Oblio nel Reg. 679/2016/UE: diritto alla cancellazione

Nel nuovo Regolamento UE Data Protection (GRDP n. 679/2016), il diritto all'oblio risulta ulteriormente rafforzato rispetto alla “disciplina ermeneutica” operata dalle Corti prima che questo nuovo pilastro normativo privacy entrasse in vigore. Nel GRDP n. 679/2016 l'esercizio del diritto all'oblio significa essenzialmente diritto alla cancellazione.

Nella giurisprudenza interna ed europea ante Regolamento Data Protection UE il diritto all'oblio atteneva al concetto di diritto all'autodeterminazione informativa digitale che si realizza tramite il de-listing, tramite l'aggiornamento, tramite la disattivazione degli abbinamenti lesivi di Google Suggest.

Il GRDP n. 679/2016, recependo tale giurisprudenza, declina il diritto all'autodeterminazione informativa digitale in una pluralità di posizioni soggettive ben definite:

• la rettifica (aggiornamento e correzione);
• l'opposizione al trattamento (disattivazione abbinamento lesivo);
• la limitazione del trattamento; la cancellazione e il de-listing (oblio).

In questo nuovo contesto normativo, il diritto all'oblio è ora essenzialmente cancellazione/de-listing. Riconoscendo il diritto a cancellarsi dalla raccolta si riconosce all'interessato il massimo grado di tutela dell'identità digitale; identità che può addirittura sparire quando c'è il rischio che possa essere abusata.

"Non essere" per "essere" è la logica adesso sottesa al Reg. UE 27 aprile 2016 n. 679 a tutela della persona immersa nello scenario dei Big Data vagliati dagli automatismi degli algoritmi predittivi (Data Analytic). In un mondo in cui il corpo informativo elettronico può essere preda dei Data Analytic, la tutela più efficace dell'unicità del "valore persona" consiste nella "sottrazione informativa": quella totale del diritto all'oblio o quella parziale del diritto di rettifica, di opposizione e di limitazione del trattamento.

Il danno con gravi effetti discriminatori, quando si verifica, è il risultato della violazione privacy ad opera degli algoritmi predittivi che hanno selezionato gruppi di persone escludendone altri: in sostanza il soggetto viene sottoposto al vaglio automatico di una macchina, e da questa discriminato.

Attualmente non esiste un iter giuridico preciso per chiedere il risarcimento in questi casi discriminatori. Questa fattispecie si potrebvbe tuttavia avvicinare a quella del danno da condotta anti concorrenziale ex Dir. UE 2014/104, e quindi assumere lo stesso protocollo difensivo. In un'ottica di questo genere non si potrebbe prescindere dalla previsione anche di un danno morale.

Il GRDP 679/2016, ovvero il Regolamento UE Data Protection, reca una visione aggiornata e corretta della disciplina privacy alla luce dei nuovi scenari maturati dall'evoluzione tecnologica: pensiamo ai Big Data, all'Internet delle Cose, all'avvento dell'intelligenza artificiale e ai Data Analytic. I Big Data costituiscono l'ennesima rivoluzione industriale e sociale perché stanno cambiando e cambieranno tutto il nostro modo di vivere. Gli algoritmi predittivi o Data Analytic e i Big Data indicheranno le nuove vie da intraprendere a livello imprenditoriale e pubblico determinando una “Società-Data Driven”.

