Calificación reputacional y derecho a una explicación
10.6092/issn.2421-2695/18612
Il presente contributo analizza l’ordinanza 28358 del 6 ottobre 2023, con cui la Corte di Cassazione si è pronunciata per la seconda volta e definitivamente sulla liceità del trattamento di dati personali posto in essere dall’Associazione Mevaluate Onlus consistente nell’elaborazione automatica di profili reputazionali. Il contributo affronta i tre profili giuridici trattati nell’ordinanza, riguardanti (i) la conoscibilità dello schema esecutivo del sistema di elaborazione dei rating reputazionali; (ii) la possibilità di un’informativa per relationem; (iii) il rapporto tra consenso dell’interessato al trattamento e clausole contrattuali. Nel contributo si analizzeranno, inoltre, due scenari ipotetici: (a) come la Corte di Cassazione avrebbe potuto decidere se, invece che il Codice, fosse stato applicabile al caso Mevaluate il Regolamento generale sulla protezione dei dati personali; (b) come la Corte di Cassazione avrebbe potuto decidere se fossero già state in vigore le norme in fase di adozione a livello Ue sull’Intelligenza artificiale.
application/pdf
2421-2695
18612
2
it
Federico Galli
https://creativecommons.org/licenses/by/3.0
Labour & Law Issues
schema esecutivo
Rating reputazionale e diritto alla spiegazione
Text.Serial.Journal
https://labourlaw.unibo.it/
9
Saggi
2023-12-18
2023-12-07
2023-12-18
2023-12-18
60-97
LLI
Federico Galli
2023/12/18
10.6092/issn.2421-2695/18612
60
Università di Bologna
2421-2695
2
schema esecutivo
it
97
Zuboff S., Il capitalismo della sorveglianza, Luiss University Press, 2019.
Rating reputazionale e diritto alla spiegazione
https://labourlaw.unibo.it/article/download/18612/17162
9
Rating reputazionale e diritto alla spiegazione




               FEDERICO GALLI
              Università di Bologna




                vol. 9, no. 2, 2023
                  ISSN: 2421-2695
Rating reputazionale e diritto alla spiegazione

                                                              FEDERICO GALLI
                                                           Università di Bologna
                 Ricercatore di Diritto dell’Informatica e Informatica Giuridica
                                                        federico.galli7@unibo.it



                                  ABSTRACT

        This paper analyses Ordinance no. 28358 of 6 October 2023, whereby
the Italian Court of Cassation ruled for the second time and definitively on the
lawfulness of the processing of personal data carried out by the Associazione
Mevaluate Onlus consisting in the automated processing of reputational
profiles. The paper deals with the three legal questions addressed in the ruling,
concerning (i) the information on the “executive scheme” of the reputational
scoring system; (ii) the possibility of “per relationem” information to the data
subject; (iii) the relationship between data subject’s consent to data processing
and contractual clauses. The contribution will also analyze two hypothetical
scenarios: (a) how the Court of Cassation could have decided if, instead of the
Italian Privacy Code, the General Data Protection Regulation had been
applicable to the Mevaluate case; (b) how the Court of Cassation could have
decided if the rules currently being adopted at EU level on Artificial Intelligence
had already been in force.


Keywords: reputation scoring; right to an explanation; Mevaluate; “executive
scheme”; GDPR; AI Act.


                                https://doi.org/10.6092/issn.2421-2695/18612
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


                Rating reputazionale e diritto alla spiegazione

SOMMARIO: 1. Il caso Mevaluate – 2. Il problema della spiegazione delle valutazioni automatizzate – 3.
     Lo schema esecutivo. – 4. L’informativa per relazione. – 5. Il rapporto tra consenso e contratto.
     – 6. Il caso Mevaluate, oggi: le valutazioni automatizzate nel GDPR – 7. Il caso Mevaluate,
     domani: le valutazioni automatizzate nella proposta di regolamento sull’Intelligenza artificiale.


    1. Il caso Mevaluate

        Con ordinanza n. 28358 del 6 ottobre 2023, la Corte di Cassazione si è
pronunciata per la seconda volta e definitivamente sulla liceità del trattamento di dati
personali posto in essere dall’Associazione Mevaluate Onlus (d’ora in poi “Mevaluate”
o “Associazione”) consistente nell’elaborazione automatica di profili reputazionali.
        L’intera vicenda trae origine da un provvedimento del Garante per la protezione
dei dati personali del 2016 (1), con il quale l’Autorità aveva ritenuto incompatibile
suddetto trattamento con le norme del Codice privacy.
        L’elaborazione automatica di profili reputazionali effettuata da Mevaluate
Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus, faceva parte allora
di una piattaforma denominata “Infrastruttura Immateriale Mevaluate per la
Qualificazione Reputazionale”. Oggi l’attività in questione è gestita dall’Associazione
Crop News tramite l’omonima piattaforma e coinvolge ancora l’Associazione Mevaluate
Onlus che elabora i rating reputazionali attraverso il suo sistema automatico (2).
        Più specificamente, la piattaforma permette all’utente sia persona fisica che
giuridica (privata e pubblica), di registrarsi, richiedere l’elaborazione di un profilo
reputazione e ricercare profili reputazionali di altri soggetti, eventualmente associati alla
piattaforma. L’utente può selezionare varie tipologie di elaborazioni di profili: un profilo
a favore di sé non documentato e non certificato; un profilo a favore di sé stesso


          (1) Piattaforma web per l’elaborazione di profili reputazionali, 24 novembre 2016, [doc. web n. 5796783].
Sul provvedimento del Garante, si veda il primo commento di A. Donini, Profilazione reputazionale e tutela
del lavoratore: la parola al Garante della Privacy, LLI, 2017, 1, 37.
          (2) La piattaforma, denominata oggi “Infrastruttura Digitale di Qualificazione Reputazionale
Documentata e Tracciabile”, è gestita dall’Associazione non profit Crop News, di cui Mevaluate Holding
Ltd è socio fondatore. Il rating viene elaborato dall’algoritmo di cui Mevaluate Holding Ltd rimane
proprietario, mentre Crop News pubblica i rating nell’omonimo periodico plurisettimanale, visitabile al
sito web https://www.cropnews.online e iscritto al Registro per la Pubblicazione di Giornali e Riviste
del Tribunale Ordinario di Roma, Sezione Stampa e Informazione, n. 172/2017 del 26 ottobre 2017.
L’infrastruttura si avvale del contributo di due categorie di persone fisiche che svolgono il ruolo di
consulenti reputazionali, i RAM (Reputation Audit Manager) e i RATER (Reputation And Trust Expertise
Representative). Per rivestire tale qualifica sono previsti una serie di requisiti di formazione e
professionalità e l’associazione obbligatoria ad APART (Associazione Professionale Auditor
Reputazione Tracciabile) di cui nuovamente Mevaluate Holding Ltd è socio fondatore. Tale associazione
opera ai sensi della legge 4/2013, vigilata dal Ministero delle Imprese e del Made in Italy.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                       62
                              F. GALLI, Rating reputazionale e diritto alla spiegazione


documentato e attestato; un profilo contro terzi documentato e attestato, o una risposta
documentata avverso un profilo contro terzi creato da altri utenti (3).
        In caso di elaborazione di un profilo documentato e certificato, sia a favore di sé
sia contro terzi, all’associato viene richiesto di fornire informazioni personali ritenute
significative sul piano reputazionale, e di caricare documenti necessari a provare la
veridicità dell’informazione (4). Tra questi, ad esempio, figurano certificati del casellario
giudiziale, certificati di regolarità fiscale, certificati di iscrizione di cause al ruolo in
materia civile, certificati di riconoscimento al valore civile, premi, referenze etc. Per
garantire l’accuratezza e la completezza, una volta inserite, le informazioni e i relativi
documenti vengono vagliati da consulenti reputazionali (cd. Reputational Audit Manager,
RAM) selezionati ad hoc da Mevaluate e coordinati da un Comitato di controllo centrale.
        A questo punto, le informazioni inserite e controllate vengono fornite in input
ad un sistema automatico per la creazione di un rating relativo alla persona fisica o
giuridica. Tale punteggio, variabile nel tempo e in funzione degli elementi acquisiti nel
sistema, è suddiviso in cinque categorie: penale (relativa a eventuali reati commessi e
accertati in via definitiva); fiscale e contributiva (relativa a eventuali pendenze fiscali e/o
con enti di previdenza e/o di assistenza accertati in via definitiva); civile (relativa a
eventuali vertenze civili regolate con sentenze di condanna definitive); reputazione
relativa attività lavorativa e impegno civile; e limitatamente alle persone fisiche, “studio
e formazione” (5).
        Il Garante aveva ritenuto il trattamento attuato da Mevaluate nei confronti degli
utenti persone fisiche censurabile sotto vari profili. Riguardo le condizioni di liceità del
trattamento, l’Autorità aveva posto l’accento sull’inidoneità del consenso fornito dagli
associati a fondare la base giuridica di un trattamento di profilazione ritenuto
particolarmente lesivo per la dignità degli individui. Per altro verso, l’Autorità segnalava

          (3) Oggi l’Associazione Crop News offre due servizi di elaborazione di rating separati a seconda
che il soggetto valutato sia un utente iscritto alla piattaforma o meno. Nel primo caso, è previsto il
caricamento dei documenti che attestano il profilo contro, l’attestazione da parte del consulente
reputazionale e l’attribuzione del rating al soggetto terzo. A quest’ultimo è poi data la possibilità di
fornire documenti aggiuntivi, anch’essi controllati dal consulente, che possono portare
all’aggiornamento del rating. Nel secondo caso, invece, l’utente effettua il caricamento dei documenti
per creare il profilo contro terzi di utente non socio, previa attestazione da parte del consulente. Il profilo
creato non permette di vedere i documenti a supporto, né attribuisce al soggetto valutato alcun rating,
ma si limita solo a fornire la notizia di un eventuale illecito e/o inadempimento.
          (4) Si veda All. n. 4 al Regolamento interno dell’Associazione non profit Crop News per l’accesso ai servizi
riservati esclusivamente ai soci, approvato con determina del Presidente il 31.10.2023 (d’ora in poi
“regolamento Crop News”), ove vengono forniti, per categoria di utente, tutte le informazioni e i
documenti da caricare sulla piattaforma.
          (5) Il rating reputazionale è rappresentato da cinque valori, sintetizzati in tre lettere e due numeri,
ciascuno inerente una delle cinque categorie (le tre lettere rispettivamente per la categoria “penale”,
“fiscale” e “civile” e i due numeri per “studi e formazione” e “lavoro e impegno civile”. Per le lettere i
punteggi partono dal valore A e si sottraggono punti fino ad arrivare al massimo a Z, mentre per le
categorie numeriche i punteggi si sommano tendendo al valore 100. Il miglior rating di un individuo
sarebbe quindi “A-A-A-100-100”, mentre il peggiore “Z-Z-Z-0-0”.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                         63
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


che il consenso non poteva dirsi libero ai sensi dell’art. 23 del Codice Privacy,
specialmente per i soggetti di cui ai cd. “profili contro”, sia di individui associati alla
piattaforma che di soggetti estranei. Per il resto, il Garante si era concentrato sul rispetto
dei principi generali rilevando l’incompatibilità del trattamento effettuato da Mevaluate
sotto il profilo della necessità e proporzionalità, qualità dei dati, sicurezza e limitazione
della conservazione.
        Il provvedimento del Garante era stato impugnato dall’Associazione Mevaluate
presso il Tribunale di Roma, che lo ha annullato ammettendone la validità solo
relativamente ai trattamenti di dati personali per l’elaborazione dei profili contro,
riguardanti soggetti terzi non associati a Mevaluate (6). Per il resto, il consenso
dell’associato al trattamento dei dati per l’elaborazione dei profili era stato considerato
presupposto necessario e sufficiente per rendere lecito il trattamento, non potendo
negarsi «all’autonomia privata la facoltà di organizzare sistemi di accreditamento di
soggetti, fornendo servizi in senso lato “valutativi”, in vista del loro ingresso nel
mercato».
        Sulla decisione del Tribunale aveva proposto ricorso per cassazione l’Avvocatura
dello Stato per conto del Garante indicando, tra i vari motivi, che il giudice di secondo
grado non avrebbe tenuto in considerazione nella valutazione della validità del consenso
la dedotta inconoscibilità dell’algoritmo utilizzato per l’assegnazione del punteggio di
rating. Ne sarebbe dovuta conseguire la dichiarazione di illeceità del trattamento in
mancanza di un consenso valido prestato dall’interessato. Viene così introdotto il tema,
da lì in avanti centrale alla vicenda Mevaluate, ovverosia le informazioni che il titolare
del trattamento deve fornire sul trattamento per consentire al soggetto interessato di un
prestare un consenso valido.
        Con ordinanza n. 14381 del 25 maggio 2021 (7), la Corte di Cassazione ha accolto
il ricorso sostenendo l’illiceità del trattamento in quanto sprovvisto di un consenso
«chiaramente individuato». Per poter fornire un consenso valido, infatti, il soggetto
interessato deve essere «previamente informato in relazione a un trattamento ben
definito nei suoi elementi essenziali». Rispetto al trattamento consistente
nell’elaborazione di profili reputazionali, dunque, Mevaluate avrebbe dovuto fornire
informazioni sugli «elementi implicati e considerati nell’algoritmo» non potendosi


           (6) Rispetto a questa categoria di profili non è mai stato in questione che il sistema non
approntasse le idonee garanzie di libertà per categorie di soggetti non iscritti all’Associazione. Si veda la
nota a sentenza di G. Giannone Codiglione, Algoritmi reputazionali e confini dell’autonomia dei privati, Dir.
inform., 2019, 2, 520.
           (7) Si veda, su tutti, la nota a sentenza di F. Bravo, Rating reputazionale e trasparenza dell’algoritmo.
Il Caso Mevaluate, Dir. inform., 2021, 6. Si segnalano anche le riflessioni effettuate sulla pronuncia della
Cassazione, nei rispettivi ambiti giuridici, da: A. Vigorito, La declinazione “algoritmica” del consenso
dell’interessato al trattamento dei dati personali. Il caso Mevaluate e il “rating” reputazionale “privato”, RCDP, 2021,
3, 441; M. Bassini, Il diritto costituzionale alla “privacy” nel prisma dell’evoluzione tecnologica, Dir. cost., 2023, 1,
83; G. Sciascia, Reputazione e potere: il “social scoring” tra distopia e realtà, Gior. dir. amm., 2021, 3, 317.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                           64
                          F. GALLI, Rating reputazionale e diritto alla spiegazione


ammettere la validità del consenso quando «non siano resi conoscibili lo schema
esecutivo in cui l’algoritmo si esprime e gli elementi all’uopo considerati». La Corte dà
così mandato al giudice di secondo grado di uniformarsi al seguente principio di diritto:
«in tema di trattamento di dati personali, il consenso è validamente prestato solo se
espresso liberamente e specificamente in riferimento a un trattamento chiaramente
individuato; ne segue che nel caso di una piattaforma web (con annesso archivio
informatico) preordinata all’elaborazione di profili reputazionali di singole persone
fisiche o giuridiche, incentrata su un sistema di calcolo con alla base un algoritmo
finalizzato a stabilire i punteggi di affidabilità, il requisito di consapevolezza non può
considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si
compone restino ignoti o non conoscibili da parte degli interessati».
        Il 22 giugno 2022 il Tribunale di Roma, in riassunzione, si è pronunciato
riscontrando che le informazioni fornite da Mevaluate non erano idonee a rendere
conoscibile agli interessati lo schema esecutivo dell’algoritmo (8). In particolare, il
Tribunale ha sostenuto che le informazioni presenti all’interno dei documenti a
disposizioni dell’interessato descrivevano «solo in termini comparatistici l’incidenza dei
singoli dati presi in considerazione», cioè «non è spiegato come viene elaborato un
risultato, ma solo come le variabili vengono valutate rispetto ad altre, ovvero se incidono
di più o di meno, in senso favorevole o in senso sfavorevole, nel calcolo del rating».
        A seguito di un nuovo ricorso per cassazione, stavolta di Mevaluate, si arriva alla
pronuncia in esame. Tra i motivi di ricorso, l’Associazione denuncia: (1) l’erronea
applicazione del principio di diritto sancito dalla Suprema Corte da parte del Tribunale,
in quanto ha esteso eccessivamente la nozione di “schema esecutivo” fino a
ricomprendere il «funzionamento matematico dell’algoritmo»; (2) l’omessa
considerazione, da parte del Tribunale, che tale schema di funzionamento matematico
sarebbe comunque stato reso conoscibile attraverso il rinvio, all’interno del regolamento
contrattuale, del contenuto informativo del brevetto europeo del sistema algoritmico in
esame; (3) l’erronea applicazione del principio di libertà dell’autonomia negoziale, con
riguardo alla valutazione secondo la quale il consenso al trattamento sarebbe viziato
dall’inserimento di talune clausole contrattuali.

