GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

A. Profilazione
Il regolamento definisce la profilazione all’articolo 4, punto 4, come:

qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilita', il comportamento, l’ubicazione o gli spostamenti di detta persona fisica.

La profilazione e' costituita da tre elementi:

• deve essere una forma di trattamento automatizzato;
• deve essere effettuata su dati personali;
• il suo obiettivo deve essere quello di valutare aspetti personali relativi a una persona fisica.

L’articolo 4, punto 4, fa riferimento a “qualsiasi forma di trattamento automatizzato” e non al trattamento “unicamente” automatizzato (di cui all’articolo 22). La profilazione deve implicare una qualche forma di trattamento automatizzato, sebbene il coinvolgimento umano non comporti necessariamente l’esclusione dell’attivita' dalla definizione.

La profilazione e' una procedura che puo' implicare una serie di deduzioni statistiche. Spesso viene impiegata per effettuare previsioni su persone usando dati provenienti da varie fonti per dedurre qualcosa su una persona in base alle qualita' di altre persone che sembrano statisticamente simili.

Il regolamento afferma che la profilazione e' il trattamento automatizzato di dati personali per valutare determinati aspetti personali, in particolare per analizzare o prevedere aspetti riguardanti persone fisiche. L’uso del verbo “valutare” suggerisce che la profilazione implichi una qualche forma di valutazione o giudizio in merito a una persona.

La semplice classificazione di persone basata su caratteristiche note quali eta', sesso e altezza non determina necessariamente una profilazione. Quest’ultima dipende infatti dalla finalita' della classificazione.
Ad esempio, un’azienda potrebbe voler classificare i propri clienti in base all’eta' o al sesso per finalita' statistiche e per acquisire una panoramica aggregata dei propri clienti senza effettuare previsioni o trarre conclusioni in merito a una persona specifica. In questo caso, la finalita' non e' la valutazione delle caratteristiche individuali e quindi non si tratta di profilazione.

Il regolamento si ispira alla definizione di profilazione di cui alla raccomandazione CM/Rec (2010)13 del Consiglio d’Europa ma non la riprende tale e quale, infatti la raccomandazione esclude il trattamento che non include la deduzione. Tuttavia, la raccomandazione spiega in maniera utile che la profilazione puo' comportare tre fasi distinte:

• raccolta dei dati;
• analisi automatizzata per individuare correlazioni;
• applicazione della correlazione a una persona fisica per individuare caratteristiche di comportamento presenti o future.

Il titolare del trattamento che effettua la profilazione dovra' assicurarsi di soddisfare le prescrizioni del regolamento in relazione a tutte le fasi di cui sopra.

In generale, la profilazione consiste nella raccolta di informazioni su una persona (o un gruppo di persone ) e nella valutazione delle loro caratteristiche o dei loro modelli di comportamento al fine di includerli in una determinata categoria o gruppo, in particolare per analizzare e/o fare previsioni, ad esempio, in merito a:

• capacita' di eseguire un compito;
• interessi, o
• comportamento probabile.

Esempio

Un intermediario di dati raccoglie dati da diverse fonti pubbliche e private, per conto dei suoi clienti o per finalita' proprie. Raccoglie i dati per sviluppare profili sulle persone e inserirle in segmenti e poi vende queste informazioni alle imprese che desiderano migliorare l’orientamento dei loro beni e servizi. L’intermediario di dati esegue la profilazione inserendo una persona in una determinata categoria in base ai suoi interessi.

L’esistenza o meno di un processo decisionale automatizzato, cosi' come definito nell’articolo 22, paragrafo 1, dipendera' dalle circostanze.

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227