Sfida 5. Contesto legale. Norme aventi ad oggetto processi decisionali automatizzati

[Giovannipansini]

Ho inserito qui di seguito le principali disposizioni aventi ad oggetto il trattamento automatizzato operanti nel nonstro contesto normativo, e di cui dovremmo tener conto nella redazione del Paper:

• Decreto legislativo 30 giugno 2003, n. 196 (CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI) Art. 14.
  “Definizione di profili e della personalità dell’interessato”

1. Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato.
2. L’interessato può opporsi ad ogni altro tipo di determinazione adottata sulla base del trattamento di cui al comma 1, ai sensi dell’articolo 7, comma 4, lettera a), salvo che la determinazione sia stata adottata in occasione della conclusione o dell’esecuzione di un contratto, in accoglimento di una proposta dell’interessato o sulla base di adeguate garanzie individuate dal presente codice o da un provvedimento del Garante ai sensi dell’articolo 17.

• REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
  del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)

Considerando n. 71

L’interessato dovrebbe avere il diritto di non essere sottoposto a una decisione, che possa includere una misura, che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali il rifiuto automatico di una domanda di credito online o pratiche di assunzione elettronica senza interventi umani. Tale trattamento comprende la «profilazione», che consiste in una forma di trattamento automatizzato dei dati personali che valuta aspetti personali concernenti una persona fisica, in particolare al fine di analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato, ove ciò produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona. Tuttavia, è opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la profilazione, se ciò è espressamente previsto dal diritto dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento, anche a fini di monitoraggio e prevenzione delle frodi e dell’evasione fiscale secondo i regolamenti, le norme e le raccomandazioni delle istituzioni dell’Unione o degli organismi nazionali di vigilanza e a garanzia della sicurezza e dell’affidabilità di un servizio fornito dal titolare del trattamento, o se è necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, o se l’interessato ha espresso il proprio consenso esplicito. In ogni caso, tale trattamento dovrebbe essere subordinato a garanzie adeguate, che dovrebbero comprendere la specifica informazione all’interessato e il diritto di ottenere l’intervento umano, di esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di contestare la decisione. Tale misura non dovrebbe riguardare un minore.
Al fine di garantire un trattamento corretto e trasparente nel rispetto dell’interessato, tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, è opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell’interessato e che impedisca tra l’altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell’origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell’appartenenza sindacale, dello status genetico, dello stato di salute o dell’orientamento sessuale, ovvero che comportano misure aventi tali effetti. Il processo decisionale automatizzato e la profilazione basati su categorie particolari di dati personali dovrebbero essere consentiti solo a determinate condizioni.

• REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
  del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)

Articolo 22 “Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione”

1. L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
2. Il paragrafo 1 non si applica nel caso in cui la decisione:
   a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento;
   b) sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato;
   c) si basi sul consenso esplicito dell’interessato.
3. Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.
4. Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, a meno che non sia d’applicazione l’articolo 9, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato.

DICHIARAZIONE DEI DIRITTI IN INTERNET
APPROVATA DALLA CAMERA DEI DEPUTATI (non è fonte del diritto, non ha un valore cogente nell’Ordinamento ma può essere considerata alla stregua di una raccomandazione)

Art. 8. (Trattamenti automatizzati).

1. Nessun atto, provvedimento giudiziario o amministrativo, decisione comunque destinata ad incidere in maniera significativa nella sfera delle persone possono essere fondati unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato.

Io ho individuato queste.
Cosa ne pensate?

[Guido_Vetere]

se la capisco bene, si tratta di una normativa che riguarda la profilazione intesa come uso di dati tutelati dalla privacy al fine di classificare il citadino rispetto a certe qualità soggettive. non credo che possa essere un impedimento nel caso in cui un sistema debba decidere in base a requisiti oggettivi, es. dati anagrafici, dichiarazione dei redditi, isee, casellario giudiziario, ecc. corretto?