   2. Il problema della spiegazione delle valutazioni automatizzate

       Il primo motivo di ricorso riguarda, come detto, la validità del consenso prestato
da un soggetto interessato al trattamento dei dati personali consistente nell’elaborazione
di profili reputazionali. Più specificamente, essa concerne le informazioni relative a
suddetto trattamento che devono essere fornite dal titolare del trattamento affinché il
soggetto interessato possa fornire un consenso valido. Occorre inserire tale questione

       (8) T. Roma 22 giugno 2022, n. 9995.

       LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                       65
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


nel contesto più ampio del problema della spiegazione delle valutazioni/decisioni
automatizzate.
        Negli ultimi anni, l’impiego di sistemi automatizzati in svariati contesti economici
e sociali per valutare e prendere decisioni sulle persone ha generato rilevanti questioni
giuridiche. Aspetti cruciali riguardano, in primis, come vengono raccolti e utilizzati i dati
personali, specialmente in contesti (sia online che offline) in cui ogni comportamento
viene registrato e utilizzato per estrarre conoscenze ulteriori sugli individui, oltre la
possibilità di un loro controllo (9).
        In secondo luogo, sono state sollevate preoccupazioni sulla possibilità che
dall’uso di sistemi automatici discendano nuove forme di discriminazione che
compromettono l’interesse degli individui e dei gruppi a un trattamento equo e corretto.
Ciò può accadere, ad esempio, quando i sistemi automatici basino le loro decisioni su
fattori di rischio (genere, etnia, orientamento politico) o su elementi di fatto che siano
legati ad un fattore di rischio (10).
        Infine, si è rilevato come l’uso incontrollato di sistemi di decisione automatizzata
possa portare ad influenzare i comportamenti degli individui attraverso micro-decisioni
mirate e personalizzate. Ciò può accadere quando tali sistemi adattano dinamicamente
le risposte e le interazioni alle risposte degli utenti in modo da condizionarne
impercettibilmente le scelte e le azioni (11).

           (9) S. Zuboff, Il capitalismo della sorveglianza, Luiss University Press, 2019, che, rifacendosi alle
teorie economiche di Karl Polanyi, individua nell’attuale conformazione dell’economia digitale un
ulteriore stadio di penetrazione del mercato nello spazio sociale. Nel capitalismo della sorveglianza –
afferma Zuboff – il dominio del mercato si estende all’esperienza umana: il comportamento degli
individui viene registrato e analizzato e i dati, le previsioni e le conseguenti capacità di influenza,
diventano una nuova merce. In questo contesto, i sistemi di valutazione e decisione automatica
divengono pilastri fondamentali per la gestione di questa economia dell’attenzione e della informazione.
Essi agiscono come strumenti di controllo sofisticati, in grado di anticipare e plasmare i desideri, le
preferenze e persino le azioni delle persone. Nel diritto del lavoro, il tema si riconnette all’uso dei dati e
della data analytics per effettuare valutazioni performance dei lavoratori e adottare decisioni inerenti al
rapporto di lavoro. Sul tema si veda, in questa rivista, E. Dagnino, “People Analytics”: lavoro e tutele al
tempo del “management” tramite “big data”, LLI, 2017, 1, 1 e A. Donini, Tecniche avanzate di analisi dei dati
e protezione dei lavoratori, DRI, 2018, 1, 35.
           (10) J. Kleinberg - J. Ludwig - S. Mullainathan - C.R. Sunstein, Discrimination in the age of algorithms,
J. Leg, 2018, 10. In dottrina italiana, si veda G. Sartor - F. Lagioia, Le decisioni algoritmiche tra etica e diritto,
in Intelligenza artificiale. Il diritto, i diritti, l’etica, a cura di U. Ruffolo, Giuffrè, 63-86 e E. Falletti,
Discriminazione algoritmica. Una prospettiva comparata, Giappichelli 2022. In tema di diritto del lavoro, in
questa rivista, M. Barbera, Discriminazioni algoritmiche e forme di discriminazione, LLI, 2021, 1, 1 e M. Peruzzi,
Il diritto antidiscriminatorio al test di intelligenza artificiale, LLI, 2021, 1, 48. Sia consentito un rinvio anche a
F. Galli - F. Godano, Il rapporto di lavoro dei riders e la natura discriminatoria delle condizioni di accesso al lavoro
dell’algoritmo Frank, Dir. internet, 2021, 2, 275.
           (11) K. Yeung, ‘Hypernudge’: Big Data as a mode of regulation by design, Inf. Commun. Soc., n. 1/2017,
118, che, riconnettendosi alle teorie del paternalismo libertario, rese popolari da CR. Sunstein e R. Thaler
con il concetto di nudge, parla dell’uso dei sistemi di analisi dati e decisione automatica come sistemi che
«modificano il contesto di scelta informativo in cui avviene il processo decisionale individuale, con
l’obiettivo di incanalare l’attenzione e il processo decisionale nelle direzioni preferite dall’ “architetto
della scelta”». Ad esempio, in tema di diritto del lavoro, il tema dell’influenzamento dei comportamenti

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                           66
                                F. GALLI, Rating reputazionale e diritto alla spiegazione


        La possibilità di trattamenti algoritmici invasivi, discriminatori e scorretti hanno
alimentato la necessità di comprendere (e, se del caso, contestare) le ragioni dietro le
determinazioni che coinvolgono ciascun individuo. Di conseguenza ciò ha ingenerato
un crescente interesse alla trasparenza e alla spiegazione dei processi automatizzati
consistenti in valutazioni e decisioni concernenti le persone (12). In altre parole, di fronte
al crescente utilizzo di trattamenti consistenti in valutazioni e decisioni automatizzate,
l’individuo ha l’esigenza di capire come e perché sia stata data una certa risposta o sia
stata presa una certa decisione, così da «comprendere il processo di decisione dell’IA e
poter chiedere conto di esso» (13).
        Ci si può accostare al tema della spiegazione delle valutazioni/decisioni
automatizzate in vari modi.
        Si può guardare alla spiegazione dal punto di vista tecnico o giuridico. Nel primo
caso, si fa riferimento al problema della c.d. “spiegabilità”, cioè al grado in cui sia
possibile determinare il percorso di elaborazione di un sistema di decisione
automatizzata. Il problema della spiegabilità si è reso particolarmente pressante rispetto
ai sistemi automatizzati che utilizzano le più recenti tecniche di Intelligenza artificiale
(d’ora in poi “IA”), come l’apprendimento automatico (machine learning) o
l’apprendimento profondo (deep learning). Questi sistemi operano utilizzando algoritmi
che imparano correlazioni da ampi set di dati, applicandole per effettuare nuove
valutazioni o prendere decisioni. È estremamente difficile determinare il processo esatto
di elaborazione dei dati e il raggiungimento delle decisioni finali in modo da fornire
spiegazioni comprensibili alle persone (14).
        Dal punto di vista giuridico, la spiegazione rileva nella misura in cui
l’ordinamento riconosca alla persona coinvolta il diritto di comprendere le ragioni di
una valutazione/decisione automatizzata. A tal proposito, si discute se e in che misura
l’attuale quadro normativo conferisca effettivamente agli individui una tale pretesa, o
almeno imponga alle loro controparti un corrispondente obbligo di spiegare una

si è posto in termini di “algorithmic management”. Sul tema, ad es., G. Gaudio, “Algorithmic management”,
poteri datoriali e oneri della prova: alla ricerca della verità materiale che si cela dietro l’algoritmo, LLI, 2020, 2, 19, e
più in generale, A. Aloisi - V. De Stefano, Il tuo capo è un algoritmo. Contro il lavoro disumano, Laterza, 2020.
           (12) In dottrina italiana, si può fare riferimento al fascicolo speciale sulla Rivista di filosofia del
diritto e ai contributi di M. Palmirani, Big data e conoscenza, Riv. fil. dir., 2020, 1, 73 e U. Pagallo, Algoritmi
e conoscibilità, Riv. fil. dir., 2020, 1, 93. Inoltre, si veda G. Fioriglio, La Società algoritmica fra opacità e
spiegabilità: profili informatico-giuridici, Ars Interpretandi, 2021, 1, 53. In dottrina europea, si veda tra molti, T.
Miller, Explanation in artificial intelligence: Insights from the social sciences, Artif. Intell, 2019, 1; S. Wachter - B.
Mittelstadt - C. Russell, Counterfactual explanations without opening the black box: Automated decisions and the
GDPR, Harv. JL & Tech., 2017, 2, 841; M. Brkan - G. Bonnet, Legal and technical feasibility of the GDPR’s
quest for explanation of algorithmic decisions: Of black boxes, white boxes and fata morganas, Eur. J. Risk Regul.,
2020, 1, 18.
           (13) L. Floridi et al., AI4People - An Ethical Framework for a Good AI Society: Opportunities, Risks,
Principles, and Recommendations, Minds Mach., 2018, 4, 689.
           (14) F. Giannotti - D. Pedreschi, “Explainable AI”. Aprire le scatole nere per una Intelligenza Artificiale
(AI) umana, Gnosis, 2019, 2, 37.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                               67
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


decisione automatizzata (15). Certo è che un eventuale diritto o obbligo di ricevere o
fornire una spiegazione dovrà fare i conti con la spiegabilità tecnica, cioè con la
possibilità tecnica che sia possibile ricostruire in modo giuridicamente significativo il
percorso di elaborazione del sistema.
        Introdotta questa distinzione, possiamo innanzitutto notare che il sistema di
elaborazione del rating utilizzato da Mevaluate non sembra sollevare problemi di
spiegabilità tecnica. Il sistema non sembra operare secondo le modalità di
funzionamento dell’apprendimento automatico (16), ma si avvale di un più semplice
algoritmo di calcolo tradizionale (cd. “procedurale”). Questo permette di determinare il
rating reputazionale applicando ai dati e le categorie di dati forniti in input dagli iscritti
una sequenza lineare di istruzioni, predefinita e formalizzata nel codice sorgente dal
programmatore, e dunque spiegabile. D’altra parte, mi sembra esagerato parlare del
sistema di Mevaluate in termini di “Intelligenza artificiale”: gli algoritmi di IA svolgono
solitamente compiti più complessi di un calcolo matematico, ad es. individuare patterns,
ragionare secondo schemi logichi, fare previsioni e pianificare, nonché, come nel machine
learning, apprendere dall’esperienza.
        Una spiegazione potrebbe poi riguardare informazioni generali sul
funzionamento del sistema automatizzato oppure informazioni rilevanti per una
specifica valutazione/decisione. Nel primo caso, si fornisce una descrizione generale del
processo decisionale automatizzato; nel secondo si forniscono informazioni specifiche
sul processo che ha portato a quella valutazione/decisione specifica. Mentre la
spiegazione specifica è solitamente successiva rispetto alla decisione/valutazione, quella
generale può essere sia antecedente che successiva. Se antecedente, essa consiste nel
fornire informazioni sul funzionamento del processo decisionale automatizzato prima
che esso abbia luogo (17).
        Nel caso di Mevaluate si discute esclusivamente di quest’ultimo aspetto, cioè
quali informazioni generali sul funzionamento dell’algoritmo debbano essere fornite, in
particolare per permettere al soggetto interessato di fornire un consenso valido al


          (15) Per una panoramica, si veda M. Ebers, Regulating Explainable AI in the European Union. An
Overview of the Current Legal Framework(s), in Nordic Yearbook of Law and Informatics, a cura di L. Colonna -
S. Greenstein, Poseidon Förlag, 2020, 103, laddove si analizzano i vari contesti regolatori del diritto
europeo che potrebbero indirettamente conferire agli individui diritti o prerogative di ottenere una
spiegazione di decisioni automatizzate. Ad esempio, oltre il diritto alla protezione dati e la disciplina
sulle decisioni automatizzate (vedi infra, nota 55), si prendono in considerazione il diritto al giusto
processo previsto dalla Carta europea dei diritti fondamentali, così come le norme, laddove armonizzate,
legate ai doveri precontrattuali (es. pratiche commerciali scorrette) e la responsabilità extra-contrattuale
(responsabilità da prodotti).
          (16) Ciò accadrebbe, ad esempio, se il sistema apprendesse automaticamente dai dati degli
associati i parametri che determinano un profilo reputazionale ottimale o sub-ottimale e li applicasse poi
per elaborare (predire) il profilo reputazionale di un nuovo associato.
          (17) S. Wachter - B. Mittelstadt - L. Floridi, Why a right to explanation of automated decision-making
does not exist in the General Data Protection Regulation, IDPL, 2017, 7, 78.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                    68
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


trattamento dei dati personali. Ciò non toglie però che si sarebbe potuto sollevare anche
il tema della spiegazione di una specifica elaborazione di rating reputazionale. Un conto
infatti è definire il funzionamento dell’algoritmo in modo astratto, in una fase
precedente all’elaborazione stessa; altra cosa è invece accompagnare il risultato
dell’elaborazione con una spiegazione dello specifico procedimento compiuto
dall’algoritmo per ottenere quel determinato rating.
        Sia nel caso di informazioni generali che specifiche, si possono, infine, ipotizzare
diversi contenuti informativi di una spiegazione di una decisione o valutazione
automatizzata (18). Tali contenuti possono riguardare i dati (o le categorie di dati) presi
in considerazione dal sistema automatizzato, oppure gli attributi (o le categorie di
attributi) ottenuti mediante processi intermedi di inferenza sui dati personali che siano
state utilizzate nella decisione. È possibile fornire informazioni sull’importanza di tali
dati e attributi nella determinazione della decisione, sia in termini relativi (quale categoria
di dati incide o abbia inciso di più nella decisione finale), sia in termini assoluti (cioè
quanto un particolare dato o categoria di dati influenza o abbia influenzato la decisione
finale). Infine, è possibile fornire una spiegazione più articolata dell’algoritmo utilizzato,
comunicando dettagli sul processo di elaborazione dell’algoritmo, cioè sulla sequenza di
istruzioni, regole logiche e iterazioni impiegate, partendo dai dati in input. Ciò
ovviamente non implica che si fornisca accesso al codice sorgente dell’algoritmo, bensì
solamente una chiara formulazione dei passaggi chiave che guidano la decisione o la
valutazione automatizzata.
        Il contenuto informativo della spiegazione del processo di elaborazione
dell’algoritmo è proprio l’aspetto centrale nel caso Mevaluate. In particolare, la questione
fondamentale è come dovesse interpretarsi il principio di diritto sancito dalla Corte di
Cassazione in base al quale il soggetto interessato dovrebbe poter conoscere lo «schema
esecutivo dell’algoritmo e gli elementi di cui si compone».

