La Corte di giustizia dell’Unione europea (CGUE) ha emesso, con sentenza del 27 febbraio 2025, un’importante decisione in merito a Diritto all'informazione ai sensi dell'art. 15 par. 1 lett. h GDPR preso. La sentenza (Causa C-203/22) chiarisce i requisiti per la Trasparenza processo decisionale automatizzato e stabilisce standard per la protezione dei dati personali contro gli interessi di riservatezza commerciale.
Controversia sull’obbligo di informazione in caso di verifica automatizzata della solvibilità
La decisione si basa su un rinvio del Tribunale amministrativo di Vienna. Il ricorrente CK, una persona fisica, era stato respinto da un fornitore di telefonia mobile sulla base di una valutazione automatica del credito. La valutazione era stata effettuata da Dun & Bradstreet Austria GmbH (D & B), una società specializzata in valutazioni del credito. CK ha quindi richiesto l'accesso ai criteri e alle basi di calcolo di questa valutazione per poter comprendere la base della decisione e correggerla se necessario.
D & B si è rifiutata di rivelare la logica sottostante, sostenendo che si trattava di segreti aziendali protetti. CK si è quindi rivolta all'autorità austriaca per la protezione dei dati, che ha chiesto a D & B di fornire informazioni significative sul processo decisionale automatizzato. D & B ha presentato ricorso contro questa decisione. Reclamo al Tribunale amministrativo federale, che ha confermato l'obbligo di fornire informazioni.
Poiché D&B è rimasto inattivo nonostante la sentenza definitiva, CK ha chiesto al Comune di Vienna di eseguire la sentenza. L'autorità esecutiva ha respinto la richiesta in quanto D&B aveva già adempiuto all'obbligo di fornire informazioni. CK si è quindi rivolta nuovamente al Tribunale amministrativo di Vienna, che ha rinviato il caso alla CGUE per una pronuncia pregiudiziale.
La Corte di giustizia dell'Unione europea dovrà pronunciarsi sui limiti e sulla portata del diritto di accesso alle informazioni
Il Tribunale amministrativo di Vienna ha sottoposto alla Corte di giustizia europea diverse questioni fondamentali relative all'interpretazione dell'art. 15, par. 1, lettera h. GDPR presentato. Il problema centrale era quello di determinare i limiti e la portata del diritto all'informazione dell'interessato in relazione ai processi decisionali automatizzati. Le domande poste dal Tribunale amministrativo riguardavano in particolare
- Ambito di applicazione Obbligo di informazione: Quali informazioni concrete devono Persone responsabili al fine di soddisfare i requisiti di cui all'art. 15 par. 1 lett. h GDPR di corrispondere?
- Valutazione in relazione ai segreti commerciali: È necessaria la divulgazione anche nel caso in cui ciò comporti la rivelazione di segreti commerciali o Dati personali terzi sono interessati?
- Trasparenza contro la segretezza: Come si può risolvere il conflitto tra il diritto alla protezione dei dati dell'interessato e la tutela degli interessi economici delle imprese?
Suggerimento di lettura: Minimizzazione dei dati e principio di limitazione dei dati – La Corte di giustizia dell’Unione europea abroga l’obbligo di indicare il titolo quando si acquistano biglietti online
Corte di giustizia dell'Unione europea: sono necessarie trasparenza e una presentazione comprensibile
La Corte di giustizia europea ha stabilito che Persone responsabili sono tenute a rendere comprensibile all’interessato la “logica alla base” dei processi decisionali automatizzati. Ciò richiede una chiara descrizione dei metodi di calcolo e degli algoritmi utilizzati. In particolare, le imprese devono illustrare:
- Quali metodi e modelli matematici sono stati utilizzati per il processo decisionale,
- Quali specifiche variabili di input sono state incluse nella valutazione,
- In che modo questi fattori, nel loro insieme, abbiano portato al risultato concreto.
La semplice comunicazione di un punteggio di affidabilità creditizia o di una classificazione di rischio senza ulteriori spiegazioni non è sufficiente. È invece necessaria una presentazione trasparente e comprensibile, affinché l’interessato possa valutare in modo realistico quali criteri abbiano contribuito al processo decisionale automatizzato.
Un altro aspetto fondamentale della sentenza riguarda la tutela dei segreti commerciali e dei dati personali di terzi. La Corte di giustizia dell’Unione europea ha chiarito che le imprese non possono invocare in modo generico la riservatezza per negare l’accesso alle informazioni. È invece necessario un attento bilanciamento tra gli interessi della persona interessata e gli interessi economici dell’impresa. Solo in casi eccezionali, in cui sia dimostrabile l’esistenza di gravi pregiudizi agli interessi economici, può essere giustificata una limitazione dell’obbligo di informazione.
