Art. 22 GDPR, sentenza SCHUFA della Corte di Giustizia e prassi del Garante italiano: quando le decisioni degli algoritmi violano i diritti fondamentali della persona e quali strumenti di tutela sono concretamente disponibili
I
Sommario
Un algoritmo calcola il tuo score creditizio e la banca ti nega il mutuo. Un sistema automatizzato valuta il tuo curriculum e non ti convoca al colloquio. Un modello predittivo determina il tuo premio assicurativo sulla base di dati comportamentali che non hai scelto di condividere a quel fine. La tua richiesta di sussidio è respinta da un software che incrocia banche dati pubbliche e private. Queste non sono ipotesi futuribili: sono le modalità con cui milioni di decisioni che incidono profondamente sulla vita delle persone vengono adottate, oggi, da sistemi automatizzati che operano su scala industriale, spesso senza che l’interessato ne sia consapevole né abbia alcuna possibilità di comprenderle o contestarle.
Il Regolamento (UE) 2016/679 (GDPR) ha tentato di rispondere a questa sfida con una norma di portata potenzialmente rivoluzionaria: l’art. 22, che attribuisce all’interessato il diritto di non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sulla sua persona. Si tratta di una delle disposizioni più innovative e più discusse dell’intero impianto GDPR, la cui portata applicativa è rimasta a lungo incerta fino a quando la Corte di Giustizia dell’Unione Europea — con la storica pronuncia del 7 dicembre 2023 nel caso SCHUFA Holding AG c. Land Hessen (C-634/21) — ne ha fornito un’interpretazione larga e garantista, destinata a ridefinire l’intero settore del credit scoring algoritmico in Europa.
Il presente contributo analizza il quadro normativo dell’art. 22 GDPR, la giurisprudenza europea e italiana più rilevante, i casi pratici in cui il diritto interviene e gli strumenti concretamente disponibili per chi abbia subito gli effetti di una decisione algoritmica illegittima. Particolare attenzione è dedicata alle nozioni chiave di profilazione, di decisione basata esclusivamente su trattamento automatizzato, di effetti significativi e di intervento umano significativo: concetti la cui corretta comprensione è indispensabile per valutare se una specifica situazione sia tutelabile ai sensi della norma.
II
Principio di diritto
«L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona» — art. 22, par. 1, Reg. UE 2016/679 (GDPR).
Il principio è articolato attorno a quattro elementi costitutivi, ciascuno dei quali deve essere verificato per accertare l’applicabilità della norma: (a) una decisione, intesa come atto o comportamento che produce un esito determinato nei confronti dell’interessato; (b) basata unicamente sul trattamento automatizzato, senza un intervento umano reale e significativo; (c) che includa o si fondi su profilazione ai sensi dell’art. 4, n. 4, GDPR; (d) produca effetti giuridicio incida in modo analogo significativamente sulla persona.
In presenza di tutti e quattro questi elementi, la regola è il divieto. Il trattamento è lecito soltanto quando ricorre una delle tre condizioni tassativamente enumerate nell’art. 22, par. 2, GDPR: (a) la decisione è necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare; (b) è autorizzata da una norma del diritto dell’Unione o di uno Stato membro applicabile al titolare del trattamento, che preveda misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato; (c) si basa sul consenso esplicito dell’interessato.
Anche quando ricorra una delle condizioni abilitanti, il titolare deve in ogni caso garantire le salvaguardie minime previste dall’art. 22, par. 3, GDPR: il diritto dell’interessato di ottenere l’intervento umano da parte del titolare, di esprimere la propria opinione e di contestare la decisione. Per le categorie particolari di dati, l’art. 22, par. 4, GDPR aggiunge un ulteriore livello di protezione: le decisioni automatizzate non possono basarsi su dati sensibili salvo che ricorrano il consenso esplicito o un motivo di interesse pubblico rilevante.
III
Inquadramento sistematico e terminologico
Profilazione e decisione automatizzata: due concetti distinti
L’art. 4, n. 4, GDPR definisce la profilazione come «qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati per valutare aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica». La profilazione, in sé, è un’operazione di trattamento lecita — soggetta ai principi generali del GDPR e alle condizioni di cui all’art. 6 — ma non impone di per sé l’applicazione dell’art. 22.
