La disciplina della profilazione interamente automatizzata costituisce, all’interno del GDPR, uno dei punti nei quali più intensamente si manifesta la tensione tra sviluppo tecnologico, razionalità economica e salvaguardia dei diritti fondamentali.
Indice degli argomenti
La profilazione interamente automatizzata tra opacità algoritmica e tutela rafforzata dell’interessato
L’art. 22, nel vietare in via di principio che una persona sia sottoposta a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, quando essa produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona, esprime una presa d’atto normativa di una trasformazione profonda: la decisione che incide sull’individuo può oggi essere prodotta da procedure computazionali caratterizzate da enorme capacità di elaborazione, elevata velocità operativa e, soprattutto, da un grado di imperscrutabilità tale da sottrarre l’interessato alla comprensione dei meccanismi che lo riguardano. In questo contesto, il paragrafo 3 della disposizione assume un valore sistematico che non può essere ridotto a una mera clausola accessoria di chiusura del regime derogatorio. Esso prevede infatti, nei casi in cui la decisione automatizzata sia stata giustificata su base contrattuale o consensuale, il diritto dell’interessato a ottenere misure appropriate volte a tutelare i propri diritti, le proprie libertà e i propri legittimi interessi, e impone che siano garantiti almeno tre diritti minimi: il diritto di ottenere l’intervento umano da parte del titolare del trattamento, il diritto di esprimere la propria opinione e il diritto di contestare la decisione.
Già sul piano letterale, tali prerogative segnalano che il legislatore europeo non considera sufficiente, ai fini della legittimità del trattamento, la sola sussistenza di una base giuridica formale. Anche quando la decisione algoritmica rientri in una delle ipotesi eccezionali previste dal par. 2, permane l’esigenza di preservare un nucleo essenziale di partecipazione, di contraddittorio e di controllo umano, senza il quale l’interessato finirebbe per essere degradato a oggetto di una valutazione tecnica che lo riguarda, ma alla cui formazione egli resta sostanzialmente estraneo. Il problema, in altri termini, non è soltanto quello della liceità astratta del trattamento, ma quello della sua compatibilità con una concezione personalistica e costituzionalmente orientata della protezione dei dati personali. La profilazione algoritmica, infatti, non si limita a raccogliere o ordinare informazioni già esistenti: essa produce nuovi dati, elabora correlazioni, formula inferenze, costruisce rappresentazioni sintetiche della persona e, talvolta, ne anticipa il comportamento futuro. È proprio questa capacità di trasformare dati grezzi in valutazioni predittive o classificatorie che rende particolarmente acuto il rischio di uno squilibrio strutturale tra titolare del trattamento e interessato.
La crescente complessità degli strumenti di profilazione fa sì che la partecipazione dell’interessato, la quale dovrebbe costituire il cardine di ogni disciplina che pretenda di tutelare l’autodeterminazione informativa, tenda a essere relativizzata o persino esclusa. Il paradosso è evidente: colui che è il principale attore del trattamento, nel senso che ne subisce gli effetti più intensi, è spesso il soggetto meno in grado di comprenderne il funzionamento, di apprezzarne la portata e di incidere sul suo esito. Per questa ragione, l’analisi delle basi giuridiche astrattamente utilizzabili per procedere alla profilazione automatizzata non può essere condotta in modo neutro o formalistico. Essa rappresenta, al contrario, il primo passaggio necessario per comprendere le relazioni, le convergenze e i momenti di frizione tra la normativa ordinaria sulla privacy e i principi costituzionali che la informano e che, in una prospettiva assiologicamente coerente, dovrebbero precederla e orientarla. L’obiettivo non è soltanto ricostruire la disciplina positiva, ma verificare se e in che misura le deroghe al divieto di profilazione automatizzata possano essere interpretate in modo conforme alla dottrina dei diritti fondamentali. Ne consegue che il contenuto essenziale delle basi giuridiche previste dall’art. 22, par. 2, deve essere individuato alla luce della funzione di tutela che il sistema del GDPR intende assolvere, evitando che esse si trasformino in canali ordinari di legittimazione di pratiche potenzialmente lesive della dignità, della libertà e dell’eguaglianza sostanziale dell’interessato.
