Il servizio dell'Associazione Mevaluate Onlus consiste nel calcolo di un rating reputazionale di persone fisiche e giuridiche con lo scopo di “rendere maggiormente efficienti, trasparenti e sicuri i rapporti socio-economici”. Il rating viene costruito attraverso un algoritmo a partire dalla raccolta di dati personali da diverse fonti effettuata su richiesta degli interessati. Tali dati vengono raccolti da documenti caricati sulla piattaforma dagli stessi utenti e altri dati liberamente utilizzabili dal web. L'algoritmo elabora automaticamente i dati raccolti ed assegna ai soggetti censiti un punteggio di affidabilità suddiviso in cinque sub-rating ("penale", "fiscale", "civile", "lavoro e impegno civile" "studi e formazione"). Possono essere censiti sia gli utenti iscritti alla piattaforma, che terzi (i quali hanno la possibilità di aderire in ogni tempo alla piattaforma e presentare nuovi documenti volti a integrare e/o modificare i profili a sé riferiti).
Nel 2016 il Garante della Privacy provvedimento n. 488 aveva dichiarato non lecito il trattamento di dati personali connesso ai servizi offerti tramite l´"Infrastruttura Immateriale Mevaluate per la Qualificazione Reputazionale". In particolare il Garante svolgeva, tra gli altri, i seguenti rilievi:
L' ordinamento riconosce e regola esclusivamente il “rating d’impresa” (art. 83 del D. Lgs. 50/2016 ). Il rating di persone fisiche è privo di una base normativa.
Le valutazioni reputazionali su base automatizzata potrebbero influenzare la vita degli individui censiti e quindi incidere negativamente sulla loro dignità.
La legge richiede che il consenso degli interessati al trattamento dei dati personali deve essere informato e manifestato liberamente: tali presupposti non ricorrono nel caso di autonoma elaborazione di dati da parte di un sistema automatizzato, quando l'interessato non conosce le modalità di funzionamento del sistema
Il trattamento appare in violazione dei principi di minimizzazione dei dati (poiché si basa su una raccolta massiva di dati e documenti) e di proporzionalità del trattamento (poiché la rilevanza e la pertinenza dei dati e documenti raccolti appare indimostrata);
Il provvedimento del Garante è stato impugnato dall'Associazione Mevaluate davanti al Tribunale di Roma, che, con sentenza n. 5715/2018, ha invece considerato lecito il rating reputazionale, in quanto “tutte le attività di caricamento delle informazioni e di validazione e certificazione dei documenti sono soggette al consenso dell’interessato e alla volontarietà della sua azione”. Il Tribunale di Roma ha disposto l'annullamento parziale del provvedimento del Garante, mantenendo il divieto di trattamento dei dati personali di terzi non associati a Mevaluate e non iscritti alla piattaforma.
Su ricorso del Garante della Privacy, recentemente la Corte di Cassazione con ordinanza 14381/2021 ha espresso il seguente principio di diritto: “in tema di trattamento di dati personali, il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato; ne segue che nel caso di una piattaforma web (con annesso archivio informatico) preordinata all’elaborazione di profili reputazionali di singole persone fisiche o giuridiche, incentrata su un sistema di calcolo con alla base un algoritmo finalizzato a stabilire i punteggi di affidabilità, il requisito di consapevolezza non può considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si compone restino ignoti o non conoscibili da parte degli interessati”.
La Cassazione ha quindi confermato la legittimità del trattamento dati personali ai fini di elaborazione di un rating reputazionale di persone fisiche, purché confermato dal consenso dell'interessato e quindi espressione dell'autonomia privata. In questo caso, secondo la Cassazione, il consenso sarà valido a patto che l'interessato riceva un'adeguata informativa sui meccanismi di funzionamento dell’algoritmo.
Avv. Chiara Civitelli
Il contenuto di questo articolo non costituisce un parere legale, ma ha funzione informativa. Per una consulenza legale personalizzata, contattare lo studio all’ e-mail: info@dongpartners.eu o al telefono +39 06 916505710. © Dong & Partners International Law Firm, Tutti diritti riservati.