La Suprema Corte di Cassazione è tornata a occuparsi di prestazione del consenso ai fini della liceità di un trattamento dati personali. Con l’ordinanza n.1418/2021, la Prima Sezione Civile ha sostanzialmente accolto il ricorso del Garante Privacy nei confronti di Associazione Mevaluate Onlus (attiva nel campo del cd. rating reputazionale), la quale nel novembre 2016 era stata raggiunta da un provvedimento dell’Authority che ne vietava qualunque operazione di trattamento di dati personali (presente e futura) in connessione ai servizi offerti tramite la piattaforma web “Infrastruttura Immateriale Mevaluate per la Qualificazione Professionale”, per contrasto con gli artt. 2, 3, 11, 23, 24 e 26 del D.Lgs 196/2003 (Codice Privacy). Adito il Tribunale di Roma, che accoglieva parzialmente il ricorso dell’Associazione, ritenendo legittimo il trattamento dei dati personali degli aderenti al sistema Mevalaute, perché validato dal consenso, rilevando che “la realtà attuale, nazionale e sovranazionale, conosce diffusamente fenomeni di valutazione e di certificazione da parte di privati, riconosciuti anche a fini di attestazione di qualità e/o di conformità a norme tecniche”, cosicché la mancanza di una disciplina normativa istitutiva del “rating reputazionale” proposto dall’associazione “non poteva intercettare un difetto di liceità del sistema”. L’Avvocatura dello Stato, per conto del Garante, ricorreva in Cassazione lamentando, tra i vari motivi, «l’omesso esame del fatto decisivo rappresentato dalla dedotta inconoscibilità dell’algoritmo utilizzato per l’assegnazione del punteggio di rating con conseguente mancanza del necessario requisito di trasparenza del sistema automatizzato funzionale a rendere consapevole il consenso prestato dell’interessato». Ricordando come ai fini della validità il consenso debba essere espresso, libero, specifico, informato e chiaramente individuato, nell’Ordinanza in commento la Corte evidenzia con estrema chiarezza come non possa «logicamente affermarsi che l’adesione a una piattaforma da parte dei consociati comprenda anche l’accettazione di un sistema automatizzato, che si avvale di un algoritmo, per la valutazione oggettiva di dati personali, laddove non siano resi conoscibili lo schema esecutivo in cui l’algoritmo si esprime e gli elementi all’uopo considerati». Pertanto, il Tribunale di Roma dovrà procedere a un nuovo giudizio, uniformandosi al seguente principio di diritto:
«In tema di trattamento di dati personali, il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato; ne segue che nel caso di una piattaforma web (con annesso archivio informatico) preordinata all’elaborazione di profili reputazionali di singole persone fisiche o giuridiche, incentrata su un sistema di calcolo con alla base un algoritmo finalizzato a stabilire i punteggi di affidabilità, il requisito di consapevolezza non può considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si compone restino ignoti o non conoscibili da parte degli interessati».

Piattaforma web per l’elaborazione di profili reputazionali – Provv. n. 488 del 24 novembre 2016
Corte di Cassazione, Prima Sezione Civile, Ordinanza n. 14381/202

A cura di Pietro Montella e Giovanna Naddeo.