Algoritmo reputazionale e consenso privacy. Basta la spiegazione nella lingua comune

La Cass. prima sez. civ., ordinanza 10 ottobre 2023, n. 28358 ha stabilito che il consenso privacy richiesto all'aspirante associato è valido in quanto il funzionamento dell'algoritmo viene spiegato prima dell'adesione in modo da renderne sufficientemente edotto l'interessato. Non importa la spiegazione scientifica, come invece richiesto dalla cassata sentenza del Tribunale di Roma n. 9995/2022, è sufficiente una spiegazione nella lingua comune.

Mevaluate Onlus ha da tempo elaborato una piattaforma web sul rating reputazionale di professionisti ed imprese ispirato ai criteri etici del Codice della Reputazione Universale (richiamato nella certificazione Comitato Etico Mondiale, WEC – Worldwide Ethics Committee del 5 febbraio 2016). Tale piattaforma viene gestita da un algoritmo che si nutre dei documenti caricati da ciascun associato assistito dal consulente reputazionale. Inizialmente il funzionamento dell'algoritmo risultava opaco e dunque non integrava i paradigmi necessari per un valido trattamento dati che in questo caso trova fondamento giuridico nel consenso dell'interessato. Come sappiamo, il consenso è valido ove sia liberamente e specificamente prestato su un trattamento ben individuato e - nell'ipotesi di sistemi automatizzati di intelligenza artificiale – ben spiegato.

A seguito dell'impugnazione del Tribunale di Roma n. 5715/2018 adito in opposizione al provvedimento 24.11.2016 del Garante Privacy, la Cassazione con Ordinanza 25 maggio 2021 n. 14381 si espresse in questi termini: «non può logicamente affermarsi che l'adesione a una piattaforma da parte dei consociati comprenda anche l'accettazione di un sistema automatizzato, che si avvale di un algoritmo, per la valutazione oggettiva di dati personali, laddove non siano resi conoscibili lo schema esecutivo in cui l'algoritmo si esprime e gli elementi all'uopo considerati».

Il Tribunale di Roma n. 9995/2022 in sede di rinvio avrebbe dovuto accertare se Mevaluate avesse concretamente reso conoscibile lo “schema esecutivo” dell'algoritmo e concluse in senso negativo. Così l'associazione ha impugnato anche questa sentenza ed è tornata di fronte alla Cassazione che questa volta ha preso le distanze dalla pronunzia di merito e addirittura, diversamente dalla Corte romana richiedente la spiegazione scientifica del funzionamento dell'algoritmo, ha stabilito che l'adempimento privacy fondamentale è la spiegazione del funzionamento dell'algoritmo che per i non esperti risulta più fruibile nella lingua comune.

Così i Giudici di legittimità nell'Ordinanza n. 28358 del 10 ottobre 2023: «I requisiti del consenso sono, dunque, la prestazione libera e specifica in riferimento ad un trattamento chiaramente individuato e le previe informazioni di cui all'art. 13, ossia, in particolare, circa le finalità e le modalità del trattamento. Quando, come nella specie, i dati personali sono destinati ad essere “lavorati” da un algoritmo, dovrà dunque anche tale modalità essere coperta dal consenso. Pertanto, nella vicenda in esame, ad integrare i presupposti del “libero e specifico” consenso, affinché esso sia legittimo e valido, è richiesto che l'aspirante associato sia in grado di conoscere l'algoritmo, inteso come procedimento affidabile per ottenere un certo risultato o risolvere un certo problema, che venga descritto all'utente in modo non ambiguo ed in maniera dettagliata, come capace di condurre al risultato in un tempo finito. Che, poi, il procedimento, come spiegato con i termini della lingua comune, sia altresì idoneo ad essere tradotto in linguaggio matematico è tanto necessario e certo, quanto irrilevante: ed invero, non è richiesto né che tale linguaggio matematico sia esteso agli utenti, né, tanto meno, che essi lo comprendano».

(fonte: Diritto e Giustizia)