L’art. 22 entra in gioco quando alla profilazione — o più in generale al trattamento automatizzato — si accompagna una decisione che produca effetti significativi. Il rapporto tra i due concetti è dunque di specie a genere: la profilazione è uno degli input che può alimentare una decisione automatizzata, ma la decisione può basarsi su trattamento automatizzato anche senza una profilazione in senso tecnico. Ciò che conta, ai fini dell’art. 22, è l’output: l’esistenza di una decisione con effetti significativi adottata senza un reale intervento umano.
Il requisito «basata unicamente»: il test dell’intervento umano significativo
L’avverbio «unicamente» («solely» nella versione inglese) è il cuore dell’art. 22 e, al tempo stesso, il suo principale terreno di elusione. I titolari del trattamento tendono a introdurre forme di coinvolgimento umano — spesso puramente formale — nel processo decisionale, allo scopo di sottrarre il sistema all’ambito applicativo della norma.
Il Gruppo di Lavoro ex art. 29 (ora EDPB), con le Linee guida WP251 rev.01 del 6 febbraio 2018 sul trattamento automatizzato e la profilazione, ha chiarito che il coinvolgimento umano deve essere significativo, nel senso che la persona umana coinvolta deve avere l’autorità e la capacità di modificare o annullare la decisione algoritmica sulla base di una valutazione autonoma del caso. Non è sufficiente il cosiddetto «rubber stamp» — la mera validazione formale di una decisione già adottata dal sistema senza possibilità reale di rivederne il fondamento. La Corte di Giustizia ha avallato questa interpretazione con la sentenza SCHUFA del 2023, che analizziamo più avanti.
Gli effetti giuridici o «analogamente significativi»
La nozione di «effetti giuridici» è relativamente chiara: vi rientrano tutti gli atti che modificano la posizione giuridica dell’interessato (conclusione o risoluzione di un contratto, determinazione del prezzo, concessione o diniego di un beneficio, irrogazione di una sanzione). Più sfumata è la nozione di effetti «analogamente significativi», che l’EDPB ha interpretato in senso estensivo: vi rientrano le situazioni che incidono «significantly on the circumstances, behavior or choices of the individuals concerned», come il diniego di credito, il rigetto di una candidatura lavorativa, l’incremento del premio assicurativo, la profilazione che determina la visualizzazione di contenuti pubblicitari basati su caratteristiche sensibili della persona.
Non tutti gli effetti di una profilazione sono «analogamente significativi»: la personalizzazione dell’esperienza utente su una piattaforma commerciale, la raccomandazione di prodotti, la modifica dell’ordine di visualizzazione dei risultati di ricerca per ragioni di rilevanza — in linea di principio — non integrano la soglia richiesta. Il discrimine è la significatività dell’incidenza sulla sfera personale, patrimoniale o lavorativa dell’interessato.
Il diritto all’informazione sulla logica del sistema
Accanto al diritto di non essere soggetti a decisioni automatizzate con effetti significativi, il GDPR garantisce all’interessato il diritto di ottenere informazioni significative sulla logica del sistema. Questo diritto è articolato su tre disposizioni convergenti: l’art. 13, par. 2, lett. f) e l’art. 14, par. 2, lett. g) (informazioni da fornire al momento della raccolta dei dati sull’esistenza di processi decisionali automatizzati, la loro logica e le conseguenze prevedibili per l’interessato); l’art. 15, par. 1, lett. h) (diritto di accesso, che include il diritto di ottenere «informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato»). Il diritto all’informazione sulla logica algoritmica non equivale, tuttavia, al diritto di ottenere il codice sorgente del software o la formula matematica del modello predittivo: la CGUE e l’EDPB convergono nel ritenere che sia sufficiente fornire spiegazioni «meaningful», comprensibili da un individuo ragionevole, che consentano all’interessato di comprendere il ragionamento sottostante alla decisione e di contestarla in modo effettivo. La tensione con la tutela dei segreti commerciali è reale e non ancora pienamente risolta.