Il contratto come base giuridica della profilazione: una opzione strutturalmente problematica
La prima deroga prevista dall’art. 22, par. 2, lett. a), consente la decisione basata unicamente sul trattamento automatizzato quando essa sia necessaria alla conclusione o all’esecuzione di un contratto tra il titolare del trattamento e l’interessato. Il rinvio implicito è alla base giuridica generale di cui all’art. 6, par. 1, lett. b), GDPR. E tuttavia, proprio con riferimento alla profilazione, l’utilizzo della base contrattuale appare costituzionalmente e sistematicamente assai discutibile. La ragione è semplice: il requisito della necessità, se interpretato correttamente, impone una lettura rigorosa e oggettiva della disposizione, incompatibile con la tendenza, emersa nella prassi di mercato soprattutto nel settore delle piattaforme digitali, a dilatare il contenuto del contratto fino a ricomprendere trattamenti che rispondono primariamente all’interesse economico del titolare (Lagiola et al., 2021, 383).
Il caso più frequente e, per certi versi, paradigmatico è quello del rapporto tra una piattaforma social e il suo utente. In tale rapporto esiste, indubbiamente, un contratto per la creazione e l’utilizzo di un account. L’utente ottiene l’accesso a un servizio che, almeno apparentemente, è gratuito; in cambio, mette a disposizione una serie di dati personali che saranno poi utilizzati, spesso su larga scala, per finalità pubblicitarie. Ma da ciò non può farsi discendere, quasi automaticamente, che qualsiasi trattamento di profilazione sia necessario all’esecuzione del contratto. Il punto decisivo è che il contratto giustifica solo i trattamenti strettamente necessari alla sua esecuzione e che la necessità, nel quadro del GDPR, deve essere determinata in modo puramente oggettivo: il trattamento può dirsi necessario soltanto quando le obbligazioni principali del contratto non possano essere adempiute senza di esso (EDPB, Linee guida 2/2019). In un contratto di acquisto, ad esempio, saranno necessari la gestione del pagamento, la verifica dei dati di spedizione, l’organizzazione della consegna del bene. In un contratto di servizio, sarà necessario il trattamento che consente l’erogazione della prestazione dovuta. Ma la profilazione, soprattutto quando si traduce nella creazione di un profilo esteso dell’utente ai fini della pubblicità comportamentale o di ulteriori forme di monetizzazione dei dati, non appare riconducibile a tale schema.
Qui interviene un ulteriore elemento sistematico, rappresentato dal divieto di collegamento ex art. 7, par. 4, GDPR, il quale impedisce che il consenso – ma, più in generale, l’accesso a un rapporto giuridico – sia condizionato a trattamenti non necessari rispetto allo scopo dichiarato. Ne deriva che la qualificazione della profilazione come trattamento contrattualmente necessario non può fondarsi sul semplice rilievo che essa è utile, redditizia o addirittura centrale per il modello di business della piattaforma. La logica economica del titolare non coincide con la logica giuridica del requisito di necessità. Se si ammettesse il contrario, si finirebbe per svuotare di significato la distinzione tra trattamenti indispensabili all’esecuzione del contratto e trattamenti ulteriori, consentendo ai titolari di ridefinire unilateralmente l’oggetto del contratto in funzione dei propri interessi commerciali.
Per questa ragione, la dottrina più attenta e le autorità di controllo hanno progressivamente chiarito che la profilazione può dirsi necessaria per l’esecuzione del contratto solo in ipotesi del tutto eccezionali. Una prima ipotesi è quella in cui la creazione del profilo costituisca essa stessa l’oggetto del contratto, sicché il trattamento profilativo coincide con la prestazione dedotta in contratto. Una seconda ipotesi, ancora più limitata, è quella in cui la profilazione, pur non essendo la prestazione principale, risulti comunque indispensabile per l’esecuzione del rapporto. Al di fuori di tali casi, il ricorso alla base contrattuale appare forzato.
Profilazione per marketing e scoring
La necessità va sempre valutata caso per caso, soprattutto con riferimento alle due grandi tipologie di profilazione che dominano la prassi: la profilazione per finalità di marketing e quella a fini di scoring. Nel primo caso, è possibile immaginare che, se il fornitore di un programma si impegna a concedere sconti calibrati sugli interessi del cliente, la determinazione dei singoli sconti avvenga mediante attività di profilazione e che quest’ultima, in quella misura specifica, possa dirsi necessaria all’esecuzione del contratto. Ma è evidente che, anche in simili circostanze, la necessità non potrebbe estendersi alla costruzione di un profilo generale e onnivoro, capace di investire aspetti ulteriori della personalità dell’interessato. Una simile profilazione si distaccherebbe in modo irragionevole dallo scopo del contratto, trasformando una prestazione circoscritta in una occasione di sorveglianza commerciale generalizzata.
