Effetti giuridici o “in modo analogo significativi”

L’ambito di applicazione dell’articolo 22 del GDPR è ulteriormente limitato da un’ultima condizione: il processo decisionale unicamente basato su un trattamento automa- tizzato deve avere un effetto giuridico o incidere in modo analogo e significativo sulla per- sona.

267 _{Linee Guida, 23.}

268 _{Linee Guida, 23.}

269 _{HÄNOLD, Profiling and Automated Decision-Making: Legal Implications and Shortcomings, cit., 134; NOTO LA DIE-}

GA, Against the Dehumanisation of Decision-Making - Algorithmic Decisions at the Crossroads of Intellectual Property, Data

Protection, and Freedom of Information, cit., 19.

270 _{Questo fenomeno potrebbe essere dettato da diversi fattori: la particolare fiducia nelle capacità della tecno-}

logia, si v. HÄNOLD, Profiling and Automated Decision-Making: Legal Implications and Shortcomings, cit., 134; nonché il prevalere di interessi quali la produttività e la deresponsabilizzazione, si v. ROUVROY, “Of Data and Men”:

Fundamental Rights and Freedoms in a World of Big Data, cit., 31; VEALE,EDWARDS,Clarity, surprises, and further questions in the Article 29 Working Party draft guidance on automated decision-making and profiling, cit., 400.

271 _{Per una più ampia trattazione dell’impatto dell’Intelligenza Artificiale e delle sue applicazioni}

La produzione di effetti giuridici si può verificare laddove la decisione incida sui dirit- ti giuridici272 _{della persona ovvero influisca sul suo status giuridico o sui suoi diritti ai sensi}

di un contratto273_{. Inoltre, tali effetti possono riguardate tanto il rapporto persona-stato,}

come ad esempio in caso di negazione di un beneficio riconosciuto dalla legge, quanto un rapporto privatistico274_{, come nel caso della fruizione di un bene o un servizio in un rap-}

porto contrattuale275_{. Il concetto di decisione che incide in modo analogo e significativo}

sulla persona, invece, risulta opaco e richiede una più ampia riflessione.

Il considerando 71 pone gli esempi del rifiuto automatico di una domanda di credito online e dell’utilizzo di pratiche di assunzione elettronica senza interventi umani276. In que- sti casi non si può affermare che il soggetto sia titolare di un diritto specifico all’accoglimento della richiesta del credito o ad essere assunto, tuttavia, in entrambi i casi la persona ha un legittimo interesse a che la decisione rispetti i principi di correttezza e lealtà e non violi il principio di non discriminazione277_{. Di conseguenza, non stupisce la volontà del}

legislatore di ricondurre queste situazioni nell’alveo della tutela ex articolo 22 del GDPR grazie al concetto di effetto analogo e significativo. A tal proposito, è interessante rilevare che nel testo della Direttiva 95/46 non compariva il termine analogo, il che rendeva meno stretto il legame tra gli effetti giuridici e quelli significativi278. Questo elemento di novità introdotto nel Regolamento induce a pensare che le conseguenze non possano essere interamente ed esclusivamente emotive279_{, ma debbano piuttosto tradursi in una significativa sofferenza}

psicologica280. Inoltre, anche l’avverbio significativamente, seppur non introduca un elemento di novità, crea delle incertezze in quanto potenzialmente variabile a seconda della persona coinvolta; ad esempio, le conseguenze di una decisione avranno un impatto diverso sulla

272 _{Ad esempio in caso di violazione del diritto alla salute, del diritto a non subire discriminazioni, della libertà}

di pensiero ed espressione, etc.

273 _{Linee Guida, 23.}

274 _{PIERUCCI, Elaborazione dei dati e profilazione delle persone, cit., 441.}

275 _{Rientrerebbe in questa categoria la risoluzione stragiudiziale di un contratto decisa da un algoritmo, come}

nel caso degli smart contracts che consentono di gestire in via informatica l’esecuzione dei contratti per la forni- tura di beni e servizi digitali applicando automaticamente determinate conseguenze e sanzioni in seguito a specifici accadimenti. Cfr. P.CUCCURU, Blockchain ed automazione contrattuale. Riflessioni sugli smart contract, in nuo-

va giur. Civ. comm., 2017, 1, 107.

276 _{Significativamente l’articolo 15 della Direttiva 95/46 già prendeva in considerazione situazioni riconducibili}

a questi ambiti facendo riferimento a trattamenti automatizzati di dati destinati a “valutare taluni aspetti della sua

personalità, quali il rendimento professionale, il credito, l'affidabilità, il comportamento, ecc”.

277 _{MALGIERI,COMANDÉ,Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protec-}

tion Regulation, cit., 253; WACHTER,MITTELSTADT,FLORIDI, Why a Right to Explanation of Automated Decision-

Making Does Not Exist in the General Data Protection Regulation, cit., 93.

278 _{MENDOZA,BYGRAVE, The Right Not to be Subject to Automated Decisions Based on Profiling, cit., 89.} 279 _Ibidem.

