DATI PERSONALI. LA CORTE DI GIUSTIZIA SI PRONUNCIA SULL’ACCESSO ALLE INFORMAZIONI SIGNIFICATIVE SULLA LOGICA UTILIZZATA NELLA PROFILAZIONE

In data 27 febbraio 2025, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C‑203/22, CK contro Magistrat der Stadt Wien, sull’interpretazione dell’articolo 15, paragrafo 1, lettera h), e dell’articolo 22 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)[1] nonché dell’articolo 2, punto 1, della Direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti[2]. Tale domanda era stata presentata nell’ambito di una controversia tra CK e il Magistrat der Stadt Wien (amministrazione comunale della città di Vienna) in merito all’esecuzione forzata di una decisione giurisdizionale che ingiungeva alla Bisnode Austria GmbH, divenuta Dun & Bradstreet Austria GmbH (“D&B”), un’impresa specializzata in valutazioni creditizie, di fornire a CK informazioni significative sulla logica utilizzata nella profilazione relativa ai suoi dati personali.

Questi i fatti.

CK si era visto negare, da parte di un operatore di telefonia mobile, la conclusione o la proroga di un contratto di telefonia in quanto, in base ad una valutazione automatizzata della sua qualità creditizia effettuata dalla D&B, non aveva una sufficiente solvibilità finanziaria. CK, pertanto, aveva adito l’autorità austriaca per la protezione dei dati, la quale aveva ingiunto alla D&B di comunicargli le informazioni significative sulla logica utilizzata nel processo decisionale automatizzato basato sui suoi dati personali. Di conseguenza, la D&B aveva proposto ricorso dinanzi al Bundesverwaltungsgericht (Corte amministrativa federale), che in data 23 ottobre 2019 aveva dichiarato che l’impresa, con la sua condotta, aveva violato il GDPR.

Nonostante la decisione fosse divenuta definitiva ed esecutiva in virtù del diritto austriaco, la relativa domanda di esecuzione forzata, presentata da CK, era stata respinta all’amministrazione comunale di Vienna in quanto la D&B aveva sufficientemente adempiuto ai suoi obblighi ai sensi del GDPR, anche se non aveva fornito ulteriori informazioni dopo l’adozione della stessa decisione. CK, pertanto, si era rivolto al Verwaltungsgericht Wien (Tribunale amministrativo di Vienna; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia sei questioni pregiudiziali.

Con questioni prima e seconda nonché con la terza questione, sub a), il giudice del rinvio chiedeva se l’articolo 15, paragrafo 1, lettera h)[3], del GDPR debba essere interpretato nel senso che, in caso di processo decisionale automatizzato, compresa la profilazione, ai sensi dell’articolo 22, paragrafo 1[4], di tale regolamento, l’interessato può pretendere dal titolare del trattamento, a titolo di “informazioni significative sulla logica utilizzata”, una spiegazione esaustiva della procedura e dei principi concretamente applicati per usare, con mezzi automatizzati, i suoi dati personali al fine di ottenerne un determinato risultato, quale un profilo di solvibilità.

La Corte ha preliminarmente ricordato che la formulazione dell’articolo 15, paragrafo 1, lettera h), del GDPR riguarda qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un determinato risultato. Alla luce del requisito di trasparenza delle informazioni comunicate[5] previsto dal GDPR, inoltre, queste ultime devono essere fornite in forma concisa, trasparente, comprensibile e facilmente accessibile. Il diritto di accesso previsto all’articolo 15 del GDPR, infine, deve consentire all’interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito[6], di modo che egli possa esercitare, se del caso, il suo diritto alla rettifica, quello alla cancellazione, quello alla limitazione di trattamento, quello di opposizione al trattamento dei suoi dati personali nonché quello di agire in giudizio e di ottenere un risarcimento[7].

Tutto ciò premesso, nel contesto specifico di un processo decisionale fondato esclusivamente su un trattamento automatizzato, lo scopo principale del diritto dell’interessato di ottenere le informazioni previste all’articolo 15, paragrafo 1, lettera h), del GDPR è quello di consentirgli di esprimere il suo punto di vista su tale decisione e quello di contestarla. Più particolarmente, qualora sia oggetto di una decisione adottata unicamente sulla base di un trattamento automatizzato e che incida significativamente sulla sua persona, l’interessato deve avere il diritto di ottenere una spiegazione in merito a tale decisione, ciò che si traduce in un vero e proprio diritto alla spiegazione sul funzionamento del meccanismo alla base di un processo decisionale automatizzato di cui tale interessato è stato oggetto e sul risultato a cui detta decisione ha condotto. Di conseguenza, il diritto di ottenere “informazioni significative sulla logica utilizzata” in un processo decisionale automatizzato, ai sensi dell’articolo 15, paragrafo 1, lettera h), del GDPR deve essere inteso come un diritto alla spiegazione della procedura e dei principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali dell’interessato al fine di ottenerne un risultato specifico, come un profilo di solvibilità. Ciò che non può essere soddisfatto né con la semplice comunicazione di una formula matematica complessa, come un algoritmo, né con la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile.

Con la terza questione, sub b) e c), con la quarta questione, sub a) e b), e con la quinta e la sesta questione, invece, il giudice del rinvio chiedeva se l’articolo 15, paragrafo 1, lettera h), del GDPR debba essere interpretato nel senso che, nell’ipotesi in cui ritenga che le informazioni da fornire all’interessato conformemente a tale disposizione contengano dati di terzi protetti da tale regolamento o segreti commerciali, ai sensi dell’articolo 2, punto 1[8], della Direttiva 2016/943, il titolare del trattamento è tenuto a comunicare queste ultime all’autorità di controllo o al giudice competente, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 del GDPR.

La Corte ha preliminarmente ricordato che il diritto di ogni interessato di accedere ai dati personali raccolti che lo riguardano non dovrebbe ledere i diritti o le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, e segnatamente quelli d’autore che tutelano il software[9]. Una limitazione della portata degli obblighi e dei diritti previsti in particolare all’articolo 15 del GDPR, tuttavia, è possibile solo qualora rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare la tutela dei diritti e delle libertà altrui. A tale riguardo, un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco. Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che ciò non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47[10] della Carta[11].

Tutto ciò premesso, la Corte ha pertanto statuito che:

“L’articolo 15, paragrafo 1, lettera h), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), dev’essere interpretato nel senso che in caso di processo decisionale automatizzato, compresa la profilazione, ai sensi dell’articolo 22, paragrafo 1, di tale regolamento, l’interessato può pretendere dal titolare del trattamento, a titolo di «informazioni significative sulla logica utilizzata», che quest’ultimo gli spieghi, mediante informazioni pertinenti e in forma concisa, trasparente, comprensibile e facilmente accessibile, la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato al fine di ottenerne un risultato determinato, come un profilo di solvibilità.

L’articolo 15, paragrafo 1, lettera h), del regolamento 2016/679 dev’essere interpretato nel senso che nell’ipotesi in cui il titolare del trattamento ritenga che le informazioni da fornire all’interessato conformemente a tale disposizione contengano dati di terzi protetti da tale regolamento o segreti commerciali, ai sensi dell’articolo 2, punto 1, della direttiva 2016/943 (UE) del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know‑how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti, detto titolare è tenuto a comunicare tali informazioni asseritamente protette all’autorità di controllo o al giudice competenti, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 di tale regolamento”.

Scarica l’articolo