PRIVACY Una sentenza storica per il mercato della fiducia
Per il Garante ledeva la dignità della persona ma i giudici hanno cassato il provvedimento
Senza il rating reputazionale digitalizzato, documentato e tracciabile nell’era di Internet non c’è possibilità di misurare in modo oggettivo né la reputazione incontrovertibile, né il grado di fiducia meritato dalle controparti nei rapporti obbligatori e nelle relazioni personali. L’obiettivo è un mondo più sicuro che nasce dalla collaborazione tra virtuosi per difendersi dall’ingegneria reputazionale sul web che genera il «riciclaggio identitario». Con Italia Virtute illeciti e inadempimenti perdono finalmente l’anonimato nella nuova centrale rischi «onlife».
di Luciano Mariani
La prima sezione civile della Cassazione, con l’ordinanza n. 4327 pubblicata il 10 ottobre 2023, ha messo la parola fine all’annosa questione che, per ben sette anni, ha visto contrapposta l’associazione Mevaluate onlus al Garante per la protezione dei dati personali.
La controversia insorge nel lontano 2016 allorquando il Garante della privacy vietava all’associazione l’avvio di un progetto di qualificazione reputazionale digitalizzata che prospettava, tra l’altro, importanti risvolti di utilità pubblica in materia di sicurezza delle relazioni sociali ed economiche e di contrasto al fenomeno della «ingegneria reputazionale», ovvero reputazione gonfiata (la propria) o depressa (l’altrui) su misura e su ordinazione per fini illeciti e comunque ingannevoli, che determina identità digitali difformi da quelle reali che caratterizzano il cosiddetto «riciclaggio identitario».
Il «Sistema Mevaluate» identifica un particolare procedimento che, attraverso l’elaborazione di processi algoritmici, quantifica il valore della reputazione di individui, enti e imprese assegnando loro un rating reputazionale e cioè un indice che ne misura l’affidabilità basandosi su vari parametri quali pericolosità sociale (codice penale), pendenze fiscali (codice tributario), contenziosi (codice civile e codice amministrativo), lavoro e impegno civile, studi e formazione (solo per individui). I valori calcolati diventano lettere per le prime tre aree e numeri per le ultime due; per un individuo quindi il rating migliore potrà essere A-A-A-100-100 mentre il peggiore sarà Z-Z-Z-0-0.
Il rating reputazionale così definito diventa quindi un «attestato» sintetico, al contempo corredato di tutti i certificati e documenti elaborati dall’algoritmo umanizzato (trasparente, inclusivo e imparziale) che permette di valutare a primo impatto la controparte in ogni rapporto obbligatorio o relazione personale rispetto ai propri criteri di valutazione e rispetto agli obiettivi della specifica interazione socio-economica.
Il predetto sistema si fonda sulla piattaforma digitale Italia Virtute dove gli interessati – assistiti da professionisti qualificati Reputation audit manager (Ram) da Apart, vigilata dal ministero delle Imprese e del Made in Italy ai sensi della legge 4/2013 – possono caricare certificati e documenti afferenti al proprio profilo personale del quale il rating reputazionale è, in definitiva, la esplicitazione alfanumerica.
Il rating reputazionale rappresenta, in sintesi, il risultato di una valutazione matematica delle informazioni (rigorosamente documentate) riguardanti i fatti della vita e le vicende di individui, enti e imprese che ne determinano la reputazione (sia positiva che negativa) e dimostrabili in modo incontestabile tramite certificati e documenti formati da terzi soggetti, privati e pubbliche amministrazioni. Tali documenti, dai certificati penali (casellario giudiziale, carichi pendenti, misure di prevenzione, iscrizione nel registro delle notizie di reato) all’encomio professionale e al titolo di studio, vengono valorizzati dall’algoritmo umanizzato Mevaluate sulla base di coerenti basi di calcolo uniformemente tratte dal regolamento interno dell’associazione e dal Codice della reputazione universale. Una volta creato un dato profilo reputazionale e ottenuto, per gli effetti, un determinato rating, esso sarà accessibile ai soli membri dell’associazione che decidano di interrogare il Sistema Mevaluate al fine di misurare il grado di fiducia oggettivamente meritato dalle controparti.
Alla realizzazione di tale ambizioso progetto si è frapposto però il Garante della privacy che con provvedimento n. 488 del 24 novembre 2016 disponeva il divieto di avvio ovvero di prosecuzione della descritta attività di profilazione reputazionale ritenendo che tale trattamento fosse potenzialmente lesivo della dignità personale degli utenti in quanto incidente su dati personali fortemente sensibili e che, per tale motivo, il suo svolgimento non potesse essere legittimato dal mero consenso individuale in mancanza di una ulteriore base giuridica costituita da norme speciali o da provvedimenti autorizzativi generali.