IV
La fattispecie: casi concreti e giurisprudenza
1. Il credit scoring: la sentenza SCHUFA della Corte di Giustizia UE
La pronuncia più importante in materia di art. 22 GDPR è quella adottata dalla Grande Sezione della CGUE il 7 dicembre 2023 nel caso SCHUFA Holding AG c. Land Hessen (Hessischer Beauftragter für Datenschutz und Informationsfreiheit)(C-634/21). La Corte — chiamata a pronunciarsi in via pregiudiziale su rinvio del Verwaltungsgericht Wiesbaden — ha affrontato la questione se l’attività di credit scoring svolta dalla società privata SCHUFA, che genera per ciascun individuo un punteggio di affidabilità creditizia (score) utilizzato dalle banche come elemento centrale per le proprie decisioni di concessione del credito, costituisca una «decisione basata unicamente sul trattamento automatizzato» ai sensi dell’art. 22 GDPR.
CGUE, Grande Sezione – C-634/21 – SCHUFA Holding AG c. Land Hessen, 7 dicembre 2023
La Corte ha affermato che la fornitura da parte di un soggetto privato — come SCHUFA — di un punteggio di affidabilità creditizia a banche e istituti di credito che poi decidono di concedere o negare il credito sulla base di tale punteggio «in modo preponderante» costituisce una decisione basata unicamente su trattamento automatizzato ai sensi dell’art. 22, par. 1, GDPR, imputabile alla stessa SCHUFA in qualità di soggetto che genera lo score.
Il ragionamento della Corte è di grande eleganza sistematica: l’art. 22 non richiede che la decisione «finale» (la concessione o il diniego del credito) sia adottata dal soggetto che ha effettuato il trattamento automatizzato. È sufficiente che quest’ultimo abbia generato un dato — lo score — che il soggetto terzo (la banca) è vincolato o comunque fortemente condizionato ad applicare, senza possibilità reale di riesame autonomo del merito creditizio. In questo caso, la «vera» decisione è quella dell’agenzia di scoring, non quella della banca che ne recepisce meccanicamente l’output.
La pronuncia ha implicazioni immediate per l’intero sistema del credit scoring europeo: le agenzie di informazione creditizia (in Italia: CRIF, Experian, CTC) sono ora soggette agli obblighi dell’art. 22 GDPR, incluso quello di fornire all’interessato — su richiesta — informazioni significative sulla logica del punteggio, di garantire la possibilità di intervento umano e di consentire la contestazione del punteggio.
CGUE, Grande Sezione – Cause riunite C-26/22 e C-64/22 – UX c. SCHUFA Holding AG – 7 dicembre 2023
Nella stessa udienza del 7 dicembre 2023, la Grande Sezione ha deciso le cause riunite C-26/22 e C-64/22, relative al diritto di accesso alle informazioni detenute da SCHUFA sulle procedure di insolvenza dell’interessato. La Corte ha affermato che la conservazione di dati relativi a procedure di insolvenza oltre il termine previsto dal diritto nazionale — effettuata allo scopo di vendere tali informazioni agli istituti finanziari — non è compatibile con il principio di limitazione della conservazione ex art. 5, par. 1, lett. e), GDPR. Contestualmente, la Corte ha ribadito il diritto dell’interessato di accedere alle informazioni detenute dall’agenzia di scoring e di ottenere la loro cancellazione una volta decorso il termine di conservazione previsto dalla normativa.
2. La gestione algoritmica dei lavoratori delle piattaforme
Il fenomeno della cosiddetta algorithmic management— la gestione dei lavoratori tramite algoritmi che assegnano incarichi, valutano le prestazioni e decidono l’interruzione del rapporto — ha assunto dimensioni di massa con la diffusione delle piattaforme digitali di lavoro (Deliveroo, Uber, Glovo). In Italia, il caso più emblematico è rappresentato dal sistema di ranking di Deliveroo, che assegnava le fasce orarie di lavoro ai riders sulla base di un punteggio reputazionale calcolato automaticamente, penalizzando chi aveva cancellato turni anche per ragioni di forza maggiore.
Trib. Bologna, ord. 31 dicembre 2020 – Riders c. Deliveroo Italy S.r.l.
