1. L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Articolo 22 GDPR - Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione
2. Il paragrafo 1 non si applica nel caso in cui la decisione:
a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento;
b) sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato;
c) si basi sul consenso esplicito dell’interessato.
3. Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.
4. Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, a meno che non sia d’applicazione l’articolo 9, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato.
Domande frequenti
Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.
Il paragrafo 1 attribuisce il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che riguardano l’interessato o che incida in modo analogo significativamente sulla sua persona. Entrambi gli elementi devono ricorrere, dunque una decisione con un intervento umano significativo, o priva di effetti giuridici o analogamente significativi, resta fuori dalla disposizione.
Il paragrafo 2 ammette tre casi. La decisione può essere necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, autorizzata dal diritto dell’Unione o dello Stato membro che precisa misure adeguate di tutela, oppure basata sul consenso esplicito dell’interessato.
In base al paragrafo 3 deve attuare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, comprendenti almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione. L’espressione «almeno» indica un minimo, per cui a seconda del trattamento possono rendersi necessarie ulteriori misure.
Solo in via eccezionale. Il paragrafo 4 vieta di basare le decisioni di cui al paragrafo 2 sulle categorie particolari di cui all’articolo 9, paragrafo 1, a meno che sia d’applicazione l’articolo 9, paragrafo 2, lettere a) o g), ossia il consenso esplicito o un motivo di interesse pubblico rilevante previsto dal diritto dell’Unione o degli Stati membri, e siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato.
La profilazione, definita dall’articolo 4, punto 4), come trattamento automatizzato volto a valutare aspetti personali di una persona fisica, è espressamente inclusa, ma ricade nel paragrafo 1 solo quando costituisce il fondamento di una decisione unicamente automatizzata con effetti giuridici o analogamente significativi. La profilazione che si limita a orientare un decisore umano non è vietata dall’articolo 22, pur restando soggetta alle regole generali del regolamento, compreso il diritto di opposizione di cui all’articolo 21.