Lo sviluppo della vicenda non poteva che seguire, a questo punto, la tortuosa strada della giustizia nazionale.
La Corte di Cassazione veniva interessata una prima volta della questione nel 2018 allorquando lo stesso Garante della privacy impugnò la sentenza n. 5715/2018 del Tribunale di Roma con la quale l’associazione Mevaluate onlus aveva ottenuto, in prima istanza, l’annullamento del provvedimento di divieto essendo stato valutato il consenso dell’interessato come unica condizione di legittimità del trattamento operato dall’Associazione, senza la necessità di ulteriori basi giuridiche.
Con l’ordinanza 14381/2021 che ha definito la predetta impugnazione, la Corte di Cassazione sanciva un primo definitivo riconoscimento delle ragioni dell’associazione Mevaluate onlus confermando quanto già statuito dal Tribunale in merito alla piena legittimità del trattamento di profilazione reputazionale basato sul mero consenso dell’utente, anche in mancanza di ulteriori presupposti normativi o amministrativi, a condizione, però, che tale consenso fosse «validamente prestato», ossia «espresso liberamente e specificamente» in riferimento ad un trattamento «chiaramente individuato», e tale veniva considerato solo quello in cui il soggetto è previamente informato in relazione a un trattamento ben definito nei suoi elementi essenziali.
Per il caso particolare dell’associazione poi, in cui il trattamento dei dati personali viene sottoposto ad una elaborazione informatica, la Corte precisava che il consenso poteva ritenersi adeguatamente informato solo qualora fosse risultato noto agli utenti lo schema esecutivo dell’algoritmo impiegato allo specifico fine. Rilevato, tuttavia, che tale dirimente questione non aveva formato oggetto di valutazione nel precedente grado di giudizio, cassava la sentenza e rinviava al primo giudice limitatamente alla verifica della adeguata rappresentazione e della trasparenza dell’algoritmo Mevaluate.
L’associazione tornava dunque innanzi al Tribunale di Roma certa di avere le carte in regola anche rispetto all’ulteriore profilo messo in luce dalla Cassazione. Ma, nonostante la mole di documenti atti a dimostrare la conoscenza o la conoscibilità dell’algoritmo da parte degli utenti del servizio di rating reputazionale secondo il principio di diritto enunciato dalla Suprema Corte, il giudice del rinvio ne frustrava le aspettative rigettando il ricorso.
Secondo il nuovo giudice del Tribunale di Roma il regolamento Mevaluate non avrebbe esplicitato lo schema esecutivo dell’algoritmo, limitandosi a fornire un mero elenco dei fattori presi in considerazione per il rating, senza precisare come questi dati vengano poi elaborati. Andava dunque confermato il provvedimento di divieto del Garante della privacy.
L’associazione si vedeva quindi costretta a ricorrere nuovamente ai giudici ermellini contestando, in sintesi, la mancata conformazione del giudice del rinvio al principio di diritto in precedenza enunciato che, come visto, aveva ritenuto lecito il consenso prestato dall’interessato sulla base della conoscibilità dello «schema esecutivo dell’algoritmo e degli elementi di cui si compone» che avrebbe dovuto essere verificata in concreto nel corso del giudizio.
La difesa dell’associazione ha fatto valere le proprie argomentazioni sulla base di un semplice ragionamento logico. Premessa la definizione di portata generale di «schema esecutivo dell’algoritmo»: «I passi che costituiscono lo schema devono essere “elementari”, ovvero non ulteriormente scomponibili (atomicità); i passi che costituiscono lo schema devono essere interpretabili in modo diretto e univoco dall’esecutore, sia esso umano o artificiale (non ambiguità); l’algoritmo deve essere finito, ossia composto da un numero definito di passi legati ad una quantità definita di dati in ingresso (finitezza); l’esecuzione dello schema deve avvenire entro un tempo finito (terminazione); l’esecuzione dello schema algoritmico deve condurre ad un unico risultato (effettività)», ha richiamato l’imponente documentazione sino ad allora prodotta in giudizio, e snobbata dal giudice del rinvio, dalla quale emergeva con estrema evidenza il sovrabbondante soddisfacimento di tutte le condizioni poste dalla regola generale.
