sentenza Corte UE sul diritto alla spiegazione

La Corte di Giustizia dell’Unione Europea, con sentenza resa nella causa C‑203/22, in data 27 febbraio 2025, si è pronunciata sulla valutazione automatizzata del merito creditizio (credit scoring), con particolare riferimento al diritto dell’interessato ad una spiegazione sulla logica sottesa alla decisione circa la concessione o meno del credito, che gli consenta di comprendere e contestare la decisione automatizzata.

Si ricorda che della tematica affrontata dalla Corte di Giustizia nella sentenza pubblicata, se ne discuterà approfonditamente nel corso del nostro prossimo webinar del 27 marzo 2025, “Il credit scoring nella valutazione di merito creditizio – Tra qualità dei dati e uso dell’intelligenza artificiale“.

Questo il principio di diritto affermato:

1. L’articolo 15, paragrafo 1, lettera h), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), dev’essere interpretato nel senso che in caso di processo decisionale automatizzato, compresa la profilazione, ai sensi dell’articolo 22, paragrafo 1, di tale regolamento, l’interessato può pretendere dal titolare del trattamento, a titolo di «informazioni significative sulla logica utilizzata», che quest’ultimo gli spieghi, mediante informazioni pertinenti e in forma concisa, trasparente, comprensibile e facilmente accessibile, la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato al fine di ottenerne un risultato determinato, come un profilo di solvibilità.
2. L’articolo 15, paragrafo 1, lettera h), del regolamento 2016/679 dev’essere interpretato nel senso che, nell’ipotesi in cui il titolare del trattamento ritenga che le informazioni da fornire all’interessato conformemente a tale disposizione contengano dati di terzi protetti da tale regolamento o segreti commerciali, ai sensi dell’articolo 2, punto 1, della direttiva 2016/943 (UE) del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know‑how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti, detto titolare è tenuto a comunicare tali informazioni asseritamente protette all’autorità di controllo o al giudice competenti, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 di tale regolamento.

Secondo la Corte, in sintesi, il titolare del trattamento deve descrivere la procedura e i principi concretamente applicati nella valutazione circa il merito creditizio del cliente, in modo tale che l’interessato possa comprendere quali dei suoi dati personali sono stati utilizzati, e in che modo, nel processo decisionale automatizzato (come quello di credit scoring): ad esempio, informando l’interessato se, e come, una variazione dei dati personali presi in considerazione avrebbe condotto a un risultato diverso; la semplice comunicazione di un algoritmo non sarebbe, invece, una spiegazione sufficientemente concisa e comprensibile.

Il titolare del trattamento, inoltre, qualora ritenga che le informazioni da fornire contengano dati protetti di terzi o segreti commerciali, deve comunicare tali informazioni asseritamente protette all’autorità di controllo o al giudice competenti, i quali sono tenuti a ponderare i diritti e gli interessi in gioco, al fine di determinare la portata del diritto di accesso dell’interessato a tali informazioni: il GDPR osta all’applicazione di una disposizione nazionale che esclude, di regola, il diritto di accesso in questione, qualora quest’ultimo comprometta un segreto commerciale del titolare del trattamento o di un terzo.

Sul diritto alla spiegazione della decisione automatizzata

La Corte ricorda che nel contesto di un processo decisionale fondato esclusivamente su un trattamento automatizzato (come quello di credit scoring), lo scopo del diritto dell’interessato di ottenere le informazioni previste all’art. 15, par. 1, lett. h), del GDPR è quello di consentirgli di esercitare in modo efficace i diritti riconosciutigli dall’art. 22, par. 3, di tale regolamento, ovvero di esprimere il suo punto di vista su tale decisione e quello di contestarla: se le persone su cui incide una decisione automatizzata, compresa la profilazione, non fossero in grado di comprendere le ragioni che hanno condotto a tale decisione prima di esprimere il loro punto di vista o di contestarla, tali diritti non potrebbero adempiere pienamente al loro scopo di proteggere tali persone dai rischi specifici per i loro diritti e le loro libertà derivanti dal trattamento automatizzato dei loro dati personali.

Dall’esame delle finalità dell’art. 15 menzionato si evince infatti che il diritto di ottenere “informazioni significative sulla logica utilizzata” in un processo decisionale automatizzato (come quello di credit scoring), ai sensi di tale disposizione, deve essere inteso come un diritto alla spiegazione della procedura e dei principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali dell’interessato al fine di ottenerne un risultato specifico, come un profilo di solvibilità: per consentire all’interessato di esercitare in modo efficace i diritti riconosciutigli dal GDPR e, in particolare, dall’art. 22, par. 3, tale spiegazione deve essere fornita mediante informazioni pertinenti e in forma concisa, trasparente, intelligibile e facilmente accessibile.

Non può soddisfare tali requisiti per la Corte né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato del tipo credit scoring, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile: come si evince dalle linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del Regolamento (UE) 2016/679, adottate il 3 ottobre 2017 dal gruppo di lavoro istituito dall’art. 29 della Direttiva 95/46 (nella versione emendata e adottata il 6 febbraio 2018), da un lato, il titolare del trattamento dovrebbe trovare modi semplici per comunicare all’interessato la logica o i criteri sui quali si basa l’adozione della decisione; dall’altro, il GDPR impone al titolare del trattamento di fornire informazioni significative sulla logica utilizzata, “ma non necessariamente una spiegazione complessa degli algoritmi utilizzati o la divulgazione dell’algoritmo completo”.

Con specifico riguardo alla profilazione, il giudice del rinvio potrebbe, in particolare, considerare sufficientemente trasparente e comprensibile il fatto di informare l’interessato di come una variazione a livello dei dati personali presi in considerazione avrebbe portato a un risultato diverso.

Credit scoring, fra diritto alla spiegazione e tutela del segreto commerciale

La Corte ricorda che, ai sensi del considerando 4 del GDPR, il diritto alla protezione dei dati personali non è una prerogativa assoluta e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità; tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni.

Infatti, l’art. 23, par. 1, lett. i), di tale regolamento prevede, in sostanza, che una limitazione della portata degli obblighi e dei diritti previsti in particolare all’art. 15 di quest’ultimo è possibile solo qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare la tutela dei diritti e delle libertà altrui: la Corte aveva già avuto occasione di rilevare che la sua applicazione non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software, per cui, in caso di conflitto tra l’esercizio del diritto di accesso pieno e completo ai dati personali e i diritti o le libertà altrui, occorre effettuare un bilanciamento tra i diritti e le libertà in questione.

La Corte precisa, in accordo con le conclusioni dell’Avvoca Generale, che quando le informazioni da fornire all’interessato ai sensi del diritto di accesso garantito dall’art. 15 citato del GDPR possano comportare una violazione dei diritti e delle libertà altrui, poiché contengono dati personali di terzi protetti da detto regolamento o un segreto commerciale, ai sensi dell’art. 2, punto 1, della direttiva 2016/943, tali informazioni devono essere comunicate all’autorità di controllo o al giudice competente, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato ai dati personali che lo riguardano.

La Corte, richiamando la sentenza SCHUFA Holding e a. (Scoring), C-634/21, ricorda che uno Stato membro non può stabilire in modo definitivo l’esito della ponderazione caso per caso dei diritti e degli interessi in gioco imposta dal diritto dell’Unione.