    3. Lo “schema esecutivo”

       Dalla lettura dell’ordinanza in esame e della sentenza del Tribunale impugnata
sembrano emergere due interpretazioni contrapposte del concetto di “schema
esecutivo”.
       La prima è quella del Tribunale di Roma che ritiene che le informazioni debbano
indicare, non solamente i dati presi in esame dal sistema e come incidono
proporzionalmente nel calcolo, ma anche quale sia il loro «peso specifico» e «le modalità
con cui si giunge a tale risultato, compresi i meccanismi di interazione tra i vari fattori».



       (18) F. Lagioia, G. Sartor, A. Simoncini, Articolo 22, in Codice della privacy e data protection, a cura di
R. D’Orazio - G. Finocchiaro - O. Pollicino - G. Resta, Giuffrè, 2021, 388.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                      69
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


         La seconda interpretazione è fornita dall’Associazione che propone
un’interpretazione di “schema esecutivo” vicina alla nozione informatica di algoritmo,
di cui rilevano le proprietà di atomicità, non ambiguità, finitezza, terminazione,
effettività.
         Per meglio comprendere come si contrappongono le due interpretazioni
riportiamo due passi del Codice della Reputazione Universale di Mevaluate (d’ora in poi
“CRU”), cioè il documento in cui Mevaluate spiega il processo di elaborazione del rating
(19). Il primo riguarda l’incidenza del decorso del tempo sul calcolo del rating:
         «Tra le varie possibili caratterizzazioni anche il decorso del tempo ha una sua
incidenza per cui a identico fatto viene attribuito un valore superiore se più recente e
inferiore se meno recente. Nel caso di fatti valorizzati per classi numeriche (es. da 1 a
10), per applicare il decorso del tempo si considera il fatto più recente».
         Il secondo riguarda le modalità di calcolo del rating nella categoria civile delle
persone fisiche.
         «Ognuna di queste 5 SOTTOCATEGORIE è suddivisa in 5 Classi di importo a
ciascuna delle quali è attribuito un valore. Il valore minimo (0) è attribuito allorché il
“certificato iscrizione a ruolo cause civili” nella parte relativa alle vertenze concluse con
sentenze definitive riporta la dicitura “NULLA” [...]» «A ciascuna delle 5 classi di
importo è attribuito un “peso” specifico proporzionale alla gravità dell’inadempimento
civile».
         Applicando l’interpretazione fornita dal Tribunale di Roma, in entrambi i casi, il
regolamento non fornirebbe informazioni sullo schema esecutivo. Nel primo caso
(incidenza sul decorso del tempo) il regolamento non fornisce l’unità di misura del
calcolo del fattore tempo (es. giorni, mesi o anni), né le finestre temporali rilevanti per
determinare un fatto più recente o uno più risalente nel tempo. Nel secondo caso (i.e.,
calcolo del rating civile) non viene definito cosa debba intendersi per “gravità
dell’inadempimento”, né sono forniti criteri per determinarlo. Ciò impedirebbe di
comprendere come un determinato inadempimento influisca sul risultato finale.
         Seguendo l’interpretazione fornita dall’Associazione ricorrente invece, le
informazioni suesposte sarebbero idonee a rendere conoscibile lo schema esecutivo, in
quanto «le fattispecie oggetto di valutazione reputazionale risulterebbero codificate ed
avrebbero carattere tipico e tassativo e sarebbero di facile interpretazione; ad ogni
fattispecie sarebbe attribuito uno specifico valore determinato in base a valutazioni di
carattere etico che garantiscono la coerenza dei risultati; i vari passaggi per l’elaborazione
del rating, che perviene sempre ad un unico risultato, sarebbero specificamente indicati
e guidati.


       (19) Sono riportati alcuni passaggi selezionati dalla sentenza del T. Roma, a loro volta ripresi dal
Codice della Reputazione Universale (d’ora in poi CRU), oggi reso disponibile all’All. n. 4 del
regolamento Crop News.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                70
                            F. GALLI, Rating reputazionale e diritto alla spiegazione


         Di fronte a queste due possibili interpretazioni sembra che i giudici di legittimità,
accogliendo il ricorso, sostengano l’interpretazione fornita dall’Associazione. Tuttavia,
ritengo che la Corte proponga una sua interpretazione del concetto di “schema
esecutivo”, più in linea con quella fornita dal Tribunale, che, a rigor logico, avrebbe
dovuto portarla a rigettare il ricorso e confermare la sentenza di secondo grado.
         La Corte prima inquadra correttamente la questione come un problema di
spiegazione generale del processo algoritmico tale da permette al soggetto interessato di
fornire un consenso valido (20). Dopodiché (21) propone una definizione di “schema
esecutivo”, in base al quale dovrebbero essere specificati i passi da eseguire in sequenza
per giungere al risultato. In altre parole, l’esigenza di conoscere il funzionamento
dell’algoritmo – secondo la Corte – non richiede che il soggetto debba conoscere ex ante
l’esito finale della valutazione, ma che sia posto nelle condizioni di conoscerne il
“procedimento”. La Corte richiama quindi la definizione di algoritmo fornita dalla
ricorrente, non per sostenere che tutte informazioni erano state fornite, ma
esclusivamente per concordare sul fatto che la procedura utilizzata da Mevaluate rientra
effettivamente nella nozione di algoritmo (22). Pertanto, conclude (23) affermando che
affinché il consenso sia «libero e specifico, è richiesto che l’aspirante associato sia in grado di conoscere
l’algoritmo, inteso come procedimento affidabile per ottenere un certo risultato o risolvere un certo
problema, che venga descritto all’utente in modo non ambiguo ed in maniera dettagliata, come capace
di condurre al risultato in un tempo finito» (mia enfasi).
         Sembra, quindi, che la Corte metta l’accento sulla capacità di spiegare il
procedimento algoritmico, cioè le modalità affidabili con cui da certi input si arrivi a
certi output, in modo dettagliato e non ambiguo.
         Riguardo questi ultimi due requisiti (il dettaglio e la non ambiguità) non si può
non rilevare la sensatezza dei ragionamenti del giudice di secondo grado che aveva
anticipato come talune modalità di elaborazione del rating, come ad esempio il criterio
di prossimità temporale, oppure quello di “gravità”, fossero definiti in modo impreciso
e ambiguo. Secondo il Tribunale di Roma l’Associazione elenca solo una serie di
parametri e di categorie prese in considerazione dall’algoritmo, senza chiarire il loro peso
specifico e soprattutto le modalità di computo.
         Se poi si va a leggere il documento ad oggi messo a disposizione sul sito di Crop
News contenente un esempio di spiegazione dello schema esecutivo (24), emerge un

        (20) Cass. Civ. 6 ottobre 2023, n. 28358, par. 4.1.
        (21) Id., par. 4.2.
        (22) Id., ultimi due capoversi del par. 4.2.
        (23) Id., par. 4.3.
        (24) All. n. 10, Regolamento Crop News, titolato “Esempio di spiegazione dello schema
esecutivo dell’algoritmo che determina il Rating Reputazionale”. Tale documento rappresenta una
spiegazione fornita d’intesa da Crop News e Mevaluate ad un associato in merito all’elaborazione del
suo specifico rating e contiene specificazioni di ordine generale sul funzionamento dell’algoritmo. Si fa
riferimento ad un file composto da 23 colonne di cui le prime 16 relative alle categorie dei fatti e le

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                  71
                            F. GALLI, Rating reputazionale e diritto alla spiegazione


meccanismo di calcolo sicuramente più dettagliato di quello spiegato nel CRU, e
ciononostante ambiguo in alcuni punti centrali della procedura. In particolare, per ogni
categoria di fatto vengono attribuiti:
        1.      un valore matematico di partenza;
        2.      un coefficiente matematico (il “peso”) che viene applicato al valore (25);
        3.      differenti modalità matematiche con cui il coefficiente matematico (peso)
viene applicato al valore del fatto (ad esempio, una modalità può consistere in una
moltiplicazione tra il valore del fatto e il coefficiente, in una divisione tra i due, etc.);
        4.      differenti modalità con cui il risultante fatto “pesato” viene aggregato al
punteggio totale all’interno di una categoria reputazionale (26);
        5.      differenti modalità con cui determinati fattori attinenti ad aspetti diversi
dal fatto in sé (ad es., il già richiamato fattore tempo, ma anche l’elemento della recidiva
e quello della concorrenza tra fatti) (27) incidano sul precedente punto (così, ad es. il
fattore tempo ridurrebbe il valore del contributo al calcolo, quanto più il fatto è accaduto
in un tempo passato).
        Ebbene, nella spiegazione dello schema esecutivo non è fornita alcuna
informazione su come per un dato fatto, o categoria di fatti, vengono definiti i suddetti
parametri. Cioè, dato un fatto o categoria di fatti, non viene indicato:
        1.      come sia definito il coefficiente matematico (peso). Si può supporre che
ad un più alto coefficiente matematico corrisponda una maggior incisività sul “fatto
pesato”. Per altro verso, si può assumere che, rispetto alle categorie di rating civile e



ultime tre sui “pesi” associati a tali categorie. Si riscontrano, tuttavia, alcune divergenze tra le modalità
di funzionamento presentate in questo documento e quelle inserite invece nell’All. n. 9 titolato “Schema
esecutivo dell’algoritmo di Rating Reputazionale – tradotto in italiano – depositato con la domanda di
brevetto internazionale (anno 2013) completo di rappresentazioni grafiche”, richiamato anche nel
provvedimento in commento, come modalità di spiegazione “di tipo più scientifico-matematico”. In
quest’ultimo sembrano figurare anche “pesi” per le evidenze a sostegno del fatto, calcolati sulla base del
tipo di evidenza e ai giorni lavorativi equivalenti alla pena relativa al fatto asseritamente provato.
         (25) Dal documento di cui all’All. n. 9 (vedi nota precedente) del regolamento Crop News sembra
che il coefficiente possa oscillare all’interno di un intervallo, definito da un valore minimo e un valore
massimo. Non viene spiegato però come vengono definiti gli intervalli, né come si determini il
coefficiente al suo interno.
         (26) Ad esempio, in alcuni casi, il contributo al punteggio viene dal prodotto del “fatto pesato”
(determinato dal valore 1) per il valore del fatto; in altri, il contributo al calcolo viene dal “peso”
determinato dalla somma dei valori dei fatti presenti in categoria, o ancora dal “peso” determinato dal
valore massimo tra i valori dei fatti presenti in categoria moltiplicato per tale valore massimo.
         (27) Ad esempio, il “fattore della recidiva”, che si applica quando uno stesso fatto sia stato
contestato più di una volta per lo stesso individuo, viene considerato solo se è applicabile il fattore
tempo; se attivo, la presenza di un secondo fatto della stessa categoria annulla l’applicazione del fattore
tempo. Diversamente, il “fattore della concorrenza” si applica quando categorie di fatti diversi hanno lo
stesso valore sotto questa voce (perché, si immagina, in una relazione di generalità-specificità). Tale
fattore implica che, nel periodo temporale di sovrapposizione, solo il fatto con il peso più alto venga
sommato alla categoria relativa del rating reputazionale.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                  72
                            F. GALLI, Rating reputazionale e diritto alla spiegazione


penale, ovverosia le uniche per cui il CRU fornisce un generico indice di gravità (28), il
coefficiente possa seguire l’ordine di “gravità” comunicato; per le altre categorie,
tuttavia, non è fornito un indice di gravità.
        2.      come venga selezionata l’operazione matematica che definisce il rapporto
tra il valore del fatto e il relativo coefficiente (immaginandosi che dall’applicazione di
un’operazione di moltiplicazione derivi un “peso” maggiore rispetto ad una somma, e
ancor di più, ad una divisione; ciò deve, però, coordinarsi con il valore del coefficiente,
potendosi ammettere il caso in cui da un maggiore coefficiente non derivi
necessariamente un maggiore “peso” del fatto se tale risultato si ottenga attraverso una
divisione o una sottrazione)
        3.      come venga selezionata la modalità di aggregazione del “fatto pesato” al
punteggio totale all’interno di una categoria reputazionale (ipotizzando che, ad es.,
modalità di aggregazione che considerino i “fatti pesati” piuttosto che i valori dei fatti
“non pesati” portino ad una maggiore o minore incisione del singolo fatto nella categoria
reputazionale; ma anche qui ciò dipenderà dall’operazione matematica di cui al punto
2);
        4.      come vengano definiti i fattori diversi dal fatto in sé (il tempo, la recidiva,
o la concorrenza) e come essi influiscano sull’aggregazione del “fatto pesato” alla
categoria reputazionale (ad es., come aveva già rilevato la giudice di secondo grado, non
sono chiariti gli intervalli temporali che determinerebbero un diverso contributo del
fatto alla categoria). Altresì, non è chiarito quando si applica il fattore concorrenza, cioè
quali fatti siano da considerarsi concorrenti.
        Non si tratta dunque di comunicare la matrice matematica contenente lo
specifico valore attribuito ad ogni parametro per ogni categoria di fatto, bensì di chiarire
le ragioni di fondo che guidano l’associazione tra una determinata categoria di fatti, il
peso e gli altri parametri selezionati.
        Ad esempio, in che modo viene attribuito il peso per le singole categorie di fatti?
Nella categoria penale si segue una valutazione giuridica basata sull’ammontare della
pena (minimo? massimo?) prevista dal codice italiano, oppure si fa riferimento ad indici
etici, magari di carattere transnazionale, sulla gravità di certi reati? Per quanto riguarda
le categorie di fatti rilevanti per il rating civile, come viene determinato il peso? Si guarda
all’ammontare del risarcimento del danno o no? Se sì, come vengono calcolate eventuali
condanne non risarcitorie? Inoltre, i pesi sono adattati ai contesti culturali, nazionali in

         (28) Secondo il CRU, ad esempio, nella categoria penale persone fisiche, le sottocategorie di fatti-
reati sono “in ordine di gravità decrescente”: 1. Delitti contro l’incolumità pubblica, 2. Delitti contro la
persona, 3. Delitti contro l’ordine pubblico, 4. Delitti contro la personalità dello Stato, 5. Delitti contro
l’ambiente, 6. Delitti contro la Pubblica Amministrazione, 7. Delitti contro il patrimonio, 8. Delitti
contro l’amministrazione della giustizia, 9. Delitti contro la fede pubblica, 10. Delitti contro l’economia
pubblica, 11. Delitti contro la famiglia, 12. Delitti contro il sentimento per gli animali; 12. Delitti contro
il sentimento religioso, 13. Delitti contro la moralità pubblica e il buon costume.


