CAPITOLO 4 IL RUOLO DELLA TRASPARENZA
III. Sovrapposizione con la disciplina dei segreti industriali
Una volta stabilita l’esistenza di un diritto ad ottenere una spiegazione (sia ex ante sia
ex post), si pone un’ulteriore questione: cosa deve essere effettivamente comunicato
all’interessato? Si teme che una spiegazione troppo approfondita possa esporre alcune informazioni classificabili come “segreti industriali” ai sensi della TSD, danneggiando così gli interessi economici dei titolari.
Il problema del bilanciamento tra segreto industriale e diritto alla protezione dei dati personali è affrontato sia dal GDPR sia dalla TSD. In particolare, il considerando 63 del GDPR afferma, con particolare riferimento al diritto d’accesso, che «tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software». È importante sottolineare è che la versione inglese del Regolamento utilizza il termine “adversely affect”549, riferendosi quindi esclusivamente a situazioni “lesive” dei diritti di proprietà intellettuali o dei segreti industriali altrui. Viene poi specificato che «tali considerazioni non dovrebbero condurre a un diniego a fornire all'interessato tutte le informazioni»550. Le linee guida del Gruppo ex articolo 29 ribadiscono quest’ultimo punto, affermando che «il titolare del trattamento non può fare affidamento sulla protezione dei segreti aziendali come scusa per negare l’accesso o rifiutarsi di fornire informazioni all’interessato»551. Con riferimento, invece, agli obblighi istituiti dall’articolo 22, l’articolo 23 prevede che tali obblighi (l’adozione di misure per la salvaguardia dei diritti e delle libertà degli individui) possano essere limitati per salvaguardare la tutela delle libertà altrui, ma solo tramite un atto normativo avente forza di legge e nel rispetto del principio di proporzionalità552.
Dall’altro lato, il considerando 34 della TSD afferma che «la […] direttiva rispetta i diritti fondamentali e osserva i principi riconosciuti in particolare dalla Carta dei diritti fondamentali dell’Unione europea», tra i quali vengono espressamente richiamati il diritto al rispetto della vita privata e familiare e il diritto alla protezione dei dati personali553. Il considerando successivo ribadisce che è importante che le misure adottate per proteggere il segreto commerciale da parte del detentore di tale segreto rispettino tali diritti. In aggiunta, viene specificato che la TSD «non dovrebbe […] pregiudicare i diritti e gli obblighi stabiliti
546 Pellecchia E., Profilazione e decisioni automatizzate al tempo della black box society: qualità dei dati e leggibilità
dell’algoritmo nella cornice della responsible research and innovation, in Nuove leggi civili e commentate 41 (2018), 5, p.
1214. 547 Ibid.
548 Keats Citron D., Pasquale F., The Scored Society, cit., p. 33.
549 «That right should not adversely affect the rights or freedoms of others, including trade secrets or intellectual property and in
particular the copyright protecting the software».
550 Cons. 63, Regolamento (UE) 2016/679.
551 Linee guida sul processo decisionale automatizzato, p. 19. 552 Art. 23, Regolamento (UE) 2016/679.
121
dalla direttiva 95/46/CE (direttiva data protection)554, in particolare i diritti della persona interessata di accedere ai suoi dati personali che sono oggetto di trattamento». Anche in questo caso è utile riferirsi alla versione originale del testo che utilizza solo “affect” 555, senza una connotazione negativa (“adversely”) come nel testo del considerando 63 del GDPR. Di conseguenza, la TSD afferma che la disciplina dei segreti industriali non dovrebbe incidere in nessun modo sui diritti e gli obblighi stabiliti dalla disciplina della protezione dei dati personali, comprendendo sia le circostanze “lesive” di tali diritti (ad esempio il diniego totale), ma anche le circostanze in cui tali diritti vengono limitati o compressi556.
Queste disposizioni apparentemente contrastanti hanno contribuito a creare incertezza circa l’effettiva incidenza del diritto ad ottenere una spiegazione. In realtà, è stato sostenuto che per garantire l’esercizio dei diritti individuali in capo all’interessato esaminati sino ad ora non è necessaria la divulgazione dell’algoritmo alla base del sistema automatizzato, ossia la parte del sistema che è sicuramente coperto dal segreto industriale557. Infatti, per fornire informazioni specifiche sulle motivazioni delle decisioni, il titolare non è obbligato a rivelare tutti i dettagli sulla funzionalità dell'algoritmo, ma è sufficiente indicare con precisione i fattori principali che hanno influenzato la decisione558. In realtà, i motivi di una specifica decisione sono le uniche informazioni che possono essere fornite senza sostanziali effetti negativi per gli interessi proprietari dei titolari del trattamento dei dati559. Si tratta, infatti, di informazioni a scarso gradiente tecnologico e ad alto contenuto personale e non comprensive di informazioni commercialmente sensibili560. Di conseguenza, la disciplina del segreto industriale non costituisce un’eccezione al “diritto ad ottenere una spiegazione”.