Il Tribunale di Bologna ha adottato un’ordinanza di condanna nei confronti di Deliveroo per discriminazione indiretta nei confronti dei riders che avevano partecipato a scioperi: il sistema algoritmico di ranking li penalizzava automaticamente per la cancellazione dei turni, senza distinzione tra cancellazioni per sciopero, malattia o impegni personali. Il Tribunale ha qualificato questo meccanismo come trattamento discriminatorio fondato sull’esercizio di un diritto sindacale, rilevando l’assenza di qualsiasi valutazione umana nell’applicazione del ranking. La pronuncia ha anticipato di alcuni mesi le misure adottate dal Garante.
Garante per la protezione dei dati personali – Provvedimento del 10 giugno 2021 – Deliveroo Italy S.r.l. – Doc. web n. 9685994
Il Garante ha accertato che il sistema di assegnazione degli ordini ai riders di Deliveroo — basato su un punteggio algoritmico calcolato senza alcun intervento umano significativo — ricadeva nell’ambito dell’art. 22 GDPR, in quanto produceva effetti analoghi a quelli di una decisione che incide significativamente sul lavoratore (in concreto: la riduzione o la cessazione degli incarichi di lavoro). Il Garante ha rilevato la violazione dell’art. 22 e l’assenza di una delle condizioni abilitanti, nonché l’omessa informativa agli interessati sulla logica del sistema. Ha inoltre ordinato all’azienda di adottare specifiche misure correttive, inclusa la revisione del sistema di scoring con introduzione di meccanismi di revisione umana.
3. Lo scoring assicurativo e i sistemi di dynamic pricing
Un ulteriore settore di crescente rilievo è quello dello scoring assicurativo: la determinazione automatizzata del premio assicurativo sulla base di dati comportamentali, telematici (scatola nera) o di profilazione, che può determinare differenziali di prezzo molto significativi tra individui con profili di rischio percepito diversi. La questione della liceità di questi sistemi ai sensi dell’art. 22 GDPR è aperta: la qualificazione come «effetto significativo» dell’incremento del premio è ancora dibattuta, con posizioni differenziate tra le autorità garanti europee.
Il Garante italiano, con il provvedimento del 17 dicembre 2020 (doc. web n. 9525337), ha avviato un procedimento nei confronti di alcune compagnie assicurative per l’utilizzo di dati di profilazione telematica a fini di determinazione del premio senza adeguata informativa e senza fornire al cliente le informazioni sulla logica del sistema richieste dall’art. 15, par. 1, lett. h), GDPR. Il procedimento ha contribuito a definire gli standard informativi minimi applicabili al settore.
4. Il caso SyRI: il sistema olandese di detection del welfare fraud
Un caso emblematico a livello europeo è quello del sistema SyRI (Systeem Risico Indicatie), adottato dal governo olandese per identificare potenziali frodi nel welfare state attraverso l’incrocio automatizzato di banche dati pubbliche. Il Rechtbank Den Haag (Corte distrettuale dell’Aia), con sentenza del 5 febbraio 2020, ha dichiarato il sistema incompatibile con l’art. 8 CEDU (diritto alla vita privata) e con il GDPR, rilevando la mancanza di trasparenza sulle variabili utilizzate dall’algoritmo, la concentrazione delle verifiche nelle aree a maggiore presenza di residenti stranieri (con implicazioni discriminatorie di rilievo), e l’assenza di meccanismi di contestazione effettivi per gli individui classificati come a rischio. La sentenza è diventata un riferimento fondamentale per il dibattito sulla liceità degli algoritmi predittivi nel settore pubblico.
