Questionari

(GDPR)?

L’art. 4 del GDPR de nisce la pro lazione in questo modo: qualsiasi forma di trattamento automatizzato di dati personali

consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona sica, in particolare

per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze

personali, gli interessi, l’af dabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona sica.

134. Qual è il principio generale adottato dal GDPR in tema di decisioni automatizzate?

Il principio generale è che decisioni automatizzate, compresa la pro lazione, che producano effetti giuridici o incidano in modo

signi cativamente

analogo sulla persona sono proibite. In questa situazione l’interessato ha quindi il diritto di non essere

automatismo totale l’intervento di un essere umano

sottoposto a decisioni rimesse ad un ed è necessario autorizzato e

competente nel processo (human in the loop).

135. Fate due esempi di decisioni automatizzate proibite benché non abbiano “effetti giuridici”.

Un primo esempio di decisioni automatizzate proibite, benché non abbiano effetti giuridici, è la decisione di negare il mutuo ad un

soggetto: quando voglio fare un mutuo con la banca, la parte delle trattative è lasciata alla libertà negoziale delle due parti, che

possono convenire nella stipulazione di un contratto o essere in disaccordo e fermarsi prima. Se la banca mi negasse il mutuo, ciò

non avrebbe degli effetti giuridici perché non si è arrivati a stipulare il contratto, ma ciò inciderebbe in maniera signi cante sulla

mia persona. Ecco che allora l’articolo 22 del GDPR estende il divieto di automazione della decisione anche in quelle situazioni in

cui, sebbene non ci siano effetti giuridici, la decisione presa avrebbe un impatto signi cativo sulla mia vita. Un secondo esempio

analogo vale per l’assunzione, il datore di lavoro non è obbligato ad assumermi, eppure se mi negasse il contratto di lavoro ciò

inciderebbe signi cativamente sulla mia persona. Riassumendo possiamo affermare che l’articolo 22 del GDPR proibisce quelle

decisioni totalmente automatizzate no in fondo che producano effetti giuridici o che incidano in modo analogo signi cativamente

sul destinatario.

136. Quali requisiti deve avere il consenso dell’interessato al trattamento dei dati personali?

Il consenso è valido qualora è data da un soggetto che abbia la capacità di agire e legale.

I valido a partire dai 16 anni, se fosse minore di questa soglia serve il consenso dei genitori o chi ne fa le

requisiti per i minori:

veci. Inoltre viene esaminato dal medico questo minore se abbia la capacità di decidere autonomamente.

Questo perché si considera l’adolescente tra i 16-18 abbia talora un certo grado di capacità, rendendo possibile di avere la

capacità du acconsentire i trattamenti dei propri dati con un consenso speci co, libero e informato.

Secondo l’art. 8 GDPR che si occupa della protezione dei dati personali, dove prevede il divieto di offerta diretta di servizi digitali

se sono soddisfati questi 2 requisiti:

a. che vi sia un’offerta diretta di servizi della società dell’informazione a soggetti minori di 16 anni (in IT 18);

b. che il trattamento dei dati dei minori non sia basato sul consenso di chi ne abbia la potestà sul minore.

L’ordinamento italiano consente al minore che abbia compiuto 14 anni anche di prestare il proprio consenso all’adozione, cosa

che sembrerebbe in contrasto con l’impossibilità di iscriversi ad un social network.

137. Quali sono le ipotesi di deroga al principio stabilito dall’art. 22 § 1 e quali garanzie deve avere in questi

casi l’interessato?

Il comma 2 dell’articolo 22 introduce i casi in cui il comma 1 dello stesso articolo può essere derogato, ossia quando ricorre una

delle seguenti ipotesi è possibile ciò che proibiva il comma 1: 1. Che la decisione sia necessaria per la conclusione o per

l’esecuzione di un contratto tra l’interessato e un titolare del trattamento. 2. Che la decisione sia autorizzata dal diritto dell’Unione

Europea o dello stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle

libertà e dei legittimi interessi dell’interessato. 3. Che la decisione si basi sul consenso dell’interessato. Secondo la legge europea,

ogni qualvolta ci sia la possibilità di una decisione automatizzata, essendo qualcosa che deroga il principio generale, è necessario

23 /38

fi fi fi fi fi fi fi fi fi fi fi fi fi fi fi fi fi fi fi

Etica e informatica giuridica Kaiwei Zhou

che ci siano ulteriori misure a garanzia dei diritti e degli interessi legittimi del destinatario. Nel caso in cui sia una legge ad

autorizzare questo, sarà essa stessa a stabilire le misure da adottare ma nel caso in cui sia il titolare del trattamento a doverle

provvedere, devono essere adottate misure che garantiscano i seguenti 3 diritti:

a. il diritto ad ottenere l’intervento umano da parte del titolare del trattamento;

b. il diritto di esprimere la propria opinione;

c. il diritto di contestare la decisione.

138. Qual è il principio generale accolto dal § 1 dell’art. 22 GDPR?

Nel §1 art. 22 del GDPR viene stabilito il principio generale di sottoporre le persone a decisioni totalmente automatizzate che

possano incidere sulla propria sfera giuridica soggettiva. Da come viene formulato questo articolo, sembra dettare un diritto,

tuttavia questo viene interpretato più come un divieto in capo ai data controller di non sottoporre le persone a decisioni

totalmente automatizzate, che come una posizione giuridica positiva in capo a tutti i soggetti.

