L’articolo 22 GDPR stabilisce un divieto generale di decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente sulla persona, salvo le tre eccezioni previste dal paragrafo 2. Il divieto opera senza che l’interessato debba prima presentare una richiesta. Per applicarlo occorre ricostruire la decisione reale, l’effetto e il ruolo dell’intervento umano. La presenza di un algoritmo non basta da sola a risolvere la qualificazione; neppure una firma finale dimostra automaticamente una valutazione umana significativa.
Il punto di partenza è il testo dell’articolo 22, letto insieme alle linee guida WP29 recepite dall’EDPB. Questa guida segue il percorso operativo della decisione automatizzata: delimitare il sistema, verificare le condizioni, identificare eventuali eccezioni e predisporre garanzie utilizzabili dalla persona interessata.
Rappresentare la decisione dal dato all’effetto
Descrivete dati in ingresso, elaborazioni, punteggio o classificazione, azione conseguente e destinatario dell’esito. Includete fornitori e componenti esterne. Un’organizzazione può ricevere un punteggio da un altro soggetto e usarlo in modo determinante: il fatto di non aver sviluppato l’algoritmo non elimina la necessità di comprendere il processo.
Indicate chi stabilisce regole, soglie e conseguenze. Annotate se il risultato blocca una richiesta, modifica una condizione contrattuale o seleziona persone per una successiva valutazione. La descrizione dovrebbe consentire a un referente del servizio di confermare ciò che accade, senza dipendere soltanto dal nome commerciale del prodotto.
La mappatura dei sistemi e dei flussi aiuta a individuare dove viene assunta la decisione. Separate questo esame dalla semplice definizione di trattamento automatizzato: molte operazioni informatiche trattano dati senza produrre una decisione che rientra nelle condizioni dell’articolo 22.
Verificare i tre elementi della qualificazione
La prima domanda è se esista una decisione riferita alla persona. La seconda è se sia basata unicamente su un trattamento automatizzato. La terza riguarda effetti giuridici o un’incidenza analogamente significativa. Documentate le risposte con fatti sul processo, evitando una casella unica «usa intelligenza artificiale» che non descrive nessuno di questi elementi.
L’effetto deve essere valutato nel contesto. Un esito che incide su accesso a un servizio, opportunità professionali o condizioni economiche può richiedere un esame diverso da un ordinamento di contenuti privo di conseguenze comparabili. Considerate durata, reversibilità, vulnerabilità degli interessati e possibilità concreta di ottenere un’alternativa.
Se il sistema non rientra nell’articolo 22, rimangono gli altri obblighi GDPR pertinenti: base giuridica, correttezza, trasparenza, minimizzazione, esattezza e sicurezza. L’analisi non deve trasformarsi in un tentativo di uscire dall’intero Regolamento attraverso una qualificazione negativa su un singolo articolo.
Esaminare l’intervento umano effettivo
Identificate la persona che interviene, le informazioni disponibili e il potere di modificare l’esito. Verificate tempo, competenze e istruzioni. Un operatore che deve approvare centinaia di risultati senza poterli contestare difficilmente svolge la stessa funzione di chi esamina elementi ulteriori e può assumere una decisione diversa.
Chiedete esempi documentati di casi nei quali il risultato automatico è stato corretto o non seguito. Non imponete una percentuale artificiale di discostamenti: l’obiettivo è comprendere se il potere sia reale. Analizzate anche incentivi e procedure, perché un’autonomia formale può essere svuotata da obiettivi che penalizzano ogni deviazione.
La scheda del controllo umano dovrebbe precisare quando interviene, quali errori può rilevare e come registra la motivazione. Se il sistema cambia, il referente deve verificare se il controllo rimanga efficace. Una modifica della soglia o dell’interfaccia può rendere invisibili informazioni che prima consentivano una valutazione autonoma.
Valutare le eccezioni previste dal Regolamento
L’articolo 22, paragrafo 2, prevede esattamente tre eccezioni: decisione necessaria per la conclusione o l’esecuzione di un contratto; decisione autorizzata dal diritto dell’Unione o dello Stato membro applicabile al titolare, che preveda misure adeguate di tutela; decisione basata sul consenso esplicito dell’interessato. La loro applicazione richiede un ragionamento concreto. Il fatto che l’automazione sia più economica o veloce non dimostra da solo che una decisione unicamente automatizzata sia necessaria per concludere o eseguire un contratto.
Per il consenso, valutate i requisiti di validità e le conseguenze del rifiuto. La guida al consenso GDPR aiuta a distinguere libertà, specificità e informazione. Non inserite un’accettazione indistinta di condizioni e automazione in una casella obbligatoria, presumendo che ciò risolva la questione.
