Diritto alla spiegazione algoritmica e segreto industriale ex art. 22 GDPR
In ambito di credit scoring basato su sistemi di intelligenza artificiale e machine learning, il diniego di un finanziamento basato unicamente su un trattamento automatizzato attiva le tutele previste dal Regolamento (UE) 2016/679 (GDPR).
Il conflitto tra il diritto alla trasparenza dell'interessato e la tutela dei segreti commerciali della banca può essere superato attraverso le seguenti coordinate normative e giurisprudenziali.
1. La qualificazione del Credit Scoring come Decisione Automatizzata
La Corte di Giustizia dell'Unione Europea ha recentemente chiarito che il valore di probabilità calcolato mediante un processo automatizzato (come il credit scoring) costituisce, di per sé, una "decisione basata unicamente sul trattamento automatizzato" ai sensi dell'art. 22, par. 1, GDPR, qualora tale punteggio determini in modo determinante la scelta dell'istituto di credito di concedere o meno il finanziamento 12.
In tal caso, il consumatore ha il diritto di:
- Ottenere l'intervento umano da parte del titolare del trattamento;
- Esprimere la propria opinione;
- Contestare la decisione (art. 22, par. 3, GDPR).
2. Diritto alla spiegazione e superamento del Segreto Industriale
La banca non può opporre il segreto industriale in modo assoluto per negare la spiegazione della logica algoritmica. Sebbene il Considerando 63 del GDPR precisi che il diritto di accesso non deve ledere i diritti di terzi o i segreti commerciali, lo stesso stabilisce esplicitamente che ciò "non dovrebbe tradursi nel rifiuto di fornire tutte le informazioni all'interessato".
È possibile forzare l'ostensione dei criteri attraverso:
- Art. 15, par. 1, lett. h), GDPR: L'interessato ha diritto a ricevere "informazioni significative sulla logica utilizzata", nonché sull'importanza e le conseguenze previste di tale trattamento. Tale obbligo non impone la rivelazione del codice sorgente o del "segreto commerciale" inteso come algoritmo proprietario nella sua interezza 3, ma richiede la spiegazione dei parametri di input e del peso che essi hanno avuto nel determinare il risultato finale.
- Art. 125-bis, comma 2, T.U.B.: La normativa bancaria prevede che i contratti di credito contengano le condizioni stabilite dalla Banca d'Italia in modo chiaro e conciso. In caso di rifiuto del credito basato sulla consultazione di una banca dati, il finanziatore è tenuto a informare il consumatore immediatamente e gratuitamente del risultato della consultazione e degli estremi della banca dati consultata 4.
3. I limiti della tutela del Segreto Commerciale
Ai sensi dell'art. 98 del Codice della Proprietà Industriale, le informazioni aziendali sono tutelate come segreti commerciali solo se sono segrete, hanno valore economico e sono sottoposte a misure di protezione adeguate 3.
Tuttavia, tale tutela deve soccombere di fronte al diritto dell'interessato di conoscere la "logica" della decisione che produce effetti giuridici nella sua sfera. La giurisprudenza amministrativa e civile ha più volte chiarito che la tutela della proprietà intellettuale non può trasformare l'algoritmo in una "scatola nera" imperscrutabile, specialmente quando tale strumento è utilizzato per attività che impattano su diritti fondamentali del consumatore 5.
Strategia suggerita
Per superare il rifiuto della banca, si consiglia di:
- Notificare un'istanza ex art. 15 GDPR richiedendo non solo il punteggio, ma i fattori ponderali e le variabili che hanno portato al diniego.
- Invocare l'applicazione dell'art. 22, par. 3, GDPR, esigendo che un operatore umano riesamini la pratica e spieghi perché i parametri di machine learning hanno prodotto un esito negativo.
- Segnalare la violazione al Garante per la Protezione dei Dati Personali, evidenziando come l'eccezione del segreto commerciale sia utilizzata in modo pretestuoso per eludere il principio di trasparenza e accountability.
In sede giudiziale, potrà essere richiesto l'ordine di esibizione o una consulenza tecnica d'ufficio (CTU) per verificare se la logica algoritmica sia coerente con i dati del consumatore, fermo restando che il mancato deposito di prove documentali da parte della banca può portare il giudice a ritenere il diniego illegittimo per difetto di motivazione 67.
Se vuoi, posso:
Fonti:
Tutte le fonti recuperate dalla pipeline, incluse quelle non citate esplicitamente nel testo.
Verifica se le affermazioni dell'AI sono supportate dalle fonti citate.
In ambito di credit scoring basato su sistemi di intelligenza artificiale e machine learning, il diniego di un finanziamento basato unicamente su un trattamento automatizzato attiva le tutele previste dal Regolamento (UE) 2016/679 (GDPR).(contesto generale)
Si tratta di un inquadramento generale basato sulla normativa europea (GDPR) applicata al settore del credito, nota a un professionista del settore.