[Ale]

È raccapricciante constatare gli effetti reali delle varie normative sulla privacy. Dopo più di 20 anni di applicazione, nonostante l’apparente intento di proteggere il cittadino, a fronte di centinaia di migliaia (cifra stimata dai risultati Google) di record di data base col mio nome, io non ho un elenco di titolari del trattamento a cui poter chiedere conto dei dati personali che ho via via conferito. Perché? Beh, per averlo avrei dovuto tenere un mastrino dove annotare i dettagli di ogni conferimento. Ma se anche qualcheduno avesse avuto la costanza di farlo, come avrebbe poi potuto tenerli aggiornati? Immagino che i contratti considerati al comma 2.a del summenzionato art. 22 siano per lo più contratti verbali, la cui registrazione è in possesso di una sola delle due parti. Così non si va da nessuna parte.

Per ottenere la fiducia del pubblico, la privacy dev’essere effettiva. Propongo che venga stabilito un protocollo per il conferimento del consenso, tale per cui l’interessato entri simmetricamente in possesso delle copie digitali dei dati conferiti, compresi gli estremi del trattamento, in modo che sia agevole mantenerli aggiornati non solo presso il titolare del trattamento, ma anche su di uno o più device di proprietà dell’interessato, o altro sistema di storage da lui definito per delega.

Se invece il diritto italiano e l’implementazione dell’IA nella PA dovessero concedere troppo spazio a quei soggetti che concepiscono il business come un rapporto preda/predatore —anziché di simbiosi— allora il tema dovrebbe piuttosto essere come difendersi dalla IA…

[Giovannipansini]

Non è semplice dare una risposta, Prof. @Guido_Vetere
Le norme, in particolare il Considerando n. 71 nel Regolamento UE sul GDPR dicono tutto e il contrario di tutto. La regola e l’eccezione.

A proposito del trattamento automatizzato dei dati contenuti nelle banche dati dell’Amministrazione Finanziaria, ho visto una serie di pareri del Garante della Privacy, una sorta di “soft law” che potrebbe darci delle indicazioni.

Il tema della possibilità di consentire decisioni automatizzate alla PA, almeno nei casi di attività vincolata, è affascinante, ma è complesso, perchè si intreccia con la tutela dei diritti del cittadino nei confronti dell’Autorità e potrebbe consentirci un dibattito culturale, prima ancora che giuridico, davvero interessante.

Ricordo che nei sistemi anglosassoni il cittadino è posto tradizionalmente in condizione di parità rispetto al pubblico potere nei processi decisionali che lo riguardano.
Nei sistemi come il nostro, in cui il cittadino è in posizione di soggezione rispetto al potere pubblico, questa parità è stata guadagnata da poco, grazie al Diritto dell’UE, ed è un processo ancora da consolidarsi definitivamente (il dibattito sulla necessità di un contraddittorio preventivo ed obbligatorio rispetto ad una richiesta della amministrazione finanziaria, per esempio, è ancora attuale e in corso).

Non me la sentirei di arretrare, rispetto a queste posizioni faticosamente ancora da raggiungere, anche a scapito di una perdita di efficienza e di parziale inutilizzo delle potenzialità dell’IA.
Almeno per il momento.
Continuerei a guardare ad una pubblica amministrazione “potenziata” e non automatizzata.

D’altra parte, il “Taxpayer Bill of Rights” del contribuente degli USA, all’art. 7, intitolato “The Right to Privacy” prevede espressamente che "Taxpayers have the right to expect that any IRS inquiry, examination, or enforcement action will comply with the law and be no more intrusive than necessary, and will respect all due process rights, including search and seizure protections and will provide, where applicable, a collection due process hearing."
Quindi anche in USA le decisioni dell’Amministrazione Finanziaria non dovrebbero poter essere automatizzate del tutto.

Fino a che punto siamo disposti a retrocedere rispetto ad alcune garanzie del cittadino nei confronti dalla PA, in cambio di maggiore efficienza? Fino a che punto siamo disposti ad assoggettare il cittadino ad un pubblico potere che promani non da altri uomini, ma dalla IA, in cambio di maggiore efficienza per tutti?