I Big Data sono costituiti dalle informazioni sprigionate spontaneamente on line dai dispositivi digitali utilizzati sia dalle persone (telefoni, carte di credito, badge, computer, braccialetti intelligenti e smartwatch per rilevare lo stato di salute) sia dai sistemi automatizzati (infrastrutture intelligenti delle città come i sensori montati sugli edifici per rilevare lo stato di inquinamento, i sensori montati sui mezzi di trasporto per rilevare lo stato del traffico in tempo reale, i sensori dei semafori intelligenti, i sensori per ottimizzare l'irrigazione di parchi o l'illuminazione della città, rilevare perdite d'acqua e così via). I Big Data considerati allo stato originario sono masse enormi di informazioni liberate nell'Internet dai devices intelligenti che nulla aggiungono ai dati trasmessi. Diventano fonti preziose per intercettare le prossime tendenze dei sistemi di riferimento quando vengono sottoposti all'azione degli algoritmi predittivi o Data Analytics. Gli algoritmi predittivi imprimono logiche di significato alle masse informative trasformandole in conoscenza delle tendenze del settore analizzato. Gli algoritmi predittivi mostrano i prossimi scenari ovvero il “cosa accadrà” nell'ambito di riferimento. Un esempio calzante di algoritmo predittivo o Data Analytics si individua nel progetto esperito da Google nel 2008 in riferimento allo stato di avanzamento dei focolai di influenza negli Stati Uniti. L'analisi dei gruppi di termini-chiave digitati dagli utenti sul motore di ricerca aveva previsto l'andamento progressivo dei focolai del virus più velocemente di come lo stesso ministero della salute non fosse riuscito a fare utilizzando i record di ammissione ospedaliera delle strutture sanitare pubbliche e private (un esperimento utile per avere un'idea delle potenzialità predittive di questo tipo di tecnologia sulle nostre tendenze personali si può attivare al seguente link https://predictiveworld.watchdogs.com/it).

Una fedele fotografia di questa realtà digitale regolata dal legislatore europeo è rinvenibile nelle lucide parole del Garante Privacy Antonello Soro: «L'attenzione ai Big Data non può riguardare soltanto le sue implicazioni scientifiche e tecniche o gli sconvolgenti effetti delle innovazioni sull'economia. Ci deve preoccupare anche il potenziale discriminatorio che dal loro utilizzo, anche rispetto a dati non identificativi o aggregati, può nascere per effetto di profilazioni sempre più puntuali ed analitiche: in un gioco che finisce per annullare l'unicità della persona, il suo valore, la sua eccezionalità. E una grande attenzione dobbiamo rivolgere alle applicazioni dell'intelligenza artificiale che effettuano valutazioni o assumono decisioni supportate soltanto da algoritmi, con un intervento umano reso via via più marginale, fino ad annullarsi, con effetti dirompenti sul modo di vivere e articolare esistenze e relazioni, in termini individuali ma anche sociali e politici» ("Big Data e Privacy. La nuova geografia dei poteri", Convegno organizzato in occasione della Giornata Europea della protezione dei dati personali - 30 gennaio 2017, Intervento di Antonello Soro, Presidente dell'Autorità Garante per la protezione dei dati personali).

Nell'era dei Big Data e dei Data Analytic, il diritto all'oblio assume una funzione di tutela della persona ancora più pregnante. Se finora l'obiettivo perseguito era quello di garantire il diritto alla conservazione dell'attualità dell'identità digitale, adesso abbiamo l'obiettivo ulteriore (diritto all'oblio più avanzato) di proteggere la persona da etichettature di massa derivate da trattamenti automatizzati.

Un esempio di fantasia ci aiuterà ad entrare nella sostanza del problema. Poniamo che una ricerca ottenuta da un Data Analytic applicato agli open data liberati dagli ospedali pubblici italiani abbia rilevato che i mancini hanno avuto più incidenti automobilistici rispetto ai destrorsi. Di fronte a un simile risultato, le assicurazioni aumenteranno il premio della polizza a tutti gli autisti mancini. Da qui l'importanza che l'interessato mancino abbia il diritto di chiedere la cancellazione (oblio) da tutti gli archivi on line e off line della propria caratteristica di sinostrorso in quanto la sua presenza in questi archivi potrebbe produrre effetti discriminatori.

