Un trattamento automatizzato ai fini del GDPR non richiede intelligenza artificiale né una decisione presa da un algoritmo. Conservare e ordinare dati personali in un foglio elettronico, inviare messaggi attraverso un’applicazione o registrare accessi in un sistema può rientrare nel trattamento interamente o parzialmente automatizzato dell’articolo 2. Il concetto è molto più ampio delle decisioni esclusivamente automatizzate disciplinate dall’articolo 22.
La distinzione serve a evitare due errori: ritenere che il GDPR non si applichi perché un dipendente usa manualmente il computer, oppure applicare automaticamente l’articolo 22 a ogni processo digitale. Il testo del GDPR richiede di esaminare separatamente ambito di applicazione, profilazione, decisioni e portabilità. Il risultato utile è una scheda del processo che spieghi quale concetto ricorre e quali verifiche ne derivano.
Partire dal dato personale e dall’operazione
Verificare anzitutto se le informazioni riguardino persone identificate o identificabili. La guida alla definizione di dato personale aiuta a includere identificativi, combinazioni e informazioni indirette. Un codice cliente può restare personale anche se il nome è conservato in un’altra tabella.
L’articolo 4 definisce trattamento come un insieme ampio di operazioni, tra cui raccolta, registrazione, organizzazione, conservazione, consultazione, uso e comunicazione. Il processo non deve produrre una nuova inferenza per rientrarvi. Anche conservare un elenco già compilato da altri può essere un trattamento.
Descrivere poi gli strumenti usati: applicazione, foglio, email, archivio cartaceo, scanner o sistema ibrido. La mappatura dei sistemi e dei flussi permette di ricostruire passaggi manuali e digitali senza attribuire un’unica etichetta all’intera organizzazione.
Capire l’ambito dell’articolo 2
L’articolo 2, paragrafo 1, comprende il trattamento interamente o parzialmente automatizzato e quello non automatizzato di dati contenuti in un archivio o destinati a figurarvi. La forma cartacea, quindi, non esclude automaticamente il GDPR: conta anche l’organizzazione dell’insieme secondo criteri che rendano i dati accessibili.
Un elenco clienti in un foglio elettronico può ricadere nel primo caso anche quando ogni riga è inserita da una persona. Un insieme cartaceo ordinato per cliente può ricadere nel secondo. Per appunti realmente non strutturati, l’analisi dell’archivio richiede fatti concreti; non usare la parola «appunti» per sottrarre un sistema organizzato alle regole.
Vanno inoltre verificati ambito territoriale ed esclusioni pertinenti. L’eccezione per attività esclusivamente personali o domestiche non si estende automaticamente a un’attività professionale svolta da casa. Il supporto e il luogo fisico non risolvono, da soli, la qualificazione.
Distinguere automazione, profilazione e decisione
La profilazione dell’articolo 4, punto 4, è una forma di trattamento automatizzato usata per valutare determinati aspetti personali, per esempio preferenze, comportamento o affidabilità. Un sistema che conserva un indirizzo non sta necessariamente profilando la persona; un sistema che usa attività e acquisti per attribuirle un segmento può richiedere questa analisi.
L’articolo 22 riguarda invece una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogo significativamente. Le tre condizioni devono essere esaminate insieme. Quando ricorrono, opera il divieto generale, salvo una delle tre eccezioni previste dalla norma e le relative garanzie.
La guida alle decisioni automatizzate dell’articolo 22 descrive l’analisi completa. Un intervento umano deve essere significativo rispetto alla decisione: la semplice presenza di una persona che clicca «conferma» non dimostra che l’esito abbia cessato di essere esclusivamente automatizzato.