5. Il quadro delle fattispecie: una mappa essenziale
| Settore | Tipo di sistema | Effetto significativo | Art. 22 applicabile? |
| Credito al consumo | Credit scoring automatico (SCHUFA, CRIF) | Diniego finanziamento | SÌ (CGUE C-634/21) |
| Lavoro / piattaforme | Ranking algoritmico dei riders | Riduzione/cessazione incarichi | SÌ (Garante 2021) |
| Selezione del personale | CV screening AI, test psicometrici automatizzati | Esclusione da processo selezione | SÌ (se nessuna revisione umana) |
| Assicurazioni | Telematica assicurativa, dynamic pricing | Aumento premio / esclusione | Dibattuto (entità effetto) |
| Welfare pubblico | Algoritmi anti-frode (SyRI) | Sospensione benefici / indagine | SÌ (Rechtbank Den Haag 2020) |
| Marketing / e-commerce | Personalizzazione prezzi, raccomandazioni | Variazione prezzo visualizzato | Generalmente NO (effetto non significativo) |
V
Il percorso argomentativo delle corti
Le implicazioni della sentenza SCHUFA per il diritto italiano
La pronuncia CGUE C-634/21 del 7 dicembre 2023 ha un impatto immediato sull’ordinamento italiano per almeno tre ragioni. Prima: le agenzie di informazione creditizia operanti in Italia (CRIF in primis, ma anche Experian e CTC) sono ora inequivocabilmente soggette agli obblighi dell’art. 22 GDPR in qualità di produttrici di scoring creditizio. Seconda: il Garante italiano è tenuto — anche in assenza di un ricorso specifico — ad adeguare le proprie istruzioni e prescrizioni al settore del credito alla luce della pronuncia, come peraltro già anticipato nelle Linee guida del 2020. Terza: gli individui che abbiano subito nel recente passato il diniego di un credito fondato preponderantemente su uno score automatico possono valutare l’esercizio dei diritti di cui all’art. 22, par. 3, GDPR — intervento umano, contestazione, accesso alla logica — anche retroattivamente rispetto alla decisione già adottata, nella misura in cui i dati siano ancora conservati dalla banca o dall’agenzia di scoring.
Bias algoritmici e diritto antidiscriminatorio
Una delle questioni più urgenti e meno presidiate dal diritto vigente riguarda il fenomeno dei bias algoritmici: la tendenza dei sistemi di machine learning a perpetuare o amplificare le discriminazioni presenti nei dati di addestramento, producendo decisioni che penalizzano sistematicamente gruppi di persone sulla base di caratteristiche protette — genere, origine etnica, età, disabilità — senza che nessun singolo passaggio dell’algoritmo sia apertamente discriminatorio.
In Italia, la tutela antidiscriminatoria da bias algoritmici può essere cercata su due binari paralleli: l’art. 22 GDPR — che tutela contro le decisioni automatizzate a prescindere dalla loro natura discriminatoria — e il diritto antidiscriminatorio (D.Lgs. 215/2003 sull’uguaglianza di trattamento, D.Lgs. 216/2003 sui fattori lavorativi, Codice delle Pari Opportunità D.Lgs. 198/2006). Le due tutele sono cumulabili: un algoritmo di selezione del personale che, pur senza un esplicito riferimento al genere, produca sistematicamente una sottorappresentazione delle donne nelle posizioni più qualificate è simultaneamente impugnabile ai sensi dell’art. 22 GDPR (per la mancanza di revisione umana significativa) e del diritto antidiscriminatorio (per la discriminazione indiretta per ragioni di genere).
La Cassazione, con la sentenza Cass. civ., sez. lav., n. 12174/2022, ha ribadito che la discriminazione indiretta algoritmicamente prodotta è vietata anche quando il titolare non abbia avuto intenzione discriminatoria: ciò che conta è l’effetto del sistema, non la finalità. Il datore di lavoro che utilizzi strumenti di selezione automatizzata discriminatori risponde della violazione del principio di uguaglianza indipendentemente dall’elemento soggettivo.
Il diritto all’intervento umano: cosa deve concretamente offrire il titolare
L’art. 22, par. 3, GDPR garantisce all’interessato il diritto di «ottenere l’intervento umano da parte del titolare del trattamento», ma non specifica le modalità e i tempi di tale intervento. L’EDPB, nelle Linee guida WP251, ha chiarito che l’intervento umano deve essere: effettivo (la persona umana deve avere reale autorità di riesaminare e modificare la decisione); informato (la persona deve poter valutare tutti gli elementi rilevanti del caso, non solo l’output algoritmico); tempestivo (deve essere disponibile prima che la decisione produca effetti irreversibili).