Il diritto all'oblio inquadrato come tutela antidiscriminatoria si evince chiaramente dal dettato del GRDP n. 679/2016 sia nei Considerando sia nell'articolato. L'interessato ha il diritto di opporsi a un determinato trattamento e di chiedere di essere cancellato dalla relativa raccolta quando a causa di tale trattamento potrebbe essere sottoposto a una «decisione basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali il rifiuto automatico di una domanda di credito online o pratiche di assunzione elettronica senza interventi umani» (Considerando 71 e artt. 17,21-22 GRDP n. 679/2016).

Prima del GRDP n. 679/2016 la giurisprudenza interna e europea aveva accostato il diritto all'oblio al più ampio diritto all'autodeterminazione informativa digitale comprensivo di molte situazioni giuridiche quali il diritto al de-listing (CGUE Costeja 13 maggio 2014), il diritto alla contestualizzazione e all'aggiornamento (Cass. civ., n. 5525/2012), il diritto di opposizione al trattamento per abbinamento lesivo di Google Suggest (Cour d'appel de Paris, 14 dicembre 2011; Trib. Milano, ord. 24 marzo 2011). In siffatto contesto ermeneutico si è parlato di diritto all'oblio ma in sostanza si è inteso diritto all'autodeterminazione informativa digitale in confronto ponderato con il diritto alla libertà di informazione e di impresa del motore di ricerca. Difficilmente questo bilanciamento interpretativo stabiliva la cancellazione o la rimozione del dato. Si riteneva un buon compromesso la soluzione del de-listing o della disattivazione dell'abbinamento lesivo o dell'aggiornamento della notizia.

L'avvento del GRDP n. 679/2016 ha cambiato e cambierà molte cose. Il nuovo Regolamento UE, consapevole di tutta questa evoluzione giurisprudenziale, assume un quadro normativo ancora più preciso in cui ciascun tipo di soluzione stigmatizzata dalle Corti viene ricondotta alla corrispondente posizione giuridica. L'aggiornamento si chiede esercitando il diritto di rettifica ex art. 16; la disattivazione dell'abbinamento lesivo si chiede esercitando il diritto di opposizione ex art. 21; il de-listing si chiede esercitando il diritto all'oblio ex art. 17, comma 2.

La differenza tra il concetto di diritto all'oblio ante GRDP n. 679/2016 e il concetto di diritto all'oblio inaugurato con il GRDP n. 679/2016 consiste nell'imprimere a questa situazione soggettiva ancora più forza, assegnando alla persona on line addirittura il potere di cancellarsi dal mondo digitale.

Il diritto all'oblio nel GRDP n. 679/2016 è quindi soprattutto diritto alla cancellazione come si evince dall'art. 17, comma 1: «L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano (..) se sussiste uno dei motivi (..)».

La nuova collocazione giuridica che il Regolamento UE assegna al diritto all'oblio lungi dalla volontà di ridurne l'applicazione ne costituisce invece un notevole rafforzamento. Ora l'esercizio del diritto all'oblio significa sostanzialmente cancellazione.

La tutela dell'identità personale nel mondo dei Big Data e degli ecosistemi cognitivi dell'intelligenza artificiale necessita proprio di uno strumento forte, definitivo come la cancellazione. Il diritto di "non essere" per continuare ad "essere" secondo quella dimensione straordinaria e peculiare dell'unicità della persona.

La tutela giuridica della persona poggia sul principio fondante secondo cui ciascun essere umano è unico e irripetibile, degno di una valutazione ad hoc per ogni caso giudiziario.

I Big Data invece appartengono al mondo dei sistemi automatizzati e degli algoritmi che si fondano sull'analisi massiva dei comportamenti più frequenti da cui si evincono previsioni di comportamento tese a standardizzare, a costruire "identità di gruppo". Il rischio principe di uno scenario siffatto è la perdita stessa del "valore uomo".