Quando sono coinvolte categorie particolari di dati, l’articolo 22, paragrafo 4, limita le decisioni ammesse dal paragrafo 2 ai casi in cui si applichi l’articolo 9, paragrafo 2, lettera a), sul consenso esplicito, oppure la lettera g), sul rilevante interesse pubblico, e siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato. Le altre condizioni dell’articolo 9 non bastano per questa specifica disposizione. Collegate la valutazione alla matrice dell’articolo 9, mantenendo distinti i diversi presupposti.
Predisporre garanzie che la persona possa utilizzare
Nei casi fondati sulla necessità contrattuale o sul consenso esplicito, l’articolo 22, paragrafo 3, richiede misure adeguate che comprendano almeno il diritto di ottenere l’intervento umano del titolare, esprimere la propria opinione e contestare la decisione. Nei casi autorizzati dalla legge, le misure adeguate di tutela devono essere previste dalla norma che autorizza la decisione. Il canale deve essere riconoscibile e raggiungere personale con competenze e poteri adeguati. Una casella che risponde automaticamente ripetendo l’esito non offre lo stesso risultato di un riesame effettivo.
Definite le informazioni necessarie a comprendere la contestazione, evitando richieste eccessive di documenti. Registrate fatti nuovi, errori segnalati, verifiche e conclusione. Se il problema riguarda un dato inesatto, il processo di rettifica deve raggiungere anche i sistemi o i fornitori che alimentano la decisione.
Verificate la possibilità di sospendere o limitare gli effetti mentre viene esaminata una situazione, quando necessario nel contesto applicabile. Il processo deve spiegare chi decide e quali misure sono disponibili. La garanzia non dovrebbe dipendere dalla capacità dell’interessato di conoscere il nome tecnico del modello o di citare correttamente l’articolo.
Informare in modo comprensibile
Le informazioni devono descrivere il trattamento e, nei casi previsti, fornire indicazioni significative sulla logica utilizzata, l’importanza e le conseguenze previste. Evitate spiegazioni soltanto matematiche o formule vaghe come «usiamo tecnologie avanzate per migliorare il servizio». La persona deve poter capire quali elementi incidono sulla decisione e quali possibilità ha di agire.
Coordinate informativa, interfaccia e risposta alle richieste. Se il sito promette una valutazione umana ma il processo la prevede soltanto dopo una contestazione, correggete la descrizione o il funzionamento. La trasparenza dell’articolo 12 riguarda anche forma e accessibilità delle comunicazioni.
Per una richiesta di accesso, il referente deve sapere come raccogliere le informazioni pertinenti dal fornitore senza esporre dati di altre persone. La protezione di segreti commerciali richiede un esame equilibrato, non un rifiuto standard di ogni spiegazione sul trattamento dei dati dell’interessato.
Collegare valutazione dei rischi e controllo del sistema
Esaminate necessità di una DPIA in relazione ai criteri applicabili. Considerate conseguenze di errori, dati non rappresentativi, informazioni obsolete e difficoltà di contestazione. Il rischio riguarda le persone coinvolte, non soltanto l’accuratezza media del sistema o il vantaggio economico per l’organizzazione.
| Elemento del fascicolo | Evidenza operativa |
|---|---|
| Decisione | Flusso dall’ingresso dei dati all’effetto |
| Qualificazione | Analisi delle condizioni dell’articolo 22 |
| Presupposto | Motivazione dell’eccezione eventualmente applicata |
| Controllo umano | Ruolo, informazioni, potere e tracciabilità |
| Garanzie | Canale di contestazione e riesame |
| Monitoraggio | Errori, reclami e modifiche del processo |
Riesaminate il fascicolo quando cambiano dati, soglie, destinatari o modalità di intervento umano. Anche un aggiornamento del fornitore può modificare il significato dell’esito. Conservate le versioni necessarie a ricostruire una decisione contestata e assegnate un referente alle azioni correttive. L’obiettivo è poter dimostrare come il sistema decide, quali limiti presenta e come una persona può ottenere una valutazione effettiva della propria situazione.
Per collaudare il percorso, costruite un caso di esercitazione con un dato chiaramente inesatto e seguite la contestazione fino all’esito. Verificate che l’operatore riesca a individuare la fonte dell’errore, correggere l’informazione pertinente e ottenere una nuova valutazione senza riprodurre automaticamente il risultato precedente. Annotate quali passaggi richiedono il fornitore e quali tempi tecnici sono necessari. Questo esercizio consente di scoprire garanzie soltanto nominali, come un pulsante di ricorso che apre una richiesta priva delle informazioni necessarie al riesame, o una correzione locale che viene sovrascritta alla successiva importazione.