La Corte di Giustizia si è espressa con riferimento alla complessa interazione tra i diritti riconosciuti dal Reg. UE 2016/679 all’interessato sottoposto a una decisione automatizzata e la tutela del segreto commerciale accordata dalla Dir. UE 2016/943 (CGUE, sent. 27 febbraio 2025, C-203/22, Dun & Bradstreet Austria, ECLI:EU:C:2025:117).
Nel caso in esame, un operatore di telefonia mobile ha rifiutato la stipulazione di un contratto con una cittadina austriaca sulla base di una valutazione creditizia interamente automatizzata basata sui dati personali dell’interessata. In base a tale valutazione, effettuata per conto dell’operatore telefonico da una società austriaca specializzata in credit scoring, l’interessata non avrebbe disposto della capacità finanziaria necessaria a sostenere il pagamento di dieci euro mensili. Al fine di comprendere le ragioni del diniego, l’interessata ha richiesto «informazioni significative sulla logica utilizzata» nel processo decisionale automatizzato ai sensi dell’art. 15, par. 1, lett. h), Reg. UE 2016/679. Tuttavia, la società che ha realizzato la valutazione automatizzata del merito creditizio ha sostenuto di non essere tenuta a rivelare informazioni protette dal segreto commerciale.
La corte amministrativa austriaca investita della questione si è espressa in favore della ricorrente. Tuttavia, in sede di esecuzione forzata della decisione, è emersa la difficoltà di stabilire in concreto quali informazioni dovessero essere comunicate e con quali modalità. La corte nazionale ha quindi sospeso il procedimento al fine di sottoporre alla Corte di Giustizia questioni pregiudiziali dirette a chiarire sia la portata del diritto di accesso sia i criteri di bilanciamento tra diritti attribuiti dal GDPR e diritto alla non divulgazione di informazioni protette da segreto commerciale.
A seguito di un’approfondita ricostruzione del quadro normativo europeo, la Corte di Giustizia ha fornito indicazioni operative in merito alle concrete modalità di attuazione del bilanciamento tra le contrapposte esigenze.
Secondo la Corte, in caso di processo decisionale automatizzato, compresa la profilazione, l’interessato può pretendere dal titolare del trattamento, a titolo di «informazioni significative sulla logica utilizzata», che quest’ultimo gli spieghi, mediante informazioni pertinenti e in forma concisa, trasparente, comprensibile e facilmente accessibile, la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato al fine di ottenerne un risultato determinato, come, nel caso di specie, il profilo di solvibilità. Non può soddisfare tali requisiti «né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile» (punto 59).
Il titolare del trattamento, qualora ritenga che le informazioni da fornire all’interessato contengano segreti commerciali, è tenuto a comunicare dette informazioni all’autorità di controllo o all’organo giurisdizionale competente. Spetterà a questi ultimi ponderare i diritti e gli interessi in gioco al fine di determinare nel caso concreto l’estensione del diritto di accesso alle informazioni. In considerazione della necessità di una siffatta determinazione caso per caso, il GDPR osta all’applicazione di una disposizione nazionale «che esclude, di regola, il diritto di accesso dell’interessato, previsto all’articolo 15 del RGPD, qualora tale accesso comprometta un segreto commerciale o un segreto aziendale del titolare del trattamento o di un terzo”, non potendo uno Stato membro “stabilire in modo definitivo l’esito della ponderazione caso per caso dei diritti e degli interessi in gioco imposta dal diritto dell’Unione» (punto 75).
La sentenza in esame fornisce elementi interpretativi rilevanti anche per quanto concerne il contesto giuslavoristico nazionale, nel quale gli obblighi informativi posti in capo al datore di lavoro e al committente in caso di utilizzo di sistemi decisionali o di monitoraggio integralmente automatizzati – introdotti dal decreto trasparenza (d.lgs. n. 104/2022, così come modificato dal d.l. n. 48/2023) – «non si applicano ai sistemi protetti da segreto industriale e commerciale» (art. 1-bis, comma 8, d.lgs. n. 152/1997).
A cura di Massimiliano Rosa – Dottorando e Assegnista di ricerca presso l’Università degli Studi di Padova