Big Data nell’ecosistema digitale italiano: considerazioni del Garante per la protezione dei dati personali - Big Data, principio di qualità dei dati (e dei processi) e profilazione

Ma pure l’affidabilità e la qualità dei processi di Big Data analysis rappresenta un pre-requisito per tali trattamenti e per la successiva applicazione su larga scala delle “conoscenze” acquisite. In proposito va ricordato che, con specifico riguardo all’attività di profilazione, il Considerando 71 del RGPD evidenzia che “tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, è opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell'interessato e impedisca, tra l’altro, effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell'origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell'appartenenza sindacale, dello status genetico, dello stato di salute o dell'orientamento sessuale, ovvero un trattamento che comporti misure aventi tali effetti”.

Il principio di qualità gioca un ruolo decisivo in relazione all’utilizzo di tecniche di Big Data analytics per la profilazione degli interessati. Il Garante, già prima dell’entrata in vigore del RGPD, era intervenuto in materia di profilazione, ribadendo l’importanza dei principi fondamentali alla base di ogni trattamento ed evidenziando i particolari rischi di una profilazione effettuata tramite Internet.

Con l’entrata in vigore del RGPD la “profilazione” è definita come “qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica”, anche attraverso un tracciamento delle persone fisiche su internet (art. 4 e considerando 24 e 30).

Come noto, tra le caratteristiche principali, che determinano il valore aggiunto dei Big Data rispetto alle tradizionali forme di profilazione, vi è la possibilità di utilizzare dati raccolti in modo automatizzato attraverso l’osservazione dell’interessato –si pensi ai dati relativi al comportamento online attraverso l’impiego dei cookies e altri marcatori relativi ad attività online ovvero ai dati generati dai dispositivi della Internet of Things –e dati inferiti (o derivati), cioè dati che vengono dedotti da altri dati utilizzando tecniche di analisi volte ad individuare correlazioni statistico-probabilistiche ricorrenti un dato dataset.

Pertanto, le tecniche automatizzate di Big Data analytics basate su dati personali possono essere impiegate per identificare trend comportamentali degli interessati e per estrarre conoscenza predittiva, allo scopo di orientare decisioni in riferimento a persone o gruppi. Tale processo determina implicazioni in riferimento al rispetto dei diritti fondamentali, tra i quali il diritto alla vita privata, alla protezione dei dati e alla loro sicurezza, la libertà di espressione e di non discriminazione. In tale ottica le Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione prendono le mosse dall’assunto che l’evoluzione tecnologica, tra cui l’analisi dei Big Data, ha semplificato la possibilità di creare profili degli interessati e decisioni automatizzate sulla base dirisultanze degli algoritmi di profilazione: “i progressi tecnologici e le capacità in materia di analisi dei megadati (big data), intelligenza artificiale e apprendimento automatico hanno reso più facile la creazione di profili e l’adozione di decisioni automatizzate, con potenziali ripercussioni significative sui diritti e sulle libertà delle persone fisiche”.

Il RGPD, anche se non si occupa direttamente di Big Data, prevede disposizioni applicabili a tali ipotesi, volte a fronteggiare i potenziali rischi derivanti dalla profilazione e dal processo decisionale automatizzato e a tutelare i diritti fondamentali degli interessati, ponendo limitazioni nei casi in cui i Big Datapossano avere un impatto significativo sugli individui.

Ai sensi del RGPD, anche la profilazione e i processi decisionali automatizzati devono essere svolti nel rispetto dei principi generali di liceità, correttezza e trasparenza, finalità, minimizzazione, esattezza, limitazione della conservazione e in presenza di una base giuridica per il trattamento (artt. 5 e 6).

Inoltre la profilazione, al pari di ogni altro trattamento, prevede specifici diritti in capo agli interessati, tra i quali il diritto di opposizione e il diritto di “non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona” (art. 21 e 22).

Fonte: Rapporto 2020 AGCOM, AGCM E GARANTE sui Big Data