Causa C‑634/21

OQ

contro

Land Hessen,

(domanda di pronuncia pregiudiziale proposta dal Verwaltungsgericht Wiesbaden)

Sentenza della Corte (Prima Sezione) del 7 dicembre 2023

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 22 – Processo decisionale automatizzato relativo alle persone fisiche – Società che forniscono informazioni commerciali – Calcolo automatizzato di un tasso di probabilità relativo alla capacità di una persona di onorare impegni di pagamento in futuro (“scoring”) – Utilizzo di tale tasso di probabilità da parte di terzi»

1. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Mezzi di ricorso – Ricorso giurisdizionale contro una decisione su reclamo adottata da un’autorità di controllo – Sindacato giurisdizionale – Portata – Limiti – Assenza

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, art. 78, § 1)

   (v. punto 34)

2. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto dell’interessato di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato – Processo decisionale automatizzato relativo alle persone fisiche – Nozione – Determinazione automatizzata, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità della solvibilità di una persona, utilizzato da terzi – Inclusione – Presupposti

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 71 e art. 4, punto 4, e 22, § 1)

   (v. punti 43, 46, 50, 60-63, 73 e dispositivo)

3. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto dell’interessato di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato – Eccezioni – Adozione di una decisione fondata esclusivamente su un trattamento automatizzato, autorizzata dal diritto di uno Stato membro – Obbligo di rispettare le condizioni e le esigenze previste da tale regolamento – Verifica incombente al giudice nazionale

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 71 e artt. 5, 6, e 22, §§ da 2 a 4)

   (v. punti 53-55, 64, 67-70, 72)

Sintesi

La SCHUFA Holding AG, una società privata di diritto tedesco, fornisce ai suoi partner contrattuali informazioni sul merito creditizio delle persone. A tal fine, essa assegna a ciascun interessato un tasso («punteggio») stabilito a partire da talune caratteristiche di tale interessato, sulla base di procedure matematiche e statistiche. La determinazione dei punteggi serve a prevedere il comportamento futuro di una persona, come il rimborso di un prestito, sulla base della sua assegnazione a un gruppo di altre persone con caratteristiche analoghe.

Dopo essere stata oggetto di informazioni negative redatte dalla SCHUFA e trasmesse ad un ente creditizio, a OQ è stata negata, da tale ente, la concessione di un prestito. OQ ha chiesto alla SCHUFA di darle accesso ai dati che la riguardavano e di cancellare i dati asseritamente errati. La SCHUFA le ha tuttavia comunicato solo il suo punteggio e, in generale, le modalità del suo calcolo, facendo valere, per il resto, il segreto commerciale.

OQ ha poi presentato un reclamo contro la SCHUFA dinanzi allo HBDI ( 1 ), l’autorità di controllo tedesca, che quest’ultima ha respinto in quanto l’attività della SCHUFA era conforme alla normativa tedesca che disciplina le modalità di utilizzo di un tasso di probabilità relativo alla solvibilità ( 2 ).

Investito di un ricorso avverso la decisione dell’HBDI da parte di OQ, il Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden, Germania) ha interrogato la Corte sull’interpretazione delle disposizioni del RGPD ( 3 ) relative al diritto dell’interessata di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato, compresa la profilazione ( 4 ).

Nella sua sentenza, la Corte interpreta, per la prima volta, le disposizioni del RGPD relative al settore sensibile delle decisioni fondate esclusivamente su un trattamento di dati automatizzato. In tale contesto, essa si pronuncia sulla questione se la determinazione automatizzata, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità riguardante la solvibilità di una persona costituisca un processo decisionale automatizzato e, pertanto, rientri nell’ambito di applicazione di tali disposizioni.

Giudizio della Corte

Anzitutto, la Corte constata che le tre condizioni cumulative di applicabilità delle disposizioni del RGPD che disciplinano il diritto della persona di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato, compresa la profilazione, sono soddisfatte nel caso di specie.

Per quanto riguarda la prima condizione, relativa all’esistenza di una decisione, la Corte precisa che la nozione di «decisione» ha una portata ampia e può includere il risultato del calcolo della solvibilità di una persona sotto forma di un tasso di probabilità riguardante la capacità di tale persona di onorare impegni di pagamento in futuro.

Per quanto riguarda la seconda condizione, secondo cui la decisione deve essere «fondata esclusivamente su un trattamento automatizzato, compresa la profilazione», è pacifico, secondo la Corte, che l’attività della società in questione risponde alla definizione di «profilazione» ( 5 ) e che, pertanto, tale condizione è soddisfatta nel caso di specie. Inoltre, il giudice del rinvio menziona esplicitamente che si tratta della determinazione automatizzata di un tasso di probabilità fondato su dati personali relativi ad una persona e riguardante la capacità di quest’ultima di onorare un prestito in futuro.

