Non tutti i clienti sono uguali – La prospettiva data protection

Le deduzioni del Garante assumono rilevanza per tutti quegli operatori economici che, esaminando i dati dei clienti e dei potenziali clienti, determinano se instaurare o meno un rapporto contrattuale e, più in generale, a quali condizioni intrattenerlo e proseguirlo. Le ipotesi, nella prassi, sono molteplici: dal rifiuto di iniziare il rapporto se emergono punteggi di affidabilità creditizia negativi alle promozioni riservate ad alcuni clienti che hanno un più alto potere di spesa; da particolari iniziative di marketing in favore di alcuni clienti che hanno specifiche caratteristiche rilevanti per l’operatore economico a campagne di fidelizzazione per alcune precise categorie di acquirenti.

Come chiarisce il Garante, il GDPR non impedisce, di per sé, tale differenziazione. Del resto, è fisiologico che, quantomeno dalla prospettiva dell’operatore economico, non tutti i clienti – o potenziali clienti – siano uguali.

Tuttavia, tale differenziazione integra un’attività di profilazione, definita dall’art. 4 par. 4 GDPR come “qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica”. Pertanto, il relativo trattamento dei dati personali deve rispettare i principi del GDPR e, in particolare, quanto espressamente ivi previsto per le attività di profilazione. In proposito, tra le altre norme, viene in rilievo l’art. 22 GDPR, relativo ai processi decisionali automatizzati, il quale dispone che i trattamenti automatizzati, compresa la profilazione, sono soggetti a specifiche limitazioni e garanzie.

Venendo al caso esaminato dal Garante, la questione ha avuto origine dalle segnalazioni di alcuni potenziali clienti a cui era stata negata la fornitura sulla base di un punteggio di affidabilità negativo. Più precisamente, è emerso che, a fronte delle richieste avanzate dai potenziali clienti, veniva effettuato un credit check finalizzato a valutarne l’affidabilità. Tale verifica si articolava in una verifica interna, relativa alla presenza di eventuali morosità pregresse nell’ambito dei rapporti di fornitura di energia, e, in caso di esito positivo della prima verifica, in una valutazione esterna, effettuata mediante l’acquisizione, da soggetti specializzati, di score sintetici relativi all’affidabilità creditizia del potenziale cliente. Gli indicatori così acquisiti confluivano in uno score integrato, sulla base del quale il sistema restituiva esito positivo o negativo rispetto alla richiesta di attivazione.

In questo contesto, dunque, il Garante ha evidenziato la presenza di diverse criticità nei suddetti meccanismi di analisi, condivisione e utilizzo dei dati personali per finalità di scoring, tra cui:

1. inadeguatezza dell’informativa resa agli interessati, in quanto la stessa non descriveva adeguatamente le operazioni di trattamento connesse all’attività di valutazione dell’affidabilità della clientela, in violazione dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a) GDPR, nonché degli obblighi informativi previsti agli artt. 13 e 14 GDPR;
2. incompletezza dei riscontri forniti rispetto alle richieste di esercizio dei diritti degli interessati, in violazione degli artt. 12 e 15 GDPR; nonostante il rispetto delle tempistiche di cui al GDPR, le risposte fornite si limitavano a fare genericamente riferimento alla rilevazione di un profilo di rischio degli interessati, senza indicare lo score e senza neppure fornire informazioni significative sulla logica utilizzata per la relativa elaborazione;
3. mancata individuazione dei tempi di conservazione, con specifico riferimento ai dati utilizzati ai fini dello scoring e dello score stesso, con conseguente violazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR; il Garante, sul punto, ricorda che la durata della conservazione deve essere determinata in relazione alla specifica finalità perseguita e limitata al periodo strettamente necessario al suo conseguimento;
4. utilizzo dei dati per finalità ulteriori e incompatibili, in violazione del principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b) GDPR; segnatamente, alcuni dati originariamente acquisiti per verificare l’attendibilità dei clienti erano poi utilizzati per l’affinamento del sistema di valutazione del rating della clientela;
5. inadeguatezza della valutazione dei rischi connessi all’esattezza dei dati; più precisamente, la conservazione delle informazioni acquisite presso banche dati esterne in vista di un loro possibile riutilizzo comportava il rischio che, con il trascorrere del tempo, i dati originariamente raccolti potevano subire variazioni e pertanto non essere più aggiornati, violando il principio di esattezza di cui all’art. 5, par. 1, lett. d) GDPR.

Emerge così che, ai fini della normativa in materia di protezione dei dati personali, ciò che rileva è come la valutazione alla base della profilazione (rectius, della differenziazione) venga effettuata e quali garanzie accompagnino il trattamento dei dati personali utilizzati a tal fine.

Tenuto conto di quanto precede, gli operatori che, mediante l’utilizzo di sistemi automatizzati, profilano i propri clienti e potenziali clienti, procedendo, appunto, ad una sorta di differenziazione tra gli stessi, in ossequio al GDPR, devono:

1. assicurare che le informative fornite agli interessati descrivano in maniera chiara ed effettiva l’attività di scoring, i dati e le fonti utilizzate, le finalità perseguite e, ove applicabile, l’esistenza di processi decisionali automatizzati, in quanto il processo di scoring risulta “invisibile” agli interessati, poiché, concretamente, porta alla creazione di “nuovi” dati personali, che non erano quindi stati forniti, in origine, dagli interessati;
2. definire un modello di riscontro alle istanze di accesso ai sensi dell’art. 15 GDPR che consenta all’interessato di conoscere non soltanto genericamente l’esistenza di un profilo di differenziazione, ma anche le informazioni personali effettivamente utilizzate, lo score attribuito, in uno con informazioni significative sulla logica utilizzata, compresa l’eventuale esistenza di un processo automatizzato;
3. adottare una procedura volta ad assicurare all’interessato il pieno esercizio del diritto di rettifica ai sensi dell’art. 16 GDPR, affinché eventuali dati inesatti o incompleti utilizzati nelle valutazioni possano essere corretti e la posizione dell’interessato conseguentemente rivalutata;
4. attuare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi degli interessati, assicurando, in particolare, sia il diritto dell’interessato di “ottenere l’intervento umano da parte del titolare del trattamento, [di] esprimere la propria opinione e contestare la decisione” assunta da quest’ultimo ai sensi dell’art. 22 GDPR, sia il diritto dell’interessato di rifiutarsi di essere sottoposto ad una decisione fondata esclusivamente su un trattamento automatizzato;
5. definire specifici tempi di conservazione dei dati utilizzati ai fini dello scoring, evitando di applicare automaticamente termini previsti per finalità differenti;
6. verificare che eventuali riutilizzi dei dati personali siano compatibili con le finalità per cui gli stessi sono stati originariamente raccolti.

Alla luce di quanto precede, dunque, i provvedimenti del Garante non impongono di rinunciare ai sistemi di differenziazione della clientela. Evidenziano, invece, la necessità di governare tali sistemi in conformità ai principi del GDPR, assicurando che la differenziazione tra i clienti sia il risultato di un trattamento trasparente, proporzionato e verificabile.