La lettura del Parere del Comitato Nazionale di Bioetica sui Big Data offre il quadro preciso della situazione: «I comportamenti selezionati sono solo quelli frequenti: la frequenza è l'elemento chiave della rilevazione statistica. Con la conseguenza che comportamenti non frequenti (isolati o rari) rischiano di essere marginalizzati nell'era digitale, … Bisognerebbe invece rendere consapevole l'utente digitale che gli algoritmi costruiscono correlazioni e predizioni che riguardano la “probabilità” (calcolata matematicamente) e che non coincidono con la realtà (né con l'evidenza, o la causalità o l'imprevedibilità che deve rimanere sempre possibile e pensabile). Gli algoritmi costruiscono un'identità che diviene sempre più collettiva. Si parla di group identity. È la profilazione, che identifica la maggiore e minore probabilità o propensione ad agire in certi modi, di certi gruppi stratificati di individui. Ma sulla base di quali criteri sono costruiti gli algoritmi? La rilevanza etica della trasparenza nell'uso degli algoritmi utilizzati dai provider riguarda il rilascio e il trattamento dei dati personali"(“Tecnologie dell'informazione e della comunicazione e Big Data: profili bioetici», Comitato Nazionale Bioetica, 25 novembre 2016, 2.2. Trasparenza: l'etica degli algoritmi e la neutralità della rete).

Il legislatore europeo ha colto dunque nel segno. Occorre un istituto "radicale" per sottrarre il "valore persona" all'omologazione degli algoritmi predittivi. Occorre cancellarsi, "non essere" per continuare a "essere" se stessi e conservare la propria identità personale, sia on che off line.

Da qui la stretta correlazione tra informativa ex art. 13 GRDP n. 679/2016 e diritto all'oblio.

L'interessato deve sapere:

• le finalità del trattamento;
• gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
• l'intenzione del titolare del trattamento di trasferire dati personali a un paese terzo
• il periodo di conservazione dei dati;
• l'esistenza di un processo decisionale automatizzato, compresa la profilazione

Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti.

L'esercizio legittimo del diritto all'oblio implica la conoscenza del tipo di trattamento a cui l'interessato è stato sottoposto per poter reclamare la cancellazione da una determinata raccolta sulla scorta di una giusta motivazione. Si potrebbe, ad esempio, chiedere la cancellazione perché il titolare ha usato le informazioni per un ulteriore trattamento diverso da quello originario (art. 13, comma 3, GRDP n. 679/2016) e si teme di finire dunque in qualche raccolta vagliata dal potere discriminatorio degli algoritmi predittivi, che stilano ad esempio lassifiche di gruppi di soggetti abili e gruppi non abili per un determinato lavoro o non attendibili per ottenere un finanziamento.

Il meccanismo di difesa a tutela della persona costruito dal legislatore europeo si sviluppa "per sottrazione informativa" secondo una gerarchia in cui la cancellazione/delisting/oblio costituisce il massimo livello difensivo seguito da soluzioni di compromesso quali la rettifica/aggiornamento, l'opposizione, la limitazione.

Il 6 gennaio 2016, la Federal Trade Commission ha pubblicato il rapporto "Big Data: a Tool for Inclusion or Exclusion?" (https://www.ftc.gov/reports/big-data-tool-inclusion-or-exclusion-understanding-issues-ftc-report), dedicato all'utilizzo dei Data Analytic nell'ambito del settore commerciale privato da cui si evince un forte rischio di discriminazione delle parti di popolazione a più basso reddito; le aree maggiormente critiche risultano il settore bancario, quello assicurativo e quello scolastico.

