Cos'è un processo decisionale automatizzato?

Il Regolamento europeo sulla privacy (GDPR) ha posto dei limiti sull’utilizzo di quei processi decisionali automatizzati (compresa la profilazione) che facilitano le persone nella scelta di prodotti e servizi offerti sulla base delle loro abitudini, preferenze, stili di vita, etc. e che permettono alle aziende tempi celeri, minor costi e scelte mirate. Ma vediamo cosa sono e il loro significato.

Significato di processo decisionale automatizzato

Il processo decisionale automatizzato è quello strumento che consente di prendere decisioni impiegando mezzi tecnologici (ad esempio, macchinari, algoritmi, software, etc.) con o senza l’intervento di un soggetto che sia in grado di influenzare o modificare l’esito del processo.

Ad esempio, usa un processo decisionale completamente automatizzato (senza l’intervento umano) il sito di un’assicurazione online che propone in automatico un premio della polizza RCA auto alto o basso sulla base del reddito; oppure il Comune che per comminare le multa per eccesso di velocità si affida alle informazioni fornite dall’autovelox.

Invece, usa un processo decisionale automatizzato che ha bisogno della valutazione di un operatore, ad esempio, l’assicurazione che sulla base di un software propone il premio di una polizza RCA auto sulla base del mio reddito, ma per calcolarlo valuta l’aumento di stipendio che maturerò il mese prossimo.

Processi decisionali automatizzati e GDPR

Nonostante la loro innegabile utilità, l'impiego di questi strumenti può comportare seri rischi per i diritti e le libertà degli individui. Per evitare che possano creare forme di controllo e monitoraggio invasive sulle persone fino a determinare casi di emarginazione o esclusione sociale, il GDPR li ha disciplinati. In particolare, ha posto dei limiti ai processi decisionali completamente automatizzati che hanno un impatto significativo sulla persona o hanno effetti giuridici.

Innanzitutto, per comprendere se le decisioni incidono in modo significativo sulla persona o hanno effetti giuridici, facciamo degli esempi:

• un sito che attraverso un algoritmo concede un mutuo con un tasso basso alle coppie sposate e un tasso alto ai single. Questo metodo influisce in modo considerevole sulle persone, poiché i single saranno costretti a pagare molti soldi in più rispetto alle coppie sposate.
• la "scatola nera" sulle auto che permette di registrare tutti i movimenti del veicolo e lo stile di guida del guidatore. In caso di incidente misura la velocità del veicolo e se era eccessiva attribuisce automaticamente la colpa al conducente. In questo caso si tratta di una processo decisionale automatizzato che ha effetti giuridici.

Quando può essere usato un processo decisionale automatizzato

Il GDPR non regola l'utilizzo di qualsiasi processo decisionale automatizzato, ma solo di quelli completamente automatizzati che producono effetti giuridici o incidono sulla persona in modo significativo. In questi casi sono leciti solo se:

1. sono necessari per la conclusione o l’esecuzione di un contratto tra il soggetto e un titolare del trattamento. Ciò significa che non ci deve essere altro modo per stipulare e eseguire un contratto
2. sono autorizzati dal diritto dell'Unione o dello Stato membro (vale a dire che deve essere stata emanata una legge che ne prevede l’uso)
3. c’è il consenso esplicito (ossia che è stato accettato espressamente l’utilizzo di uno di questi strumenti da parte dell'interessato).

In questi casi, per rendere questi processi automatizzati conformi al GDPR il titolare deve fornire all’interessato le seguenti informazioni prima del loro utilizzo:

• spiegare come funzionano, quali sono i criteri su cui si basano e quali conseguenze hanno;
• dimostrare che questi processi sono necessari e non ci sono altri mezzi alternativi meno invasivi;
• specificare quali sono le basi giuridiche specifiche che legittimano il trattamento dei dati (consenso, esecuzione di un contratto, etc.);
• assicurare al soggetto interessato il diritto di ottenere un intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.

Ad esempio, il sito che decide se erogare un mutuo in automatico sulla base del mio reddito, deve spiegarmi prima dell'uso che la decisione la prende un algoritmo, deve spiegarmi in modo comprensibile che alle persone con redditi inferiori ai 1.500 euro non viene erogato alcun mutuo, deve spiegarmi che l’adozione di questo processo è necessario per farmi avere il finanziamento e deve garantirmi che posso parlare con qualcuno e spiegare la mia posizione, etc.  

Infine, è stato previsto che le decisioni automatizzate che si basano sui dati sensibili (quelli sull'origine razziale, convinzioni religiose, politiche, filosofiche o sindacali, sullo stato di salute e sulla vita sessuale) sono invece consentite solamente con il consenso esplicito dell’interessato o se giustificate da motivi di rilevante interesse pubblico secondo il diritto dell’Unione o dei singoli Stati membri.