Questo, a mio sommesso avviso, potrebbe essere, con un estremo processo di astrazione, il nocciolo del problema, che, come è possibile vedere, ha molto contenuto giuridico, ma ancora di più ha contenuto etico, filosofico e culturale.

[Giovannipansini]

A titolo esemplificativo cito questo provvedimento del Garante privacy in materia di c.d. redditometro che, come noto, prevede un accertamento sintetico allorquando il reddito dichiarato si discosta in maniera significativa dalla capacità contributiva del contribuente rilevata da spese individuate col ricorso ai dati presenti in anagrafe tributaria:

Redditometro: le garanzie dell’Autorità a seguito della verifica preliminare sul trattamento di dati personali effettuato dall’Agenzia delle entrate - 21 novembre 2013

che è possibile trovare qui:
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2765110

Il Garante ha comunque fatto presente la necessità di fornire una serie di garanzie a tutela del contribuente:

"Al riguardo, si sottolinea che l’individuazione di criteri astratti volti ad analizzare il comportamento del contribuente, soprattutto se effettuata sulla base di numerose tipologie di dati presenti in anagrafe tributaria e attraverso l’attribuzione di un profilo, presenta rischi specifici per i diritti fondamentali e la libertà, nonché la dignità degli interessati, che richiedono la previsione di adeguate garanzie. Ciò, in particolare, laddove vengano utilizzate tecniche che rendono possibile collocare gli individui in specifiche categorie al fine di prendere decisioni sul loro conto (artt. 14 e 17 del Codice).

Fermo restando il divieto di adottare atti o provvedimenti amministrativi fondati unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato, il Codice prevede, inoltre, che l’interessato possa opporsi ad ogni altro tipo di determinazione adottata sulla base di tale trattamento, salvo che la determinazione sia stata adottata, in particolare, sulla base di adeguate garanzie individuate dal Codice o da un provvedimento del Garante adottato ai sensi dell’articolo 17.

Nell’ambito della verifica preliminare in oggetto, occorre esaminare, pertanto, la correttezza e la liceità del trattamento posto in essere dall’Agenzia delle entrate e individuare, in applicazione del Codice, le garanzie da assicurare in relazione alla natura e alla qualità dei dati, alle modalità del trattamento e agli effetti che può determinare sugli interessati.

Tali garanzie devono essere individuate introducendo, in particolare, misure e accorgimenti idonei a correggere fattori che generino imprecisioni nei dati, assicurandone l’esattezza e limitando i rischi di errori inerenti alla profilazione.

Nell’attività di profilazione e, più in generale, nei trattamenti automatizzati di dati personali occorre verificare con particolare rigore il rispetto dei principi in materia di qualità dei dati previsti dall’art. 11 del Codice, considerato soprattutto che “l’inesattezza potenzialmente conseguente all’applicazione automatica di regole inferenziali predefinite può comportare rischi significativi per i diritti e le libertà individuali” (cfr., in particolare, al riguardo, il punto 3.9. della Raccomandazione del Consiglio d’Europa in materia di profilazione). La qualità dei dati deve essere, infatti, garantita in ogni fase del trattamento quale presidio dinamico a tutela dei diritti e delle libertà degli interessati, considerato, in particolare, che eventuali imprecisioni nella fase di raccolta di informazioni sono destinate a ripercuotersi con esiti imprevedibili sulle determinazioni assunte sulla base di un loro trattamento automatizzato, anche con rilevanti conseguenze in capo agli interessati.

Occorre, inoltre, prestare particolare attenzione all’informativa e all’esercizio dei diritti da parte degli interessati anche nel corso del procedimento amministrativo condotto dall’Agenzia."

[JacopoGandin_AgID]

Risoluzione del Parlamento Europeo su norme del diritto civile e robotica:

http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2F%2FEP%2F%2FNONSGML%2BTA%2BP8-TA-2017-0051%2B0%2BDOC%2BPDF%2BV0%2F%2FIT