GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

III. Disposizioni generali sulla profilazione e sul processo decisionale automatizzato

La presente panoramica delle disposizioni si applica a tutte le profilazioni e a tutti i processi decisionali automatizzati. Qualora il trattamento soddisfi la definizione di cui all’articolo 22, paragrafo 1, si applicano le disposizioni specifiche supplementari di cui al capitolo IV.

A. Principi in materia di protezione dei dati

I principi in materia di protezione dei dati sono pertinenti per tutte le attivita' di profilazione e tutti i processi decisionali automatizzati che comportano l’uso di dati personali4. Al fine di agevolare il rispetto delle norme, il titolare del trattamento dovrebbe considerare i seguenti elementi fondamentali:

1. Articolo 5, paragrafo 1, lettera a) - liceita', correttezza e trasparenza

La trasparenza del trattamento e' una prescrizione fondamentale sancita dal regolamento.

Spesso il processo di profilazione e' invisibile all’interessato. Funziona creando dati derivati o desunti in merito a persone fisiche, ossia dati personali “nuovi” che non sono stati forniti direttamente dagli interessati. Le persone fisiche hanno gradi diversi di comprensione e per alcune potrebbe essere difficile comprendere le complesse tecniche coinvolte nella profilazione e nei processi decisionali automatizzati.

Ai sensi dell’articolo 12, paragrafo 1, il titolare del trattamento deve fornire agli interessati informazioni concise, trasparenti, intelligibili e facilmente accessibili sul trattamento dei loro dati personali.

Per i dati raccolti direttamente dall’interessato, tali informazioni devono essere fornite al momento della raccolta (articolo 13); per i dati ottenuti indirettamente, le informazioni devono essere fornite entro i termini stabiliti all’articolo 14, paragrafo 3.

Esempio

Alcuni assicuratori offrono tariffe e servizi assicurativi in base al comportamento di guida delle persone. Gli elementi presi in considerazione in questi casi potrebbero includere la distanza percorsa, il tempo trascorso alla guida e l’itinerario percorso, nonche' previsioni basate su altri dati raccolti dai sensori dell’auto (intelligente). I dati raccolti vengono utilizzati per fini di profilazione con l’obiettivo di individuare comportamenti di guida errati (come accelerazione rapida, frenata improvvisa ed eccesso di velocita'). Queste informazioni possono essere incrociate con altre fonti (ad esempio il clima, il traffico, il tipo di strada) in maniera da comprendere meglio il comportamento del conducente.

Il titolare del trattamento deve assicurarsi di disporre di una base legittima per tale tipo di trattamento. Il titolare del trattamento deve inoltre fornire all’interessato informazioni sui dati raccolti e, se del caso, sull’esistenza di processi decisionali automatizzati di cui all’articolo 22, paragrafi 1 e 4, sulla logica applicata, nonche' sulla rilevanza e sulle conseguenze previste di tale trattamento.

I requisiti specifici riguardanti le informazioni e l’accesso ai dati personali sono esaminati nei capitoli III (sezione D) e IV (sezione E).

Il trattamento deve inoltre essere corretto e trasparente.

La profilazione puo' essere iniqua e creare discriminazioni, ad esempio negando l’accesso a opportunita' di lavoro, credito o assicurazione oppure offrendo prodotti finanziari eccessivamente rischiosi o costosi. L’esempio seguente, che non rispetta le prescrizioni di cui all’articolo 5, paragrafo 1, lettera a), illustra come una profilazione iniqua puo' portare a proporre ad alcuni consumatori offerte meno interessanti rispetto ad altri.

Esempio

Un intermediario di dati vende profili di consumatori a societa' finanziarie senza il consenso dei consumatori o senza che essi conoscano i dati sottostanti. I profili classificano i consumatori in categorie (con diciture quali “popolazione rurale e che ce la fa a malapena”, “membro di una minoranza etnica che vive in poverta' in una realta' urbana secondaria”, “inizi difficili: giovani genitori single”) oppure assegnano loro dei punteggi, concentrandosi sulla vulnerabilita' finanziaria dei consumatori. Le societa' finanziarie offrono a questi consumatori prestiti a breve termine (payday loan) e altri servizi finanziari “non tradizionali” (prestiti a costo elevato e altri prodotti finanziariamente rischiosi).

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227