Nel caso dello scoring, il problema si presenta in termini in parte diversi, poiché la valutazione predittiva interviene di regola prima della stipula del contratto. Ciò è particolarmente evidente nel settore del credito o delle assicurazioni, ove il trattamento automatizzato è impiegato per decidere se concedere un mutuo, una linea di credito o una polizza, nonché a quali condizioni. Qui l’elemento dirimente è legato non tanto al contenuto del futuro contratto, quanto al soggetto legittimato a effettuare lo scoring. Se la valutazione è condotta da chi ha o sta per avere un rapporto contrattuale diretto con l’interessato, la questione si pone in termini diversi rispetto all’ipotesi in cui siano coinvolte terze parti, come agenzie di credito o intermediari informativi che operano su un piano separato dal rapporto negoziale. Anche in questa materia, dunque, la base contrattuale non può essere invocata in modo generalizzato, ma richiede una delimitazione rigorosa.
La prassi delle piattaforme digitali
L’evoluzione della prassi applicativa conferma tale impostazione. Dopo alcuni tentativi particolarmente controversi, le stesse grandi piattaforme sembrano aver preso atto dell’impossibilità di utilizzare la base contrattuale per giustificare la profilazione pubblicitaria. Poco dopo l’entrata in vigore del GDPR, Facebook aveva riformulato le proprie informative, ricomprendendo di fatto gran parte dell’attività di profilazione per finalità di pubblicità personalizzata tra le attività necessarie all’esecuzione del contratto. Il ragionamento sotteso era lineare nella sua semplicità: poiché il servizio è gratuito e poiché l’advertisement ne finanzia l’erogazione, la pubblicità personalizzata sarebbe da considerarsi parte del rapporto contrattuale. E tuttavia proprio questa tesi è stata rapidamente delegittimata dall’opera interpretativa delle autorità nazionali di protezione dei dati e dell’EDPB, in particolare attraverso le Linee guida n. 2/2019. Secondo tali orientamenti, l’interesse dell’interessato a prevenire una perdita di controllo sui propri dati supera l’interesse del titolare a ottenere ricavi pubblicitari marginalmente superiori (Cfr. Garante privacy, provvedimento (d’urgenza) del 7 luglio 2022, doc. web. 9788429; ma anche Bundeskartellamt, B6-22/16 – Fallbericht del 15 febbraio 2019 (Das Bundeskartellamt untersagt Facebook die Zusammenführung von Nutzerdaten aus verschiedenen Quellen – Pressemitteilung), Rn. 642). La formula è particolarmente eloquente, perché chiarisce che la questione non è soltanto tecnico-contrattuale, ma riguarda un bilanciamento tra interessi che ha una evidente radice costituzionale. In altri termini, il contratto non può diventare il veicolo attraverso cui normalizzare trattamenti di profilazione che, per la loro invasività, richiedono invece un titolo più rigoroso e una protezione rafforzata.
L’autorizzazione del diritto dell’Unione o dello Stato membro: oltre la lettura meramente formalistica
Se la base contrattuale mostra con evidenza i propri limiti, non meno delicata è l’interpretazione della seconda deroga prevista dall’art. 22, par. 2, lett. b), relativa ai casi in cui la profilazione sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento. Una lettura formal-positivistica della disposizione potrebbe indurre a ritenere che l’esistenza di una fonte normativa, europea o interna, sia di per sé sufficiente a legittimare la profilazione interamente automatizzata. In tale prospettiva, basterebbe rinvenire una base legislativa o regolamentare per ritenere superato il divieto di cui al par. 1. Una simile conclusione, tuttavia, non regge a un’analisi sistematica del GDPR e, soprattutto, non è compatibile con la struttura sostanziale del diritto fondamentale alla protezione dei dati personali.
Il valore autentico della disposizione si ricava, in larga misura, dai Considerando 71 e 72, i quali chiariscono che l’autorizzazione normativa non esaurisce il problema, ma ne costituisce soltanto il presupposto formale. Tali Considerando rimettono infatti alle istituzioni dell’Unione, e in particolare all’EDPB e alle autorità nazionali di vigilanza, il potere di elaborare regolamenti, raccomandazioni e orientamenti di principio sulle misure necessarie a tutela dei diritti, delle libertà e dei legittimi interessi del cittadino. In questo senso, la valutazione concreta delle deroghe autorizzate dal diritto dell’Unione o interno non può essere ridotta alla verifica dell’esistenza di una copertura normativa. Essa deve essere affidata a un’opera esegetico-interpretativa, e per certi versi anche creativa, delle autorità di controllo, sulle quali incombe l’onere di specificare quali regole, quali cautele e quali misure tecniche e organizzative siano necessarie per rendere compatibile la profilazione con la tutela dei diritti fondamentali.
