Danno da algoritmi: profili di responsabilità nel GDPR
L'articolo 22 del GDPR riconosce all'interessato il diritto di non essere soggetto a decisioni basate unicamente su trattamento automatizzato, che producano effetti giuridici o gli incidano in modo significativo. La norma trae origine da un caso concreto: l'algoritmo di Amazon che penalizzava le candidature femminili.
Le garanzie dell'articolo 22
Quando il trattamento automatizzato è alla base di una decisione che produce effetti simili, l'interessato ha diritto a:
- Informazione sulla logica coinvolta, non necessariamente sul metodo di calcolo
- Esplicazione del significato e della rilevanza delle informazioni sulla decisione
- Contestazione della decisione
- Decisione umana da parte di soggetti autorizzati a recepire la contestazione
Va pero' notato che il diritto di opposizione non si applica quando il trattamento e' necessario per l'esecuzione di un contratto o per adempiere a un obbligo di legge.
Chi risponde: il ruolo del titolare del trattamento
La responsabilità primaria ricade sul titolare del trattamento, anche quando la decisione e' stata presa da un sistema acquistato da un terzo. Il responsabile del trattamento (per esempio, un fornitore di software) risponde solo per le proprie violazioni o per quelle istruite dal titolare.
L'organizzazione che adotta l'algoritmo, quindi, non può invocare l'estraneita' tecnica della piattaforma per escludere la propria responsabilità.
Criteri di imputazione della responsabilità
I profili di responsabilità si distinguono a seconda della natura dell'illecito:
Illecito amministrativo
Le sanzioni del GDPR sono irrogate dall'autorita' di controllo: fino a 20 milioni di euro o il 4% del fatturato globale annuo, per le violazioni dei principi fondamentali. L'autorita' competente in Italia e' il Garante per la protezione dei dati personali.
Illecito civile
La responsabilità civile richiede la concorrenza di tre elementi: la violazione di un diritto, il danno effettivo e il nesso causale. La violazione del diritto di non essere sottoposti a decisioni automatizzate, pero', non e' automatica: occorre dimostrare che la decisione abbia prodotto un pregiudizio effettivo.
Rapporti di lavoro e ambito giuslavoristico
In ambito giuslavoristico la questione si fa più complessa. Il datore di lavoro può essere ritenuto responsabile della scelta dell'algoritmo, e la decisione automatizzata di licenziamento va valutata alla luce dell'articolo 4 della L. 300/1970, che vieta l'automazione delle decisioni relative a licenziamenti e trattamenti.
I rimedi
L'interessato può attivare diversi strumenti:
- Reclamo al Garante ai sensi dell'articolo 77
- Azione di risarcimento ai sensi dell'articolo 82
- Richiesta di interpello ex articolo 36, se il trattamento presenta rischi elevati
- Accesso ai dati ai sensi dell'articolo 15 per ottenere le informazioni sulla logica impiegata
Raccomandazioni operative
Per limitare i rischi, è opportuno che ogni organizzazione che utilizza strumenti di decisione automatizzata:
- esegui una valutazione d'impatto sul trattamento
- documenti la logica e i criteri applicati
- garantisca un canale effettivo di contestazione
- preveda un punto di contatto con un operatore umano
- monitori gli esiti e corregga eventuali anomalie
Richiedi una verifica sulla tua organizzazione: la compliance va costruita prima che si manifestino contestazioni.