        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                   73
                            F. GALLI, Rating reputazionale e diritto alla spiegazione


cui le valutazioni vengono effettuate o no? Se sì, in che modo ciò avviene? Non è solo
il peso a contare ma anche gli altri parametri, cioè come viene definita la modalità di
calcolo tra il valore e il peso, e la modalità di aggregazione del fatto pesato. Ad es., perché
per determinati fatti si fa ricorso ad una somma e per altri alla moltiplicazione? Perché
per talune categorie di fatti il fatto pesato incide di più nell’aggregazione alla categoria e
per altri meno? Che relazione c’è tra il fattore tempo o il fattore concorrenza e le varie
categorie di fatti?
         La ricorrente si limita a sottolineare che le modalità di associazione tra categorie
di fatti e parametri avvengano «in base a valutazioni di carattere etico che garantiscono
la coerenza dei risultati», ma di queste valutazioni l’individuo non sembra essere reso
partecipe (29) e ciò, a mio avviso, pone problemi anche rispetto al terzo elemento
ritenuto rilevante dalla Corte per la conoscibilità dello schema esecutivo, cioè
l’affidabilità.
         L’aggettivo “affidabile” sembra suggerire che le informazioni sul funzionamento
dell’algoritmo, oltre ad essere fornite in modo dettagliato e non ambiguo, devono essere
in grado di spiegare come il procedimento automatizzato conduca a risultati coerenti. È
sensato ammettere – come afferma la Corte – che il soggetto non debba conoscere ex
ante l’esito del calcolo; ma occorre informalo di un procedimento sicuro e attendibile
che fornisce risultati che il soggetto può quantomeno prefigurarsi. Questo è un requisito
importante per garantire che l’individuo possa prendere una decisione consapevole.
         Il fatto però che Mevaluate non forniva informazioni su come i pesi e gli altri
parametri venivano associati alle categorie di fatti impediva di prefigurarsi in modo
affidabile un procedimento; al contrario avrebbe potuto ingegnere confusione e far
ipotizzare effetti distorti (30). Sarebbe potuto, ad esempio, succedere che un reato di
lesioni aggravate finisse per “pesare” all’interno del rating penale ugualmente ad un reato

         (29) In particolare, nel CRU si parla di “peso proporzionale al disvalore definito dal CRU e per
esso dal Comitato Etico Mondiale (WEC – Worldwide Ethics Committee)” e nel regolamento Crop
New viene allegato un documento (All. n. 6) titolato “WEC – Worldwide Ethics Committee Mevaluate
Holding Ltd”). In esso si legge che Mevaluate ha istituito un Comitato Etico Mondiale (WEC) con il
compito «di verificare che i valori attributi alle azioni dei soggetti non rispecchino solo la loro liceità ma
tengano in considerazione anche il contesto socio-culturale e politico in cui sono eseguite». Più
specificamente, il compito del WEC sarebbe: 1) produrre le “Note-Paese” per permettere
un’applicazione dello score sulla base dei «fattori socio-culturali e politici del dato paese»; b) definire un
insieme di principi per normalizzare i pesi attribuiti alle stesse azioni in diversi contesti. Nello stesso
documento si riporta, inoltre, il contenuto tradotto in italiano del documento che certificherebbe, dal
punto di vista etico, il sistema Mevaluate nel contesto italiano. Nel testo, però, non si ha riscontro di
come vengono definiti i pesi, bensì solamente de «l’adeguatezza dei criteri e dei ‘pesi’ per la valutazione
della reputazione di persone fisiche e giuridiche proposta da Mevaluate Italia». Nel documento si legge
che Comitato ritiene, poi, che la valutazione dell’eticità del sistema proposto da Mevaluate debba essere
valutata nuovamente entro i successivi due anni. Mevaluate non fornisce un documento aggiornato su
tale valutazione, né appare che ulteriori attività del Comitato siano mai avvenute.
         (30) Gli esempi qui riportati sono fittizi ovviamente e forniti al solo obiettivo di facilitare la
comprensione del lettore, non volendosi in alcun modo ipotizzare che tali distorsioni possano
effettivamente realizzarsi a seguito di un’elaborazione del sistema di Mevaluate.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                   74
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


più lieve (es. atti osceni in luogo pubblico). Ciò sarebbe potuto accadere se, nella
categoria penale, per ipotesi, il valore 10 fosse stato attribuito alla categoria “delitti
contro la persona”, ma il coefficiente matematico (peso) applicato a questo fatto fosse
stato relativamente basso (es. 5) e allo stesso tempo, per la categoria “delitti contro la
moralità pubblica e il buon costume” fosse stato assegnato un valore iniziale inferiore
(ad es. 5) ma con un peso significativamente più elevato (es. 10). Altresì, effetti alterati
sarebbero potuti aversi a seconda di come vengono definiti gli altri parametri (31).
        Allora, l’assenza di trasparenza sulle modalità di definizione dei parametri per le
singole categorie di fatti potrebbe portare a valutazioni reputazionali distorte, con un
impatto significativo sulla percezione della gravità delle condotte e sulla affidabilità della
di elaborazione del rating.
        Tutto sommato, mi sembra che dall’interpretazione di “schema esecutivo” della
fornita nella parte motiva, la Cassazione avrebbe dovuto disporre per il rigetto del
ricorso e la conferma della sentenza di secondo grado (32). L’Associazione avrebbe,
infatti, dovuto fornire le informazioni su come i parametri venivano associati alle
categorie dei fatti presi in considerazione nell’elaborazione del rating. Tali informazioni
risultavano determinanti per rendere conoscibile il funzionamento dello «schema
esecutivo dell’algoritmo e gli elementi di cui si compone» e dunque permettere al
principio di diritto sancito dalla prima Cassazione di trovare applicazione nel caso di
specie.




          (31) Ad esempio, ciò può accadere se la modalità matematica di aggregazione del fatto più grave
al punteggio totale della categoria privilegiasse la somma dei valori dei fatti presenti nella categoria, senza
considerare adeguatamente il peso assegnato a ciascun fatto, mentre prevedesse, nel caso del fatto più
lieve, la moltiplicazione tra il valore del fatto e il suo peso. In tal caso, il reato lieve potrebbe contribuire
in modo sproporzionato al punteggio totale, equiparando o addirittura superando il peso nella categoria
del reato più grave. Inoltre, sull’esito finale potrebbe contribuire in modo sostanziale il fattore tempo e
come esso si rapporti al peso specifico del fatto. Ad esempio, occorrerebbe comprendere in che modo
il fattore tempo si rapporta nel caso di fatti particolarmente gravi commessi molto tempo prima del
calcolo del rating rispetto a fatti di minore entità commessi poco prima. Inoltre, senza una chiara
definizione delle modalità con cui il fattore tempo interagisce con il calcolo complessivo del rating, si
potrebbe verificare una sottostima di fatti perduranti nel tempo (es. reati permanenti). Questo potrebbe
portare a valutazioni errate sulla gravità di un comportamento nel contesto temporale, contribuendo
così a possibili distorsioni nel risultato finale del rating.
          (32) A ben vedere, sulla cassazione della pronuncia del T. Roma appare aver influito una lettura
eccessivamente “matematica” del contenuto della motivazione. Ciò mi pare evidente, ad esempio,
quando la Corte puntualizza che «non è la questione matematica a venire in rilievo» e «che, poi, il
procedimento, come spiegato con i termini della lingua comune, sia altresì idoneo ad essere tradotto in
linguaggio matematico è tanto necessario e certo, quanto irrilevante» (par. 4.3). D’altronde, l’utilizzo da
parte del giudice di merito del concetto di “peso specifico”, criticato dalla Corte come un inappropriato
calco linguistico dalle scienze matematiche al diritto, era assolutamente pertinente. Come abbiamo visto,
il dato in input fornito al sistema (es., un determinato inadempimento o un particolare riconoscimento
al valore civile) viene proprio “pesato” in base ad un coefficiente matematico stabilito dall’Associazione
e così aggregato ad altre elaborazioni di fatti specifici per determinare il profilo reputazionale.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                     75
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


    4. L’informativa per relationem

         Nel secondo motivo di ricorso la ricorrente lamenta il fatto che, anche
ammettendo un’interpretazione estensiva del concetto di schema esecutivo, il giudice di
merito non ha considerato che tale schema esecutivo fosse in realtà reso conoscibile,
grazie alla pubblicazione del documento sul funzionamento dell’algoritmo sul sito
dell’Ufficio Europeo Brevetti. Tale documento, oggi, è rinvenibile tra gli allegati che
formano parte integrante del regolamento Crop News, sia nella versione in inglese che
in quella in italiano (33).
         Effettivamente, il Tribunale non aveva preso in considerazione nel suo
ragionamento il fatto che Mevaluate forniva queste informazioni. Ebbene, se anche
fosse stata presa in considerazione tale circostanza, si sarebbe dovuto valutare
attentamente la sua rilevanza giuridica. A tal fine, sarebbe stato necessario stabilire se le
informazioni sullo schema esecutivo dovessero essere comunicate direttamente dal
titolare al soggetto interessato, oppure se potesse ritenersi sufficiente la mera
conoscibilità, intesa come reperibilità delle informazioni anche presso soggetti terzi. La
Suprema Corte ha ritenuto di dover trattare la questione insieme al primo motivo di
ricorso, ma a ben vedere, nella sua motivazione, essa non viene assolutamente
affrontata.
         Sono due gli aspetti rilevanti che, a mio avviso, la Corte avrebbe dovuto trattare.
Prima di tutto, se dalla disponibilità delle informazioni sul sito dell’Ufficio Brevetti
Europeo potesse derivarsi la conoscibilità dello schema esecutivo. In secondo luogo, se
le informazioni sullo schema esecutivo dovessero essere fornite direttamente dal titolare
del trattamento sulla pagina web della piattaforma.
         Quanto al primo punto, il principio di diritto espresso dalla prima Cassazione
sembra parlare di conoscibilità, non tanto come “reperibilità”, quanto piuttosto come
capacità astratta del soggetto interessato di conoscere le informazioni sullo schema
esecutivo. Ciò si evince dalla considerazione che il requisito della consapevolezza non
possa – secondo la prima Cassazione – considerarsi soddisfatto se lo schema esecutivo
e i suoi elementi restino ignoti o non conoscibili da parte degli interessati. D’altra parte,
il criterio della conoscibilità, oltre a quello della conoscenza, segue il principio generale
del diritto alla protezione dati secondo cui al titolare del trattamento non può essere
richiesta la prova della effettiva conoscenza del soggetto interessato dei contenuti




          (33) Allegati nn. 8 e 9 del regolamento Crop News. La versione in inglese rinvia, in realtà, alla
voce di Google Patents (A system and a method for calculating parameters for the determination of the reputational
rating of natural and legal persons), il noto motore di ricerca di Google che indicizza brevetti e domande di
brevetto.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                      76
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


dell’informativa (34). Ciò che importa è che le informazioni siano rese disponibili in
modo tale che il soggetto interessato possa conoscerle.
         Relativamente al secondo punto, cioè quale soggetto deve fornire le
informazioni, il principio di diritto della prima Cassazione non aveva esplicitato chi
avesse l’onere di rendere conoscibile lo schema esecutivo. Sembra che tale mancanza sia
stata influenzata dal fatto che le varie pronunce nel caso Mevaluate hanno incentrato il
tema della trasparenza delle valutazioni automatizzate sull’elemento del consenso
piuttosto che sugli obblighi informativi a carico al titolare sul trattamento. Vale la pena
ricordare, però, che il Codice allora prevedeva obblighi informativi validi a prescindere
da una base giuridica del trattamento individuata nel consenso dell’interessato (ex art. 7
Codice privacy). Dunque, il tema non era tanto e non solo se il consenso fosse valido
perché le informazioni sullo schema esecutivo erano conoscibili, ma anche e a fortiori se
il titolare del trattamento avesse fornito le informazioni necessarie affinché il soggetto
interessato potesse comprendere i caratteri del trattamento, in particolare il
funzionamento del meccanismo di elaborazione dei profili reputazionali (35).
         Su quest’ultimo punto allora avrebbero dovuto trovare applicazione le regole
generali, ormai consolidate, che ritengono inadeguata una informativa per relationem (36).
Non è sufficiente che le informazioni siano disponibili “da qualche parte” ma è
necessario che siano fornite direttamente dal titolare del trattamento sulla pagina web o
su una sezione di essa, immediatamente accessibile e chiaramente individuabile.


          (34) Il criterio della conoscibilità potrebbe eventualmente non bastare laddove le modalità di
ostensione delle informazioni non siano concise, trasparenti, intelligibili e facilmente accessibili, a tal
punto che sia lecito presumere che un consenso non informato. Sulle modalità e la prova del consenso
informato, V. Cuffaro, Il consenso dell’interessato, in La disciplina del trattamento dei dati personali, a cura di V.
Cuffaro - V. Ricciuto, Giappichelli, 1997, 201; G. Resta - V. Zeno-Zencovich, Volontà e consenso nella
fruizione dei servizi in rete, RTDPC, 2018, 2; F. Bravo, Il consenso e le altre condizioni di liceità del trattamento di
dati personali, in Il nuovo Regolamento europeo sulla privacy e sulla protezione dei dati personali, a cura di G.
Finocchiaro, Zanichelli, 2017, 101.
          (35) Si sarebbe qui potuto ragionare partendo dall’ex art. 7, co. 2, lett. c) del Codice che prevedeva
il diritto dell’interessato di ottenere l’indicazione, tra le altre cose, della logica applicata in caso di
trattamento effettuato con l’ausilio di strumenti elettronici.
          (36) Cfr. Parere n. 13/0211 sulla definizione di consenso adottato dal WP (WP 187), 20. Cfr. anche
Linee guida sulla trasparenza ai sensi del regolamento 2016/679, 29 novembre 2017, versione emendata
adottata l’11 aprile 2018 (WP260 rev.01), 19 e Linee guida 5/2020 sul consenso ai sensi del regolamento (UE)
2016/679, Versione 1.1., adottate dall’EDPB il 4 maggio 2020, par. 3.3.2. Sull’invalidità di una
informativa per relationem ad altri documenti si era già pronunciata chiaramente la Corte di giustizia
europea nel 2004, nelle cause riunite da C-397/01 a C-403/01, ma anche la Cass., sez. I civile, 2 luglio
2018, n. 17278. Quest’ultimo caso aveva riguardato le informazioni fornite nel momento dell’adesione
tramite una casella di spunta ad un servizio di newsletter offerto da un gestore di sito internet, non già
direttamente sulla pagina web, bensì in una altra sezione del sito raggiungibile attraverso un link.
Secondo l’orientamento del WP, Linee guida sulla trasparenza, cit., 19, tale pratica sarebbe oggi ammissibile
solamente nella misura in cui l’informativa venisse fornita in “formato stratificato”, ovvero se fossero
presentate prima di tutto le informazioni più rilevanti (es. l’identità del titolare, i diritti dell’interessato)
nella medesima pagina web predisposta per la dichiarazione di volontà e poi il soggetto fosse rinviato,
anche tramite link, ad altre informazioni, più specifiche, in un’altra sezione del sito web.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                           77
                          F. GALLI, Rating reputazionale e diritto alla spiegazione


       Ciò detto, le argomentazioni fornite da Mevaluate e riportate dalla Corte nella
seconda sentenza di cassazione, toccano un punto fondamentale, ovvero le conoscenze
preesistenti del soggetto interessato necessarie per comprendere informazioni di
carattere tecnico sul funzionamento dell’algoritmo. In effetti, il problema della
trasparenza delle valutazioni/decisioni algoritmiche presenta in sé una conflitto inerente
che riguarda due esigenze apparentemente contrapposte: da una parte, fornire
informazioni più dettagliate e chiare possibili per permettere di spiegare il processo di
elaborazione dei dati personali; dall’altra, fornire informazioni che possano rendere
consapevoli i destinatari, anche quando questi non abbiano le competenze tecniche per
comprendere il funzionamento dei sistemi di trattamento. Tale contrapposizione, a mio
avviso, però non dovrebbe risolversi nel negare informazioni necessarie a comprendere
le modalità del trattamento, bensì dovrebbe portare il titolare a trovare modalità di
comunicazione chiare e facilmente comprensibili, ad esempio, attraverso esempi guidati,
simulazioni di calcolo, infografiche che permettono di capire le modalità di
funzionamento del sistema di calcolo.