È significativa, sotto questo profilo, una particolare indicazione contenuta nel Considerando 71, là dove si afferma che può ritenersi legittimo un trattamento automatizzato finalizzato, ad esempio, al monitoraggio e alla prevenzione delle frodi e dell’evasione fiscale, oppure a garantire la sicurezza e l’affidabilità di un servizio fornito dal titolare del trattamento. Il GDPR, in tal modo, apre esplicitamente a una serie di ipotesi di scoring pubblico o privato che presentano una evidente rilevanza pratica e che confermano come il problema non sia quello di escludere in assoluto la decisione algoritmica, ma di sottoporla a un regime di controllo sostanziale. Ciò vale, in maniera particolarmente evidente, per i sistemi automatizzati di valutazione del rischio fiscale o di individuazione di anomalie nei comportamenti dei contribuenti, nei quali è forte l’interesse pubblico all’efficienza amministrativa, ma altrettanto forte è il rischio di una profilazione presuntiva, eccessiva o discriminatoria.
Il ruolo del Garante nella profilazione fiscale
Tra le autorità di protezione dei dati, quella italiana si è distinta, per precocità e profondità, nel definire un quadro di garanzie e di parametri alla luce dei quali gli atti normativi autorizzativi devono essere interpretati. Ciò è avvenuto meno attraverso strumenti generali di soft law e più attraverso singoli provvedimenti adottati in sede consultiva o decisoria. Di particolare rilievo, in questa prospettiva, sono la verifica preliminare relativa al disegno di legge sulla cosiddetta anagrafe tributaria (GPDP, Sperimentazione di una procedura basata sull’utilizzo di informazioni fornite dall’Archivio dei rapporti finanziari e degli elementi presenti nell’Anagrafe tributaria per l’individuazione di profili di evasione rilevanti – 20 luglio 2017, n. 321 del 20 luglio 2017, doc. web n. 6843736), nonché i pareri resi nel 2019 (GPDP, Parere del n. 58 del 14 marzo 2019, doc. web n. 9106329) e nel 2021 (GPDP, Parere del 22 dicembre 2021, doc. web n. 9738520) sui sistemi automatizzati sviluppati dall’Agenzia delle Entrate per individuare i profili di rischio evasione dei singoli contribuenti, con estensione ai successivi anni d’imposta. In tali occasioni, il Garante ha operato un bilanciamento particolarmente significativo tra le legittime esigenze di contrasto all’evasione fiscale e il diritto dei cittadini a non essere assoggettati a illegittime profilazioni fondate su rappresentazioni presuntive, parziali o distorte della loro situazione economica.
I criteri ricavabili da tali interventi sono particolarmente istruttivi. In primo luogo, si afferma l’esigenza che l’ingente massa di dati a disposizione dell’amministrazione sia protetta contro accessi non autorizzati, ponendo così al centro il principio di sicurezza. In secondo luogo, si insiste sulla qualità dei dati e sulla necessità di verificarne l’esattezza, evitando che informazioni imprecise o non aggiornate alimentino inferenze erronee. In terzo luogo, si richiede che le elaborazioni logiche siano monitorate attraverso forme di human-in-the-loop, proprio per prevenire rappresentazioni fuorvianti della situazione del contribuente e per garantire i principi di correttezza e trasparenza. Infine, si prescrive all’amministrazione di fornire al contribuente una informativa completa e accurata, nonché di instaurare un formale contraddittorio nel caso in cui il sistema lo abbia selezionato come soggetto a rischio. Siamo, in altre parole, di fronte a una vera e propria concretizzazione amministrativa del nucleo garantistico di cui all’art. 22, par. 3: la decisione algoritmica non è lasciata a sé stessa, ma è inglobata in una cornice di verificabilità, partecipazione e controllo umano.