139. Quali sono le decisioni totalmente automatizzate proibite secondo il §1 dell’art. 22 GDPR?

Le decisioni totalmente automatizzate sono quelle decisioni che vengono svolte in maniera automatica da una macchina; sono

considerate in questa categoria anche quelle decisioni che vengono prese dalla macchina con l'intervento di un umano che però

non è quali cato, cioè il soggetto che interviene deve avere la competenza, la preparazione e l'autorità, in seno all'organizzazione a

cui appartiene, per modi care la decisione presa dalla macchina, perchè la decisione venga considerata come non totalmente

automatizzata.

140. Quali sono le deroghe al principio di cui all’art. 22 GDPR?

Le deroghe, al principio dettato dall’art. 22 del GDPR in materia di decisioni totalmente automatizzate, prevedono che le

disposizioni del §1 non si applicano nei casi:

a. sia necessario per la conclusione o l’esecuzione di un contratto tra il titolare del trattamento e l’interessato;

b. sia autorizzato dal diritto dell’unione o delle Stato membro in cui è soggetto il titolare del trattamento;

c. in cui il soggetto ha dato il suo consenso a subire la decisione totalmente automatizzata.

141. Quali sono le due principali differenze tra quanto indicato nel Considerando 71 e quanto disposto

nell’art. 22 GDPR?

Una differenza tra il considerando 71 del GDPR e l’articolo 22 del GDPR si ha confrontando il comma 3 dell’articolo 22 del

GDPR. Innanzitutto si parte che ci sono 3 deroghe contenute nel considerando e co. 2 dell’art. 22 rispetto alla regola generale

contenuta nel co. 1 dell’art. 22.

Questi casi di deroga sono:

a. quando è previsto dal diritto dell'Unione o degli Stati membri;

b. l’esecuzione di un contratto messo in piedi dall’automatizzato, valido perché lo si considera come dato il consenso;

c. è stato prestato il consenso.

L’articolo sembra af dare tali garanzie soltanto ai casi di deroga A e C; escludendo invece per il caso di deroga B. Nel

considerando 71 con l’espressione di invece si afferma che in ogni caso tale trattamento dovrebbe essere subordinato

“in ogni caso”,

a garanzie adeguate a tutti i 3 casi di deroga (A,B,C).

tutele minime

Questo ci porta alla seconda differenza, nell’articolo 22 queste sono previsti solo a tre:

a. diritto all’intervento umano,

b. diritto a esprimere la propria opinione,

c. diritto di contestare le decisioni prese.

Nel considerando 71 invece ve ne sono aggiunte altre due:

a. diritto a ottenere informazioni speci che e

b. il diritto alla spiegazione dei criteri di valutazione af nché sia arrivati a quella decisione particolare.

142. Che caratteristiche deve avere l’intervento umano perché la decisione non si ritenga “unicamente basata”

su un trattamento automatizzato dei dati ai sensi dell’art. 22 GDPR?

L’intervento umano per poter considerare la decisione non unicamente basata su un trattamento automatico, deve essere

quali cato, cioè il soggetto che interviene deve avere la competenza, la preparazione e l'autorità, in seno all'organizzazione a cui

appartiene, per modi care la decisione presa dalla macchina. Non basta perciò il semplice inserimento di un soggetto umano

passivo nel processo decisionale automatizzato, per poter considerare la decisione come non totalmente automatizzata, ma è

necessario che il soggetto possa intervenire per modi care la decisione presa dalla macchina.

143. Quali sono le posizioni in dottrina relativamente alla questione della sussistenza o meno di un “diritto di

spiegazione” della decisione automatizzata? 24 /38

fi fi fi fi fi fi fi fi

Etica e informatica giuridica Kaiwei Zhou

Il diritto di spiegazione della decisione automatizzata, non è incluso all’interno dell’articolato del GDPR, ma viene ritrovato come

ulteriore diritto all’interno del considerando 71, pertanto vi è il dubbio sull’esistenza di questo diritto, proprio a causa della natura

particolare dei considerando. La dottrina risulta al riguardo divisa in tre loni principali:

a. il primo fa leva sulla mancanza di questo diritto all’interno dell’articolato, del testo normativo, nel contrasto tra l’articolato

dell’art. 22 e quello del considerando 71 deve prevalere l’articolato, pertanto questo diritto non esiste;

b. il secondo orientamento pensa che il GDPR vada letto nel suo complesso, proprio per il fatto che la ratio dell’art. 22 è di

garantire la tutela dei diritti dei soggetti che subiscono una decisione automatizzata, perciò il diritto alla spiegazione esiste;

c. il terzo orientamento pensa che essendo stato previsto un diritto di spiegazione, a causa di questo bisogna prevedere che ogni

sistema potrà solo essere di supporto alla decisione umana;

d. l’ultimo orientamento prevede che i diritti aggiuntivi inseriti all’interno del considerando 71, quello di informazione e di

spiegazione, non sono previsti esplicitamente