Secondo la difesa dell’associazione, la diffusione delle ulteriori informazioni tecniche richieste dal Tribunale, non avrebbe avuto attinenza alle esigenze di trasparenza e conoscibilità dell’algoritmo, e non avrebbe avuto alcuna concreta utilità, presupponendo conoscenze altamente specialistiche che si pongono al di fuori del bagaglio culturale posseduto dalla generalità degli utenti e dei membri dell’associazione, avendo in tal modo il medesimo giudice prospettato un adempimento abnorme, che non si ravvisa, fra l’altro, in nessuno dei documenti informativi degli algoritmi, attualmente utilizzati nel web a fini di profilazione (ad esempio Tripadvisor e Vinted).
Inoltre, nel caso di specie, per la difesa dell’associazione, la prestazione del consenso è sempre preceduta, con l’assistenza del consulente reputazionale, dalla simulazione del rating reputazionale così come previsto dal regolamento Mevaluate, permettendo in tal modo la piena e preventiva comprensione del funzionamento dell’algoritmo umanizzato in concreto sperimentato.
E tutto ciò al netto della circostanza dell’avvenuta pubblicazione in rete, da parte dell’associazione, della domanda di brevetto europeo dell’algoritmo Mevaluate in cui è rappresentato, per esteso, lo schema ingegneristico/matematico del medesimo algoritmo.
La Corte di Cassazione, con l’ordinanza n. 4327 pubblicata il 10 ottobre 2023, condividendo tali argomentazioni, ha cassato la sentenza del giudice del rinvio sulla base del rilievo che ad integrare i presupposti del «libero e specifico» consenso, affinché esso sia legittimo e valido, è «richiesto che l’aspirante associato sia in grado di conoscere l’algoritmo, inteso come procedimento affidabile per ottenere un certo risultato o risolvere un certo problema, che venga descritto all’utente in modo non ambiguo ed in maniera dettagliata, come capace di condurre al risultato in un tempo finito.
Che, poi, il procedimento, come spiegato con i termini della lingua comune, sia altresì idoneo ad essere tradotto in linguaggio matematico è tanto necessario e certo, quanto irrilevante: ed invero, non è richiesto né che tale linguaggio matematico sia osteso agli utenti, né, tanto meno, che essi lo comprendano».
La Corte ha dunque stravolto l’eccessiva impostazione del giudice del rinvio stabilendo che, una volta rese comprensibili all’utente le finalità del trattamento e le metodologie attraverso cui pervenire alla sua definizione, lo svolgimento matematico dell’algoritmo tale da condurre al risultato preventivamente prospettato, deve essere chiaro per la macchina elaboratrice restando irrilevante per l’essere umano.
La Corte è arrivata pertanto alla conclusione che, sulla base degli accertamenti compiuti dal Tribunale, i parametri di riferimento richiesti per la configurazione di un libero e specifico consenso dei potenziali utenti del servizio di rating reputazionale erano tutti presenti nel regolamento Mevaluate, e, non essendo necessari ulteriori accertamenti in fatto, ha definitivamente deciso la controversia, anche nel merito, con l’integrale annullamento del provvedimento del Garante per la protezione dei dati personali n. 488 del 24 novembre 2016.
È dunque vittoria del rating reputazionale Mevaluate e via libera agli sviluppi dell’originario progetto di ricerca e innovazione Virtute – Valuable identity and reputation technologically unique trusted engine che l’associazione aveva promosso già nel 2015 per la diffusione del rating reputazionale europeo basato su Internet, animato da 6 Paesi e 13 partner tra enti pubblici e aziende corporate, per aumentare prevenzione dei rischi e sicurezza in Europa.
Oggi, il periodico online Crop news (fondato da Mevaluate Holding), che ha raccolto l’eredità dell’Associazione Mevaluate, non vede limiti all’implementazione del proprio progetto Italia Virtute articolato per la promozione e lo sviluppo dell’economia comportamentale; una nuova strategia per migliorare le decisioni sia di consumatori e utenti, sia di operatori economici, semplicemente ricorrendo al «nudge, la spinta gentile», termine coniato da Richard H. Thaler, premio Nobel per l’economia 2017 secondo il quale i comportamenti positivi e virtuosi possono essere incoraggiati non tanto dalla paura delle sanzioni, quanto da condizionamenti positivi per cui comportarsi bene diventa «più facile e conveniente». Con Italia Virtute illeciti e inadempimenti perdono finalmente l’anonimato nella nuova centrale rischi «onlife».
Leggi ordinanza Corte di Cassazione, I^ Sezione Civile, n. 28358/2023, pubblicata il 10 ottobre 2023
Ascolta IusLaw Web Radio: intervista all’Avvocato Lorenzo Tamos
Leggi monografia di Domenico Marino, Università Mediterranea di Reggio Calabria: World Check