Il controllo sostanziale sulla base normativa
Se si volesse trarre una linea interpretativa comune da questi interventi, si dovrebbe sottolineare che la semplice riserva di legge non basta per rendere legittima la profilazione. Le parole «autorizzate dal diritto» non significano soltanto che la misura debba avere una base nel diritto dell’Unione o interno; impongono altresì che la pubblica amministrazione, le autorità di controllo e, quando necessario, il giudice, nel momento in cui applicano, valutano o sindacano uno specifico atto autorizzativo, siano tenuti a effettuare un controllo di qualità e di proporzionalità dello stesso alla luce dei principi generali del GDPR e delle garanzie specifiche previste per la profilazione interamente automatizzata. Si tratta di un passaggio essenziale. Il diritto alla protezione dei dati personali, specie quando è in gioco la profilazione, non si lascia racchiudere in una dimensione puramente procedurale o legalistica. Esso opera come criterio di conformazione sostanziale dell’azione pubblica e privata. I principi di minimizzazione, esattezza, correttezza, trasparenza e limitazione della finalità non rappresentano semplici regole tecniche del trattamento, ma traducono in linguaggio regolatorio valori costituzionali di ben più ampio respiro.
Da qui la possibilità di sostenere che la protezione dei dati personali sottoposti a profilazione sia caratterizzata da una forma di rafforzamento e amplificazione della tutela, giustificata dagli interessi superiori che entrano in gioco (Cerrina Feroni, 2022). La particolare invasività della profilazione, la sua attitudine a incidere sull’identità digitale e sociale della persona e la sua capacità di orientarne l’accesso a opportunità, servizi e risorse spiegano perché le garanzie del GDPR debbano essere lette come espressione di un effetto radiante del diritto fondamentale alla protezione dei dati. In questa prospettiva si comprende anche la logica della Drittwirkung: i diritti fondamentali non operano soltanto verticalmente nei rapporti tra individuo e potere pubblico, ma irradiano effetti anche nei rapporti tra privati, imponendo ai titolari del trattamento, comprese le piattaforme digitali, un obbligo di conformazione del proprio assetto organizzativo e delle proprie pratiche contrattuali.
Consenso, specificazione della finalità e limiti strutturali della consapevolezza dell’utente
Se la base contrattuale appare, nella generalità dei casi, costituzionalmente discutibile e se l’autorizzazione normativa non può essere letta in chiave meramente formalistica, la terza base giuridica prevista dall’art. 22, par. 2, lett. c), vale a dire il consenso dell’interessato, assume nel sistema europeo una centralità particolare. Proprio per questo, tuttavia, essa esige una analisi particolarmente rigorosa. La dimensione istituzionale di quello che potrebbe definirsi un diritto fondamentale a non essere profilato investe direttamente il consenso, imponendo di interrogarsi sulle condizioni che devono essere soddisfatte affinché esso possa dirsi realmente informato e, dunque, idoneo a fungere da base di legittimazione di un trattamento tanto invasivo.
Il problema si concentra, anzitutto, sul momento in cui il consenso è prestato e sul contenuto informativo che lo accompagna. La profilazione, infatti, presenta una peculiarità decisiva: essa genera nuovi dati personali sull’interessato, il cui contenuto non è ancora noto al momento della raccolta dei dati di partenza. Il soggetto profilato conosce, almeno in astratto, i dati originari che fornisce o che vengono raccolti su di lui; ma non conosce né i dati intermedi, risultanti dall’aggregazione e dalla correlazione di tali informazioni, né quelli finali, costituiti dalle inferenze, dalle valutazioni o dalle previsioni che il sistema produrrà. Si apre qui una questione classica ma tutt’altro che risolta: come può l’interessato prestare un consenso realmente informato a un trattamento che, per sua natura, produce esiti conoscitivi non pienamente anticipabili ex ante?
La risposta non può essere affidata a formule generiche o a informative volutamente vaghe. È noto che la profilazione non trova il proprio scopo in sé stessa. La definizione di cui all’art. 4, n. 4, GDPR descrive la profilazione come un trattamento automatizzato di dati personali finalizzato a valutare, analizzare o prevedere determinati aspetti personali di una persona fisica. Ma proprio questa definizione mostra che, ai fini della legittimità del trattamento, non è sufficiente indicare la categoria astratta dell’operazione. Occorre invece specificarne la finalità ulteriore e concreta, in coerenza con il principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b), GDPR. Solo se la finalità preponderante è formulata nel modo più preciso possibile l’interessato può comprendere in misura adeguata come i suoi dati saranno trattati.
