L’impiego degli algoritmi nell’elaborazione dei profili reputazionali porta alla luce questioni complesse relative non solo alla tutela della privacy, ma anche alla consapevolezza degli interessati in merito agli schemi esecutivi utilizzati. In questo contesto, in cui sembra regnare l’opacità, il ruolo del consenso viene messo in dubbio e occorre così ripensare agli strumenti di tutela in una prospettiva in cui la ratio deve essere quella di bilanciare le esigenze di protezione dell’individuo con il progresso digitale.

Susanna Sandulli - Algoritmi, trasparenza ed effettività del consenso

SOMMARIO:

1. La vicenda. - 2. La trasparenza nel GDPR e nella Proposta di Regolamento. - 3. Il diritto alla spiegazione nelle decisioni automatizzate.

1. La vicenda.

La Corte di Cassazione con l’ordinanza n. 14381/2021 si è pronunciata su un tema attuale e complesso quale il rapporto tra la validità del consenso al trattamento dei dati personali e la trasparenza dell’algoritmo. Questa decisione costituisce l’occasione per una riflessione sulla questione muovendo da una vicenda del reale che rivela la difficoltà di applicare alcuni principi, come quelli su cui fonda il GDPR[1], a situazioni in cui il ricorso a nuove tecnologie – e in particolari agli algoritmi di profilazione – rendono il contesto in cui si muove l’interessato molto diverso dalle ipotesi immaginate dal Legislatore europeo in sede di GDPR. Per comprendere i termini del problema occorre ripercorrere la vicenda giudiziaria, che trae origine dalla realizzazione da parte di una società di un’infrastruttura costituita da una piattaforma web e un archivio informatico preordinata all’elaborazione di profili di persone fisiche e giuridiche per calcolare in modo imparziale e veritiero il rating reputazionale dei soggetti censiti. Attraverso la raccolta e l’elaborazione di una mole rilevante di dati personali[2] e l’impiego di un algoritmo, il sistema assegna ai soggetti censiti degli indicatori alfanumerici in grado di determinare – secondo la società – l’affidabilità delle persone in campo economico e professionale. In una prima fase è stato chiesto dalla stessa società al Garante per la protezione dei dati personali di valutare se questa attività fosse lecita ai sensi del Codice della privacy[3]. Ad avviso dell’Autorità, che ha espresso le sue perplessità nel rimettere ad un sistema automatizzato decisioni relative ad aspetti così delicati[4], il sistema comporta rilevanti problematiche per la privacy dei soggetti coinvolti, in quanto la società non può dimostrare l’efficacia dell’algoritmo al quale è rimessa la valutazione dei soggetti censiti. Tali dubbi sembrano rafforzati dalla circostanza per cui il consenso espresso da chi viene valutato non pare frutto di una libera autodeterminazione[5], poiché la mancata adesione alla piattaforma e la conseguente sottoposizione al sistema di valutazione preclude la stipula di contratti con la società o il mantenimento del vincolo negoziale. Anche il diritto all’informativa, poi, non sembrerebbe [continua ..]

2. La trasparenza nel GDPR e nella Proposta di Regolamento.

Rispetto alla sentenza del Tribunale, la Corte di Cassazione sposta il fuoco dell’indagine dalla tutela della privacy alla trasparenza e al ruolo del consenso[1]. La pronuncia della Corte offre così spunti interessanti per approfondire temi complessi, in quanto nell’era dell’algoritmo[2] è evidente il rischio di pregiudizi derivanti dal trattamento di dati personali e dalla classificazione predittiva[3]. La tutela della privacy va messa alla prova e verificata quanto ad effettività alla luce delle implicazioni derivanti dall’impiego dei sistemi di intelligenza artificiale[4] (di seguito: IA). I progressi tecnologici hanno contribuito ad un’accelerazione della big data anylitc e a sua volta questa mole sempre maggiore di dati favorisce lo sviluppo di avanzati sistemi di intelligenza artificiale, che si snodano in tecniche di profilazione e di marketing contraddistinte da una tendenziale opacità. Il legame tra l’impiego dell’intelligenza artificiale e la tutela della privacy riguarda, in particolare, l’immagazzinamento di grandi quantità di dati personali, che vengono elaborati anche a grande distanza grazie al collegamento tra l’elaboratore principale e i terminali. In questo modo, però, l’interessato può perdere il controllo sui propri dati, non avendo cognizione dei passaggi della raccolta[5]. Questo sistema, caratterizzato da reti neurali, si contraddistingue per le c.d. black box nelle quali vengono effettuati i calcoli algoritmici, che però non vengono ricostruiti nel loro percorso logico. L’unica certezza è che nelle black box le esperienze vengono combinate tra loro, con il rischio di errori e discriminazioni[6] e a tal proposito si parla della black box society, in cui al numero crescente di attività di trattamento dei dati personali non si accompagna una trasparenza dei processi decisionali[7]. I pericoli principali della black box society derivano dall’impiego di algoritmi predittivi che possono comportare discriminazioni[8] nelle quali l’utente rimane intrappolato. Un valido esempio è rappresentato proprio dalla fattispecie analizzata dalla sentenza in esame, in quanto un punteggio negativo a cui consegue un giudizio negativo del soggetto censito comporta effetti che se, da una parte, confermano il processo decisionale dell’algoritmo, dall’altra fanno sì che [continua ..]

3. Il diritto alla spiegazione nelle decisioni automatizzate.