Corte di giustizia, Sentenza C-203/22

Diritto di accesso e scoring automatizzato nel RGPD

La pronuncia riguarda un rinvio pregiudiziale del Verwaltungsgericht Wien in una controversia tra CK e l’amministrazione comunale di Vienna, con l’intervento di Dun & Bradstreet Austria GmbH, società specializzata in valutazioni creditizie. Il giudizio nasce da un diniego di contratto di telefonia mobile fondato su uno scoring automatizzato della solvibilità dell’interessata.

Fatti e procedimento principale

CK aveva chiesto accesso alle informazioni relative alla logica usata nel trattamento automatizzato dei suoi dati personali. In un primo procedimento, il Bundesverwaltungsgericht aveva accertato la violazione dell’articolo 15, paragrafo 1, lettera h), RGPD per mancata comunicazione di informazioni significative sulla logica utilizzata. Quando CK ha chiesto l’esecuzione forzata di quella decisione, la domanda è stata respinta; da qui il nuovo giudizio dinanzi al giudice del rinvio.

Il giudice nazionale ha spiegato che, secondo una perizia disposta nel procedimento, per verificare la correttezza delle informazioni e la coerenza dello scoring sarebbero stati necessari dati molto specifici: i dati personali usati, la formula matematica, i valori attribuiti ai fattori e persino esempi di score di altri soggetti calcolati con la stessa regola. Ha quindi chiesto se l’articolo 15, paragrafo 1, lettera h), consenta anche di controllare la veridicità delle informazioni fornite e come debba essere risolto il conflitto con eventuali segreti commerciali.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 15, paragrafo 1, lettera h), RGPD;
• l’articolo 22, paragrafo 3, RGPD;
• l’articolo 12 RGPD, sul principio di trasparenza;
• gli articoli 13 e 14 RGPD, che impongono l’informativa sulle decisioni automatizzate;
• l’articolo 23 RGPD, sulle possibili limitazioni legislative;
• l’articolo 15, paragrafo 4, RGPD, sul rispetto dei diritti altrui;
• la direttiva (UE) 2016/943, in particolare l’articolo 2, punto 1, e l’articolo 9 sui segreti commerciali nei procedimenti giudiziari.

Prima questione: contenuto delle "informazioni significative sulla logica utilizzata"

La Corte chiarisce che l’espressione "informazioni significative sulla logica utilizzata" non richiede la divulgazione integrale dell’algoritmo, ma impone una spiegazione reale e intelligibile della procedura e dei principi concretamente applicati per trattare i dati personali e ottenere il risultato.

In particolare:

• non è sufficiente una formula matematica complessa o la descrizione dettagliata di tutte le fasi tecniche del processo;
• le informazioni devono consentire all’interessato di capire quali suoi dati sono stati usati e in che modo hanno inciso sul risultato;
• nella profilazione, può essere utile spiegare come una variazione dei dati avrebbe portato a un esito diverso.

La Corte valorizza il contesto sistematico del RGPD: l’articolo 15 si collega agli obblighi informativi degli articoli 13 e 14 e al principio di trasparenza dell’articolo 12. Sottolinea inoltre che il diritto di accesso serve all’interessato per verificare la liceità del trattamento e per esercitare i diritti di rettifica, cancellazione, limitazione, opposizione, nonché il diritto di ricorso e risarcimento.

Per questo motivo, il diritto di cui all’articolo 15, paragrafo 1, lettera h), è letto come un vero e proprio diritto alla spiegazione del funzionamento del meccanismo decisionale automatizzato e del risultato ottenuto, come un profilo di solvibilità.

Distinzione tra spiegazione della logica e verifica dei dati

La Corte precisa però che il controllo della correttezza dei dati personali in sé non rientra nella lettera h) dell’articolo 15, bensì nella parte introduttiva del paragrafo 1, che garantisce all’interessato di ottenere conferma e accesso ai dati che lo riguardano. Dunque, la lettera h) riguarda la logica del trattamento e non sostituisce il diritto di accesso ai dati personali o la verifica della loro esattezza.

Seconda linea della decisione: terzi, segreti commerciali e bilanciamento

La Corte affronta poi il problema del conflitto tra diritto di accesso, dati di terzi e segreti commerciali. Richiamando i considerando 4 e 63 RGPD, osserva che la protezione dei dati non è assoluta e deve essere conciliata con altri diritti fondamentali, ma ciò non può tradursi in un diniego generalizzato dell’accesso.

Quando l’esercizio del diritto di accesso potrebbe ledere diritti o libertà altrui, compresi il segreto industriale e aziendale e la proprietà intellettuale:

• occorre un bilanciamento caso per caso;
• se possibile, vanno adottate modalità di comunicazione che limitino l’impatto sui diritti altrui;
• non è consentito uno schema normativo che escluda in via generale l’accesso ogni volta che siano coinvolti segreti commerciali.

La Corte richiama anche la propria giurisprudenza sul fatto che il giudice nazionale può ricevere i dati riservati e decidere, sulla base di una valutazione proporzionata, se e in quale misura comunicarli alla controparte. Lo stesso modello si applica qui: se il titolare ritiene che le informazioni da fornire contengano dati di terzi o segreti commerciali, deve trasmetterli all’autorità di controllo o al giudice competenti, i quali effettuano il bilanciamento e stabiliscono la portata concreta dell’accesso.

Incompatibilità della norma austriaca generale di esclusione

La Corte esclude la compatibilità con il RGPD di una disposizione nazionale come l’articolo 4, paragrafo 6, DSG, nella parte in cui prevede che il diritto di accesso non sussiste, di regola, quando l’accesso espone a rischio un segreto commerciale o aziendale. Una simile regola generalizzata sottrae al giudice o all’autorità il bilanciamento richiesto dal diritto dell’Unione e anticipa in modo definitivo l’esito della ponderazione.

Dispositivo

La Corte risponde che:

• l’articolo 15, paragrafo 1, lettera h), RGPD attribuisce all’interessato il diritto di ottenere una spiegazione della procedura e dei principi concretamente applicati nel processo decisionale automatizzato, in forma pertinente, concisa, trasparente, comprensibile e facilmente accessibile;
• se le informazioni da comunicare contengono dati di terzi o segreti commerciali, il titolare deve comunicarle al giudice o all’autorità di controllo competenti, che bilanciano i diritti e gli interessi in gioco per determinare la portata dell’accesso.

Principi pratici per gli operatori

Per gli avvocati e i consulenti aziendali, la decisione conferma che nei casi di scoring e profilazione:

• il cliente/interessato può pretendere una spiegazione concreta del meccanismo decisionale;
• non basta opporre la complessità dell’algoritmo;
• il segreto commerciale non opera come esenzione automatica;
• il conflitto tra trasparenza e riservatezza va gestito in sede giudiziaria o davanti all’autorità di controllo, con un bilanciamento effettivo e caso per caso.