Con la sentenza pubblicata il 27 febbraio 2025, relativa alla causa C-203/22, la Corte di Giustizia dell’Unione Europea (di seguito la “Corte” o “CGUE”) è tornata a esprimersi sull’ampia portata del diritto di accesso degli interessati sottoposti a decisioni automatizzate (per quanto concerne, ad esempio, l’elaborazione del relativo profilo di solvibilità). Tale diritto dovrebbe sostanziarsi in una chiara spiegazione sui criteri alla base della decisione adottata, che consenta, da un lato, una consapevole possibilità di contestazione e, dall’altro, non violi eventuali segreti commerciali e know-how connessi all’elaborazione dello strumento decisionale.
I fatti oggetto della controversia
Nel caso di specie, accaduto in Austria, il soggetto interessato si era visto negare la stipulazione di un contratto da parte di un operatore di telefonia mobile, con la motivazione che la società “Dun & Bradstreet” (di seguito anche “D&B”), specializzata nella fornitura di valutazioni di merito creditizie, aveva riscontrato, in maniera automatizzata, l’insufficiente solvibilità finanziaria della persona coinvolta. Dopo una prima fase di giudizio, la Corte amministrativa federale austriaca aveva stabilito che la società avesse violato l’art. 15, par. 1, lett. h) del Regolamento 2016/679 (“GDPR”), in quanto non aveva fornito informazioni significative sulla logica utilizzata nell’ambito del processo decisionale automatizzato che aveva portato al diniego del contratto. In particolare, il giudice nazionale aveva rilevato la mancanza di spiegazioni sufficienti che potessero consentire all’interessato di comprendere come fosse stato stabilito il punteggio relativo alla probabilità della sua condotta futura (il cd. “score”).
La successiva domanda di esecuzione forzata proposta dall’interessato nei confronti dell’amministrazione comunale di Vienna era stata tuttavia respinta; secondo tale autorità, la D&B aveva adempiuto all’obbligo di informazione in maniera sufficiente, anche senza aver fornito ulteriori informazioni dopo la decisione della Corte amministrativa. L’interessato si è quindi rivolto al Tribunale amministrativo di Vienna, che, dopo la fase istruttoria, ha deciso di rinviare pregiudizialmente la causa alla CGUE al fine di valutare una pluralità di questioni connesse al caso di specie.
La decisione della Corte di Giustizia
La Corte si è occupata, primariamente, delle questioni di rinvio con cui è stato chiesto se il diritto d’accesso di cui al GDPR debba essere interpretato nel senso che, in caso di processo decisionale automatizzato, l’interessato possa pretendere dal titolare del trattamento, come “informazioni significative sulla logica utilizzata”, una spiegazione esaustiva della procedura e dei principi concretamente applicati per usare, con mezzi automatizzati, i propri dati personali, al fine di ottenerne un profilo di solvibilità.
La CGUE ha considerato, innanzitutto, che il diritto di accesso deve essere analizzato congiuntamente agli obblighi informativi imposti, in tali circostanze, al titolare. In particolare, l’art. 15, par. 1, lett. h) GDPR offre all’interessato «un vero e proprio diritto alla spiegazione sul funzionamento del meccanismo alla base di un processo decisionale automatizzato di cui tale interessato è stato oggetto e sul risultato a cui detta decisione ha condotto». Da ciò deriva che il diritto a ottenere informazioni significative sulla logica utilizzata, in un processo decisionale automatizzato, debba essere inteso come «diritto alla spiegazione della procedura e dei principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali dell’interessato al fine di ottenerne un risultato specifico, come un profilo di solvibilità». Per fare ciò, tale spiegazione deve essere fornita con «informazioni pertinenti e in forma concisa, trasparente, intelligibile e facilmente accessibile». Infatti, se la società si limitasse a fornire un algoritmo o la descrizione dettagliata delle fasi del processo automatizzato, tali metodi non consentirebbero all’interessato di ottenere una spiegazione sufficientemente comprensibile.
Significativa e interessante è anche la seconda questione rinviata alla CGUE, concernente il bilanciamento tra il predetto diritto all’accesso e l’eventualità che le informazioni da fornire all’interessato contengano dati di terzi protetti dalla legge o segreti commerciali. La Corte ha ricordato, in primo luogo, che il diritto alla protezione dei dati personali non sia una prerogativa assoluta e che esso vada contemperato con altri diritti fondamentali, in base al principio di proporzionalità. Tuttavia, per quanto il diritto di accesso dell’interessato non debba ledere i diritti altrui, compresi i segreti industriali, ciò non deve tradursi in un diniego nel fornire le informazioni richieste.
Di conseguenza, la Corte di Giustizia ha stabilito che se il titolare del trattamento ritenga che le informazioni da fornire all’interessato, ai sensi dell’art. 15, par. 1, lett. h), contengano dati di terzi protetti o dei segreti commerciali, sia comunque tenuto a comunicarle all’autorità di controllo o al giudice nazionale competenti, che dovranno poi ponderare i diritti e gli interessi in gioco, per poter determinare correttamente la portata del diritto di cui al citato art. 15.
Avv. Pietro Maria Mascolo e Dott. Lapo Lucani