   5. Il rapporto tra consenso e contratto

        Con il terzo motivo di ricorso l’Associazione ritiene che il giudice di merito abbia
errato nel ritenere condizionata la libertà degli individui di fornire il consenso al
trattamento dei dati personali attraverso clausole contrattuali asseritamente
problematiche. In particolare, si era contestato l’inserimento di: 1) una clausola che
richiedeva agli associati di inserire all’interno dei contratti con le proprie controparti
l’obbligo di queste ultime di fornire all’associato il consenso alla pubblicazione sulla
piattaforma Mevaluate di atti e documenti riguardanti la loro reputazione; 2) una clausola
penale che avrebbe dispiegato i suoi effetti in caso di revoca del consenso alla
pubblicazione di un profilo negativo dell’associato, quando fosse stato rilevato un
inadempimento dell’obbligo previsto a suo carico di fornire dati veritieri. Tale clausola
comportava l’obbligo di risarcire il danno al consulente reputazionale che avrebbe subito
a seguito dell’impegno assunto con il soggetto rilevatosi inadempiente.
        La Corte di Cassazione non tratta nemmeno questo terzo motivo di ricorso,
ritenendolo assorbito dalla decisione sui primi due motivi. Non si comprende il perché:
il thema decidendum qui riguarda un requisito diverso dal consenso informato (perché
relativo ad un trattamento “chiaramente individuato”); cioè un consenso libero (primo
inciso dell’ex art. 23, comma 3 del Codice privacy). La Corte avrebbe perciò potuto
accogliere il ricorso rispetto ai primi due motivi attinenti alla dimensione informativa e
cionondimeno affrontare il terzo motivo di ricorso. Dopotutto, quest’ultimo riguarda
un problema tutt’altro che secondario, cioè il rapporto tra il contenuto delle clausole
contrattuali e il consenso al trattamento dei dati e, più specificamente, la misura in cui i


       LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                       78
                                F. GALLI, Rating reputazionale e diritto alla spiegazione


contenuti di un regolamento contrattuale possano determinare la liceità o l’illiceità di un
trattamento di dati personali (37).
         Sotto questo profilo, l’intera vicenda Mevaluate risente, a mio avviso, di due
problemi di inquadramento giuridico, uno relativo alla nozione di trattamento e l’altro
riguardante l’istituto del consenso, entrambi rinvenibili ab origine nel provvedimento del
Garante.
         Il primo aspetto riguarda il corretto inquadramento dei trattamenti (38) posti in
essere da Mevaluate. Occorre anzitutto distinguere il trattamento consistente nell’attività
di elaborazione di profili reputazionali. Come noto, nel linguaggio della privacy, questo
trattamento rappresenta una profilazione, cioè un utilizzo di dati personali per effettuare
una valutazione sulla persona fisica. Tecnicamente, un trattamento di profilazione
consiste nel derivare/predire che gli individui che presentano una determinata
caratteristica C1 possiedono o hanno la probabilità di possedere un’altra caratteristica
C2. Mevaluate attua un trattamento di profilazione: sulla base delle informazioni
contenute all’interno di dati e documenti caricati sulla piattaforma da parte degli utenti,
il sistema algoritmico deriva una nuova caratteristica degli utenti, cioè la reputazione in
forma di rating.
         Dal trattamento consistente nell’elaborazione del profilo reputazionale va invece
distinto l’ulteriore trattamento consistente nell’uso del rating e nella sua associazione alla
scheda individuale dell’utente presente sulla piattaforma. Tecnicamente, questo avviene
attraverso l’aggiunta del rating reputazionale elaborato a seguito di profilazione al file
dell’utente presente nell’archivio informatico di Mevaluate e alla sua pubblicazione
all’interno della relativa sezione nel sito web.


           (37) Si tratta di un tema all’intersezione tra protezione dati e diritto privato dei contratti molto
esteso ed ampiamente trattato in dottrina. In particolare, sono due le questioni rilevanti. La prima, più
risalente, riguarda la natura giuridica dell’istituto del consenso dell’interessato al trattamento dei dati
personali e la sua differenza con il consenso inteso come requisito dell’accordo contrattuale tra le parti.
Su questo primo punto, si veda V. Cuffaro, Il consenso dell’interessato, cit.; G. Oppo, Sul consenso
dell’interessato, in Trattamento dei dati e tutela della persona, a cura di V. Cuffaro - V. Riucciuto - V. Zeno
Zencovich, Giuffrè, 1998, 123, e, più recentemente, G. Resta - V. Zeno-Zenchovich, Volontà e consenso
nella fruizione dei servizi in rete, cit., 411. La seconda questione, più specifica, riguarda invece la misura in
cui il trattamento dei dati possa divenire oggetto di un contratto, in particolare di una controprestazione
contrattuale, e quali sono gli effetti di tale possibilità dal punto di vista della liceità del trattamento. Su
questo secondo punto, tra la copiosa dottrina, si veda F. Bravo, Lo “scambio di dati personali” nei contratti
di fornitura di servizi digitali e il consenso dell’interessato tra autorizzazione e contratto, Contr. e impr., 2019, 1, 34;
V. Ricciuto, Il contratto ed i nuovi fenomeni patrimoniali: il caso della circolazione dei dati personali, RDC, 2020, 3,
642; G. Giannone Codiglione, I dati personali come corrispettivo della fruizione di un servizio di comunicazione
elettronica e la “consumerizzazione” della privacy, Dir. inform, 2017, 2, 418.
           38 Ovviamente si fa riferimento alla nozione di trattamento fornita allora dal Codice privacy

all’art. 4, comma 1, e cioè «qualunque operazione o complesso di operazioni, effettuati anche senza
l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la
conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto,
l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione
di dati, anche se non registrati in una banca di dati».

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                              79
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


         La distinzione tra questi due trattamenti emerge, ad esempio, se consideriamo
l’ipotesi in cui l’associato aderisca al servizio “creazione di un profilo non documentato
e non certificato”. In questo caso, il titolare si limita ad effettuare il primo trattamento,
ovvero la creazione di un profilo reputazionale “facsimile” (e la sua comunicazione al
soggetto interessato) senza però procedere al secondo trattamento, ovvero
l’archiviazione e la sua pubblicazione sulla piattaforma (39).
         Da tale (mancata) distinzione, mi sembra sia derivata un’ulteriore confusione
circa l’inquadramento dei vari meccanismi consensuali in atto al momento dell’adesione
dell’individuo al regolamento contrattuale predisposto da Mevaluate.
         In primo luogo, occorre distinguere la manifestazione di volontà della persona
fisica o giuridica ad associarsi a Mevaluate, previa adesione alle regole dello Statuto.
         Vi è poi un secondo meccanismo consensuale che riguarda più specificamente
l’adesione alle condizioni del servizio fornito dall’Associazione consistenti
nell’elaborazione di profili reputazionali di vario tipo. Qui il consenso rappresenta
l’elemento necessario affinché si perfezioni l’accordo contrattuale consistente
nell’attivazione di uno dei servizi di elaborazione del rating offerti dalla piattaforma.
Tuttavia, è importante notare che queto consenso ha rilevanza “mediata” anche sotto il
profilo privacy: l’adempimento del servizio richiesto dall’associato presuppone
necessariamente che il soggetto obbligato alla prestazione (ovvero Mevaluate) effettui il
trattamento dei dati concernenti la reputazione dell’associato. Allora, l’adempimento
dell’obbligazione contrattuale, presupposto di liceità autonomo al trattamento dei dati,
avrebbe dovuto esonerare Mevaluate da richiedere il consenso dell’interessato al
trattamento consistente nell’elaborazione del profilo reputazionale.
         Diverso, infine, è il consenso fornito dall’associato al trattamento del rating
reputazionale elaborato dall’algoritmo, cioè all’associazione della rappresentazione
alfanumerica alla scheda dell’utente e alla sua pubblicazione all’interno della piattaforma.
È rispetto a questo secondo trattamento che il consenso figura, non mediatamente, ma
immediatamente come condizione di liceità del trattamento di cui al vecchio art. 23 del
Codice. In questo caso non vi è alcuna obbligazione contrattuale da adempiere da parte
del titolare del trattamento e dunque è necessario richiedere il consenso del soggetto
interessato, il quale deve accettare che il rating, elaborato sulla base della sua specifica
richiesta, sia poi utilizzato e diffuso all’interno della piattaforma.
         Da questa ricostruzione, deriva che il Garante avrebbe potuto inquadrare il
trattamento consistente nell’elaborazione del profilo reputazionale, non già sotto l’art.
23 del Codice privacy, bensì sotto l’art. 24, lett. b), cioè il caso in cui un trattamento si
renda «necessario per eseguire obblighi derivanti da un contratto del quale è parte


         (39) La spiegazione dettagliata di come avvenga la creazione di un “profilo reputazionale a favore
di sé stesso non documentato e non attestato” è oggi inserita all’interno del regolamento Crop News a
pagina 19.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                80
                                F. GALLI, Rating reputazionale e diritto alla spiegazione


l’interessato o per adempiere, prima della conclusione del contratto, a specifiche
richieste dell’interessato». Il trattamento consistente nella raccolta di atti e documenti,
infatti, rappresenta il prerequisito necessario per l’adempimento di un’obbligazione
dell’Associazione nei confronti dell’associato, cioè quella di elaborare un rating, una
volta che questi aderisce volontariamente al relativo servizio (40).
         L’inquadramento del trattamento consistente nell’elaborazione del rating
all’interno della base giuridica dell’esonero contrattuale non avrebbe comunque
impedito al Garante di mettere in discussione aspetti del trattamento in esame. Infatti,
per utilizzare la base giuridica del contratto, il titolare dovrebbe ora, ma anche allora (41),
assicurarsi che il trattamento nei suoi elementi e nelle sue finalità sia comunicato in
modo trasparente all’interessato e oggettivamente necessario all’esecuzione di una
specifica obbligazione contrattuale. Ora, se consideriamo la finalità di Mevaluate, che il
trattamento dei dati e documenti sull’associato sia necessario alla creazione di profili
oggettivi sulla reputazione delle persone fisiche e giuridiche non è in discussione.
Occorre però considerare anche se le categorie di dati utilizzate siano proporzionate
rispetto a quanto necessario per adempiere all’obbligo contrattuale. Con ciò, senza
addentrarmi in valutazioni di merito su questo punto, mi limito a rilevare che non appare
condivisibile la conclusione della Corte relativa all’incontestabilità dei dati utilizzati
nell’elaborazione dei profili in quanto coperti dal consenso (42).
         Da questo diverso inquadramento discenderebbero, allora, alcune considerazioni
circa gli ulteriori motivi sollevati dalla ricorrente.
         L’uso della clausola che vincola gli associati a utilizzare nei contratti con le
proprie controparti l’obbligo di fornire il consenso alla pubblicazione di atti e documenti
riguardanti la loro reputazione non ha niente a che vedere con il consenso al trattamento
attuato da Mevaluate, ma riguarda eventualmente il consenso (e la sua libertà) della
controparte dell’associato. Per altro verso, non viene chiarito nel corso del giudizio se


           (40) A onor del vero va ammesso che la corretta individuazione dei meccanismi consensuali che
coinvolgono gli utenti e la piattaforma sia resa difficile dalla stessa Mevaluate che inseriva (ma, adesso,
Crop News, continua ad inserire) all’interno del regolamento contrattuale previsioni attinenti al
trattamento dei dati; ciò ingenerando una confusione sull’oggetto del consenso prestato dal soggetto
interessato. Tale pratica, comune tra molti titolari, appare oltremodo di dubbia validità sotto il profilo
della trasparenza del Codice allora, e oggi, a maggior ragione del Regolamento. Cfr. WP, Linee guida sulla
trasparenza, cit., 19.
           (41) Cfr. Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo
7 della direttiva 95/46/CE, adottato dal WP il 9 aprile 2014 (WP 217), 20; dopo l’approvazione del
Regolamento, sostituite e integrate, dalle Linee guida 2/2019 sul trattamento di dati personali ai sensi dell’articolo
6, paragrafo 1, lettera b), del regolamento generale sulla protezione dei dati nel contesto della fornitura di servizi online
agli interessati, Versione 2.0, adottate dall’EDPB l’8 ottobre 2019.
           (42) Par. 4.4, secondo capoverso, ordinanza in commento. Ciò vale anche nel caso in cui si
operasse tale valutazione rispetto alla base giuridica del consenso. A mio avviso, il principio di non
eccedenza (oggi, il principio di minimizzazione dei dati), secondo cui non possono essere trattati dati
personali oltre le finalità previste per il trattamento, avrebbe comunque permesso un sindacato nei
confronti dei dati e criteri utilizzati.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                                81
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


l’adozione di una tale clausola fosse unilateralmente imposta dall’Associazione (43). Se
così fosse stato, si sarebbe potuto eventualmente discutere della liceità di una tale
clausola sotto il profilo della sua abusività, ma ciò sarebbe dipeso da aspetti soggettivi e
oggettivi, che riguardano tra l’altro gli effetti esterni del contratto tra Mevaluate e i suoi
associati (44).
        Un discorso simile vale per la clausola che imporrebbe una penale e il
risarcimento del danno in caso di revoca del consenso alla pubblicazione di un nuovo
profilo reputazionale, a seguito di riscontrati inadempimenti delle obbligazioni
dell’associato (tra cui l’obbligo di fornire dati veritieri). Questa clausola non riguarda la
revoca del consenso-base giuridica del trattamento, ma la revoca del consenso
contrattuale all’erogazione del servizio consistente nell’elaborazione del profilo, anche
in caso di riscontrato inadempimento. Per altro, dal punto di vista della protezione dati,
un tale trattamento non richiederebbe una valutazione preventiva sulla presenza del
consenso da parte dell’associato (e dunque anche di una sua eventuale revoca). In caso
d’inadempimento, una nuova elaborazione del profilo sarebbe addirittura misura
necessaria a rispettare il principio di esattezza dei dati, da ritenersi particolarmente
rilevante nelle attività di trattamento consistenti nell’elaborazione di profili reputazionali
il più veritieri possibili.

    6. Il caso Mevaluate, oggi: le valutazioni automatizzate nel GDPR

       Come si è detto, la vicenda giudiziaria di Mevaluate ha origine in un
provvedimento risalente al 2016, quando ancora era in vigore il Codice privacy nella
versione precedente dell’approvazione del d.lgs. 101/2018 (45). Quest’ultimo, come
noto, ha parzialmente abrogato e modificato il Codice adattandolo alle norme del
Regolamento Generale sulla Protezione dei Dati Personali (d’ora in poi “Regolamento”
o “GDPR”) (46), direttamente applicabile nell’ordinamento interno.



