Il cittadino, purché informato esplicitamente sui meccanismi dell’algoritmo, ha il potere e la libertà di richiedere e ottenere il profilo reputazionale. La Cassazione ha legittimato l’attività di profilazione reputazionale contro cui si era pronunciato il Garante.
Con l’ordinanza (Sez. I Civile) n. 14381 del 24 maggio 2021, la Cassazione ha rimesso al Tribunale di Roma, per un ulteriore approfondimento di merito, il contenzioso- che da 5 anni vede il Garante per la protezione dei dati personali contrapposto all’associazione Mevaluate onlus sulla questione della legittimità del rating reputazionale digitalizzato, documentato e tracciabile,
In due articoli ( Agenda Digitale 26 maggio e Huffington Post 27 maggio 2) l’avvocato Guido Scorza (Autorità Garante Privacy) – esalta l’ordinanza della Cassazione dando rilievo all’affermazione del principio secondo cui il consenso non vale se l’algoritmo non è trasparente e non sono rese note, al soggetto interessato, le caratteristiche e le modalità del suo funzionamento.
Ma l’ordinanza della Suprema Corte rappresenta effettivamente una vittoria del solo Garante ?
Il commentatore non ricorda, invero, che la problematica oggetto di giudizio, non attiene “semplicemente”, alle modalità di prestazione del consenso dell’interessato ad una trattamento di profilazione reputazionale informatizzata, ma la astratta e generale liceità e concreta praticabilità del trattamento stesso.
Il Garante, il 28 dicembre 2016 (http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/5805596) svolgeva, in sintesi, i seguenti rilievi:
- L’attività di elaborazione dei rating reputazionali (del genere trattato da Mevaluate onlus) risulterebbe illecita in sé, in quanto priva di una base normativa, con la conseguenza che nemmeno il consenso dell’interessato sarebbe in grado di legittimarla;
- Le valutazioni reputazionali su base automatizzata non sarebbero in grado di garantire l’oggettività del risultato e tanto basterebbe a determinare l’illiceità del trattamento, indipendentemente dal consenso espresso dell’interessato, in quanto violerebbero la dignità della persona.
Il Tribunale prima, e la Cassazione poi, sembrano invece frustrare tale impostazione attribuendo al consenso dell’interessato, sebbene a determinate condizioni, il potere, e dunque la libertà, di conseguire un profilo reputazionale personale, anche se prodotto su base automatizzata,
escludendo che “l’algoritmo della reputazione” sia produttivo, in re ipsa, di un pregiudizio alla dignità della persona.
La Corte non ha dunque disconosciuto quanto affermato dal Tribunale in ordine ai seguenti principi:
- È legittimo il trattamento dei dati personali degli aderenti al sistema Mevaluate perché validato dal consenso, e dunque perché espressione di autonomia privata;
- Si ha conoscenza diffusa nella realtà attuale, nazionale e sopranazionale, di fenomeni di valutazione e di certificazione da parte di privati (es. TripAdvisor, Crif, Bdcr Assilea, Consorzio per la tutela del credito (Ctc), Experian-Cerved);
- È lecito il sistema di rating reputazionale proposto dall’associazione, anche in mancanza di una disciplina normativa istitutiva.
La Corte, in definitiva, ha confermato la possibilità di sviluppare servizi di rating reputazionale basati sul consenso dell’interessato che è validamente prestato (…)solo se espresso liberamente e specificatamente in riferimento a un trattamento chiaramente individuato (…) Il requisito della consapevolezza non può considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si compone restino ignoti o non conoscibili da parte degli interessati”.
Mevaluate onlus, incassata la vittoria in ordine alla generale liceità delle profilazioni reputazionali automatizzate, ritiene, in attesa delle valutazioni dl Giudice del rinvio sul tema delle modalià di prestazione del consenso, di essere già in linea con le prospettazioni della Cassazione avendo adeguatamente indicato i criteri di funzionamento dell’algoritmo sia nel regolamento associativo, sia nel contratto tra l’associato e il consulente reputazionale incaricato di attestare la genuinità dei documenti che determinano il rating reputazionale.
