Page 16 - Rassegna 2021-4

DOTTRINA

(12)
l’obbligo di fornire agli interessati una specifica informativa sull’intero ciclo
di vita dei dati personali raccolti e trattati. In particolare, l’informativa deve con-
tenere informazioni/notizie circa l’eventuale esecuzione di un processo decisio-
nale automatizzato e, almeno in tali casi, informazioni significative sulla logica
utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per
gli interessati.

La trasparenza nei confronti degli interessati è ulteriormente assicurata dal
diritto di accesso riconosciuto dall’articolo 15 GDPR che prevede, a sua volta,
la necessità di ricevere informazioni relative all’esistenza di eventuali processi
decisionali automatizzati e, anche in questo caso, informazioni significative sulla
logica utilizzata, nonché l’importanza e le conseguenze previste di tale tratta-
mento per il richiedente l’accesso.
In applicazione di tali disposizioni, il Consiglio di Stato ha chiarito che
quando una Pubblica Amministrazione decida di avvalersi del meccanismo
attraverso il quale si concretizza la decisione robotizzata, ovvero l’algoritmo, questo debba
essere “conoscibile”, secondo una declinazione rafforzata del principio di trasparenza, che

implica anche quello della piena conoscibilità di una regola espressa in un linguaggio differente
da quello giuridico. Sussiste quindi la necessità che la “formula tecnica”, che di fatto rappre-
senta l’algoritmo, sia corredata da spiegazioni che la traducano nella “regola giuridica” ad
(13)
essa sottesa e che la rendano leggibile e comprensibile .
Altra importante disposizione presa come riferimento dai Giudici di
Palazzo Spada è l’art. 22 GDPR che pone un generale divieto di adottare
(14)
decisioni basate unicamente sul trattamento automatizzato (cioè senza l’inter-
vento umano), sulle persone, compresa la profilazione, che producano effetti

giuridici che li riguardano o che incidano in modo analogo significativamente.
(15)
Invero, lo stesso articolo 22 prevede alcune eccezioni a tale regola , ma anche
(12) L’art. 4, paragrafo 1, n. 1, definisce come “interessato” (o data subject): la persona fisica iden-
tificata o identificabile.
(13) Vengono riportate in corsivo le espressioni testuali della Sentenza in esame.
(14) Le Linee guida sul processo decisionale automatizzato WP251 rev. 01 adottate dal WP29 il
6 ottobre 2018 chiariscono che il termine “diritto” riportato al paragrafo 1 dell’art. 22 GDPR
si applica soltanto se invocato attivamente dall’interessato. La norma stabilisce un divieto
generale nei confronti del processo decisionale basato unicamente sul trattamento automa-
tizzato e tale divieto si applica indipendentemente dal fatto che l’interessato intraprenda
un’azione in merito al trattamento dei propri dati personali.
(15) Il paragrafo 2 dell’art. 22 GDPR prevede come eccezioni al divieto i casi in cui la decisione:
a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un tito-
lare del trattamento;
b) sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del
trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi
interessi dell’interessato;
c) si basi sul consenso esplicito dell’interessato.

14