Qui il ruolo dell’informativa diviene decisivo. Perché il consenso sia valido, data l’invasività del trattamento, non sembra poter bastare la sola indicazione della tipologia generale di finalità perseguita, ad esempio il “miglioramento della pubblicità personalizzata nel servizio Y”. Una formula siffatta è eccessivamente ampia e indeterminata: potrebbe ricomprendere sia un sistema di raccomandazione commerciale circoscritto, come quello impiegato da una piattaforma di e-commerce per suggerire prodotti coerenti con acquisti già effettuati, sia pratiche assai più pervasive, come la costruzione di profili politico-comportamentali volti a prevedere le intenzioni di voto degli elettori. Eppure è evidente che i due trattamenti, pur formalmente ricondotti alla macro-categoria della “personalizzazione”, sono radicalmente diversi quanto a profondità intrusiva, impatto sui diritti e rischi sistemici. Di qui la necessità che l’indicazione delle finalità del trattamento comprenda non soltanto l’esplicita menzione dell’uso della profilazione, ma anche la sua concretizzazione: quali dati grezzi vengono utilizzati, in relazione a quali servizi, con quale ampiezza, per produrre quali tipi di inferenze o classificazioni.
A ciò si aggiunge la necessità di spiegare il funzionamento essenziale del processo di profilazione, in modo tale da consentire all’interessato di comprendere, almeno in termini fondamentali, la logica del trattamento e la portata della diffusione informativa che lo riguarda. Non si tratta, evidentemente, di pretendere una descrizione tecnica completa dell’algoritmo o la divulgazione di segreti industriali, ma di rendere conoscibili gli aspetti essenziali dell’operazione: quali categorie di dati sono messe in relazione, quali variabili sono prese in considerazione, quali aspetti della personalità – tra quelli richiamati dall’art. 4, n. 4, GDPR – si intendono analizzare, prevedere o valutare, e quali conseguenze pratiche ciò può avere per l’interessato (Lorenz, 2021, 159 ss). Solo una simile informazione, sufficientemente concreta e specifica, è idonea a fondare un consenso effettivamente libero e informato.
Il consenso non come autorizzazione in bianco
Vi è tuttavia un secondo profilo, ancora più delicato, che dimostra come la consapevolezza dell’utente, pur necessaria, non sia sempre sufficiente. Anche laddove il consenso sia formalmente valido, la struttura stessa della profilazione può rendere particolarmente fragile la posizione dell’interessato. La disparità cognitiva e informativa tra titolare e soggetto profilato, la complessità degli ecosistemi digitali, la continua rielaborazione dei dati nel tempo e la tendenza alla combinazione di molteplici fonti informative fanno sì che il consenso rischi di trasformarsi in un atto iniziale incapace di presidiare effettivamente l’intero ciclo di vita del trattamento. In altre parole, la validità del consenso non può essere pensata come una autorizzazione in bianco, ma deve essere accompagnata da una disciplina delle finalità e da obblighi di trasparenza particolarmente stringenti.
Per questa ragione, appare del tutto illegittimo tentare di aggirare il problema del mancato consenso mediante il ricorso alla base dell’interesse legittimo, specialmente nei casi di pubblicità comportamentale personalizzata. In questo ambito, il grado di tracciamento e di osservazione sistematica dell’utente è generalmente considerato talmente elevato, invasivo e diffuso da richiedere un trattamento rafforzato. Il GDPR, pur non escludendo in astratto l’interesse legittimo come base generale di trattamento in altre ipotesi, non consente di utilizzarlo come surrogato del consenso quando il trattamento ecceda le ragionevoli aspettative dell’interessato, come chiarisce lo stesso Considerando 47. Il punto è di particolare rilievo perché la disciplina dei servizi digitali, pur intervenendo sotto molteplici profili sul funzionamento delle piattaforme, non fornisce una base giuridica alternativa per la profilazione dei destinatari dei servizi: resta dunque fermo che la liceità del trattamento deve essere verificata alla luce del GDPR.
