L'articolo L’algoritmo e il diritto alla spiegazione proviene da Giurdanella.it.
]]>Può essere così sintetizzata la recente sentenza della Corte di Giustizia Europea, del 27 febbraio, nella causa C-203/22, riguardante la valutazione automatizzata del merito creditizio mediante c.d. credit scoring.
La Corte europea ha, innanzitutto, verificato la riconducibilità di questa tipologia di valutazioni nell’ambito dell’articolo 22 del Regolamento 2016/679 (G.D.P.R.), rubricato “Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione”, ove viene affermato il diritto dell’interessato a non essere sottoposto a una decisione interamente automatizzata e che garantisce all’interessato, in ogni caso, il diritto ad esprimere la propria opinione e a contestare la decisione stessa.
La Corte di Giustizia europea si è occupata dell’attività di aziende che basano il loro business sull’analisi con sistemi di intelligenza artificiale di dati personali per l’elaborazione di valutazioni del merito creditizio da vendere a società terze.
Per i Giudici europei questo tipo di valutazioni possono essere considerate decisioni alla stregua dell’articolo 22 G.D.P.R., giacché suscettibili di produrre “effetti giuridici” che riguardino l’interessato (come il rifiuto di un finanziamento) o di incidere “in modo analogo” sulla sua persona.
Questa conclusione non è banale, giacché considerare questo tipo di valutazioni automatizzate delle decisioni ex art. 22 G.D.P.R. significa riconoscere all’interessato una serie di diritti e tutele previste all’interno del Regolamento sulla tutela della privacy.
Infatti, ai sensi dell’articolo 15 GDPR, rubricato “Diritto di accesso dell’interessato”, il soggetto coinvolto in un processo di analisi dati è autorizzato a richiedere conferma che sia o meno in corso il trattamento di dati personali, ad accedere ai dati specificamente utilizzati ed, eventualmente, a richiederne la rettifica o cancellazione.
In altri termini, e con specifico riguardo alle vicende concrete oggetto delle pronunce della CGUE, i soggetti destinatari di una decisione automatizzata sono titolari di un diritto all’informazione, ossia ad accedere ai dati effettivamente trattati dalle aziende e a comprendere come essi siano stati praticamente valutati.
Già, con precedente sentenza del 7 dicembre 2023 (C-634/21), era stato affermato che “il calcolo automatizzato, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità basato su dati personali relativi a una persona e riguardanti la capacità di quest’ultima di onorare in futuro gli impegni di pagamento costituisce un «processo decisionale automatizzato relativo alle persone fisiche», ai sensi dell’articolo 22, paragrafo 1, del GDPR, qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo”.
La Corte ha anche affrontato il profilo del bilanciamento degli interessi contrapposti in materia di accesso e, in particolare, il contemperamento tra il diritto all’informazione dell’interessato con la tutela dei segreti commerciali, considerato che le vicende concrete riguardavano proprio l’attività di aziende che dell’analisi dati hanno fatto il loro core business.
L’articolo 15 GDPR prevede, in particolare, il diritto dell’interessato ad accedere ad “informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato”.
Tuttavia, considerata la complessità delle valutazioni automatizzate, verosimilmente la sola comunicazione dei dati utilizzati potrebbe non garantire l’effettiva comprensione della valutazione da parte dell’interessato.
Ebbene, per la Corte “l’interessato può pretendere dal titolare del trattamento, a titolo di «informazioni significative sulla logica utilizzata», che quest’ultimo gli spieghi, mediante informazioni pertinenti e in forma concisa, trasparente, comprensibile e facilmente accessibile, la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato al fine di ottenerne un risultato determinato, come un profilo di solvibilità”.
Infine, qualora le società destinatarie della richiesta di accesso ritengano che la predetta richiesta riguardi dati coperti da segreto commerciale ai sensi dell’articolo 2, punto 1, della direttiva 2016/943, essi sono tenuti “a comunicare tali informazioni asseritamente protette all’autorità di controllo o al giudice competenti, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 del GDPR”.
– – –
L'articolo L’algoritmo e il diritto alla spiegazione proviene da Giurdanella.it.
]]>L'articolo Diritto di opposizione e Intelligenza Artificiale proviene da Giurdanella.it.
]]>In particolare, quando l’uso dei dati personali è finalizzato a realizzare l’interesse del titolare del trattamento, l’interessato deve argomentare e fornire motivi legati alla sua condizione personale per esercitare validamente il diritto di opposizione; quando il trattamento ha finalità di marketing, non sarà necessario fornire specifiche giustificazioni.
Il predetto diritto di opposizione, garantito dalla normativa europea, può essere esercitato ogniqualvolta venga avviato un processo di trattamento di dati personali senza richiedere il consenso dell’interessato, ossia del soggetto cui quei dati si riferiscono.
Anche rispetto alle (relativamente) nuove piattaforme di intelligenza artificiale come Chatgpt è possibile esercitar il diritto di cui all’articolo 21 GDPR.