Inoltre, la Corte di giustizia dell’Unione europea ha chiarito che non è ammesso un rifiuto assoluto di fornire informazioni. Qualora determinate informazioni non possano essere comunicate direttamente per motivi di riservatezza, occorre almeno prevedere una soluzione alternativa per garantire il diritto dell’interessato. Ad esempio, è possibile procedere alla divulgazione nei confronti di un organismo indipendente Autorità di vigilanza oppure da un tribunale, al fine di consentire una verifica obiettiva del processo decisionale automatizzato.
Effetti della sentenza della Corte di giustizia sulla prassi
La sentenza della Corte di giustizia dell'Unione europea ha conseguenze di ampia portata per le imprese, in particolare per quelle che fanno ricorso a processi decisionali automatizzati. Persone responsabili Le organizzazioni devono ora assicurarsi di soddisfare i maggiori requisiti in materia di Trasparenza al fine di garantire un trattamento dei dati conforme alla legge.
- Esteso Obbligo di informazione
Le aziende sono tenute a spiegare i processi decisionali automatizzati in modo dettagliato e comprensibile. Ciò significa che Parti interessate deve essere in grado di capire quali variabili di input sono state utilizzate e come hanno portato a una determinata decisione. Non è sufficiente un semplice riferimento a una valutazione automatizzata, ma è necessario che il suo funzionamento sia reso noto in modo comprensibile per l'interessato. - Difficoltà nel far valere il segreto commerciale
La Corte di giustizia dell’Unione europea ha chiarito che le imprese non possono invocare in modo generico la tutela dei segreti commerciali per rifiutare la divulgazione di informazioni. Occorre piuttosto verificare in ogni singolo caso se siano effettivamente coinvolti segreti commerciali meritevoli di tutela. In tal caso, occorre procedere a una ponderazione con i diritti della persona interessata. A tal fine, è possibile ricorrere ai tribunali o alle autorità di vigilanza affinché decidano quali informazioni debbano essere divulgate. - Necessità di nuovi meccanismi di controllo
In futuro, le autorità per la protezione dei dati e i tribunali svolgeranno un ruolo maggiore nel bilanciare gli obblighi di trasparenza e la protezione dei segreti commerciali. Le aziende dovranno quindi essere pronte a giustificare dettagliatamente i loro processi di bilanciamento. Questo potrebbe anche portare a un aumento dei requisiti di documentazione per poter dimostrare alle autorità di vigilanza che gli obblighi di divulgazione sono in linea con la normativa vigente. GDPR sono state soddisfatte. - Effetti sui rapporti contrattuali
La decisione può avere conseguenze di vasta portata per i partner contrattuali delle aziende. In particolare, le banche, le compagnie di assicurazione e i fornitori di telefonia mobile, che si affidano a controlli automatici del credito, devono garantire che i loro clienti ricevano una spiegazione sufficientemente chiara della base della decisione. In caso contrario, la stipula o il rinnovo dei contratti potrebbero essere compromessi a causa della mancanza di Trasparenza possono essere contestati in tribunale. - Adeguamento dei processi interni e Conformità-Misure
Le aziende devono adeguare i propri processi interni per soddisfare i nuovi requisiti. Ciò comporta l'adozione di misure tecniche e organizzative volte a garantire la trasparenza Documentazione e la comunicazione dei meccanismi di valutazione.
Conclusione
La decisione della Corte di giustizia europea ha riconosciuto il diritto di Trasparenza per le decisioni automatizzate. Parti interessate sono ora dotati di una definizione chiara e applicabile Diritto all'informazioneche consente loro di Elaborazione dei vostri dati personali e, se necessario, di intraprendere azioni legali.
Per le aziende ciò significa che devono rivedere i propri processi interni e i meccanismi di decisione automatizzata. Devono fornire informazioni più complete e rendere pubblici in modo trasparente gli algoritmi e le logiche decisionali sottostanti. Ciò richiede non solo adeguamenti tecnici, ma anche una più stretta collaborazione con le autorità garanti della protezione dei dati, al fine di garantire il rispetto dei nuovi requisiti.
La sentenza evidenzia inoltre che la tutela dei segreti commerciali non può essere invocata in modo generico come argomento per negare l’accesso alle informazioni. Le imprese devono piuttosto effettuare un'attenta valutazione in ogni singolo caso e, se necessario, trovare modalità alternative per fornire le informazioni rilevanti, ad esempio mediante la divulgazione alle autorità di vigilanza o ai tribunali.
Fonte: Sentenza della Corte di giustizia dell’Unione europea nella causa C‑203/22
German 
English 
Italian 
French