Divieto o diritto di opposizione?

Prima di procedere nell’analisi degli elementi chiave dell’articolo 22 del GDPR, urge soffermarsi sulla natura stessa della norma: ci si chiede se il tenore letterale del “diritto di non essere sottoposto ad una decisione” implichi automaticamente la configurazione di un diritto - seppur “in negativo” - o se si debba parlare, piuttosto, di un divieto, andando al di là della lettera del testo.

In favore della prima ipotesi si possono rilevare due fattori principali. In primo luogo,

228 _{PELINO, I diritti dell’interessato, cit., 270.}

229 _{Emergeranno nel corso della trattazione le principali novità introdotte dal Regolamento rispetto alla Diret-}

tiva 95/46, al momento basti far riferimento alla differente fonte normativa scelta dal legislatore europeo (la direttiva quale strumento normativo pone un c.d. obbligo di risultato, ma non di mezzi), nonché all’assenza nella Direttiva di una definizione di profilazione, tipologia di trattamento automatizzato su cui si basa fre- quentemente la decisione, soprattutto nel contesto dell’Internet of Things e dell’Intelligenza Artificiale, e quindi di estrema rilevanza al fine di fornire un quadro completo della disciplina in esame.

50

l’articolo 22 è collocato nel Capo III del Regolamento dedicato ai diritti dell’interessato (an- che se la rubrica non presenta il termine “diritto”, a differenza delle rubriche degli altri arti- coli del Capo III). In secondo luogo, il quarto comma dello stesso articolo, nel considerare le decisioni basate sulle categorie particolari di dati, esplicita in modo chiaro il divieto231 fa- cendo risaltare il diverso tenore rispetto al primo comma232_{; si potrebbe sostenere, allora,}

che il legislatore abbia intenzionalmente distinto il primo e il quarto comma rispettivamente come diritto e come divieto. Tuttavia, in entrambi i casi la riflessione si limita al tenore let- terale del testo e alla struttura del Regolamento dando luogo ad un’analisi monodimensio- nale del problema.

Un supporto interpretativo potrebbe essere ricercato nell’articolo 15 della Direttiva 95/46, rectius nella sua trasposizione operata dagli Stati membri. Tuttavia, anche in questo caso si rileva un’oscillazione tra la natura di diritto e quella di divieto233, se non una traspo- sizione ibrida234 _{di cui è esempio il recepimento nell’ordinamento italiano. L’articolo 14 del}

Codice Privacy, al primo comma, vietava che atti o provvedimenti giudiziari o amministrati- vi che implicassero una valutazione del comportamento umano fossero fondati unicamente sul trattamento automatizzato di dati personali; il secondo comma si limitava invece a rico- noscere all’interessato un diritto a opporsi alle altre determinazioni assunte in contesti di- versi235_{. Inoltre, di particolare interesse è il caso inglese che ha visto il passaggio da diritto a}

divieto proprio in seguito all’adeguamento al GDPR236_{: mentre il Data Protection Act del}

1998 prevedeva il diritto dell’interessato di non essere sottoposto a decisioni automatizza-

231 _{Art.22.4, GDPR “Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali […]”.} 232 _{I.MENDOZA,L.A.BYGRAVE, The Right Not to be Subject to Automated Decisions Based on Profiling, in T. E.}

SYNODINOU et al. (a cura di), EU Internet Law, 86-87, 2017, disponibile al sito:

https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2964855 .

233 _{Si porta l’esempio della legge belga in recepimento della Direttiva 95/46: “Une décision produisant des effets}

juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité. […]”. Cfr. art. 12bis, loi du 8 décembre 1992

relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (la «loi du 8 décembre 1992 »), modifiée par la loi du 11 décembre 1998 transposant la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère person- nel et à la libre circulation des données (la «directive 95/46/EC»).

234 _{MENDOZA,BYGRAVE, The Right Not to be Subject to Automated Decisions Based on Profiling, cit.}

235 _{Art.14, Codice Privacy (abrogato) “1. Nessun atto o provvedimento giudiziario o amministrativo che implichi una valu-}

tazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a defi- nire il profilo o la personalità dell'interessato.

2. L'interessato può opporsi ad ogni altro tipo di determinazione adottata sulla base del trattamento di cui al comma 1, ai sensi dell'articolo 7, comma 4, lettera a), salvo che la determinazione sia stata adottata in occasione della conclusione o dell'esecuzione di un contratto, in accoglimento di una proposta dell'interessato o sulla base di adeguate garanzie individuate dal presente codice o da un provvedimento del Garante ai sensi dell'articolo 17”. Cfr. Ibidem, 79; PIERUCCI, Elaborazione dei dati e profilazione

delle persone, cit., 437.

236 _{S.WACHTER,B.MITTELSTADT,L.FLORIDI, Why a Right to Explanation of Automated Decision-Making Does}

Not Exist in the General Data Protection Regulation, in International Data Privacy Law, Vol. 7, No. 2, 95 (2017), dis-

te237 (salvo eccezioni), il Data Protection Act del 2018 recita: “A controller may not take a signi- ficant decision based solely on automated processing […]”238_{. Ad ogni modo, neppure il riferimento}

alla legislazione degli Stati membri risulta dirimente.

Pertanto, è opportuno procedere ad ulteriori considerazioni. In particolare, laddove si ammettesse il riconoscimento del solo diritto a non essere sottoposti a decisioni automatiz- zate, ciò comporterebbe un forte restringimento della sfera di tutela garantita all’interessato poiché la verifica del rispetto delle condizioni poste dall’articolo 22 sarebbe sempre subor- dinata al suo intervento proattivo239_{. Sarebbe dunque richiesto uno sforzo dall’interessato}

che presupporrebbe tanto la conoscenza della decisione quanto la volontà di agire. Inoltre, se non vi fosse l’esercizio del diritto le condizioni che garantiscono la legalità della decisio- ne e le garanzie preposte dal legislatore potrebbero non essere implementate; in altre paro- le, graverebbe sull’interessato e non sull’Autorità Garante l’onere di assicurare l’attuazione dell’articolo 22240_{. Accogliere l’ipotesi che richiede l’esercizio del diritto (e non un divieto)}

ex articolo 22.1 significherebbe sostanzialmente riconoscere il diritto ad ottenere l’intervento umano nel processo decisionale rendendo superflua la medesima previsione ex articolo 22.3241_.

A fornire una soluzione definitiva alla questione è il Working Party con le Linee guida sul processo decisionale automatizzato relativo alle persone fisiche242 _{(Linee Guida) in cui si}

precisa che “il termine “diritto” contenuto nella disposizione non significa che l’articolo 22, paragrafo 1, si applica soltanto se invocato attivamente dall’interessato. L’articolo 22, paragrafo 1, stabilisce un divieto generale nei confronti del processo decisionale basato unicamente sul trattamento automatizzato”243_.