Processi automatizzati di scoring creditizio da spiegare per il trattamento dati

Il trattamento dei dati personali all’interno di un processo decisionale automatizzato di scoring creditizio è lecito, a condizione che il titolare del trattamento chiarisca, su richiesta dell’interessato, la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali di tale interessato al fine di ottenerne un profilo di solvibilità; se le citate informazioni contengono dati di terzi protetti dal GDPR, o segreti commerciali, il titolare dovrà comunicare tali dati all’autorità di controllo o al giudice competente, che deciderà in merito all’eventuale divulgazione.
Sono questi, in estrema sintesi, i chiarimenti forniti dalla Corte di Giustizia europea con la sentenza di ieri, 27 febbraio 2025, relativa alla causa C-203/22, in materia di diritti degli interessati in caso di trattamento di dati personali con mezzi automatizzati.

La controversia prende le mosse dal diniego, da parte di un operatore di telefonia mobile, della conclusione di un contratto che avrebbe comportato un pagamento mensile di dieci euro, sulla base di una valutazione automatica della qualità creditizia dell’interessato, risultato privo di una sufficiente solvibilità finanziaria; tale soggetto chiedeva quindi lumi sulla logica utilizzata nel processo decisionale automatizzato basato sui suoi dati personali, ricevendo un ulteriore diniego, motivato dal fatto che, a causa di un segreto commerciale protetto, l’operatore di telefonia non era tenuto a fornire ulteriori informazioni, oltre a quelle già comunicate.

La Corte di Giustizia preliminarmente osserva che, secondo quanto previsto dall’art. 15 paragrafo 1 lett. h) del Regolamento (Ue) 679/2016, l’interessato ha il diritto di ottenere l’accesso alle informazioni riguardanti l’esistenza di un processo decisionale automatizzato, profilazione compresa, e alle informazioni significative sulla logica utilizzata, sull’importanza e sulle conseguenze previste di tale trattamento.
Considerata la formulazione generale di tale disposizione, il diritto di accesso riguarda qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenere un determinato risultato (nel caso di specie, uno scoring creditizio).

Le informazioni in commento devono inoltre essere trasmesse in forma concisa, trasparente, comprensibile e facilmente accessibile, in ossequio al principio di trasparenza di cui all’art. 12 del Regolamento (Ue) 679/2016, applicabile a tutti i dati individuati dal citato art. 15.
L’interessato ha quindi diritto alla spiegazione del funzionamento del meccanismo alla base del processo decisionale automatizzato; a tal fine, non è sufficiente né la semplice comunicazione dell’algoritmo, né la descrizione dettagliata di tutte le fasi di tale processo, non costituendo tali metodi una spiegazione sufficientemente concisa e comprensibile.

Il titolare deve, in altre parole, trovare modi semplici per comunicare all’interessato la logica o i criteri sui quali si basa la decisione automatizzata, senza arrivare alla spiegazione complessa degli algoritmi utilizzati, o alla divulgazione dell’algoritmo completo.

Le informazioni in commento devono quindi descrivere la procedura e i principi concretamente applicati, in modo che l’interessato possa capire quali dei suoi dati personali sono stati utilizzati nel procedimento automatizzato, e in che modo; soddisfano tali condizioni, ad esempio, le informazioni relative a come una variazione dei dati personali presi in considerazione avrebbe portato ad un risultato diverso.

In merito ai possibili contrasti tra il diritto di accesso e la protezione di segreti industriali, la Corte di Giustizia osserva che la tutela dei dati personali non è una prerogativa assoluta, dovendo essere contemperata con gli altri diritti fondamentali, secondo il principio di proporzionalità; in altre parole, il diritto di accedere ai dati personali raccolti non deve ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale.

In caso di eventuali conflitti, il bilanciamento tra i diritti e le libertà in questione deve essere effettuato dal giudice; in particolare, tale soggetto può richiedere che tali dati gli vengano comunicati, in modo da poter valutare con piena cognizione di causa gli interessi in gioco.
Una volta conclusa la valutazione, da effettuare necessariamente caso per caso, il giudice potrà autorizzare la completa o parziale divulgazione dei dati alla controparte, nel caso in cui ritenga che il diritto di accesso dell’interessato prevalga sul diritto alla tutela di segreti aziendali.