Diritto a non subire decisioni automatizzate

Cos’è

Il diritto di non essere sottoposto a decisioni automatizzate è il diritto di non subire decisioni basate unicamente su un trattamento automatizzato (algoritmi, intelligenza artificiale) che producono effetti giuridici o che incidono in modo significativo sulla tua persona.

In sintesi: «Un algoritmo, da solo, non può decidere del mio destino».

Perché il diritto si applichi devono ricorrere tutti questi elementi:

• una decisione (non una semplice raccomandazione);
• basata unicamente su un automatismo (nessun intervento umano significativo);
• con un effetto giuridico o comunque significativo sulla persona.

La profilazione

La definizione

Il GDPR (Art. 4.4) la definisce come qualsiasi forma di trattamento automatizzato di dati personali per valutare aspetti personali: rendimento professionale, situazione economica, salute, preferenze, interessi, affidabilità, comportamento, ubicazione.

Esempi di profilazione

• Credit scoring (affidabilità creditizia)
• Behavioral scoring nelle assicurazioni
• Selezione del personale automatizzata (screening dei CV con l’IA)
• Rilevamento delle frodi bancarie
• Polizia predittiva
• Segmentazione di marketing

Quando è lecita

La profilazione in sé è lecita se:

• ✓ c’è il consenso o un’altra base giuridica;
• ✓ l’informativa è chiara (esistenza, logica, conseguenze);
• ✓ non produce decisioni automatizzate ai sensi dell’Art. 22 (o rientra nelle eccezioni).

È illecita se:

• ✕ riguarda dati sensibili senza le condizioni dell’Art. 9.2;
• ✕ produce decisioni automatizzate senza intervento umano;
• ✕ mancano l’informativa o il consenso.

Le 3 eccezioni: quando la decisione automatizzata è lecita (Art. 22.2)

L’Art. 22.1 vieta le decisioni puramente automatizzate, ma l’Art. 22.2 prevede tre eccezioni.

a) Necessaria per un contratto (Art. 22.2.a)

La decisione automatizzata è necessaria per concludere o eseguire un contratto.

Esempi leciti

• Approvazione automatica di un finanziamento di piccolo importo (sotto i 5.000 €) secondo una policy standard.
• Calcolo automatico del premio di un’assicurazione online su parametri oggettivi.

Non necessaria

• Il rifiuto automatico di un mutuo: la banca può sempre inserire una revisione umana.

Interpretazione: è un’eccezione restrittiva, da usare raramente.

b) Autorizzata dalla legge (Art. 22.2.b)

Una legge dell’Unione o nazionale la prevede espressamente, con misure di tutela adeguate.

Esempi

• Algoritmi antifrode bancari (normativa antiriciclaggio, con garanzie di ricorso).
• Sistemi automatici di calcolo delle imposte.

c) Consenso esplicito (Art. 22.2.c)

L’interessato ha dato il proprio consenso esplicito alla decisione automatizzata. Il consenso deve essere:

• specifico: riferito a quella decisione;
• informato: deve spiegare la logica e le conseguenze;
• libero: revocabile;
• univoco: espresso con un’azione positiva chiara.