Corte di giustizia, Sentenza C-634/21

Scoring creditizio automatizzato e articolo 22 RGPD

La pronuncia, resa in sede di rinvio pregiudiziale dal Verwaltungsgericht Wiesbaden, riguarda la compatibilità con il RGPD dell'attività di scoring svolta da una società di informazioni commerciali. La Corte si è concentrata sul punto se il calcolo automatizzato di un tasso di probabilità sulla solvibilità futura, quando sia determinante per la decisione di un terzo, rientri nel divieto del processo decisionale automatizzato.

Fatti e procedimento principale

OQ aveva ottenuto un punteggio negativo elaborato dalla SCHUFA Holding AG, società privata che fornisce ai propri partner informazioni sul merito creditizio di terzi. A seguito di tale punteggio, un terzo le aveva negato un prestito; OQ aveva quindi chiesto alla SCHUFA informazioni sui dati personali registrati e la cancellazione di quelli asseritamente errati. La SCHUFA aveva comunicato il livello del punteggio e una spiegazione generale del metodo di calcolo, ma aveva rifiutato di rivelare i fattori specifici e la loro ponderazione, invocando il segreto commerciale. Dopo il rigetto del reclamo da parte dell'autorità di controllo del Land Assia (HBDI), OQ aveva proposto ricorso davanti al giudice amministrativo tedesco ai sensi dell'articolo 78, paragrafo 1, RGPD.

Questioni pregiudiziali

Il giudice del rinvio chiedeva in sostanza:

• se il calcolo automatizzato di un tasso di probabilità sulla capacità futura di pagamento costituisca già una decisione automatizzata ai sensi dell'articolo 22, paragrafo 1, RGPD, quando il punteggio è trasmesso a un terzo che lo utilizza in modo decisivo;
• in subordine, se gli articoli 6, paragrafo 1, e 22 RGPD ostino a una normativa nazionale che disciplini lo scoring con ulteriori condizioni di liceità.

Normativa rilevante

La Corte richiama in particolare:

• il considerando 71 RGPD, che descrive la profilazione e i rischi connessi alle decisioni automatizzate;
• l'articolo 4, punto 4, RGPD, sulla definizione di profilazione;
• gli articoli 5 e 6 RGPD, sui principi applicabili e sulla liceità del trattamento;
• gli articoli 13, 14 e 15 RGPD, che impongono specifici obblighi informativi e un diritto di accesso rafforzato in caso di decisioni automatizzate;
• l'articolo 22 RGPD, che sancisce il diritto di non essere sottoposti a una decisione fondata unicamente su trattamento automatizzato;
• l'articolo 78, paragrafo 1, RGPD, sul ricorso giurisdizionale avverso le decisioni dell'autorità di controllo;
• l'articolo 31 del BDSG tedesco, che disciplina lo scoring e le condizioni per l'uso di tassi di probabilità.

Ricevibilità

La Corte respinge le eccezioni di irricevibilità sollevate dalla SCHUFA. Precisa che il ricorso ex articolo 78, paragrafo 1, RGPD avverso una decisione vincolante dell'autorità di controllo è ammissibile e che le questioni sollevate non sono ipotetiche, poiché attengono direttamente al criterio giuridico da applicare nella controversia principale.

Ragionamento della Corte sulla prima questione

La Corte ricostruisce l'articolo 22, paragrafo 1, RGPD alla luce del suo testo, del contesto e delle finalità di tutela.

1. Nozione ampia di "decisione"

La Corte osserva che la nozione di "decisione" non è definita in modo ristretto dal regolamento e può comprendere anche atti che incidono significativamente sull'interessato senza produrre effetti giuridici diretti. Il considerando 71 conferma che il termine copre anche la valutazione di aspetti personali e, a titolo esemplificativo, il rifiuto automatico di una domanda di credito online. Pertanto, anche il risultato di un calcolo di solvibilità espresso in forma di punteggio può costituire una decisione.

2. Profilazione e trattamento automatizzato

È pacifico che lo scoring effettuato dalla SCHUFA rientri nella nozione di "profilazione" di cui all'articolo 4, punto 4, RGPD, in quanto utilizza dati personali per valutare la situazione economica e l'affidabilità di una persona. La condizione del trattamento unicamente automatizzato è quindi soddisfatta.

3. Incidenza significativa sul soggetto interessato

Secondo gli accertamenti del giudice del rinvio, il punteggio trasmesso alla banca è determinante per l'esito della decisione contrattuale. In tali circostanze, il calcolo del tasso di probabilità incide quantomeno in modo significativamente analogo sulla persona dell'interessato, e quindi soddisfa anche il terzo requisito dell'articolo 22, paragrafo 1.

Ratio della soluzione adottata

La Corte sottolinea che un'interpretazione restrittiva, secondo cui solo la decisione finale del terzo e non il calcolo del punteggio rientrerebbe nell'articolo 22, creerebbe una lacuna di tutela: l'interessato non potrebbe esercitare in modo effettivo i diritti informativi e di contestazione contro la società che elabora il punteggio, mentre il terzo che decide potrebbe non disporre delle informazioni tecniche necessarie. La lettura estensiva evita così un rischio di elusione del divieto e garantisce la protezione effettiva perseguita dal RGPD.

Effetti della qualificazione ai sensi dell'articolo 22 RGPD

Una volta qualificato come decisione automatizzata, il calcolo dello score è vietato in linea di principio, salvo una delle eccezioni dell'articolo 22, paragrafo 2:

• necessità per la conclusione o esecuzione di un contratto;
• autorizzazione del diritto dell'Unione o dello Stato membro, con misure adeguate di tutela;
• consenso esplicito dell'interessato. Inoltre, devono essere rispettate le garanzie dell'articolo 22, paragrafi 3 e 4, e gli obblighi informativi di cui agli articoli 13, 14 e 15 RGPD.

Rapporti con il diritto nazionale e con gli articoli 5 e 6 RGPD

La Corte chiarisce che, anche quando uno Stato membro adotti una base giuridica ai sensi dell'articolo 22, paragrafo 2, lettera b), il trattamento deve comunque rispettare gli articoli 5 e 6 RGPD. Gli Stati membri non possono introdurre norme che autorizzino la profilazione in contrasto con i requisiti del regolamento o che fissino in modo definitivo il bilanciamento degli interessi quando si invoca il legittimo interesse ex articolo 6, paragrafo 1, lettera f). La Corte rimette al giudice nazionale la verifica se l'articolo 31 BDSG costituisca una valida base giuridica compatibile con il RGPD.

Decisione e dispositivo

La Corte risponde alla prima questione affermando che il calcolo automatizzato di un tasso di probabilità sulla capacità futura di pagamento, effettuato da una società di informazioni commerciali, costituisce un processo decisionale automatizzato ai sensi dell'articolo 22, paragrafo 1, RGPD quando il punteggio sia determinante per la decisione contrattuale di un terzo. Poiché tale risposta assorbe la seconda questione, la Corte dichiara che non occorre esaminarla.

Principi affermati

La pronuncia consolida due punti essenziali:

• lo scoring creditizio automatizzato può, da solo, integrare una decisione automatizzata vietata dal RGPD;
• l'interpretazione dell'articolo 22 deve essere ampia per assicurare una tutela effettiva dell'interessato e prevenire forme di elusione attraverso la frammentazione del processo decisionale tra più soggetti.