Quanto alla terza condizione, secondo cui la decisione deve produrre «effetti giuridici» riguardanti la persona di cui trattasi o incidere «in modo analogo significativamente» su di essa, la Corte rileva che nel caso di specie l’azione del terzo al quale è trasmesso il tasso di probabilità è guidata «in modo decisivo» da tale tasso. Infatti, un tasso di probabilità insufficiente comporta, quasi sempre, il rifiuto di concedere un prestito. Pertanto, tale tasso incide, quanto meno, sulla persona interessata in modo significativo.

La corte conclude che qualora il tasso di probabilità determinato da una società che fornisce informazioni commerciali e comunicato a una banca svolga un ruolo decisivo nella concessione di un credito, il calcolo di tale tasso deve essere qualificato di per sé come decisione che produce nei confronti di un interessato «effetti giuridici che lo riguardano o che incid[e] in modo analogo significativamente sulla sua persona» ( 6 ).

La Corte sottolinea poi che tale interpretazione, e soprattutto la portata ampia della nozione di «decisione», rafforza la protezione effettiva prevista dal RGPD. Per contro, un’interpretazione restrittiva, secondo la quale la determinazione del tasso di probabilità deve essere considerata soltanto un atto preparatorio e solo l’atto adottato dal terzo può, eventualmente, essere qualificato come «decisione», comporterebbe una lacuna nella tutela giuridica. Infatti, in tale ipotesi, il calcolo di un siffatto tasso sfuggirebbe alle specifiche esigenze previste dal RGPD ( 7 ), sebbene tale procedura si basi su un trattamento automatizzato e produca effetti che incidono significativamente sull’interessato, in quanto l’azione del terzo, al quale tale tasso di probabilità è trasmesso, è condizionata in modo decisivo da quest’ultimo.

Inoltre, da un lato, la persona interessata non potrebbe far valere, presso la società che fornisce informazioni commerciali che calcola il tasso di probabilità che la riguarda, il suo diritto di accesso alle informazioni specifiche ( 8 ), in assenza di adozione di un processo decisionale automatizzato da parte di tale società. Dall’altro lato, anche supponendo che l’atto adottato dal terzo rientri, dal canto suo, nell’ambito di applicazione delle disposizioni del RGPD relative al diritto della persona di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato, tale terzo non sarebbe in grado di fornire tali informazioni specifiche in quanto generalmente non ne dispone.

Infine, la Corte osserva che il fatto che il calcolo di un tasso di probabilità rientra nell’ambito di applicabilità delle disposizioni del RGPD che disciplinano il diritto della persona di non essere oggetto di una decisione fondata esclusivamente su un trattamento automatizzato comporta che esso è vietato, salvo l’applicabilità di una delle eccezioni il rispetto delle specifiche esigenze previste dal RGPD.

Inoltre, qualsiasi trattamento di dati personali deve, da un lato, essere conforme ai principi relativi al trattamento dei dati fissati dal RGPD e, dall’altro, alla luce, in particolare, del principio della liceità del trattamento, soddisfare una delle condizioni di liceità.

In tale contesto, la Corte rileva che il giudice del rinvio fa riferimento all’eccezione secondo la quale l’adozione della decisione fondata esclusivamente su un trattamento automatizzato può essere autorizzata qualora ciò sia previsto dal diritto dello Stato membro. A tal riguardo, essa precisa che spetta a tale giudice verificare se la normativa nazionale che disciplina le modalità di utilizzo di un tasso di probabilità relativo alla solvibilità possa essere qualificata come base giuridica che autorizza l’adozione di una siffatta decisione e, in caso affermativo, se le condizioni che accompagnano tale eccezione e quelle relative ai principi applicabili al trattamento, previste dal RGPD, siano soddisfatte nel caso di specie.

( 1 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Commissario per la protezione dei dati personali e la libertà di informazione del Land Assia, Germania)

( 2 ) Articolo 31 del Bundesdatenschutzgesetz (legge federale sulla protezione dei dati), del 30 giugno 2017 (BGBl. I, pag. 2097).

( 3 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1)

( 4 ) Articolo 22 del RGPD.

( 5 ) Ai sensi dell’articolo 4, punto 4, del RGPD:

( 6 ) Ai sensi dell’articolo 22, paragrafo 1, del RGPD.

( 7 ) Di cui all’articolo 22, paragrafi da 2 a 4, del RGPD. Da tali disposizioni risulta che il divieto di una decisione individuale fondata esclusivamente su un trattamento automatizzato è accompagnato da tre eccezioni, corredate di garanzie supplementari. Infatti, tale decisione è ammessa qualora sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, qualora sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o si basi sul consenso esplicito dell’interessato, purché siano in vigore misure appropriate per la salvaguardia dei diritti, delle libertà e dei legittimi interessi dell’interessato.

( 8 ) Di cui all’articolo 15, paragrafo 1, lettera h), del RGPD, che, in caso di adozione di una decisione automatizzata, conferisce all’interessato un ampio diritto di accesso.