Profilazione e legittimo interesse sono da sempre due tra gli elementi più discussi e controversi del GDPR.
Complice, forse, anche qualche definizione non sempre chiarissima, negli anni molti operatori economici hanno cercato di fondare trattamenti di profilazione sul legittimo interesse.
Chiariamo subito: in astratto, tale trattamento non è vietato.
Certo, le regole per l’utilizzo del legittimo interesse sono già di per sé stringenti; se poi vengono applicate a un trattamento rischioso come la profilazione, l’attenzione deve aumentare.
Partendo da questa considerazione e l’aiuto di due provvedimento del Garante sul tema mettiamo qualche punto fermo nell’utilizzo del legittimo interesse per attività di profilazione.
Indice
Profilazione e Legittimo interesse
Cos’è la Profilazione e cosa sono le decisioni automatizzate
La profilazione è qualsiasi trattamento automatizzato di dati personali usato per valutare o prevedere aspetti personali di una persona, ad esempio il suo comportamento, le preferenze, l’affidabilità, la situazione economica, la salute o gli spostamenti.
Il considerando 24 del GDPR chiarisce che, per capire se vi sia un controllo del comportamento dell’interessato, bisogna verificare se la persona venga tracciata online, anche per finalità di profilazione, soprattutto quando ciò serve a prendere decisioni che la riguardano o a prevederne gusti, comportamenti e scelte.
Il considerando 71 del GDPR aggiunge che l’interessato dovrebbe avere il diritto di non essere sottoposto a decisioni prese esclusivamente da sistemi automatizzati (art. 22 GDPR), compresa la profilazione, quando tali decisioni producono effetti giuridici oppure incidono in modo significativo analogo sulla sua persona.
Non è detto che un’attività di profilazione ricada nella nozione di decisione automatizzata (art. 22 GDPR).
La profilazione può esistere anche al di fuori dell’art. 22, mentre l’art. 22 riguarda solo le decisioni fondate unicamente su trattamenti automatizzati e dotate di effetti giuridici o comunque significativamente incidenti sull’interessato.
Base giuridiche per la profilazione
Se la profilazione diventa decisione automatizzata ai sensi dell’art. 22 la base giuridica corretta – salvo alcune residuali eccezioni – è il consenso.
La profilazione che non ricade nella nozione di decisione automatizzata può essere lecita, ma occorre individuare una valida base giuridica e rispettare i principi del GDPR.
Come base giuridica, il Garante riconosce che, in astratto, anche la profilazione può fondarsi sul legittimo interesse ai sensi dell’art. 6, par. 1, lett. f), GDPR. Tuttavia, questo non avviene automaticamente: non basta affermare che il titolare ha un interesse imprenditoriale, organizzativo o commerciale.
Requisiti generali per la sussistenza di un legittimo interesse
Il legittimo interesse può essere utilizzato come base giuridica solo se il titolare dimostra e documenta, secondo il principio di accountability, la presenza di tre condizioni cumulative.
- Legittimità dell’interesse
Deve esistere un interesse legittimo, cioè un interesse lecito, reale, attuale, non meramente ipotetico e collegato alle attività effettivamente svolte dal titolare.
- Necessità del trattamento
In secondo luogo, il trattamento deve essere necessario per perseguire quello specifico interesse. Non basta che sia utile o conveniente: occorre verificare se lo stesso obiettivo possa essere raggiunto, con pari efficacia, attraverso mezzi meno invasivi per gli interessati.
- Legitimate Interest Assessment – LIA
In terzo luogo, il trattamento deve superare un test di bilanciamento tra l’interesse del titolare e i diritti, le libertà e gli interessi degli interessati. Questa valutazione, normalmente formalizzata nel Legitimate Interest Assessment – LIA, deve essere condotta caso per caso, tenendo conto delle circostanze concrete, delle ragionevoli aspettative degli interessati, della portata del trattamento, del suo impatto sugli utenti e del livello di invasività delle attività previste.
Legittimo interesse nella profilazione
L’European Data Protection Board (EDPB) nelle Linee Guida 1/2024 non esclude che per la profilazione diversa dal processo decisionale automatizzato si possa utilizzare il legittimo interesse.
Tuttavia, precisano che i seguenti elementi sono particolarmente rilevanti nello svolgimento del Legitimate Interest Assessment:
- il livello di dettaglio del profilo (ad esempio, se l’interessato è profilato all’interno di una coorte descritta in modo ampio, come “persone interessate alla letteratura inglese”, oppure se è segmentato e destinatario di targeting a un livello granulare);
- la completezza del profilo (se il profilo descrive soltanto un aspetto limitato dell’interessato, oppure se ne restituisce un quadro più complessivo);
- l’impatto della profilazione (gli effetti sull’interessato);
- la possibile combinazione futura dei profili;
- le garanzie che assicurano correttezza, non discriminazione e accuratezza nel processo di profilazione.
Da quanto precisato dall’EDPB emerge che sarà necessario svolgere un Legitimate Interest Assessment per ciascuna attività di profilazione che si intenda fondare sul legittimo interesse.