          (43) Nell’attuale regolamento di Mevaluate non sembra farsi riferimento a una clausola di tal
genere, né formulata come clausola unilateralmente imposta, né come previsione contrattuale oggetto
di contrattazione delle parti.
          (44) Ad esempio, si sarebbe potuto ragionare in termini di pratica commerciale scorretta, sotto
il profilo dell’aggressività, in caso di clausola stipulata unilateralmente con una microimpresa, oppure
semplicemente di una clausola illecita in quanto eccessivamente limitativa dell’autonomia contrattuale
dell’associato.
          (45) D. lgs. 10 agosto 2018, n. 101 recante disposizioni per l’adeguamento della normativa
nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del
27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati
personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE.
          (46) Ovviamente si fa riferimento al Regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento
dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                              82
                                 F. GALLI, Rating reputazionale e diritto alla spiegazione


        Il Regolamento ha introdotto alcune novità che avrebbero rilevato nella vicenda
Mevaluate: la definizione di profilazione e una disciplina sulle decisioni automatizzate,
il rafforzamento dei requisiti del consenso dell’interessato, diritti di informazione più
ampi, il principio di accountability, e sanzioni più elevate. Ovviamente, il principio del
tempus regit actum ha imposto al giudice di legittimità di ignorare le disposizioni
regolamentari. In questo paragrafo, vorrei però provare a pensare che cosa sarebbe
successo se la Corte si fosse trovata ad applicare al caso in esame (47) le regole del GDPR
invece che quelle del Codice.
        Come è noto, il Regolamento dedica un articolo specifico alle decisioni
automatizzate, compresa la profilazione, ovvero l’art. 22. Questo stabilisce il diritto del
soggetto interessato a non essere soggetto ad una decisione basata unicamente sul
trattamento automatizzato, compresa la profilazione, che produca effetti giuridici
significativi o incida in modo analogo sulla persona (48). La disposizione è estremamente
rilevante per le pratiche di calcolo di rating reputazionale: queste possono certamente
produrre effetti giuridici, ad es. sullo status giuridico o sulla conclusione di un contratto.
Anche senza provocare effetti diretti sulla sfera giuridica, esse possono comunque
incidere in modo significativo sulle persone, per esempio, influenzando le opportunità
di lavoro e creditizie, determinando le opinioni altrui sul proprio, o nei casi estremi
portare all’esclusione sociale di determinati individui (49).
        L’art. 22 del Regolamento è stato ed è tutt’ora al centro di un dibattito
interpretativo che coinvolge vari aspetti molto rilevanti per il caso Mevaluate.
        Una prima questione decisiva è comprendere se esso trovi applicazione anche
nei casi di una valutazione automatizzata che non implichi anche una decisione. Nel
caso Mevaluate, infatti, non si è in presenza di una vera e propria decisione

          (47) Considero qui ovviamente Mevaluate come titolare del trattamento, in quanto soggetto che,
all’epoca del provvedimento del Garante, controllava l’intera infrastruttura informatica sotto esame.
Oggi, le valutazioni potrebbero essere parzialmente differenti sotto il profilo soggettivo, in quanto,
stando al regolamento e all’informativa privacy fornita sulla piattaforma, il titolare del trattamento è
Crop News e non Mevaluate. Non sembra essere chiarita, invece, la posizione di Mevaluate, ovvero se
possa questi qualificarsi come un contitolare del trattamento (così se, di fatto, stabilisse insieme a Crop
News le modalità e finalità del trattamento) oppure solo responsabile del trattamento (così, invece, se si
limitasse a svolgere l’elaborazione dei profili per conto di Crop News).
          (48) Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del
regolamento 2016/679, adottate da WP il 3 ottobre 2017, versione emendata e adottata in data 6 febbraio
2018 (WP 251 rev.01), 21, secondo cui l’art. 22, par. 1, in realtà stabilirebbe un divieto generale nei
confronti del processo decisionale basato unicamente sul trattamento automatizzato, che si
applicherebbe indipendentemente dall’esercizio da parte del soggetto interessato di uno specifico diritto
di opposizione.
          (49) T. Zarsky, Understanding Discrimination in the Scored Society, Wash. L. Rev, 2014, 4, 1375. Cfr.
WP, Linee guida sul processo decisionale automatizzato, 24, secondo cui un effetto che “incida in modo analogo
significativamente” sulla persona si potrebbe avere quando la decisione è in grado di incidere sulle
circostanze, sul comportamento o sulle scelte dei soggetti profilati interessato, avere un impatto
prolungato o permanente sull’interessato e sulle sue occasioni, nonché, nei casi più estremi, portare
all’esclusione o alla discriminazione.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                                  83
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


automatizzata, bensì una valutazione della reputazione. A seguito della valutazione, una
decisione potrebbe eventualmente essere adottata da un potenziale contraente o datore
di lavoro dell’individuo valutato, ma questi sarebbe soggetto diverso da Mevaluate (50).
In sostanza, si tratta di capire se dagli incisi «compresa la profilazione» e «decisione […]
basata […] sul trattamento automatizzato» possa derivarsi che la disposizione dell’art.
22 si applichi anche ai casi di sola valutazione automatizzata, eventualmente attuata da
un’entità diversa da quella che adotta la decisione (51).
         Esistono due possibili interpretazioni: secondo la prima, l’art. 22 sarebbe
applicabile solamente alle decisioni basate sul trattamento automatizzato che includono
a monte una profilazione, cioè che implicano una qualche forma di valutazione
automatica dei dati personali. Ciò implicherebbe altresì che l’entità che svolge la
valutazione sia la stessa che adotta la decisione. Secondo una diversa interpretazione,
includendo «compresa la profilazione», il legislatore europeo avrebbe voluto estendere
il diritto anche ai casi in cui il trattamento automatizzato risulti solamente in una
valutazione e non anche in una decisione; dunque, implicitamente accettando che la
decisione possa venir adottata da un soggetto differente da quello che effettua la
valutazione (52).

          (50) Cfr. R. Binns - M. Veale, Is that your final decision? Multi-stage profiling, selective effects, and Article
22 of the GDPR, IDPL, 2021, 4, 319 che parlano di “profilazione multifase” quando il processo
decisionale è segmentato in diversi trattamenti che coinvolgono diversi attori.
          (51) Sotto questo profilo, un caso di profilazione multifase molto simile a quello in commento
è attualmente pendente alla Corte di giustizia dell’UE nel rinvio pregiudiziale Shufa (scoring) (Causa C-
634/21). Il caso posto all’attenzione dei Giudici di Lussemburgo riguarda il trattamento dei dati
personali svolto dall’agenzia di credito privata tedesca Schufa, che attraverso un sistema automatico
valuta la solvibilità finanziaria dei cittadini tedeschi per ottenere prestiti bancari e affitti. A seguito di una
valutazione negativa, un cittadino si è visto negato un prestito da un istituto bancario e ha esercitato il
diritto di accesso chiedendo in particolare informazioni sul funzionamento del sistema di “credit
scoring”. A causa dell’opposizione del segreto aziendale alla richiesta di accedere a tali informazioni, il
cittadino aveva presentato un reclamo presso l’Autorità per la protezione dei dati e la libertà
d’informazione in Assia (HBDI), sostenendo che il sistema automatizzato di Schufa non fornisce
informazioni sufficienti sulla logica del processo decisionale previste dall’art. 15, par. 1, lett. h).
Sull’impugnazione del rigetto da parte dell’HBDI, il Tribunale amministrativo di Wiesbaden ha sollevato
due questioni pregiudiziali sulla conformità della legge tedesca sulla privacy con il Regolamento europeo.
Le questioni sottoposte all’attenzione della Corte sono particolarmente importanti in quanto prende in
considerazione la possibilità di configurare come decisione automatizzata, che include la profilazione,
un trattamento che includa più interventi sul dato e più titolari. Nel caso Shufa, il punteggio di credito
era stato calcolato sulla base della profilazione per valutare e prevedere la situazione economica e
l’affidabilità dell’interessato. Il punteggio di credito era stato poi trasmesso a un altro soggetto, ossia un
istituto di credito, che aveva deciso di rifiutare il credito al richiedente. Anche se il certificato rilasciato
da Shufa indicava solo un punteggio senza fornire alcuna raccomandazione, l’istituto di credito ne aveva
tenuto conto per la sua decisione. Rispetto a questo punto, il giudice del rinvio ha chiesto che alla Corte
di giustizia in che misura l’attività che consiste nel calcolare il punteggio di credito possa qualificarsi già
essa stessa come una decisione automatizzata.
          (52) Questa seconda interpretazione è stata seguita dall’Avvocato Generale dalla Corte di
giustizia Ue Priit Pikamäe nella causa Shufa (scoring), presentate lo scorso 16 marzo. In particolare,
secondo l’AG, stando alla formulazione dell’art. 22, la sola profilazione deve essere considerata una
“sottocategoria” ricompresa nel suo ambito di applicazione. Sull’applicabilità della disposizione ai casi

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                             84
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


         Se optassimo per questa seconda interpretazione, converremmo che l’art. 22
avrebbe potuto trovare applicazione anche nel caso Mevaluate. A ciò si sarebbe potuto
eventualmente opporre il fatto che la valutazione si basava “unicamente” sul trattamento
automatizzato. Infatti, come spiegato diffusamente nel regolamento Crop News oggi,
Mevaluate mette a disposizione dell’associato un “consulente reputazionale” che
garantirebbe «la serietà e imparzialità della procedura di attribuzione del Rating
Reputazionale da parte dell’algoritmo proprietario di Mevaluate» (53). Occorrerebbe più
che altro provare che l’intervento della persona umana sia significativo e permetta di
modificare la valutazione (54); cosa che non appare applicarsi al caso di Mevaluate. Il
consulente reputazionale si occupa più che altro di verificare la corrispondenza tra le
informazioni oggetto di data entry da parte dell’utente e quelle contenute nei documenti
e certificati oggetto di upload, e non di controllare ed eventualmente correggere il
processo di calcolo che sembra essere svolto interamente da Mevaluate attraverso il suo
sistema automatico.
         Se dunque l’art. 22 si fosse applicato al caso in esame, sarebbero discese due
importanti conseguenze. La prima è che il soggetto interessato avrebbe avuto il diritto
di richiedere di non essere sottoposto alla profilazione. Ciò in teoria, perché in pratica,
come abbiamo visto, la valutazione automatizzata avviene a seguito di una specifica
richiesta dell’interessato; il che avrebbe permesso a Mevaluate di assicurare la liceità del
trattamento sulla base delle eccezioni previste dal par. 2 dell’art 22, in particolare per il
fatto di dover adempiere ad un obbligo derivante dal contratto (55).
         La seconda conseguenza, ben più importante perché relativa al tema centrale nel
caso Mevaluate, sarebbe stata l’applicabilità delle garanzie previste dal Regolamento in
caso di trattamento basato unicamente su una decisione automatizzata, compresa la
profilazione. Avrebbero, in primis, trovato applicazione l’art. 13, par. 2, lett. f) e l’art. 14,
par. 2, lett. g) sulle informazioni, da fornire precedentemente al trattamento sull’esistenza
di un processo decisionale automatizzato, compresa la profilazione, e le «informazioni
significative sulla logica utilizzata nonché sull’importanza e sulle conseguenze previste
di tale trattamento per l’interessato». Si sarebbe applicato anche il corrispondente art.
15, par. 1, lett. h) che permette di ottenere le medesime informazioni in caso di esercizio
del diritto di accesso, quindi in una fase successiva al trattamento.

di profilazione multifase, è ritenuto dirimente stabilire se la valutazione automatica possa in qualche
modo predeterminare la conseguente decisione, adottata da un altro soggetto. Se la valutazione
automatica viene passivamente utilizzata dal decisore formale, senza verificarne il risultato e la
correttezza, allora la valutazione stessa diverrebbe la decisione contro cui il soggetto può esercitare il
diritto a non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato,
compresa la profilazione (par. 42).
         (53) Si rinvia alle copiose informazioni fornite dall’attuale Regolamento Crop New (p. 2) sul
ruolo dei consulenti reputazionali (cd. “Reputation Audit Manager”) nel processo di elaborazione del
rating.
         (54) Così il WP, Linee guida sul processo decisionale, 23.
         (55) Art. 22, par. 2, lett a) del Regolamento.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                               85
                            F. GALLI, Rating reputazionale e diritto alla spiegazione


        In secondo luogo, sarebbe stato necessario assicurare le garanzie previste dall’art.
22, par. 3, che includono almeno il diritto dell’interessato di richiedere l’intervento
umano da parte del titolare del trattamento, di esprimere la propria opinione, di
contestare la decisione presa e, qualora fosse state considerate le disposizioni del
considerando 71, anche di ottenere una «spiegazione della decisione conseguita dopo
tale valutazione» (56).
        La corretta applicazione di suddette garanzie avrebbe, allora, dovuto portare, da
una parte, ad escludere che Mevaluate potesse negare, per via contrattuale, la possibilità
dell’interessato di contestare l’elaborazione del rating una volta reso edotto delle
modalità di calcolo. Infatti, una cosa è la trasparenza sul processo decisionale
automatizzato, altra cosa è la possibilità di contestare una valutazione automatizzata, che
dovrebbe essere in ogni caso sempre garantita. Dall’altra parte, un’interpretazione
rigorosa dell’art. 22, par. 3, alla luce del considerando, avrebbe potuto condurre la Corte
a ragionare anche in termini di spiegazione della decisione specifica. Ovvero, si sarebbe
potuto prospettare non solo un obbligo di fornire informazioni generali sul
funzionamento dell’algoritmo di Mevaluate, ma anche quello di fornire una spiegazione
specifica dei passaggi di calcolo per il singolo rating.
        Se invece si fosse optato per la prima interpretazione dell’art. 22, par. 1, cioè sulla
sua applicabilità ai trattamenti di profilazione che comportano contestualmente anche
una decisione automatizzata, si sarebbe comunque dovuto osservare che il trattamento
di profilazione svolto da Mevaluate soggiace ai principi e alle regole generali del
Regolamento, valide per tutti i trattamenti, compresi quelli di profilazione. Riguardo alla
trasparenza dell’algoritmo, perciò, si sarebbe potuto arrivare alla medesima conclusione
nel caso in cui fosse stato applicato l’art. 22: il titolare del trattamento avrebbe comunque
dovuto comunicare le informazioni sulla logica utilizzata e le sue conseguenze. Ciò in




           (56) È stato discusso se dal considerando 71 potesse derivarsi che un tale diritto alla spiegazione
sia effettivamente conferito dal GDPR ai soggetti interessati. Secondo una parte della dottrina, il
legislatore europeo, includendo la richiesta di spiegazioni specifiche nei considerando e omettendola
negli articoli, ha inteso trasmettere un duplice messaggio: escludere un obbligo vincolante di fornire
spiegazioni individuali, raccomandando al contempo ai titolari del trattamento di fornire spiegazioni
individuali quando opportuno, secondo le loro scelte discrezionali. In base a questa interpretazione,
fornire spiegazioni personalizzate sarebbe solo una buona pratica e non un requisito giuridicamente
vincolante. Così, ad esempio, argomentano S. Wachter - B. Mittelstadt - L. Floridi, Why a right to
explanation of automated decision-making, cit. Secondo altra parte della dottrina, il legislatore europeo
intendeva invece stabilire un obbligo giuridico direttamente applicabile consistente nel fornire
spiegazioni individuali, senza tuttavia gravare eccessivamente sui titolari del trattamento. Questa
interpretazione è suggerita dall’avverbio “almeno”, che precede il riferimento al «diritto di ottenere
l’intervento umano del titolare del trattamento, di esprimere il proprio punto di vista e di contestare la
decisione». Si veda, tra tutti, G. Malgieri - G. Comandé, Why a right to legibility of automated decision-making
exists in the general data protection regulation, IDPL, 2017, 4, 243.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                    86
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


applicazione del principio generale sulla trasparenza e dei diritti di informazione e di
accesso (57).
         Sembra dunque che, se la Corte di Cassazione si fosse trovata ad applicare le
regole del Regolamento anziché quelle del Codice, sarebbe arrivata alla conclusione che
il titolare del trattamento avrebbe dovuto fornire ai soggetti interessati «informazioni
significative sulla logica utilizzata». Ciò sia nel caso in cui avesse ritenuto la pratica di
Mevaluate una profilazione rilevante ai sensi dell’art. 22, sia nel caso in cui l’avesse
trattata alla stregua di una profilazione-trattamento.
         A questo punto sarebbe divenuto dirimente comprendere il significato di
“informazioni significative sulla logica utilizzata” per capire se Mevaluate offrisse tali
informazioni nella sua informativa privacy.
         Il Regolamento nient’altro aggiunge sul significato di tale inciso, se non, nel
considerando 63 relativo al diritto di accesso, l’esigenza di bilanciare il diritto
dell’interessato ad ottenere tali informazioni e con l’interesse del titolare del trattamento
o del responsabile a mantenere segreto il funzionamento dell’algoritmo per ragioni di
tutela della proprietà intellettuale.
         Le linee guida del WP sul processo decisionale automatizzato hanno fornito un
primo riscontro su come bilanciare questi due interessi e su dove attestare il livello di
trasparenza della decisione automatizzata. Vengono distinte però le “informazioni
significative sulla logica utilizzata” necessarie all’esercizio del diritto all’informazione
(art. 13, par. 2, lett. f) e art. 14, par. 2, lett. g)) e al diritto di accesso (art. 15, par. 1, lett.
h)).
         Riguardo al diritto di informazione, il titolare dovrebbe comunicare in modo
comprensibile i «criteri sui quali si basa l’adozione della decisione» (58). Tale
informazione non deve essere «necessariamente una spiegazione complessa degli
algoritmi utilizzati o la divulgazione dell’algoritmo completo» (59). Le informazioni
fornite dovrebbero tuttavia essere «sufficientemente complete affinché l’interessato
possa comprendere i motivi alla base della decisione» (60). Quanto al diritto di accesso,
il titolare del trattamento, su richiesta dell’interessato, dovrebbe fornire le medesime
informazioni, ma – aggiunge il WP – anche le «informazioni di carattere generale (in
particolare, sui fattori presi in considerazione per il processo decisionale e sul rispettivo
‘peso’ a livello aggregato) che sono utili all’interessato anche per contestare la decisione»
(61) (mia enfasi).



