La profilazione è definita dal Regolamento UE 679/2016 (art.4.4. Gdpr) come qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica.
Esistono potenzialmente tre modalità d’uso della profilazione:
- Profilazione generale;
- Processo decisionale basato sulla profilazione;
- Decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produce effetti giuridici o incide in modo significativo sul diretto interessato.
Per quanto riguarda l’ultimo punto, si tratta di decisioni assunte da un algoritmo (sempre più spesso intelligenze artificiali), senza l’intervento umano. L’uso di algoritmi nel software coinvolge aspetti della vita quotidiana come l’analisi dei CV nella ricerca di candidati a posizioni lavorative, fino ad altri aspetti come i sistemi di e-commerce. Anche la Sanità e la Giustizia cominciano a usare l’IA per processi decisionali, anche se per ora in termini di decisioni consigliate a un operatore umano (medico, giudice), che prenderà la decisione finale.
Il Gdpr ha posto dei limiti alll’utilizzo di questi processi che di fatto consentono di prendere decisioni impiegando mezzi tecnologici con o senza l’intervento di un soggetto che sia in grado di influenzare e modificare l’esito del processo.
Secondo l’art 22 del Gdpr, tali processi sono leciti solo se:
- Necessari per la conclusione o l’esecuzione di un contratto tra il soggetto e un titolare del trattamento, senz’altro modo possibile per perfezionare un contratto;
- Autorizzati dal diritto dell’Unione o dello Stato membro nel senso che dev’essere stata emanata una Legge regolante l’uso;
- Muniti di esplicito consenso.
L’attenta applicazione dei principi base del regolamento europeo, come spiegano i Garanti Europei, nelle Linee Guida 03.10.2017 (WP 251 rev.1) ci consentono di ridurre i rischi inerenti il trattamento: la profilazione commerciale infatti può minare la libertà delle persone di scegliere, ad esempio, determinati prodotti o servizi o portare al diniego di servizi e beni.