Questo è quanto la normativa richiede per l’utilizzo del legittimo interesse in caso di profilazione. Vediamo ora la sua concreta applicazione in due interessanti pronunce del Garante.
[Per un approfondimento leggi: Il Legittimo Interesse come Base Giuridica: Strumenti e Limiti Operativi ]
Il Caso Intesa Sanpaolo
All’interno di questo quadro normativo nel mese di marzo il Garante si è pronunciato in merito all’uso del legittimo interesse per un’attività di profilazione di Intesa San Paolo.
Più precisamente Intesa Sanpaolo ha selezionato una parte molto ampia della propria clientela sulla base di criteri comportamentali, anagrafici, patrimoniali e contrattuali, l’ha qualificata come clientela prevalentemente digitale e ha usato tale selezione per trasferire quei rapporti a Isybank, comunicando l’operazione tramite canali digitali e con possibilità di dissenso entro un termine.
Il Giudizio del Garante: il legittimo interesse in caso di cessione di ramo d’azienda
Il Garante non contesta in assoluto che il legittimo interesse possa operare in un’operazione bancaria di cessione/conferimento di ramo d’azienda. Anzi: riconosce che, per la mera comunicazione dei dati dalla banca cedente alla banca cessionaria, l’art. 58 TUB e il precedente provvedimento del 2007 possono giustificare il ricorso al legittimo interesse. Il punto critico è un altro: secondo il Garante, Intesa non si è limitata a comunicare dati a Isybank, ma ha prima svolto un trattamento autonomo di profilazione/perimetrazione selettiva della clientela.
In particolare, Intesa ha individuato i clienti da trasferire sulla base di criteri relativi al comportamento digitale, all’età, ai prodotti detenuti, alle giacenze e ad altre condizioni soggettive.
Per il Garante questa attività non era una semplice estrazione tecnica, ma una valutazione di caratteristiche personali — la c.d. “propensione digitale” — svolta su larga scala e mediante sistemi automatizzati, destinata poi a produrre effetti concreti e giuridicamente rilevanti sui clienti trasferiti.
Il Giudizio del Garante: le ragioni della contestazione.
Le contestazioni mosse nei confronti di Intesa Sanpaolo sono le seguenti.
La prima ragione della contestazione è che Intesa avrebbe trattato come un’unica operazione ciò che per il Garante era composto da due trattamenti distinti: da un lato, la comunicazione dei dati nell’ambito del conferimento del ramo d’azienda; dall’altro, la precedente profilazione dei clienti per decidere chi dovesse rientrare nel perimetro dell’operazione. Il legittimo interesse già riconosciuto per la comunicazione dei dati nelle cessioni bancarie non poteva essere automaticamente esteso anche alla profilazione preliminare.
La seconda ragione è che Intesa non ha dimostrato in modo adeguato la necessità del trattamento.
La terza ragione è la debolezza del test di bilanciamento. Il Garante definisce sostanzialmente insufficiente il LIA di Intesa, perché conteneva affermazioni generiche: i trattamenti sarebbero stati necessari per il buon esito dell’operazione e non avrebbero prodotto effetti negativi sugli interessati, anzi sarebbero stati svolti anche nel loro interesse. Per l’Autorità, però, questa affermazione non prova una vera ponderazione tra interesse della banca e diritti dei clienti.
La quarta ragione riguarda le ragionevoli aspettative degli interessati. Secondo il Garante, il test di Intesa si limitava ad affermare genericamente che il trattamento rientrava nelle aspettative del cliente in ragione del rapporto con la banca, senza fornire elementi concreti.
La quinta ragione è l’impatto concreto dell’operazione sui clienti. Il passaggio a Isybank non era neutro: comportava il trasferimento dei rapporti a un diverso titolare, la modifica unilaterale delle condizioni contrattuali e dell’operatività del conto, l’assenza di sportelli fisici, l’uso dello smartphone come canale centrale, il cambio IBAN e la mancanza di alcune funzionalità presenti in Intesa. Per il Garante, proprio questo impatto avrebbe imposto un bilanciamento molto più rigoroso.
In sintesi, il Garante ha ritenuto non corretta l’applicazione del legittimo interesse alla profilazione nel caso Intesa Sanpaolo. Si precisa che attualmente il Provvedimento è stato impugnato, sarà interessante capire se la posizione dei Giudici di merito sia allineata a quella del Garante.
Il caso Poste
Poste Italiane S.p.A. e PostePay S.p.A. sono contitolari per il trattamento dei dati degli utenti delle app BancoPosta e PostePay installate su dispositivi Android. Il Garante ha ricevuto numerose segnalazioni e reclami: gli utenti lamentavano che le app chiedevano di autorizzare l’accesso ai “dati di utilizzo” del dispositivo per rilevare eventuali software dannosi. Il messaggio indicava che l’opzione era obbligatoria e che, in caso di mancata attivazione, l’utente avrebbe potuto effettuare solo tre accessi, dopodiché l’operatività dell’app sarebbe stata inibita.