        (57) Cfr. WP, Linee guida sul processo decisionale automatizzato, 10-20 e, più specificamente sulla
trasparenza, le WP, Linee guida sulla trasparenza, 22.
        (58) WP, Linee guida sul processo decisionale automatizzato, 28.
        (59) Ibid.
        (60) Ibid.
        (61) Id., 30.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                87
                              F. GALLI, Rating reputazionale e diritto alla spiegazione


        Sembra perciò che, nel caso del diritto di accesso, il soggetto interessato possa
vantare una pretesa informativa maggiore, che si estende non soltanto ai criteri/fattori,
ma anche al “rispettivo peso a livello aggregato”.
        Ora, nel linguaggio della programmazione, l’espressione “a livello aggregato” si
riferisce solitamente all’analisi o la valutazione del funzionamento generale di una
procedura algoritmica su un insieme più ampio di dati o di istanze. Allora, con
“rispettivo peso [dei fattori, ndr.] a livello aggregato”, mi sembra si possa intendere che
l’indicazione del peso debba essere specifica per ciascun fattore, ma riguardare il solo
modello generale di funzionamento dell’algoritmo. Da ciò andrebbe distinto, invece, il
peso dei fattori “a livello specifico”, cioè la spiegazione di come i singoli fattori abbiano
pesato e preso parte in una decisione specifica. Altresì, dal “peso a livello aggregato” si
deve distinguere invece il “peso relativo dei fattori”, che può essere aggregato o
specifico, e riguarda quanto un fattore incida o abbia inciso all’interno del calcolo
generale del rating comparativamente rispetto ad altri fattori.
        Che nel caso del diritto di accesso (art. 15), e non nel diritto al ricevere le
informazioni (artt. 13-14), la pretesa conoscitiva riconosciuta sia più ampia è ben
comprensibile. Nella logica del Regolamento, il diritto a ricevere le informazioni
dovrebbe consentire al soggetto di comprendere i caratteri essenziali del trattamento,
per poter eventualmente fornire un consenso informato. Il diritto di accesso ha, invece,
una funzione più specifica, cioè quella di informare il soggetto interessato sul
trattamento in corso per permettere la possibilità di contestarne la liceità, anche
attraverso l’esercizio degli ulteriori diritti forniti dal Regolamento (si pensi, alla
contestazione dell’esattezza dei dati inesatti in caso di rettifica; o alla necessità del
trattamento di dati non più rilevanti, in caso di cancellazione) (62). Allora, avere accesso
anche ai pesi dei fattori a livello aggregato, nel caso di decisioni basate sul trattamento
unicamente automatizzato, compresa la profilazione, permette al soggetto interessato di
comprendere la valutazione e di contestarne l’esito.
        D’altra parte, il fatto che le informazioni sui pesi debbano essere fornite
nell’esercizio dell’accesso e non del diritto all’informazione, permette di bilanciare la
protezione del soggetto interessato con la tutela della proprietà intellettuale del titolare
sul software. Con l’accesso, le informazioni sui pesi non sono fornite alla generalità dei
soggetti interessati (come accade negli ambienti online con le informative privacy), ma
specificamente al soggetto interessato che abbia avanzato un’istanza accesso. Nell’ottica
del WP, ciò permetterebbe di limitare i rischi di divulgazione di informazioni, che per il


          (62) G. Di Genio, Trasparenza e accesso ai dati personali, in La nuova disciplina europea della privacy, a
cura di S. Sica - V. D’Antonio - G.M. Riccio, Cedam, 2016, 170. Afferma l’Autore: «[…] senza l’accesso
ai dati e, ancor prima, in mancanza del principio di trasparenza, cadrebbe l’intera struttura normativa
reggente il diritto alla protezione dei dati personali». Cfr. con il considerando 63 del Regolamento e Linee
guida sui diritti degli interessati – Diritto di accesso, Versione 2.0, adottata dal EDPB il 28 marzo 2023, Sezione
2.1.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                       88
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


titolare del trattamento possono ragionevolmente costituire un vantaggio competitivo
della sua organizzazione (63).
         Da ciò può quindi concludersi che, se la Corte di Cassazione si fosse trovata ad
applicare le norme del Regolamento, e avesse seguito fedelmente le interpretazioni del
WP, avrebbe dovuto concludere che Mevaluate forniva informazioni sufficienti ai
soggetti interessati sul processo decisionale automatizzato, compresa la profilazione, e
dunque avrebbe dovuto accogliere il ricorso dell’Associazione. A tal fine la Corte si
sarebbe potuta limitare a verificare se Mevaluate forniva le informazioni significative sulla
logica utilizzata limitatamente ai criteri utilizzati dall’algoritmo. Ciò chiaramente accadeva,
in quanto Mevaluate comunicava le varie categorie di fatti valutati e gli ulteriori fattori
considerati (tempo, recidiva, concorrenza).
         Diversamente, la Corte avrebbe dovuto rigettare il ricorso se la vicenda di
Mevaluate si fosse concentrata, non già sulle informazioni che il titolare doveva fornire
prima del trattamento per permettere un consenso informato, bensì su quelle che il
titolare doveva fornire a seguito di una richiesta di accesso. Se al centro della vicenda
Mevaluate ci fosse stato il diritto di accesso, le norme del Regolamento, interpretate alla
luce degli orientamenti del WP, avrebbero permesso di concludere che Mevaluate
forniva informazioni sui fattori, ma non ne comunicava il “rispettivo peso a livello
aggregato”, cioè non forniva le informazioni necessarie a comprendere, in via generale,
in che modo i singoli fatti avrebbero influito singolarmente sulla decisione relativa alla
categoria di rating. A tal fine, avrebbe dovuto informare l’interessato sul peso specifico
di ogni fatto, le modalità di contributo alla categoria di rating, e l’impatto di fattori diversi
dal fatto in sé (tempo, recidiva, concorrenza).
         D’altra parte, se si ragionasse in termini di accesso, le informazioni fornite da
Mevaluate non sarebbero sufficienti a comprendere i motivi alla base della valutazione
e a contestarne l’esito (64). Infatti, dalle informazioni ricevute, il soggetto interessato non
può comprendere il perché riceve una determinata valutazione, cioè non può sapere se
il suo rating dipenda dalla particolare gravità di un fatto rispetto ad un altro, oppure
magari da come il fattore tempo incide su un particolare fatto. A tal fine dovrebbe
conoscere sulla base di quali criteri Mevaluate considerava un fatto più grave di un altro
(sia in termini di peso specifico, sia in termini di valore nel conteggio della categoria),
più risalente di un altro, etc. Solo conoscendo tali criteri l’interessato sarebbe in grado
di opporsi alla valutazione automatizzata, ad esempio, quando una categoria di fatti fosse


           (63) Cfr. WP, Linee guida processo decisionale automatizzato, 30. Si veda anche EDPB, Linee guida sui
diritti degli interessati, 40, laddove si mette in evidenza che nel bilanciamento devono essere considerati la
probabilità e gravità dei rischi.
           (64) Ci si riferisce qui all’All. n. 10 titolato “Esempio di spiegazione dello schema esecutivo
dell’algoritmo che determina il Rating Reputazionale” del regolamento Crop News, che sembra
rispondere ad una richiesta di un associato di spiegazione delle modalità di calcolo del rating (cfr. nota
24)

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                    89
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


irragionevolmente ritenuta più grave di altre, determinando così un esito
sproporzionatamente sfavorevole.

      7.     Il caso Mevaluate, domani: le valutazioni automatizzate nella
proposta di regolamento sull’Intelligenza artificiale

        In un ulteriore slancio di “fantagiuridica” vorrei, in quest’ultimo paragrafo,
indagare in che modo la Corte di Cassazione avrebbe potuto decidere il caso Mevaluate,
se fossero già state in vigore il quadro di regole, in fase di approvazione dall’Ue, inerenti
allo sviluppo e l’uso di sistemi di IA.
        Come noto, infatti, la Commissione Ue ha pubblicato nell’aprile del 2021 una
proposta di regolamento sull’IA (d’ora in poi “Proposta”) (65). La Proposta mira a
costruire un quadro normativo dell’IA compatibile con i diritti fondamentali e i valori
europei. Essa fornisce una definizione e classificazione dei sistemi di IA basata sul
rischio, stabilisce una serie di requisiti e obblighi per lo sviluppo, commercializzazione
e utilizzo dei sistemi considerati di alto rischio, e delinea una serie di strumenti di
controllo e sanzione. Al tempo in cui si scrive, la Proposta si trova in fase di
negoziazione in trilogo: il Parlamento Ue, il Consiglio e la Commissione sono chiamate
a trovare un accordo sul testo finale, che potrebbe essere approvato prima della
prossima legislatura.
        Anche la Proposta di regolamento sull’IA contiene profili giuridici molto
rilevanti per il caso Mevaluate (66). Tra le altre cose, essa si occupa delle pratiche di
“social scoring”, cioè quelle che comportano la valutazione e la classificazione
dell’affidabilità delle persone sulla base dei loro comportamenti. Esse sono ritenute
particolarmente rischiose in quanto potenzialmente incompatibili con i diritti
fondamentali dei cittadini e i valori di uguaglianza e giustizia posti a fondamento della
società europea (67). Inoltre, la Proposta ha come obiettivo quello di contribuire allo


           (65) Proposta di regolamento del Parlamento europeo e del Consiglio che stabilisce regole
armonizzate sull’intelligenza artificiale (legge sull’intelligenza artificiale) e modifica alcuni atti legislativi
dell’Unione, COM/2021/206 final.
           (66) La rilevanza della normativa in questione è riconosciuta oggi anche dalla stessa Mevaluate
che, nell’ottica di anticipare una prima prova di conformità, ha richiesto un parere legale (vedi All. n. 11,
reg. Crop News). Sottolinea la rilevanza della normativa anche F. Bravo, Rating reputazionale e trasparenza
dell’algoritmo, cit.
           (67) Così il considerando 17 della proposta: «I sistemi di IA che forniscono un punteggio sociale
delle persone fisiche per finalità generali delle autorità pubbliche o di loro rappresentanti possono
portare a risultati discriminatori e all’esclusione di determinati gruppi. Possono inoltre ledere il diritto
alla dignità e alla non discriminazione e i valori di uguaglianza e giustizia. Tali sistemi di IA valutano o
classificano l’affidabilità delle persone fisiche sulla base del loro comportamento sociale in molteplici
contesti o di caratteristiche personali o della personalità note o previste. Il punteggio sociale ottenuto
da tali sistemi di IA può determinare un trattamento pregiudizievole o sfavorevole di persone fisiche o
di interi gruppi in contesti sociali che non sono collegati ai contesti in cui i dati sono stati originariamente

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                      90
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


sviluppo dell’IA sicura e affidabile, in cui la trasparenza dei sistemi è requisito
imprescindibile per evitare impatti negativi, mantenere la fiducia dei cittadini e garantire
la responsabilità e mezzi di ricorso efficaci (68).
        Vediamo allora cosa sarebbe successo se la Corte di Cassazione si fosse trovata
ad applicare le norme sull’IA, attualmente contenute nella Proposta (69). L’obiettivo qui
non è tanto sottolineare quali sarebbero stati eventuali profili critici che la Corte avrebbe
potuto esaminare, quanto di valutare se e in che misura le nuove norme sull’IA presto
in vigore incideranno su pratiche simili a quella posta in essere da Mevaluate nel caso in
commento. Mi limiterò a sottolineare tre profili relativi a: 1) la definizione di IA; 2) il
concetto di rischio connesso ai sistemi di elaborazione di rating reputazionali; 3) il tema
della spiegazione delle valutazioni automatiche.
        Se la Corte si fosse trovata ad applicare le norme del futuro Regolamento, il
primo aspetto cruciale sarebbe stato determinare se il sistema di Mevaluate rientrasse
nella definizione di IA prevista dalla Regolamento. Difficile anticipare questa
valutazione: la definizione iniziale di proposta dalla Commissione è stata modificata dal
Parlamento, mentre il Consiglio ne ha suggerita una terza. Le definizioni proposte da
Commissione e Consiglio si concentrano più sulle tecniche utilizzate per costruire i
sistemi (includendo i sistemi basati sulla logica/conoscenza, sull’apprendimento
automatico, e sul calcolo statistico); quella del Parlamento, invece, sul livello di
autonomia con cui il sistema di IA genera i risultati (variamente intesi come contenuti,
predizioni, raccomandazioni, o decisioni) (70).



generati o raccolti, o a un trattamento pregiudizievole che risulta ingiustificato o sproporzionato rispetto
alla gravità del loro comportamento sociale. È pertanto opportuno vietare tali sistemi di IA».
          (68) Così il considerando 47: «Per ovviare all’opacità che può rendere alcuni sistemi di IA
incomprensibili o troppo complessi per le persone fisiche, è opportuno imporre un certo grado di
trasparenza per i sistemi di IA ad alto rischio. Gli utenti dovrebbero poter interpretare gli output del
sistema e utilizzarlo in modo adeguato. I sistemi di IA ad alto rischio dovrebbero pertanto essere
corredati di documentazione e istruzioni per l’uso pertinenti, nonché di informazioni concise e chiare,
anche in relazione, se del caso, ai possibili rischi in termini di diritti fondamentali e discriminazione».
          (69) Vengono considerate qui le norme della proposta di Regolamento per come formulate
all’interno della proposta della Commissione europea del 21 aprile 2021.
          (70) Si riportano le tre definizioni di IA attualmente in discussione al trilogo: «un software
sviluppato con una o più delle tecniche e degli approcci elencati nell’allegato I, che può, per una
determinata serie di obiettivi definiti dall’uomo, generare output quali contenuti, previsioni,
raccomandazioni o decisioni che influenzano gli ambienti con cui interagiscono» (Commissione
europea); «un sistema automatizzato progettato per operare con livelli di autonomia variabili e che, per
obiettivi espliciti o impliciti, può generare output quali previsioni, raccomandazioni o decisioni che
influenzano gli ambienti fisici o virtuali» (Parlamento europeo); «un sistema progettato per funzionare
con elementi di autonomia e che, sulla base di dati e input forniti da macchine e/o dall’uomo, deduce
come raggiungere una determinata serie di obiettivi avvalendosi di approcci di apprendimento
automatico e/o basati sulla logica e sulla conoscenza, e produce output generati dal sistema quali
contenuti (sistemi di IA generativi), previsioni, raccomandazioni o decisioni, che influenzano gli
ambienti con cui il sistema di IA interagisce» (Consiglio europeo).

