Validità del consenso al trattamento dei dati e trasparenza degli algoritmi: sono questi i punti cardine di una recentissima ordinanza della Suprema Corte [1] che riafferma un fondamentale principio in materia di privacy.

La vicenda trae spunto dal trattamento dati effettuato da una piattaforma web, finalizzato “all’elaborazione di profili reputazionali concernenti persone fisiche e giuridiche”, mediante il calcolo algoritmico del “rating reputazionale dei soggetti censiti”. Come si avrà modo di illustrare, pur applicando ratione temporis le norme del vecchio Codice Privacy, l’ordinanza in commento si trova comunque in linea col dettato del GDPR.

Il tema di fondo verte, in particolare, sulla conoscibilità e sulla trasparenza dell’algoritmo ai fini di una consapevole prestazione del consenso al trattamento dati da parte dell’interessato. In ciò, il ragionamento della Cassazione va oltre le valutazioni precedentemente svolte dal Tribunale di Roma, basate sulla considerazione che, nel caso di specie, il trattamento dati fosse legittimo in quanto basato sul consenso e dunque “espressione di autonomia privata”.

La Suprema Corte, invece, indaga le ‘qualità’ del consenso e le modalità con cui esso è richiesto e prestato: la validità della prestazione del consenso, elemento necessario ai fini della liceità del trattamento, non può infatti prescindere da una previa informazione “in relazione a un trattamento ben definito nei suoi elementi essenziali”.

“Non può logicamente affermarsi” si legge a tal proposito nell’ordinanza, “che l’adesione a una piattaforma da parte dei consociati comprenda anche l’accettazione di un sistema, che si avvale di un algoritmo, per la valutazione oggettiva di dati personali, laddove non siano resi conoscibili lo schema esecutivo in cui l’algoritmo si esprime e gli elementi all’uopo considerati”.

In altre parole, se il trattamento dei dati personali prevede l’utilizzo di un algoritmo, il funzionamento di quest’ultimo deve essere reso noto all’interessato. E, se ciò non avviene, il consenso eventualmente prestato non sarà considerabile come validamente espresso. La conoscibilità e la trasparenza dell’algoritmo divengono in tal modo requisiti di un consenso valido.

La Suprema Corte ha dunque affermato il seguente principio di diritto: “in tema di trattamento di dati personali, il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato; ne segue che nel caso di una piattaforma web (con annesso archivio informatico) preordinata all’elaborazione di profili reputazionali di singole persone fisiche o giuridiche, incentrata su un sistema di calcolo con alla base un algoritmo finalizzato a stabilire i punteggi di affidabilità, il requisito di consapevolezza non può considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si compone restino ignoti o non conoscibili da parte degli interessati”.

Ciò, come anticipato, risulta coerente con i principi espressi dal GDPR in tema di informativa (artt. 13-14), secondo i quali l’interessato deve essere informato dell’esistenza di un processo decisionale automatizzato (inclusa la profilazione) e, soprattutto, deve ricevere “informazioni significative sulla logica utilizzata”.

Giova inoltre ricordare che, in ambito profilazione, il GDPR prevede significative garanzie per l’interessato: ad es., l’art. 22 – pur con alcune eccezioni – stabilisce in linea di principio che questi ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici che lo riguardano o che incida significativamente sulla sua persona.

Non una novità, dunque, quella affermata dalla Cassazione, ma di certo la conferma – utile soprattutto nella prospettiva di alcune tipologie di servizi digitali – che la trasparenza e la conoscibilità degli algoritmi da parte degli utenti rappresentano elementi fondamentali nella valutazione della validità del consenso al trattamento dei dati personali.
© Graziadei Studio Legale

[1] Corte di Cassazione, sez. I Civile, ordinanza 24 marzo – 25 maggio 2021, n. 14381