La CGUE ha confermato questa lettura nella sentenza SCHUFA: il fatto che la banca possa astrattamente rivedere la decisione non è sufficiente se nella pratica essa non dispone degli elementi per farlo — in particolare se non ha accesso ai dati e alla metodologia su cui si fonda lo score. In questo senso, l’obbligo di intervento umano significativo ricade in ultima analisi sull’agenzia di scoring, che deve rendere la propria metodologia accessibile e comprensibile agli operatori bancari che la utilizzano.
L’intersezione con il Regolamento sull’intelligenza artificiale (AI Act)
Il Regolamento (UE) 2024/1689 (AI Act), entrato in vigore il 1° agosto 2024, introduce una disciplina aggiuntiva — e in parte sovrapposta — rispetto all’art. 22 GDPR per i sistemi di intelligenza artificiale a rischio elevato. I sistemi di AI utilizzati per la valutazione del merito creditizio, per la selezione del personale, per la valutazione delle prestazioni lavorative, per l’accesso a servizi pubblici essenziali e per la profilazione a rischio nel settore della giustizia penale sono classificati come sistemi ad alto rischio (allegato III, AI Act) e soggetti a obblighi specifici aggiuntivi: registrazione in una banca dati europea, valutazione della conformità prima dell’immissione sul mercato, documentazione tecnica dettagliata, supervisione umana obbligatoria, trasparenza nei confronti delle autorità di controllo.
La coesistenza dell’art. 22 GDPR e dell’AI Act crea un sistema di tutela doppio e parzialmente ridondante, ma anche più robusto: il GDPR tutela dal lato del trattamento dei dati personali, l’AI Act tutela dal lato della sicurezza e dell’affidabilità del sistema AI in sé. Entrambi i regimi sono applicabili cumulativamente, e le autorità competenti — Garante per il GDPR, un’autorità nazionale per l’AI Act non ancora designata in Italia al momento della redazione — dovranno coordinarsi nell’enforcement.
⚠ Tre errori frequenti da evitare
Errore n. 1 — Confondere profilazione e decisione automatizzata. Non ogni profilazione ricade nell’art. 22 GDPR: è necessario che alla profilazione segua una decisione con effetti significativi. La semplice raccolta e analisi di dati comportamentali a fini statistici — senza che ne derivi una decisione individuale — non è soggetta all’art. 22, anche se rimane soggetta ai principi generali del GDPR.
Errore n. 2 — Ritenere che il consenso generico sia sufficiente. L’art. 22, par. 2, lett. c), richiede un consenso esplicito — non la mera mancanza di opposizione né un’accettazione generica dei termini di servizio. Deve essere specifico per il trattamento automatizzato con effetti significativi e liberamente prestato.
Errore n. 3 — Credere che la presenza di un operatore umano nella catena decisionale escluda automaticamente l’art. 22. Come chiarito dalla CGUE nella sentenza SCHUFA, il coinvolgimento umano «nominale» o «di validazione» non è sufficiente: l’intervento deve essere significativo, nel senso che l’operatore deve avere reale autorità e capacità di riesaminare e modificare la decisione algoritmica.
VI
Consigli operativi
Chi abbia subito gli effetti di una decisione algoritmica — un diniego di credito, il mancato avanzamento in una selezione lavorativa, la riduzione degli incarichi da parte di una piattaforma, l’aumento del proprio premio assicurativo — dispone di un percorso articolato di tutela, che può essere attivato in modo progressivo a seconda della gravità della situazione.
1. Richiedere informazioni sulla logica del sistema (art. 15 GDPR)
Esercitare il diritto di accesso ex art. 15, par. 1, lett. h), GDPR: richiedere al titolare del trattamento «informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento». La risposta deve pervenire entro 30 giorni. La mancata o insufficiente risposta è un primo elemento di prova dell’illiceità del sistema.
2. Richiedere l’intervento umano (art. 22, par. 3, GDPR)
Richiedere espressamente, per iscritto a mezzo PEC, l’intervento umano nella valutazione del proprio caso, la possibilità di esprimere la propria opinione e la revisione della decisione. Il titolare è obbligato a dare corso a questa richiesta: il rifiuto o l’elusione sono direttamente sanzionabili dal Garante.