Anche qualora fosse necessario accedere all’algoritmo stesso, per esempio in sede di giudizio, bisogna ricordare che vi è una “lesione” dei diritti di proprietà intellettuale o della disciplina del segreto industriale solo qualora vengano pregiudicati gli interessi alla base di tali discipline. Per quanto riguarda l’algoritmo, è incorretto concludere che una qualsiasi divulgazione violi la disciplina del segreto industriale: tale divulgazione può avvenire in maniera protetta e confidenziale, in modo da tutelare gli interessi economici del titolare.
La trasparenza, però, non si esaurisce con la spiegazione al singolo individuo. Il problema legato all’impiego di sistemi decisionali automatizzati è che spesso i titolari non sono in grado né di fornire le risposte necessarie né di supervisionare o controllare i processi decisionali automatizzati. Questa circostanza compromette enormemente il principio di accountability, dal momento che permette ai titolari di sfuggire alle proprie obbligazioni etiche e morali in ragione di una eccessiva complessità tecnica. Il GDPR offre ulteriori strumenti per garantire la responsabilizzazione di chi impiega strumenti automatizzati, che, secondo gli studiosi, dovrebbero essere maggiormente valorizzati, anche in vista di una futura regolamentazione dell’intelligenza artificiale.
554 La direttiva 95/46/CE citata è stata sostituita dal GDPR, entrato in vigore nel 2018, perciò questo considerando si deve considerare applicabile anche a diritti e agli obblighi stabiliti dal regolamento.
555 «This Directive should not affect the rights and obligations laid down in Directive 95/46/EC, in particular the rights of the
data subject to access his or her personal data being processed».
556 Malgieri G., Comandé G., Why a right to legibility of Automated Decision-Making Exists in the General Data
Protection Regulation, cit., p. 263.
557 Brkan M., Bonnet G., Legal and Technical Feasibility of the GDPR’s Quest for Explanation of Algorithmic Decisions:
of Black Boxes, White Boxes and Fata Morganas, in European Journal of Risk Regulation 11 (2020) 1, p. 40-41.
558Ibid.
559 Malgieri G., Comandé G., Why a right to legibility of Automated Decision-Making Exists in the General Data
Protection Regulation, cit., p. 264.
122
4.2.3 Altri strumenti per garantire accountability
I diritti individuali esaminati sin qui (“diritto ad essere informato” ai sensi degli articoli 13 e 14, “diritto d’accesso” ai sensi dell’articolo 15, “diritto ad ottenere una spiegazione” ai sensi dell’articolo 22 comma 3) offrono un quadro solo parziale. Le norme del GDPR dedicate alla disciplina del processo decisionale automatizzato sono state spesso criticate poiché affrontano temi di rilevanza decisamente meta-individuale e collettiva da una prospettiva esclusivamente individualistica561.
Tale aspetto è però bilanciato dal regime di governance istituito dal GDPR, composto da una serie di strumenti e principi volti a prevenire trattamenti illeciti e potenziare la responsabilizzazione dei titolari del trattamento. Come verrà esaminato in questo paragrafo, la valorizzazione di tali strumenti potrebbe sopperire alle limitazioni del regime di diritti individuali del GDPR. Il regime che ne risulta impone alle imprese una serie di obblighi di
due diligence allo scopo di correggere le problematiche sistemiche che difficilmente possono
essere individuate tramite l’esercizio dei diritti individuali in capo agli interessati. Le scelte in merito all’adozione di misure adeguate a adempiere a questi obblighi sono di esclusiva responsabilità del titolare, in linea con i principi di collaborazione e accountability, pilastri della normativa in materia di protezione di dati personali. Altro punto cruciale è che la
compliance da parte delle imprese dovrà essere ispirata da un approccio al rischio (“risk-based approach”), nel senso che il titolare dovrà modulare le misure da adottare sulla base dei rischi
che le attività di trattamento dei dati comportano per i diritti e le libertà degli individui. Il connubio tra il regime di governance collaborativa e il regime di diritti individuali è alla base dell’approccio binario del GDPR, il quale è stato replicato anche nella recente proposta del Digital Services Act ed è considerato dalla dottrina562 come un modello da seguire per futuri interventi legislativi in materia di sistemi decisionali automatizzati.
In particolare, questo regime di governance comprende: i) la valutazione d’impatto ai sensi dell’articolo 35 (abbreviata con l’acronimo anglosassone “DPIA”); ii) l’obbligo di audit degli algoritmi ricavato dal considerando 71; iii) l’obbligo di designazione di un Data
Protection Officer ai sensi dell’articolo 37; iv) i codici di condotta adottati ai sensi degli articoli
40 e 41; v) i meccanismi di certificazione di cui all’articolo 42; vi) i principi di privacy by design e privacy by default ex articolo 25; vii) i poteri delle Autorità di controllo ai sensi dell’articolo 58. Ai fini di questo elaborato risulta necessario approfondire in particolare il ruolo della DPIA e dei sistemi di audit.