profilazione, che produce effetti giuridici che lo riguardano […]
[…] In tal caso il titolare deve immediatamente interrompere il trattamento finché non dimostra all’interessato che il trattamento automatizzato e la profilazione non violano i suoi diritti e le sue libertà […]

Per profilazione si intende l’insieme delle attività di raccolta ed elaborazione dei dati inerenti agli utenti di un servizio, al fine di suddividerli in gruppi a seconda del loro comportamento.

In ambito commerciale, la profilazione dell’utente è il mezzo che consente la fornitura di servizi personalizzati oppure l’invio di pubblicità comportamentale.

L’articolo 4 del nuovo Regolamento europeo definisce la profilazione come:

Ovviamente la profilazione deve essere svolta utilizzando i soli dati strettamente necessari per la finalità indicata, in ossequio al principio di pertinenza e di proporzionalità.

In sintesi, si ha profilazione in presenza di 3 elementi:

• un trattamento automatizzato;
• eseguito su dati personali;
• con lo scopo di valutare aspetti personali di una persona fisica.

Ovviamente non deve trattarsi di mero “tracciamento” dell’interessato che naviga online, ma di analisi per prendere decisioni che riguardano il soggetto oppure per analizzarne o prevederne le preferenze o i comportamenti. Cioé, si è in presenza di profilazione in relazione allo scopo dei dati raccolti.

Il regolamento europeo sancisce un generale divieto di sottoporre un individuo a processi decisionali automatizzati compresa la profilazione.

Ma l’articolo 22 del GDPR, paragrafo 1, chiarisce l’ambito di applicazione delle norme in materia, che è limitato alle sole ipotesi in cui l’attività il processo decisionale automatizzato:

• produce effetti giuridici;
• oppure incide in modo significativo sulla persona dell’utente;
• e la decisione è basata interamente (solely) sul trattamento automatizzato dei dati.

Gli effetti legali del processo decisionale automatizzato potrebbero essere: il diniego di attraversamento di una frontiera; l’adozione di misure di sicurezza; il diniego di forme di assistenza sociale; il rifiuto di un impiego; il rifiuto della concessione di un prestito.

Esistono delle eccezioni al divieto, per cui un interessato può essere sottoposto ad un processo decisionale automatizzato, compreso la profilazione, quando:

• il trattamento è necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare, ma tale eccezione non si applica in caso di trattamento di dati sanitari;
• il trattamento è autorizzato da una legge o regolamento, che prevede altresì misure idonee a tutelare i diritti dei soggetti interessati;
• vi è esplicito consenso al trattamento (il consenso alla profilazione deve essere distinto rispetto al consenso relativo ad altri trattamenti).

Nel primo e nel terzo caso, il titolare del trattamento deve attuare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato.

Occorre sempre effettuare il bilanciamento degli interessi per valutare l’eventuale prevalenza di quelli del titolare.

L’interessato ha il diritto di non essere oggetto di una decisione basata esclusivamente su un trattamento automatizzato, tra cui profilazione, che produce effetti giuridici che lo riguardano.

In questi casi l’interessato può opporsi a tale elaborazione.

In tal caso il titolare deve immediatamente interrompere il trattamento finché non dimostra all’interessato che il trattamento automatizzato e la profilazione non violano i suoi diritti e le sue libertà. L’interessato ha anche il diritto di ricevere una giustificazione della decisione automatizzata.

Il problema sta, però, nel fatto che i sistemi automatizzati oggi sono non solo sistemi estremamente complessi, ma i loro codici sono anche soggetti ad elevati livelli di segretezza, per cui appare piuttosto difficile che il titolare (il quale spesso non è altro che l’acquirente di uno strumento di analisi automatizzata) possa fornire una giustificazione adeguata alla decisione fornita dal sistema.

Il titolare del trattamento deve essere trasparente, cioè deve informare gli interessati dell’esistenza di una decisione basata sul trattamento di dati automatizzato comprendente profilazione (art. 22 GDPR e Considerando 71).

Nell’informativa devono, quindi, essere esplicitate le modalità e le finalità della profilazione. Inoltre, deve essere chiarita la logica inerente il trattamento e le conseguenze previste per l’interessato a seguito di tale tipo di trattamento, intendendo in tal senso i criteri utilizzati per giungere alla decisione (senza necessariamente dover fornire una spiegazione complessa degli algoritmi utilizzati o la divulgazione dell’algoritmo completo).

La profilazione può avvenire utilizzando dati individuali o identificativi (es. dati anagrafici), oppure dati aggregati derivanti da dati personali individuali. Il livello di aggregazione è variabile, e quindi potrebbe accadere che i dati utilizzati, anche se in forma aggregata, consentano comunque, a seguito dell’incrocio con altri dati, l’identificazione dei soggetti interessati.

Il GDPR vieta l’utilizzo di dati personali sensibili per scopi decisionali automatizzati, a meno che:

• l’interessato non abbia espresso il suo consenso esplicito;
• o la decisione automatizzata è necessaria per motivi di interesse pubblico.

L’attività di profilazione è considerata estremamente invasiva e può portare a danni ed abusi a carico degli utenti. La profilazione, infatti, viene utilizzata per fornire pubblicità personalizzata agli utenti, ma può anche portare a differenti offerte commerciali (price discrimination) a seconda della persona o della categoria nella quale essa è inclusa, con ciò determinando forme di diseguaglianza sociale o discriminazioni verso le minoranze.

Un ulteriore problema è dato dal fatto che gli algoritmi sono protetti quali segreti commerciali (trade secrets), in base alla direttiva Trade Secrets dell’Unione europea e altre norme in materia.

Vuoi approfondire il tema della profilazione nella tua attività? Il nostro team di professionisti è a tua disposizione per consulenza e formazione specifica privacy. Contattaci al più presto!