3. Verificare la base giuridica del trattamento
Richiedere di conoscere la base giuridica su cui si fonda la decisione automatizzata (contratto, legge, consenso). In assenza di una base giuridica valida ai sensi dell’art. 22, par. 2, il trattamento è illegittimo per definizione. Documentare la risposta del titolare e conservarla per il successivo procedimento.
4. Reclamo al Garante per la protezione dei dati personali
Presentare reclamo al Garante ex art. 77 GDPR, allegando la documentazione della decisione subita, le comunicazioni con il titolare e le risposte ricevute. Il Garante può avviare un’istruttoria, ordinare misure correttive (inclusa la revisione del sistema algoritmo) e irrogare sanzioni. L’esito del procedimento del Garante è utilizzabile come prova nel giudizio civile.
5. Segnalazione all’Autorità nazionale per l’AI Act (per sistemi AI ad alto rischio)
Per i sistemi classificati come ad alto rischio dall’allegato III dell’AI Act (credito, selezione del personale, welfare), segnalare la violazione all’autorità nazionale competente per l’AI Act (che l’Italia è tenuta a designare entro il 2025). La segnalazione può attivare procedure di verifica della conformità del sistema AI.
6. Azione risarcitoria ex art. 82 GDPR
Agire in giudizio per il risarcimento del danno materiale (credito negato, opportunità lavorativa perduta, incremento del premio assicurativo) e non patrimoniale (lesione della dignità, disagio psicologico, perdita di controllo sulla propria vita). L’onere della prova del danno è a carico dell’interessato, ma la presunzione di responsabilità del titolare ex art. 82, par. 3, agevola significativamente la posizione processuale dell’attore.
Un avvertimento procedurale importante: nel contenzioso in materia di decisioni algoritmiche, la principale difficoltà pratica riguarda la prova del meccanismo discriminatorio o illecito. Il sistema algoritmo è spesso opaco anche per il titolare del trattamento, e la sua comprensione richiede competenze tecniche che il singolo interessato generalmente non possiede. In questi casi, è possibile richiedere al giudice la nomina di un consulente tecnico d’ufficio con competenze specifiche in machine learning e analisi dei sistemi di intelligenza artificiale, che possa esaminare l’algoritmo e valutarne la conformità ai principi del GDPR.
VII
Considerazioni conclusive
La sentenza SCHUFA del 7 dicembre 2023 ha segnato un punto di svolta nell’applicazione dell’art. 22 GDPR, chiarendo definitivamente che il divieto di decisioni automatizzate con effetti significativi non è eludibile attraverso l’interposizione formale di soggetti terzi o di operatori umani con funzione meramente notarile. Il principio che ne emerge è di straordinaria importanza: la «vera» decisione è quella che nel concreto determina l’esito, non quella che formalmente lo ratifica.
La posta in gioco è altissima. Gli algoritmi di scoring, di ranking e di selezione hanno ormai colonizzato ambiti cruciali dell’esistenza delle persone: l’accesso al credito, al lavoro, alle assicurazioni, ai servizi pubblici. In ciascuno di questi ambiti, l’art. 22 GDPR pone un presidio fondamentale: il diritto della persona di non essere ridotta a un numero, di pretendere una valutazione umana del proprio caso, di comprendere la logica che ha determinato la sua esclusione e di contestarla in modo effettivo.
Il combinato disposto dell’art. 22 GDPR e dell’AI Act europeo disegna, per i prossimi anni, uno scenario in cui la trasparenza e l’accountability dei sistemi algoritmici diventano obblighi giuridici esigibili — non soltanto buone pratiche tecnologiche. Le imprese e le amministrazioni pubbliche che utilizzano algoritmi per decisioni che incidono significativamente sulle persone dovranno riprogettare i propri sistemi attorno a questi principi, non come adempimento burocratico, ma come condizione di legittimità dell’intera attività.
Per chi abbia subito una decisione algoritmica che ha cambiato in peggio la propria vita — un prestito negato, un lavoro non ottenuto, un beneficio revocato — il sistema di tutele oggi disponibile è più robusto di quanto si percepisca comunemente. Conoscerlo è il primo passo per esercitarlo.