• Settore Bancario. La legge antidiscriminazione americana - Equal Opportunity Law - vieta agli istituti di credito di operare discriminazioni nella concessione dei prestiti. Le analisi di settore condotte sulla scorta dei Big Data hanno rivelato che le persone single hanno maggiori difficoltà a restituire i denari prestati rispetto alle persone sposate. Pertanto l'istituto di credito che rifiuta il finanziamento o lo concede a condizioni più gravose al single rispetto a un soggetto coniugato assume una condotta discriminatoria a danno dei single.
• Settore Scolastico. Gli istituti scolastici hanno usato gli algoritmi applicati ai Big Data per individuare gli studenti idonei per le classi avanzate introducendo una governance improntata al determinismo piuttosto che al rispetto del libero arbitrio dello studente di scegliere la classe da frequentare. Anche in questo caso si materializza una discriminazione che causa un danno da perdita di chances a carico degli studenti esclusi per non aver potuto intraprendere un determinato tipo di studi che avrebbe dato accesso a un certo tipo di carriera.
• Settore Medico. Nel settore medico i Data Analytic registrano un alto tasso di rischio discriminazione, e quest'ultimo dato si registra anche in Italia. Il Comitato Nazionale per la Bioetica (nel parere «Mobile-health e applicazioni per la salute: aspetti bioetici" del 28 maggio 2015) ha osservato che «qualsiasi informazione può assumere rilievo e divenire discriminatoria se collegata ad altre e utilizzata per effettuare profili dei singoli utenti (..) Possono emergere elementi rilevanti per il mercato dei farmaci, delle prestazioni mediche, delle assicurazioni e del lavoro (..) Come impedire, ad esempio, che chi frequenta siti o acquista app sui problemi cardiaci sia classificato come possibile cardiopatico e che poi questa informazione giunga al mondo del lavoro o al mercato delle assicurazioni? (..) Si pensi all'ipotesi in cui nell'immediato futuro i cittadini per la stipula di polizze assicurative ramo vita e/o sanitarie potrebbero essere classificati in diversi “clusters‟ a condizioni economiche più vantaggiose, in funzione del dimostrato utilizzo di tali pacchetti tecnologici (cioè i mobile-Health Kit), talché l'uso stesso si renderebbe "quasi obbligatorio", pena l'esclusione dai gruppi di assicurati a minor premio (..) Inoltre emerge il problema dell'esclusione di chi non ha accesso alla tecnologia, ossia il problema del divario tra chi ha strumenti e competenze e chi è emarginato per mancanza di tecnologie o mancanza di conoscenza dell'uso delle tecnologie e/o motivazioni alla conoscenza (anziani, disabili, persone indigenti e non sufficientemente competenti per l'uso effettivo delle tecnologie)».

Ad oggi, non esistono pronunce giurisprudenziali in tema di Big Data, Data Analytics e danno discriminatorio, anche se gli studi più avanzati provenienti dagli Stati Uniti prospettano questo tipo di pregiudizio come assolutamente conseguente alla tecnologia delle analisi predittive (per un maggior approfondimento, si veda: L. SWEENEY, Discrimination in Online Ad Delivery, 2013, http://dataprivacylab.org/projects/onlineads/1071-1.pdf; Executive Office of the President of the U.S.A., Big data: seizing opportunities, preserving values, Washington, Maggio 2014; F. PASQUALE, The Black Box Society: The Secret Algorithm Behind Money and Information, Harvard University Press, 2014. In merito specificatamente alle discriminazioni per associazione dovute alle analisi predittive si veda anche B.E. HARCOURT, Against Prediction: Profiling, policing and punishing in an actuarial age, University of Chicago Press, Chicago, 2006).

Gli algoritmi della Data Analytic, a seconda della logica impressa, possono costituire delle funzioni di inclusione o di esclusione individuale e sociale. Ci si auspica che questa tecnologia venga usata per progetti inclusivi, anche se in questa sede viene esaminato l'aspetto deteriore degli effetti di esclusione della Data Analytic.

Questo è il motivo per cui occorre interrogarsi sulla reintegrazione del "valore persona", che pare umiliato dall'attività discriminatoria compiuta da una macchina; le situazioni discriminatorie affrontate devono essere incardinate in un procedimento in grado di tradurre il fatto lesivo nel sostrato giuridico.

