Temi

Shape 5 Live Search

logo

Per profilazione si intende l'insieme delle attività di raccolta ed elaborazione dei dati inerenti agli utenti di un servizio, al fine di suddividerli in gruppi a seconda del loro comportamento (segmentazione).

In ambito commerciale, la profilazione dell'utente è il mezzo che consente la fornitura di servizi personalizzati oppure l'invio di pubblicità comportamentale

L'articolo 4 del nuovo Regolamento europeo definisce la profilazione come "qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica". 
Quindi, per stabilire se si è in presenza di profilazione “è opportuno verificare se le persone fisiche sono tracciate su internet, compreso l’eventuale ricorso successivo a tecniche di trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali” (GDPR, considerando 24). 

In sintesi, la profilazione si ha in presenza di 3 elementi:

- un trattamento automatizzato;
- eseguito su dati personali;
- con lo scopo di valutare aspetti personali di una persona fisica.

Ovviamente non deve trattarsi di mero "tracciamento" dell'interessato che naviga online, ma di analisi per prendere decisioni che riguardano il soggetto oppure per analizzarne o prevederne le preferenze o i comportamenti. Cioé si è in presenza di profilazione in relazione allo scopo dei dati raccolti. Un classico trattamento automatizzato non costituente profilazione è l'applicazione di sanzioni per eccesso di velocità, erogate sulla base delle immagini raccolte dagli autovelox. Poiché tale trattamento non comporta la valutazione di aspetti personali, non costituisce profilazione. 

  

Informazione e trasparenza

Il titolare del trattamento deve informare gli interessati dell'esistenza di una decisione basata sul trattamento di dati automatizzato comprendente profilazione (art. 22 GDPR e Considerando 71). Nell'informativa devono, quindi, essere esplicitate le modalità e le finalità della profilazione. Inoltre, deve essere chiarita la logica inerente il trattamento e le conseguenze previste per l'interessato a seguito di tale tipo di trattamento, intendendo in tal senso i criteri utilizzati per giungere alla decisione senza necessariamente dover fornire una spiegazione complessa degli algoritmi utilizzati o la divulgazione dell'algoritmo completo.
Gli  effetti legali della profilazione potrebbero essere: il diniego di attraversamento di una frontiera; l'adozione di misure di sicurezza; il diniego di forme di assistenza sociale; il rifiuto di un impiego; il rifiuto della concessione di un prestito. 

Ovviamente la profilazione deve essere svolta utilizzando i soli dati strettamente necessari per la finalità indicata, in ossequio al principio di pertinenza e di proporzionalità. 

 

Base giuridica e opposizione

L'articolo 22 del GDPR, paragrafo 1, chiarisce l'ambito di applicazione delle norme in materia di profilazione, che riguarda le ipotesi in cui l'attività di profilazione produce effetti giuridici o incide in modo significativo sulla persona dell'utente, e la decisione è basata interamente sul trattamento automatizzato dei dati. 

Un interessato può essere sottoposto ad un processo decisionale automatizzato, compreso la profilazione, solo quando: 
1) il trattamento è necessario per la conclusione o l'esecuzione di un contratto tra l'interessato e il titolare (la necessità deve essere interpretata in modo restrittivo, anche se i Garanti europei precisano che motivi di efficienza sono ritenuti sufficienti per giustificare l'utilizzo di sistemi decisionali basati su profilazione, a condizione che non vi siano metodi meno intrusivi che raggiungano lo stesso risultato), ma tale eccezione non si applica in caso di trattamento di dati sanitari; 
2) il trattamento è autorizzato da una legge o regolamento, che prevede altresì misure idonee a tutelare i diritti dei soggetti interessati; 
3) vi è esplicito consenso al trattamento (ricordiamo che il consenso alla profilazione deve essere distinto rispetto al consenso relativo ad altri trattamenti). 
Nel primo e nel terzo caso, il titolare del trattamento deve attuare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato,

Secondo il WP29 (Linee guida in materia di processi automatizzati e profilazione, 2018) la profilazione può essere basata anche sui legittimi interessi del titolare del trattamento, alla stregua del marketing diretto. Tuttavia occorre sempre effettuare il bilanciamento degli interessi per valutare l'eventuale prevalenza di quelli del titolare. Le linee guida indicano alcuni elementi da valutare:
- il livello di dettaglio del profilo; 
- la completezza del profilo (se il profilo descrive solo un piccolo aspetto della persona interessata, o fa un quadro più completo); 
- l'impatto della profilazione (gli effetti sull'interessato); e 
- le misure di sicurezza volte ad assicurare equità, non discriminazione e accuratezza nel processo di profilazione. 

Se l'acquisizione dei dati avviene attraverso l'utilizzo di cookie, si applica la relativa normativa.

