TUTELA DEI DATI PERSONALI
Suprema Corte di Cassazione: si ha profilazione anche senza dati riconducibili al singolo individuo.
Con la sentenza n. 34211 del 2021 la Suprema Corte di Cassazione ha statuito che l'utilizzo di un algoritmo implica la profilazione anche se i dati personali:
(i) non sono effettivamente conservati dal titolare del trattamento; e
(ii) non possono essere collegati al singolo cliente.
Il caso prende le mosse da un vecchio (e abrogato) quadro normativo, che obbligava i titolari del trattamento a notificare al Garante per la privacy eventuali attività di trattamento effettuate con mezzi elettronici, finalizzate alla definizione del profilo e della personalità degli individui, o ad analizzare le loro abitudini e scelte, ovvero per monitorare il loro utilizzo dei servizi di comunicazione elettronica [art. 37, comma 1, lett. d) – ora abrogato – del Codice in materia di protezione dei dati personali].
Prima del Regolamento 679/2016 il quadro normativo italiano non prevedeva una definizione specifica di “profilazione” (la Deliberazione del Garante del 19 marzo 2015 prevedeva una sorta di definizione di profilazione, incentrata principalmente sul trattamento di dati personali per finalità di attività di profilazione online, definizione che, come sottolineato anche dalla Suprema Corte, era diversa dalla previsione di legge di cui al citato art. 37, comma 1, lett. d, del Codice in materia di protezione dei dati personali).
La Suprema Corte ha affermato che il trattamento di dati personali attraverso un algoritmo per analizzare o prevedere specifiche esigenze dei clienti deve essere considerato come attività di profilazione, sebbene i dati personali non siano direttamente riconducibili al singolo individuo o non siano conservati dal titolare.
(i) non sono effettivamente conservati dal titolare del trattamento; e
(ii) non possono essere collegati al singolo cliente.
Il caso prende le mosse da un vecchio (e abrogato) quadro normativo, che obbligava i titolari del trattamento a notificare al Garante per la privacy eventuali attività di trattamento effettuate con mezzi elettronici, finalizzate alla definizione del profilo e della personalità degli individui, o ad analizzare le loro abitudini e scelte, ovvero per monitorare il loro utilizzo dei servizi di comunicazione elettronica [art. 37, comma 1, lett. d) – ora abrogato – del Codice in materia di protezione dei dati personali].
Prima del Regolamento 679/2016 il quadro normativo italiano non prevedeva una definizione specifica di “profilazione” (la Deliberazione del Garante del 19 marzo 2015 prevedeva una sorta di definizione di profilazione, incentrata principalmente sul trattamento di dati personali per finalità di attività di profilazione online, definizione che, come sottolineato anche dalla Suprema Corte, era diversa dalla previsione di legge di cui al citato art. 37, comma 1, lett. d, del Codice in materia di protezione dei dati personali).
La Suprema Corte ha affermato che il trattamento di dati personali attraverso un algoritmo per analizzare o prevedere specifiche esigenze dei clienti deve essere considerato come attività di profilazione, sebbene i dati personali non siano direttamente riconducibili al singolo individuo o non siano conservati dal titolare.