A tal fine potremmo instaurare un parallelismo tra il danno da attività anti concorrenziale e il danno discriminatorio da violazione Data Protection.

Il danno da condotte anti concorrenziali, disciplinato dalla Direttiva UE 2014/104, ora recepita con d.lgs. 3/2017, contempla la fattispecie del terzo-consumatore danneggiato per sovrapprezzo dal "cartello" di imprese accordatesi per imporsi sul mercato in via esclusiva.

La difficoltà di provare la condotta abusiva del "cartello" viene superata dalla direttiva che introduce una presunzione di responsabilità qualora l'Autorità Antitrust abbia stigmatizzato il comportamento anti concorrenziale.

La delibera dell'Authority nel momento stesso in cui individua l'illecito, individua contestualmente anche il gruppo di soggetti presumibilmente danneggiati. Pertanto il terzo-consumatore o rivenditore che agisce in via risarcitoria trae la propria legittimazione attiva dall'appartenenza al gruppo individuato in riferimento all'attività di concorrenza sleale o di abuso di posizione dominante stigmatizzata dall'Antitrust.

I primi Leading cases in questa materia sono la CGUE, Caso C-453/99, Courage c Crehan e la CGUE, Casi da C-295/04 a C-298/04.

In Italia, la prima espressione del riconoscimento del danno da violazione antitrust è Cass. civ., Sez. Un., 4 febbraio 2005 n. 2207. Attualmente si assiste ad un ampliamento della tutela da danno anticoncorrenziale fino a ricomprendervi i casi sottesi al cosiddetto “umbrella effect”. Si tratta di un'interpretazione secondo cui viene ammesso al risarcimento anche il danneggiato dalla condotta illecita adottata da un'impresa che non fa parte del cartello (CGUE, causa C-557/12, 5 giugno 2014, Kone AG e altri contro ÖBB Infrastruktur AG).

Assumendo la costruzione giuridica del danno da condotta anti concorrenziale, si potrebbe tentare di delineare la struttura difensiva del danno discriminatorio da violazione Data Protection.

In questo senso potremmo ipotizzare che nell'ambito del danno da Data Analytic il discriminato tragga la propria legittimazione dall'appartenenza al gruppo dei soggetti esclusi dall'algoritmo. In questa fattispecie, a differenza di quella ex Dir. UE 2014/104, essendo agli inizi non vi sono certezze. Non è stata individuata l'Authority atta a sancire la condotta lesiva. Tuttavia potremmo azzardare l'indicazione del Garante Privacy in quanto organo di vigilanza nell'ambito della Data Protection.

In questa ipotesi si tratterebbe di stigmatizzare un sinistro originato dall'illegittimo trattamento dati causa dell'effetto discriminatorio. Poniamo che il Garante abbia stigmatizzato questa attività discriminatoria e quindi il gruppo di soggetti discriminati. L'interessato-discriminato - sulla scorta di tale pronunzia e in base all'appartenenza al gruppo degli offesi-potrebbe attivare il giudizio risarcitorio facilitato dalla presunzione di responsabilità sancita dalla decisione del Garante Privacy.

L'onere della prova dunque atterrebbe unicamente al danno subito. Ai fini probatori si potrebbe allegare il nocumento economico causato dall'aumento del premio della polizza assicurativa vita in quanto classificato come cardiopatico. Si potrebbe allegare il nocumento economico da aggravio delle condizioni di finanziamento in quanto classificato single=debitore cronico.

In queste fattispecie non si può prescindere dal riconoscimento del danno morale: la gravità del modo in cui viene compiuta la violazione privacy dev'essere riparata con adeguato ristoro. La lesione Data Protection viene inflitta da sistemi automatizzati rispondenti all'intelligenza artificiale degli algoritmi predittivi, sottopionendo il soggetto al vaglio di una macchina.