La prassi degli ultimi anni conferma in modo netto questa impostazione. I tentativi di grandi operatori digitali, come TikTok e Meta, di fondare la pubblicità personalizzata sull’interesse legittimo in luogo del consenso sono stati prontamente respinti dalle autorità di garanzia (v. GPDP, Linee guida sui cookie e altri strumenti di tracciamento del 10 giugno 2021 (doc. web. 9677876) e provv. (d’urgenza) del 7 luglio 2022 (doc. web. 9788429). Ma v. anche l’Autorità norvegese (Datatilsynet), 14 luglio 2023. A livello comunitario, si v. EDBP, 27 ottobre 2023 che invita l’autorità irlandese a vietare illegittimo interesse come base giuridica su tutto il territorio europeo, cosa che poi è avvenuta con il provvedimento della DPC del 10 novembre 2023). La ragione di tale rigetto è evidente: in presenza di attività di profilazione commerciale particolarmente pervasive, il consenso non è un titolo sostituibile con un bilanciamento unilaterale operato dal titolare. Esso costituisce, piuttosto, la prima linea di difesa dell’interessato e la conditio sine qua non di una pratica che, proprio per la sua capacità di incidere sui comportamenti, sulle preferenze e sulle opportunità dell’individuo, richiede una legittimazione forte e specifica.
Le garanzie dell’art. 22, par. 3, come chiave di lettura sostanziale delle deroghe
Se si considera congiuntamente il regime delle deroghe e il contenuto delle garanzie previste dall’art. 22, par. 3, emerge con chiarezza che la disciplina della profilazione interamente automatizzata non può essere interpretata secondo una logica di mera eccezione formale. Al contrario, il paragrafo 3 costituisce la chiave di lettura sostanziale dell’intero articolo. La previsione del diritto a misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, insieme alle garanzie minime dell’intervento umano, dell’espressione della propria opinione e della contestazione della decisione, mostra che il legislatore europeo non intende tollerare zone franche di automazione decisionale sottratte a controllo umano, trasparenza e partecipazione.
L’intervento umano, innanzitutto, non può essere inteso come una clausola meramente ornamentale. Esso deve tradursi nella possibilità concreta che una persona fisica, appartenente all’organizzazione del titolare e dotata di effettivi poteri di valutazione e revisione, riesamini criticamente la decisione automatizzata, verificandone il fondamento, la correttezza e la ragionevolezza. Analogamente, il diritto di esprimere la propria opinione e di contestare la decisione non può essere ridotto a una facoltà simbolica, ma implica l’esistenza di un contraddittorio reale, nel quale l’interessato possa far valere elementi correttivi, spiegazioni contestuali, dati sopravvenuti o circostanze non considerate dal sistema. Si tratta, in fondo, della trasposizione in ambiente digitale di un principio molto tradizionale: nessuna decisione incidente significativamente sulla persona dovrebbe essere sottratta alla possibilità di essere compresa, discussa e riesaminata.
Proprio qui si coglie il significato più profondo della rilettura costituzionalmente orientata delle basi giuridiche della profilazione interamente automatizzata. I principi e le garanzie del GDPR non sono semplicemente regole tecniche del trattamento o clausole di equilibrio tra interessi di mercato. Essi rappresentano la traduzione, sul piano del diritto orizzontale e della regolazione tecnologica, di valori costituzionali più ampi: la dignità della persona, la libertà di autodeterminazione, il principio di eguaglianza, il divieto di arbitrarietà, il diritto al contraddittorio, la tutela contro decisioni opache e incontrollabili. Quando la profilazione interviene a orientare l’accesso a beni, servizi, opportunità economiche o relazioni sociali, il problema della protezione dei dati si salda con quello della posizione costituzionale della persona nell’ambiente digitale.
Per questa ragione, le deroghe di cui all’art. 22, par. 2, non possono essere interpretate estensivamente. Esse devono essere lette restrittivamente, come eccezioni a un divieto posto a tutela di beni fondamentali, e devono essere sottoposte a un controllo di compatibilità sostanziale con il nucleo essenziale dei diritti coinvolti. La base contrattuale non può essere piegata alle esigenze di monetizzazione dei dati; l’autorizzazione normativa non basta se non è accompagnata da misure adeguate, proporzionate e verificabili; il consenso, per essere valido, richiede una informazione davvero specifica e comprensibile e, anche quando sussiste, non elimina la necessità di cautele ulteriori. Il paragrafo 3, in questa prospettiva, non si limita a “compensare” le deroghe, ma ne rivela la struttura: nessuna deroga è concepita dal GDPR come un lasciapassare incondizionato all’automazione decisionale.