Se interessati, questo è il link per procedere: https://,privac,y.o,pena[.com/polic¡es?, modal=take-control&name=open-ai-privacy-requestportal phvacy-requests.
Compilando l’apposito modulo è possibile ottenere la cancellazione dei proprio dati personali da Chatgpt, del proprio account personale; si può anche richiedere di non allenare il modello di I.A. usando i propri dati oppure impedire che il proprio nome appaia in chat come risultato di un eventuale ricerca.
L'articolo Diritto di opposizione e Intelligenza Artificiale proviene da Giurdanella.it.
]]>L'articolo I droni del Comune tra privacy e sicurezza proviene da Giurdanella.it.
]]>Questo è quanto emerge dal provvedimento n. 405/2024 del Garante della Privacy, reso a seguito di un’istruttoria che ha interessato la città di Treviso.
Il Comune veneto, nel 2022, ha introdotto l’uso di droni per la prevenzione della commissione di reati (prevalentemente furti in abitazioni) e per consentire ai cittadini di effettuare segnalazioni alla polizia locale della città mediante un’applicazione informatica fruibile dal proprio dispositivo personale.
Sennonché, il Garante ha avviato un procedimento da cui sono emersi numerosi punti di criticità.
Tra tutte, il comune avrebbe errato nella qualificazione dei ruoli in materia di protezione dei dati personali in quanto ha assunto il ruolo di responsabile del trattamento dei dati nel rapporto con la società fornitrice dell’applicazione, qualificatasi come titolare del trattamento.
L’Autorità ha altresì rilevato “che il Comune, in quanto titolare del trattamento, ha omesso di stipulare un accordo sulla protezione dei dati personali con il predetto fornitore, quale responsabile del trattamento.”
Peraltro, l’amministrazione comunale ha omesso di dotarsi di misure interne per garantire la protezione dei dati dei cittadini né sono state messe in atto misure tecniche e organizzative adeguate al fine di garantire che venissero trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica.
Il Garante ha, dunque, accertato l’illiceità del trattamento dei dati e ha condannato il comune al pagamento di una sanzione amministrativa.
L'articolo I droni del Comune tra privacy e sicurezza proviene da Giurdanella.it.
]]>L'articolo L’approccio umano-centrico nella regolamentazione dell’Intelligenza Artificiale proviene da Giurdanella.it.
]]>Nei nostri precedenti articoli abbiamo già parlato dell’approccio umano-centrico che le prime regolamentazioni dell’uso dell’Intelligenza Artificiale (I.A.) hanno adottato, sia a livello europeo (I.A. Act) che a livello nazionale (disegno di legge presentato dal Governo italiano).
Questo approccio è ispirato alla tutela delle libertà e dei diritti fondamentali dei cittadini, garantendo il dominio dell’uomo sui processi automatizzati. Le soluzioni adottate dall’algoritmo possono essere modificate o corrette dall’uomo, che rimane l’unico centro di imputazione delle decisioni adottate mediante intelligenza artificiale.
Un altro aspetto cruciale dell’approccio umano-centrico riguarda i destinatari delle decisioni adottate con I.A., ai quali devono essere garantiti:
Il decreto del Ministero dell’Economia e delle Finanze del 24 aprile 2024 stabilisce che gli atti automatizzati o sostanzialmente automatizzati, di pronta liquidazione e di controllo formale delle dichiarazioni sono autonomamente impugnabili, escludendo per essi il diritto a un precedente contraddittorio. La norma è in linea con l’art. 6-bis dello Statuto del contribuente, che esclude il diritto al contraddittorio per tali atti.
L’esclusione del contraddittorio per gli atti automatizzati sembra in contrasto con l’obiettivo di massima tutela dei destinatari di decisioni algoritmiche. Inoltre, si pone in frizione con le regole del Regolamento europeo n. 679/2016 (GDPR), che, al considerando 71, sancisce il diritto dell’interessato a non essere sottoposto a decisioni basate su profili attinenti alla propria persona e frutto di processi interamente automatizzati, che producano effetti giuridici significativi.
Il GDPR prevede deroghe specifiche alla regola di cui al predetto considerando 71 (art. 22) quando:
Il decreto del MEF dovrebbe rispettare queste misure, predisponendo adeguate tutele come l’accesso ai dati e il contraddittorio con il titolare del trattamento. Tuttavia, esclude completamente la possibilità di instaurare un contraddittorio per atti automatizzati, sollevando perplessità etiche e legali.
L’approccio umano-centrico nella regolamentazione dell’Intelligenza Artificiale mira a garantire che l’uomo rimanga al centro delle decisioni automatizzate. Tuttavia, l’esclusione del contraddittorio per gli atti automatizzati nel recente decreto del MEF pone seri interrogativi sulla tutela dei diritti fondamentali e la trasparenza delle decisioni algoritmiche.
Abbiamo parlato di approccio umano-centrico nella regolamentazione dell’Intelligenza Artificiale qui, qui e qui
L'articolo L’approccio umano-centrico nella regolamentazione dell’Intelligenza Artificiale proviene da Giurdanella.it.