L'interessato ha il diritto di non essere oggetto di una decisione basata esclusivamente su un trattamento automatizzato, tra cui profilazione, che produce effetti giuridici che lo riguardano. In questi casi l'interessato può opporsi a tale elaborazione. In tal caso il titolare deve immediatamente interrompere il trattamento finché non dimostra all'interessato che il trattamento automatizzato e la profilazione non violano i suoi diritti e le sue libertà. 
Inoltre, l'interessato può espressamente chiedere che ogni decisione automatizzata che lo riguardi sia condizionata da un intervento umano, di poter esprimere il proprio punto di vista e contestare la decisione, con adeguate motivazioni. In breve l'interessato ha il diritto di ricevere una giustificazione della decisione automatizzata. Il WP29 sottolinea che la supervisione umana della conclusione raggiunta dalla macchina deve essere significativa, altrimenti sarebbe solo un modo per aggirare il divieto. 
Il problema sta, però, nel fatto che i sistemi automatizzati oggi sono non solo sistemi estremamente complessi, ma i loro codici sono anche soggetti ad elevati livelli di segretezza, per cui appare piuttosto difficile che il titolare (il quale spesso non è altro che l'acquirente di uno strumento di analisi automatizzata) possa fornire una giustificazione adeguata alla decisione fornita dal sistema.  

 

Dati individuali o dati aggregati

La profilazione può avvenire utilizzando dati individuali o identificativi (es. dati anagrafici), oppure dati aggregati derivanti da dati personali individuali. Il livello di aggregazione è variabile, e quindi potrebbe accadere che i dati utilizzati, anche se in forma aggregata, consentano comunque, a seguito dell'incrocio con altri dati, l'identificazione dei soggetti interessati. Ecco perchè col GDPR si impone la valutazione di impatto del trattamento

 

Dati sensibili

Il GDPR vieta l'utilizzo di dati personali sensibili per scopi decisionali automatizzati, a meno che:

- l'interessato non abbia espresso il suo consenso esplicito;
- la decisione automatizzata è necessaria per motivi di interesse pubblico.

 

Misure di sicurezza e valutazione di impatto

Il titolare del trattamento, inoltre, deve ottemperare agli obblighi in materia di misure di sicurezzaanalisi dei rischi del trattamento, formazione del personalenomina degli amministratori di sistemaprocedure di disaster recovery
In particolare dovrà verificare se esiste un rischio di discriminazione, furto di identità, danni alla reputazione o altri effetti negativi per gli interessati. 
Ad esempio, il titolare potrà adottare misure di pseudonimizzazione o minimizzazione dei dati per evitare che il trattamento automatizzato incida in misura significativa sugli interessati. 

Inoltre, è opportuno che il titolare ponga in essere misure tecniche ed organizzative adeguate al fine di garantire che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori di misure matematiche o statistiche, e che impedisca effetti discriminatori nei confronti delle persone sulla base del trattamento dei dati per attività di profilazione. 

Infine, il trattamento basato su sistemi automatizzati (anche se non esclusivamente basato sulla valutazione della macchina, ma anche quello con intervento umano) deve essere preceduto dalla valutazione di impatto, proprio perché dalle elaborazioni possono derivare dettagli informativi ritenuti di natura particolarmente invasiva ma anche perché possono essere impiegati una quantità significativa di dati ai quali devono essere assicurati gli opportuni livelli di protezione e garanzia contro i possibili rischi per i diritti e le libertà degli Interessati. 

Il regolamento impone altresì che il titolare adotti una politica di periodica revisione degli applicativi di decisione automatizzata, per al fine di verificare se il sistema produce errori, classificazioni non corrette e possibili discriminazioni.

 

Problematiche

L'attività di profilazione è considerata estremamente invasiva e può portare a danni ed abusi a carico degli utenti. La profilazione, infatti, viene utilizzata per fornire pubblicità personalizzata agli utenti, ma può anche portare a differenti offerte commerciali (price discrimination) a seconda della persona o della categoria nella quale essa è inclusa, con ciò determinando forme di diseguaglianza sociale o discriminazioni verso le minoranze. Alcune categorie di persone, infatti, potrebbero non essere mai raggiunte da alcune offerte, con ciò determinando forme di discriminazione del tutto ingiustificate. 
I governi, invece, tendono ad utilizzare la profilazione per prevedere la possibilità che un soggetto sia portato a delinquere. 
Inoltre, gli algoritmi di profilazione non sono certamente perfetti, per questo motivo possono portare anche a errori. 

Un ulteriore problema è dato dal fatto che gli algoritmi sono protetti quali segreti commerciali (trade secrets), in base alla direttiva Trade Secrets dell'Unione europea e altre norme in materia. In tal senso, quindi, anche i soggetti che utilizzano tali algoritmi, se non ne sono i programmatori, possono non conoscere affatto le logiche alla base degli stessi, e quindi comprendere gli effetti della loro applicazione. Ed ecco perché il regolamento europeo prevede un'apposito obbligo di informazione sulla logica alla base della profilazione. 

 

Linee guida

Il Garante italiano nel 2015 ha emanate delle linee guida in materia di profilazione

profilazione