280 _{PELINO, I diritti dell’interessato, cit., 270. Pelino ammette la possibilità che la conseguenza psicologica possa}

58

persona a seconda della sua condizione economica o del suo stato di salute281.

Il considerando sopra menzionato fa poi riferimento a trattamenti automatizzati in grado di analizzare o prevedere diversi aspetti della vita di un soggetto, tra cui le sue prefe- renze, gli interessi personali e il comportamento282, ove ciò incida in modo analogo (rispet- to agli effetti legali) e significativamente sullo stesso. La presenza di questo inciso sembra condurre verso una qualche rilevanza della differenziazione mirata dei prezzi e del c.d. beha- vioural advertisment283. Per quanto riguarda il primo, vi è una tendenziale concordanza nel ri- tenere assoggettabili all’articolo 22 del GDPR le decisioni automatizzate che comportano l’offerta di un bene o un servizio per un individuo ad un prezzo maggiore284 (se non il rifiu- to a priori di offrirli) in quanto determinazione frutto di una discriminazione illegittima. In merito al secondo, come si è detto nel paragrafo precedente, i software in grado di modifica- re costantemente le pubblicità online al fine di raggiungere l’utente con un marketing mirato assumono delle decisioni. Resta da comprendere se tali decisioni incidano significativamente e analogamente sulla persona, o meno. Mendoza e Bygrave ritengono che l’effetto della pubblicità mirata non sia sufficientemente significativo riconoscendone la rilevanza solo in caso di price discrimination285_{; al contrario, altri autori}286 _{hanno ammesso la possibilità di ri-}

condurre questo fenomeno sotto l’articolo 22 del GDPR, seppur permangano delle diffi- coltà nell’identificare la soglia oltre la quale l’effetto sarà da considerarsi significativo e analogo. A far chiarezza sui presupposti in presenza dei quali si possa ritenere che vi sia un ef- fetto che incide in modo analogo significativamente sulla persona sono le Linee Guida287. Tre sono i nuclei fondamentali:

281 _{WACHTER,MITTELSTADT,FLORIDI, Why a Right to Explanation of Automated Decision-Making Does Not Exist}

in the General Data Protection Regulation, cit., 93.

282 _{Considerando 71, in particolare in riferimento alla profilazione.}

283 _{P.GUARDA,“Ok Google, am I sick?”: artificial intelligence, e-health, and data protection regulation, in BioLaw Journal –}

Rivista di BioDiritto, 2019, 1, 369, disponibile al sito: http://rivista.biodiritto.org/ojs/index.php?journal=biolaw&page=article&op=view&path%5B%5D=369&p ath%5B%5D=307; MALGIERI,COMANDÉ,Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation, cit., 253.

284 _{A confermarlo sono le stesse Linee Guida, 24. Cfr. MENDOZA,BYGRAVE, The Right Not to be Subject to Au-}

tomated Decisions Based on Profiling, cit.,89;BYGRAVE,Minding the Machine: Article 15 of the EC Data Protection Di- rective and Automated Profiling, cit., 20; VEALE, EDWARDS,Clarity, surprises, and further questions in the Article 29 Working Party draft guidance on automated decision-making and profiling, cit., 401;S.DREYER,W.SCHULZ,General Da- ta Protection Regulation and Automated Decision-making: Will it deliver?, Bertelsmann Stiftungi, 2019; (per una riflessio-

ne che si sofferma anche sulla personalizzazione del prezzo che non costituisce pratica discriminatoria) HÄNOLD, Profiling and Automated Decision-Making: Legal Implications and Shortcomings, cit., 135.

285 _{MENDOZA,BYGRAVE, The Right Not to be Subject to Automated Decisions Based on Profiling, cit.,89;DREYER,}

SCHULZ,General Data Protection Regulation and Automated Decision-making: Will it deliver?, cit.

286 _{MALGIERI,COMANDÉ,Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protec-}

tion Regulation, cit., 253.

•l’espressione in modo analogo comporta che la soglia per l’importanza deve essere ana- loga a quella di una decisione che produce un effetto giuridico;

•gli effetti saranno significativi se saranno in grado di: (i) incidere in maniera significa- tiva sulle circostanze, sul comportamento o sulle scelte dell’interessato; (ii) avere un impatto prolungato o permanente sull’interessato; o (iii) portare all’esclusione o alla discriminazione di persone288;

•per quanto riguarda la pubblicità online che implichi decisioni basate unicamente su trattamenti automatizzati, numerosi casi tipici non rilevano ai fini dell’applicazione dell’articolo 22, come ad esempio una pubblicità per un outlet di moda basata su un sem- plice profilo demografico. Tuttavia, non è escluso che altre tipologie di pubblicità mirata basata sulla profilazione possano incidere in modo analogo significativamente sulle perso- ne. In particolare, si deve tener conto delle caratteristiche del caso, tra le quali: (i) l’invasività del processo di profilazione, compreso il tracciamento delle persone sui siti web, dispositivi e servizi diversi; (ii) le aspettative e le volontà delle persone interessate; (iii) il modo in cui viene reso disponibile l’annuncio pubblicitario; o (iv) lo sfruttamento della conoscenza della vulnerabilità degli interessati coinvolti289_.