Considerazioni conclusive
L’esame delle basi giuridiche della profilazione interamente automatizzata conferma che la disciplina europea, se letta nel suo insieme, non autorizza affatto una normalizzazione della decisione algoritmica fondata soltanto sulla presenza di un titolo formale di liceità. Al contrario, il GDPR costruisce un sistema nel quale la profilazione resta fenomeno eccezionale, tollerabile solo entro limiti rigorosi e a condizione che siano predisposte garanzie sostanziali capaci di preservare la centralità dell’interessato. La capacità computazionale e l’opacità dei sistemi di profilazione fanno sì che il problema non sia soltanto quello del controllo sui dati, ma quello della salvaguardia della posizione della persona nel procedimento decisionale che la riguarda. È questo il motivo per cui la disciplina dell’art. 22, e soprattutto del suo paragrafo 3, non può essere interpretata in modo isolato o riduttivo.
La base contrattuale, lungi dal costituire un comodo fondamento generale della profilazione, si rivela utilizzabile solo in casi eccezionali, nei quali il trattamento sia strettamente e oggettivamente necessario alla conclusione o all’esecuzione del rapporto. L’autorizzazione del diritto dell’Unione o dello Stato membro, a sua volta, non può essere intesa come un mero schermo legalistico, ma richiede un costante controllo di qualità e proporzionalità affidato alle autorità di vigilanza, all’amministrazione e, se del caso, al giudice. Il consenso, infine, pur restando la base giuridica principale in ambito europeo, non è un atto taumaturgico: la sua validità dipende dalla possibilità di specificare in modo sufficientemente determinato le finalità della profilazione, di spiegare il funzionamento essenziale del processo e di rendere percepibile la portata delle inferenze che esso produce. In assenza di tali condizioni, il consenso si riduce a formula vuota e il trattamento perde la sua base di legittimazione.
Sotto questo profilo, può dirsi che la profilazione interamente automatizzata costituisca uno dei luoghi nei quali il diritto fondamentale alla protezione dei dati personali manifesta più chiaramente il proprio effetto radiante. Le regole del GDPR non sono semplicemente il risultato di una tecnica regolatoria neutra, ma la proiezione orizzontale di valori costituzionali che esigono di essere rispettati anche nelle relazioni tra privati e nei modelli organizzativi delle piattaforme. L’amplificazione della tutela, giustificata dalla particolare pericolosità delle decisioni algoritmiche, trova qui la propria ragione ultima. In tal senso, l’art. 22, par. 3, non è soltanto una disposizione di garanzia, ma il punto in cui il diritto europeo afferma che, anche nell’ambiente digitale e perfino là dove l’automazione promette efficienza, la persona non può essere espulsa dal processo decisionale che la riguarda. Se questa centralità viene meno, non si è di fronte a una mera criticità tecnica del trattamento, ma a una lesione dell’assetto costituzionale dei rapporti tra potere informazionale e libertà individuale.
Bibliografia
Cerrina Feroni G., Intelligenza artificiale e protezione dei dati personali: percorsi di analisi, in G. Cerrina Feroni, C. Fontana, E. Raffiotta (a cura di), Ai Antology, Bologna, Il Mulino, 2022, 23-46.
D’Ippolito, G., Profilazione e pubblicità targettizzata online, Napoli, ESI, 2021.
Gatti A., Profilazione e diritti fondamentali. Modelli a confronto: Europa, USA, America latina, Napoli, ES, 2025.
Lagiola F., Sartor G., Simoncini A., Art. 22, in D’Orazio, G. Finocchiaro, O. Pollicino, G. Resta (a cura di), Codice della Privacy e Data protection, Milano, Giuffré, 2021, 378-390.
Lorentz N., Profiling, – Persönlichkeitsschutz durch Datenschutz? Eine Standortbestimmung nach Inkrafttreten der DSGVO, Tübingen, Mohr Siebeck, 2020.
Malgieri G., Automated Decision-making in the EU Member States. The Right explanation and other “Suitable Safeguards” in the National Legislation, in Computer Law & Security Review, 35, 1, 2019, 1-26.
Singer, N., Why you don’t know how Facebook uses your data, in Seattletimes.com, 11 aprile 2018.
Trozzi S., Il principio di finalità di trattamento dei dati personali alla prova dei recenti sviluppi in tema di intelligenza artificiale: il caso ChatGPT e la neuroprivacy, in Federalismi.it, 1, 2024, 197-231.
EDPB, Linea guida 2/2019 sul trattamento di dati personali ai sensi dell’articolo 6, paragrafo 1, lettera b), del regolamento generale sulla protezione dei dati nel contesto della fornitura di servizi online agli interessati.
Partecipa alla community