L’autorizzazione consentiva alle app di accedere a informazioni molto rilevanti sul dispositivo: applicazioni utilizzate, frequenza d’uso, gestore telefonico, impostazioni della lingua e altri dati di utilizzo. Secondo Poste e PostePay, il trattamento serviva a rilevare malware e a prevenire frodi nelle operazioni di pagamento digitale, in conformità alla normativa PSD2 e agli standard tecnici EBA sull’autenticazione forte e sul monitoraggio delle transazioni.
Dal punto di vista tecnico, il trattamento era realizzato tramite la soluzione ThreatMetrix, integrata nella piattaforma antifrode di Poste.
Il legittimo interesse nel caso “Poste”
Il provvedimento è particolarmente interessante perché affronta il tema dell’applicabilità del legittimo interesse per finalità antifrode.
Il Garante richiama il Considerando 47 GDPR e le Guidelines 1/2024 dell’EDPB: il trattamento di dati personali strettamente necessario alla prevenzione delle frodi può costituire un legittimo interesse del titolare. Ma questo non significa che qualunque trattamento antifrode sia automaticamente lecito sulla base dell’art. 6, par. 1, lett. f). Occorre comunque superare il test di necessità e il test di bilanciamento.
Nel caso concreto, il legittimo interesse non è corretto per due ragioni principali.
La prima è la mancanza di stretta necessità. La configurazione adottata era molto invasiva e non è risultata tecnicamente irrinunciabile.
La seconda è l’assenza di un Legitimate Interest Assessment specifico. Nel caso concreto, questo documento non era stato redatto. Il LIA generale sulle attività antifrode, risalente al 2021, non era sufficiente perché non considerava la specificità tecnica dei trattamenti oggetto del procedimento.
In sintesi per il Garante il legittimo interesse può essere una base giuridica idonea anche per trattamenti antifrode e, in alcuni casi, per attività tecniche di scoring, fingerprinting o profilazione di sicurezza. Ma solo se il trattamento è davvero necessario, minimizzato, proporzionato, prevedibile per l’utente e sorretto da un LIA specifico sulla concreta tecnologia utilizzata.
Conclusione
I due provvedimenti esaminati riguardano contesti molto diversi: da una parte, l’analisi della clientela nell’ambito di un’operazione societaria; dall’altra, trattamenti antifrode basati su strumenti tecnici di rilevazione e sicurezza. Proprio questa diversità rende il confronto particolarmente utile.
In entrambi i casi, infatti, il problema non è stato il ricorso al legittimo interesse in sé. Il Garante non afferma che il legittimo interesse sia sempre incompatibile con attività di profilazione, scoring, segmentazione o fingerprinting. Al contrario, riconosce che, almeno in astratto, questa base giuridica può essere utilizzata anche in trattamenti complessi, purché il titolare sia in grado di dimostrare la sussistenza delle condizioni richieste dal GDPR.
Il punto critico è un altro: il legittimo interesse non può essere utilizzato come base giuridica “di chiusura”, da invocare quando il trattamento è già stato progettato, quando il consenso è difficile da raccogliere o quando l’obbligo legale non copre davvero tutte le attività svolte.
Nei casi Intesa Sanpaolo e Poste, gli elementi carenti erano in larga parte gli stessi: mancava una dimostrazione effettiva della necessità del trattamento; il bilanciamento era generico, incompleto o assente; le ragionevoli aspettative degli interessati non erano state valutate in modo concreto; l’impatto reale del trattamento sugli utenti non era stato adeguatamente ponderato.
Il messaggio che emerge è quindi chiaro: il legittimo interesse può reggere solo se il trattamento è stato costruito, fin dall’inizio, secondo criteri di necessità, proporzionalità, minimizzazione, trasparenza e prevedibilità per l’interessato. Quanto più il trattamento è invasivo o vicino alla profilazione, tanto più il LIA deve essere specifico, tecnico e aderente alla concreta operazione che si intende realizzare.
La base giuridica va scelta prima, non corretta dopo
Un’ultima considerazione riguarda il momento in cui la base giuridica viene scelta.
La base giuridica non è un’etichetta modificabile a posteriori, ma una decisione che deve precedere l’inizio del trattamento ed essere comunicata correttamente nell’informativa.
Questo significa che non si può “passare” al legittimo interesse in corso d’opera solo per sanare l’assenza di un consenso valido o per rendere più agevole un trattamento già avviato. Lo ha precisato anche il Garante nel provvedimento TikTok, richiamando le Linee guida del Gruppo Articolo 29 sul consenso: il titolare deve aver individuato la base giuridica prima della raccolta dei dati e non può invocare retroattivamente il legittimo interesse per rimediare a una base giuridica originariamente inadeguata.
Il legittimo interesse, quindi, non semplifica il lavoro del titolare: lo rende più esigente.
Non chiede una manifestazione di volontà dell’interessato, ma pretende una dimostrazione seria da parte del titolare. E, nei trattamenti di profilazione, questa dimostrazione non può essere generica: deve essere specifica, preventiva e documentata.