]]>L'articolo Profilazione sulla solvibilità e diritto di accesso proviene da Giurdanella.it.
]]>Depositate in Corte di Giustizia UE le conclusioni dell’Avvocato generale (nelle cause C-634/21, C-26/22, C-64/22) sugli effetti, ai fine del GDPR, della profilazione compiuta per dar vita al calcolo automatizzato della probabilità che una persona sia in grado di saldare un debito.
In sintesi, l’Avvocato afferma che “la semplice profilazione di dati personali, se poi viene posta da terzi a unico fondamento di decisioni consequenziali assunte senza contraddittorio, configura un processo decisionale automatizzato”.
Questioni:
Cos’è la profilazione
Cos’è un processo decisionale automatizzato
Perché la profilazione sulla solvibilità è già un processo decisionale automatizzato
Quali diritti?
– Opposizione
– Contraddittorio
– Accesso
Si può opporre il segreto industriale e aziendale?
Il trattamento automatizzato dei dati
La decisione basata unicamente sul trattamento automatizzato di dati
Il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato di dati
a) Il calcolo automatizzato della probabilità che una persona sia in grado di saldare un debito
Nell’ambito della sua attività economica, consistente nel fornire ai clienti informazioni sulla solvibilità di terzi, una società fornisce a un istituto di credito un punteggio di scoring relativo al cittadino in questione, sulla cui (unica) base il credito da quest’ultimo richiesto è stato negato.
Detto cittadino ha quindi chiesto alla società di cancellare la registrazione che lo riguardava e di consentirgli di accedere ai dati corrispondenti.
Quest’ultima gli ha, tuttavia, comunicato unicamente il punteggio di scoring pertinente e, in termini generali, i principi su cui si fonda il modello di calcolo di detto punteggio, senza informarlo in merito ai dati specifici presi in considerazione e alla rilevanza loro attribuita in tale contesto, sostenendo che il metodo di calcolo sarebbe coperto da segreto industriale e aziendale.
b) Il giudice a quo
Il giudice (Tribunale amministrativo di Wiesbaden, Germania), nel sollevare la questione di pregiudizialità innanzi alla Corte di Giustizia, ritiene che il calcolo di un punteggio di scoring da parte di un’agenzia di valutazione del credito non sia meramente una profilazione funzionale alla decisione del terzo titolare del trattamento, ma sia precisamente già una «decisione» autonoma ai sensi dell’articolo 22, paragrafo 1, del RGPD.
c) L’avvocato generale
L’avvocato generale innanzi alla Corte di Giustizia, in sede di conclusioni, osserva, anzitutto, che il GDPR sancisce un «diritto» dell’interessato di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione.
Aggiunge che “l’intervento umano richiesto nell’ambito di questo tipo di trattamento automatizzato dei dati garantisce che l’interessato abbia la possibilità di esprimere il suo punto di vista, ottenere una spiegazione in merito alla decisione adottata al termine di detta tipologia di valutazione e contestarla qualora non la condivida”.
L’avvocato generale osserva poi che il calcolo automatizzato di un tasso di probabilità relativo alla capacità di un interessato di saldare in futuro un debito costituisce già una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produce effetti giuridici che riguardano l’interessato o che incide in modo analogo significativamente sulla sua persona, qualora tale tasso, calcolato sulla base di dati personali relativi all’interessato, sia trasmesso dal titolare del trattamento a un terzo titolare del trattamento e, conformemente a una prassi costante, quest’ultimo basi prevalentemente su tale tasso la sua decisione sulla stipulazione, sull’attuazione o sulla cessazione di un contratto con l’interessato.
E, infine, sul segreto industriale ed aziendale opposto dalla società convenuta, rileva che “l’obbligo di fornire «informazioni significative sulla logica utilizzata» deve essere inteso nel senso che impone spiegazioni sufficientemente dettagliate sul metodo utilizzato per il calcolo del punteggio e le ragioni che hanno portato a un determinato risultato. In linea di massima, il titolare del trattamento dovrebbe fornire all’interessato informazioni generali, in particolare, sui fattori presi in considerazione ai fini del processo decisionale e sulla loro rispettiva rilevanza a livello aggregato, anch’esse utili a consentirgli di contestare qualsiasi «decisione» ai sensi dell’articolo 22, paragrafo 1, del GDPR.
d) Norme di riferimento
GDPR (General Data Protection Regulation)
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati). In vigore dal 25 maggio 2018.
– Articolo 4 (Definizioni)
Ai fini del presente regolamento s’intende per:
(…) 4) «profilazione»: qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica;
– Articolo 22 (Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione)
1. L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
– Articolo 15 (Diritto di accesso dell’interessato)
1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:
(…) h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
e) Link
La domanda di pronuncia pregiudiziale promossa dal Tribunale amministrativo di Wiesbaden, Germania
Le conclusioni dell’Avvocato generale
f) Cos’è dato personale e cos’è trattamento
Articolo 4 GDPR
Definizioni
1) «dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
2) «trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
L'articolo Profilazione sulla solvibilità e diritto di accesso proviene da Giurdanella.it.
]]>