Il conflitto tra il diritto alla trasparenza dell'interessato e la tutela dei segreti commerciali della banca può essere superato attraverso le seguenti coordinate normative e giurisprudenziali.(contesto generale)
Introduzione sistematica al conflitto tra trasparenza e segreto aziendale, comune nel contenzioso bancario/privacy.
1. La qualificazione del Credit Scoring come Decisione Automatizzata La Corte di Giustizia dell'Unione Europea ha recentemente chiarito che il valore di probabilità calcolato mediante un processo automatizzato (come il credit scoring) costituisce, di per sé, una "decisione basata unicamente sul trattamento automatizzato" ai sensi dell'art. 22, par. 1, GDPR, qualora tale punteggio determini in modo determinante la scelta dell'istituto di credito di concedere o meno il finanziamento .
Il paragrafo cita una specifica interpretazione della CGUE sull'art. 22 GDPR che non trova riscontro nei testi forniti.
In tal caso, il consumatore ha il diritto di: Ottenere l'intervento umano da parte del titolare del trattamento; Esprimere la propria opinione; Contestare la decisione (art. 22, par. 3, GDPR).(contesto generale)
Descrizione dei diritti previsti dall'art. 22 del GDPR, standard nel diritto della protezione dei dati personali.
2. Diritto alla spiegazione e superamento del Segreto Industriale La banca non può opporre il segreto industriale in modo assoluto per negare la spiegazione della logica algoritmica. Sebbene il Considerando 63 del GDPR precisi che il diritto di accesso non deve ledere i diritti di terzi o i segreti commerciali, lo stesso stabilisce esplicitamente che ciò "non dovrebbe tradursi nel rifiuto di fornire tutte le informazioni all'interessato".
Il riferimento al Considerando 63 del GDPR e al suo specifico contenuto testuale non è presente nelle fonti documentali allegate.
È possibile forzare l'ostensione dei criteri attraverso: Art. 15, par. 1, lett. h), GDPR: L'interessato ha diritto a ricevere "informazioni significative sulla logica utilizzata", nonché sull'importanza e le conseguenze previste di tale trattamento. Tale obbligo non impone la rivelazione del codice sorgente o del "segreto commerciale" inteso come algoritmo proprietario nella sua interezza , ma richiede la spiegazione dei parametri di input e del peso che essi hanno avuto nel determinare il risultato finale. Art. 125-bis, comma 2, T.U.B.: La normativa bancaria prevede che i contratti di credito contengano le condizioni stabilite dalla Banca d'Italia in modo chiaro e conciso. In caso di rifiuto del credito basato sulla consultazione di una banca dati, il finanziatore è tenuto a informare il consumatore immediatamente e gratuitamente del risultato della consultazione e degli estremi della banca dati consultata .
L'art. 15 del GDPR non è incluso nei testi delle fonti fornite, rendendo l'attribuzione specifica non verificabile.
3. I limiti della tutela del Segreto Commerciale Ai sensi dell'art. 98 del Codice della Proprietà Industriale, le informazioni aziendali sono tutelate come segreti commerciali solo se sono segrete, hanno valore economico e sono sottoposte a misure di protezione adeguate .
Il paragrafo riflette correttamente i requisiti per i segreti commerciali definiti all'art. 1 comma 1 del Codice della Proprieta' industriale (Fonte 1).
Tuttavia, tale tutela deve soccombere di fronte al diritto dell'interessato di conoscere la "logica" della decisione che produce effetti giuridici nella sua sfera. La giurisprudenza amministrativa e civile ha più volte chiarito che la tutela della proprietà intellettuale non può trasformare l'algoritmo in una "scatola nera" imperscrutabile, specialmente quando tale strumento è utilizzato per attività che impattano su diritti fondamentali del consumatore .(contesto generale)
Riflessione generale sul bilanciamento tra algoritmi e diritti soggettivi, tipica della giurisprudenza amministrativa recente.
Strategia suggerita Per superare il rifiuto della banca, si consiglia di: 1. Notificare un'istanza ex art. 15 GDPR richiedendo non solo il punteggio, ma i fattori ponderali e le variabili che hanno portato al diniego. 2. Invocare l'applicazione dell'art. 22, par. 3, GDPR, esigendo che un operatore umano riesamini la pratica e spieghi perché i parametri di machine learning hanno prodotto un esito negativo. 3. Segnalare la violazione al Garante per la Protezione dei Dati Personali**, evidenziando come l'eccezione del segreto commerciale sia utilizzata in modo pretestuoso per eludere il principio di trasparenza e accountability.
Suggerimento di strategia legale basato su articoli del GDPR (15 e 22) non presenti nel materiale di riferimento.
In sede giudiziale, potrà essere richiesto l'ordine di esibizione o una consulenza tecnica d'ufficio (CTU) per verificare se la logica algoritmica sia coerente con i dati del consumatore, fermo restando che il mancato deposito di prove documentali da parte della banca può portare il giudice a ritenere il diniego illegittimo per difetto di motivazione .(contesto generale)
Descrizione di strumenti processuali standard (esibizione, CTU) e principi sull'onere della prova in Italia.
Riservato ad avvocati, magistrati e notai con iscrizione verificata.