Usare una tabella di qualificazione del processo
| Processo ipotetico | Automazione | Ulteriore verifica |
|---|---|---|
| Foglio elettronico con contatti clienti | Trattamento almeno parzialmente automatizzato | Finalità, base, accessi e conservazione |
| Invio automatico di promemoria | Operazione automatizzata | Necessità del contenuto e destinatario corretto |
| Segmentazione per preferenze desunte dagli acquisti | Possibile profilazione | Scopo, base, informazione e opposizione pertinente |
| Rifiuto automatico di una domanda con effetto significativo | Possibile articolo 22 | Tutte le condizioni, eccezione e garanzie |
| Valutazione umana informata da un punteggio | Presenza di automazione | Effettività del controllo umano e uso del punteggio |
| Fascicoli cartacei ordinati per persona | Possibile archivio non automatizzato | Ambito dell’articolo 2 e regole applicabili |
La tabella è una prima qualificazione, non un’autorizzazione all’uso. Un processo fuori dall’articolo 22 può comunque essere illecito per mancanza di base giuridica, informativa inesatta o dati eccessivi.
Valutare la portabilità con condizioni proprie
L’articolo 20 collega la portabilità, tra gli altri presupposti, al trattamento effettuato con mezzi automatizzati e a una base fondata sul consenso o sul contratto. Il diritto riguarda i dati forniti dall’interessato nei termini della norma e deve rispettare diritti e libertà altrui. Non ogni dato digitale diventa quindi automaticamente oggetto di portabilità.
La guida EDPB ai diritti permette di confrontare accesso e portabilità. Un file PDF può essere una risposta ad alcuni aspetti di accesso senza soddisfare necessariamente il formato strutturato, di uso comune e leggibile da dispositivo automatico richiesto per la portabilità.
Nella scheda del processo, registrare base giuridica e categorie di dati, così che il referente delle richieste non debba dedurle dal fatto che esista un pulsante di esportazione. La possibilità tecnica di esportare tutto non stabilisce il perimetro giuridico di ogni diritto.
Un esempio: selezione del personale con un foglio di calcolo
Un’impresa ipotetica riceve curriculum e li organizza in un foglio. Il responsabile HR legge le candidature e annota esperienza pertinente. Il trattamento è digitale anche se l’esame dei candidati avviene manualmente. Devono essere valutati base, informazione, accessi e durata, seguendo anche la guida italiana sui curriculum spontanei.
In una seconda versione, il foglio calcola un punteggio e nasconde automaticamente i candidati sotto una soglia. L’organizzazione deve esaminare il ruolo reale della regola: chi valuta i candidati vede anche gli esclusi? Può modificare l’esito? Comprende le ragioni e dispone del tempo necessario? Non basta dichiarare che la decisione finale è «sempre umana» se il sistema impedisce di considerare una parte delle persone.
Prima del cambiamento, il responsabile documenta il nuovo flusso, verifica la necessità dei campi e valuta le conseguenze. La minimizzazione e l’esattezza diventano particolarmente rilevanti quando un errore nel campo produce uno svantaggio nella selezione.
Informare sul trattamento effettivo
Gli articoli 13 e 14 richiedono informazioni coerenti con il trattamento, con elementi specifici per le decisioni automatizzate previste dalla norma. Non inserire una dichiarazione «nessuna decisione automatizzata» per il solo fatto che l’applicazione non usa un modello di intelligenza artificiale.
La trasparenza dell’articolo 12 richiede un testo comprensibile. Descrivere che cosa fa il sistema e come incide sulla persona, evitando dettagli tecnici irrilevanti o formule che nascondono il ruolo del punteggio. Le informazioni devono cambiare quando cambia il processo, non soltanto quando viene sostituito il marchio del software.
Se vengono usate categorie particolari, esaminare anche l’articolo 9 e, nei casi dell’articolo 22, le condizioni aggiuntive del paragrafo 4. La disponibilità di un campo sanitario nel sistema non dimostra che sia necessario o utilizzabile per quella decisione.
Conservare una qualificazione verificabile
La scheda finale dovrebbe indicare dato personale, operazioni, strumenti, eventuale archivio, profilazione, ruolo umano, effetti della decisione e condizioni dei diritti. Per ogni risposta incerta, assegnare una verifica: osservazione del flusso, lettura delle regole, intervista al responsabile o prova con dati sintetici.
L’accountability richiede che le etichette corrispondano a evidenze. Riesaminare la scheda quando compare un nuovo punteggio, un filtro automatico, una soglia o un destinatario. La distinzione tra automazione ordinaria e decisione significativa rimane utile soltanto se descrive il comportamento attuale del servizio.