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                 91
                             F. GALLI, Rating reputazionale e diritto alla spiegazione


         Qualsiasi sia l’approccio che verrà adottato all’esito delle negoziazioni, mi sembra
che il sistema di rating di Mevaluate sarebbe potuto rientrare nell’ambito di applicazione
del Regolamento solo se la Corte avesse esteso forzatamente la definizione di
“Intelligenza artificiale”. Come anticipato nel par. 2, il sistema di Mevaluate non sembra
utilizzare tecniche di apprendimento automatico, né algoritmi logici, né algoritmi
statistici, e non appare operare con un livello apprezzabile di autonomia rispetto alle
istruzioni fornite dal programmatore. Come detto, sembra trattarsi di un algoritmo
procedurale in cui tutti i passaggi sono definiti preventivamente. Cionondimeno non si
riducono i rischi connessi al trattamento: il sistema effettua un monitoraggio sistematico
e una profilazione che astrattamente potrebbe condurre ad effetti significativi per la
persona. Tale conclusione dovrebbe (ma, oramai, avrebbe dovuto) portare il legislatore
europeo a ponderare maggiormente la politica regolatoria selezionata e imprimere sulla
Proposta un approccio più “tecnologicamente neutrale”, cioè rivolto alle pratiche
rischiose piuttosto che alla tecnologia con cui vengono attuate.
         Se la Corte avesse ritenuto in ogni caso il regolamento applicabile a Mevaluate,
avrebbe dovuto stabilire quale trattamento giuridico le nuove norme sull’IA riservano ai
sistemi di calcolo della reputazione.
         I sistemi finalizzati ad attività di scoring sono, allo stato attuale, inseriti nella
Proposta in due fasce di rischio: 1) quella di rischio inaccettabile, per la quale sono
previsti divieti; 2) quella di rischio alto, per la quale sono previsti obblighi di gestione
del rischio, requisiti tecnici, una procedura di valutazione della conformità e di controllo
successivo all’immissione del sistema nel mercato europeo (71).
         Rispetto alla prima fascia di rischio l’art. 5 vieta la vendita e l’utilizzo di sistemi
di scoring da parte di un’autorità pubblica (o di altri soggetti per conto di essa) e quando
lo “score” comporterebbe un trattamento pregiudizievole o sfavorevole per individui o
gruppi, e se ciò avviene in contesti sociali diversi da quelli in cui i dati utilizzati dal
sistema sono stati originariamente generati o raccolti, oppure se il danno è
sproporzionato rispetto al comportamento sociale o alla sua gravità.
         Non sembra potersi applicare questo divieto nel caso di Mevaluate, né sotto il
profilo oggettivo, né sotto quello soggettivo. In particolare, per quanto riguarda il profilo
soggettivo, sembra che il divieto si applichi esclusivamente alle autorità pubbliche o ai


          (71) I sistemi ad alto rischio sono definiti nella Proposta di regolamento come sistemi che
«creano un rischio elevato per la salute e la sicurezza o i diritti fondamentali delle persone fisiche». I
sistemi “ad alto rischio” sono individuati, al Capo I del Titolo III, con riferimento a due criteri diversi:
la destinazione d’uso come componenti di sicurezza di determinate categorie di prodotti regolati da
normative di armonizzazione dell’UE (cd. New Legislative Framework) o la presenza di funzionalità o
l’appartenenza a determinati settori socioeconomici che incidono sui diritti fondamentali. Tali settori
sono elencati nell’All. III, che l’identificazione biometrica, la gestione delle infrastrutture critica, l’accesso
all’istruzione e formazione professionale; l’occupazione, la gestione dei lavoratori e l’accesso al lavoro
autonomo; l’accesso a servizi pubblici e privati e fruizione degli stessi; le attività di contrasto; gestione
della migrazione, dell’asilo e del controllo delle frontiere; e amministrazione della giustizia.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                      92
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


soggetti che agiscono per conto di queste, suggerendo che la norma miri principalmente
a porre limiti al potere pubblico e a scongiurare fenomeni come quello del credito sociale
cinese (72). Tale timore però sembra aver distolto l’attenzione dal fenomeno crescente
in Europa di istituzioni private che, in una funzione para-pubblicistica, si occupano di
raccogliere e analizzare dati personali, anche sensibili, fornendo valutazioni sulle persone
e sulle organizzazioni che, seppur effettuate all’infuori del perimetro formale dell’azione
pubblica, possono avere ripercussioni rilevanti sulle persone e le loro opportunità (73).
         Nella seconda fascia di rischio (i.e. alto rischio) i sistemi di scoring sono regolati
quando vengono utilizzati in specifici contesti. Tra questi figurano i sistemi utilizzati nei
rapporti di lavoro, in particolare, per l’accesso o l’esecuzione di una mansione lavorativa;
nell’erogazione di servizi pubblici, in particolare, l’ammissibilità a prestazioni e ai servizi
di assistenza pubblica; nell’erogazione di servizi privati (es., la valutazione l’affidabilità
creditizia per determinare il loro merito di credito); nelle attività di contrasto (come, ad
es., le valutazioni al fine di determinare un rischio di reato o recidiva). Tra le categorie
di alto rischio, non figurano invece sistemi di scoring per il calcolo della reputazione
delle persone fisiche, per così dire, “generalisti”; questo anche quando il calcolo della
reputazione possa finire per essere utilizzato a valle da soggetti terzi e determinare per
il soggetto profilato un diniego all’accesso di servizi, anche essenziali, o semplicemente
la perdita di un’occasione lavorativa.
         Sembra che nella visione del legislatore europeo, le pratiche di scoring siano
meritevoli di attenzione, solo e limitatamente a determinati “contesti di mercato”
ritenuti presuntivamente rischiosi, perché sarebbero in gioco diritti fondamentali e/o
l’accesso a servizi essenziali. Con ciò, mi pare che la proposta di Regolamento non segua
veramente un approccio basato sul rischio; cosa che sarebbe avvenuta se il legislatore
avesse adottato (o adottasse (74)) un modello di gestione del rischio più simile all’istituto
della valutazione di impatto sulla protezione dei dati contenuta nel GDPR.
         Se, ciononostante, la Corte avesse ritenuto applicabile la disciplina sui sistemi di
alto rischio anche al sistema automatico di Mevaluate, avrebbe infine dovuto valutare se
e in che modo gli obblighi previsti dal Regolamento incidano sulla possibilità dei soggetti
coinvolti in una valutazione automatizzata di riceve una spiegazione sul funzionamento
del sistema.


           (72) E. Consiglio - G. Sartor, Il sistema di credito sociale cinese: una «nuova» regolazione sociotecnica
mediante sorveglianza, valutazione e sanzione, TIGOR, 2021, 2, 139.
           (73) Si veda su tutti, le riflessioni di F. Pasquale, The black box society. The secret algorithms that control
money and information, Harvard University Press, 2015, 19. Quanto all’opportunità di estendere il divieto
di social scoring anche ai privati, segnalo che il Parlamento ha proposto, tra gli emendamenti dello scorso
14 giugno, l’espunzione del riferimento alle autorità pubbliche o ai privati per loro conto.
           (74) Vale la pena menzionare che, mentre si scrive, si discute nei tavoli del trilogo della possibilità
di inserire un obbligo di svolgere un’analisi di impatto sui diritti fondamentali sull’esempio della
valutazione d’impatto privacy. Tale obbligo sarebbe applicabile ai soli utenti/utilizzatori dei sistemi di
IA e non anche ai produttori.

         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                            93
                           F. GALLI, Rating reputazionale e diritto alla spiegazione


         Al considerando 47 della Proposta, si richiede di assicurare trasparenza nei
confronti degli utenti, in modo che essi siano in grado di «interpretare gli output del
sistema» attraverso «informazioni concise e chiare, anche in relazione, se del caso, ai
possibili rischi in termini di diritti fondamentali e discriminazione». Relativamente ai
sistemi di alto rischio, l’art. 13 traduce tale obiettivo nell’obbligo per gli sviluppatori dei
sistemi di progettare i sistemi e fornire relativa documentazione in maniera da rendere
comprensibile il funzionamento agli utenti. Nel quadro della proposta, tuttavia, gli
“utenti” non sono intese come le persone che subiscono o sono in qualche modo
coinvolte dai risultati sistema di IA, bensì come le entità (persone fisiche o giuridiche)
che utilizzano un sistema di IA sotto la propria autorità, ad esclusione degli utenti non
professionali. La trasparenza qui, perciò, riguarda non tanto la spiegazione degli effetti
di una decisione o di una valutazione di un sistema di IA, bensì le “istruzioni d’uso” per
chi è destinato ad utilizzare il sistema nella propria attività.
         Dall’altra parte, il Regolamento prevede un obbligo di trasparenza, stavolta a
beneficio delle persone interessate dalle decisioni dei sistemi di IA, ma limitatamente a
tre specifici applicazioni di IA (75): i chatbot (definiti come “sistemi destinati a interagire
con le persone fisiche”); i sistemi di riconoscimento delle emozioni e di categorizzazione
biometrica; e i sistemi che generano deep fake. La portata della trasparenza è qui
ulteriormente circoscritta dal fatto che l’obbligo non impone di fornire spiegazioni sulle
valutazioni/decisioni compiute dai sistemi. Esso richiede semplicemente a chi utilizza
tali sistemi di informare la persona con cui sta interagendo che si tratta di un sistema di
IA o che i risultati sono generati da un sistema di IA.
         Sembra pertanto che se la Corte di Cassazione si fosse trovata a valutare la pratica
di Mevaluate alla luce dei requisiti di trasparenza previsti, ad oggi, nella Proposta di
regolamento sull’IA, avrebbe dovuto, nuovamente, concludere che l’Associazione
forniva adeguate garanzia di trasparenza: l’algoritmo risultava spiegabile dal punto di
vista tecnico (76) e alla persona fisica risultava evidente che l’elaborazione avveniva a
valle di un trattamento automatizzato. Ciò dovrebbe farci riflettere sugli attesi effeti che
la nuova disciplina porterà ai cittadini in termini di maggiore comprensione del
funzionamento di sistemi automatizzati.
         Negli Orientamenti etici sull’Intelligenza artificiale affidabile del 2018 (77) si parlava
espressamente di requisiti di trasparenza e spiegabilità nei confronti del pubblico.
Trasparenza e spiegabilità erano ritenuti elementi fondamentali perché gli individui
possano fidarsi di un sistema di IA, comprendere e accettarne una decisione, o


          (75) Articolo 52, proposta di regolamento.
          (76) Eventualmente, quando il Regolamento sull’IA sarà applicabile, si potrà valutare se
Mevaluate, qualora si ritenga fornitore di un sistema di IA di alto rischio, fornisce le informazioni
previste all’art. 13 a Crop News, che potrebbe classificarsi come “utilizzatore del sistema”.
          (77) Orientamenti etici per un’IA affidabile del Gruppo indipendente di Esperti di Alto Livello
istituito dalla Commissione europea nel giugno 2018 del 8 aprile 2019, 20-21.

        LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                              94
                         F. GALLI, Rating reputazionale e diritto alla spiegazione


eventualmente contestarla. Questo approccio sembra essere stato perso nella Proposta
di regolamento che invece ha prediletto un approccio incentrato sull’interpretabilità dei
sistemi verso i produttori e fornitori.




      LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                       95
                               F. GALLI, Rating reputazionale e diritto alla spiegazione


Bibliografia
Aloisi A. - De Stefano V., Il tuo capo è un algoritmo. Contro il lavoro disumano, Laterza, 2020.
Barbera M., Discriminazioni algoritmiche e forme di discriminazione, in LLI, 2021, 1, 1.
Bassini M., Il diritto costituzionale alla “privacy” nel prisma dell’evoluzione tecnologica, in Dir. cost., 2023, 1, 83.
Binns R. - Veale M., Is that your final decision? Multi-stage profiling, selective effects, and Article 22 of the GDPR,
         in IDPL, 2021, 4, 319
Bravo F., Il consenso e le altre condizioni di liceità del trattamento di dati personali, in Il nuovo Regolamento europeo
         sulla privacy e sulla protezione dei dati personali, a cura di G. Finocchiaro, Zanichelli, 2017, 101.
Bravo F., Lo “scambio di dati personali” nei contratti di fornitura di servizi digitali e il consenso dell’interessato tra
         autorizzazione e contratto, in Contr. e impr., 2019, 1, 34.
Bravo F., Rating reputazionale e trasparenza dell’algoritmo. Il Caso Mevaluate, in Dir. inform., 2021, 6.
Brkan M - Bonnet G., Legal and technical feasibility of the GDPR’s quest for explanation of algorithmic decisions:
         Of black boxes, white boxes and fata morganas, in Eur. J. Risk Regul., 2020, 1, 18.
Consiglio E. - Sartor G., Il sistema di credito sociale cinese: una «nuova» regolazione sociotecnica mediante sorveglianza,
         valutazione e sanzione, in TIGOR, 2021, 2, 139.
Cuffaro V., Il consenso dell’interessato, in La disciplina del trattamento dei dati personali, a cura di V. Cuffaro - V.
         Ricciuto, Giappichelli, 1997, 201.
Dagnino E., “People Analytics”: lavoro e tutele al tempo del “management” tramite “big data”, in LLI, 2017,
         1, 1.
Di Genio G., Trasparenza e accesso ai dati personali, in La nuova disciplina europea della privacy, a cura di S. Sica
         - V. D’Antonio - G.M. Riccio, Cedam, 2016, 170.
Donini A., Profilazione reputazionale e tutela del lavoratore: la parola al Garante della Privacy, in LLI, 2017, 1, 37.
Donini A., Tecniche avanzate di analisi dei dati e protezione dei lavoratori, in DRI, 2018, 1, 35.
Ebers M., Regulating Explainable AI in the European Union. An Overview of the Current Legal Framework(s), in
         Nordic Yearbook of Law and Informatics, a cura di L. Colonna - S. Greenstein, Poseidon Förlag,
         2020, 103.
Falletti E., Discriminazione algoritmica. Una prospettiva comparata, Giappichelli, 2022.
Fioriglio G., La Società algoritmica fra opacità e spiegabilità: profili informatico-giuridici, in Ars Interpretandi, 2021,
         1, 53.
Floridi L. et al., AI4People - An Ethical Framework for a Good AI Society: Opportunities, Risks, Principles, and
         Recommendations, in Minds mac., 28, 2018, 689.
Galli F. - Godano F., Il rapporto di lavoro dei riders e la natura discriminatoria delle condizioni di accesso al lavoro
         dell’algoritmo Frank, in Dir. internet, 2021, 2, 275.
Gaudio G., “Algorithmic management”, poteri datoriali e oneri della prova: alla ricerca della verità materiale che
         si cela dietro l’algoritmo, in LLI, 2020, 2, 19.
Giannone Codiglione G., Algoritmi reputazionali e confini dell’autonomia dei privati, in Dir. inform, 2019, 2, 520.
Giannone Codiglione G., I dati personali come corrispettivo della fruizione di un servizio di comunicazione elettronica
         e la “consumerizzazione” della privacy, in Dir. inform, 2017, 2, 418.
Giannotti F. - Pedreschi D., “Explainable AI”. Aprire le scatole nere per una Intelligenza Artificiale (AI) umana,
         in Gnosis, 2019, 2, 37.
Kleinberg J. - Ludwig J. - Mullainathan S. - Sunstein C.R., Discrimination in the age of algorithms, in J. Leg.,
         2018, 10.
Lagioia F. - Sartor G. - Simoncini A., Articolo 22, in Codice della privacy e data protection, a cura di R. D’Orazio
         - G. Finocchiaro - O. Pollicino - G. Resta, Giuffrè, 2021, 388.
Malgieri G. - Comandé G., Why a right to legibility of automated decision-making exists in the general data protection
         regulation, in IDPL, 2017, 4, 243.


         LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                             96
                                 F. GALLI, Rating reputazionale e diritto alla spiegazione


Miller T., Explanation in artificial intelligence: Insights from the social sciences, in Artif. Intell, 2019, 1.
Oppo G., Sul consenso dell’interessato, in Trattamento dei dati e tutela della persona, a cura di V. Cuffaro - V.
         Riucciuto - V. Zeno Zencovich, Giuffrè, 1998, 123.
Pagallo U., Algoritmi e conoscibilità, in Riv. fil. dir., IX, 2020, 1, 93.
Palmirani M, Big data e conoscenza, in Riv. fil. dir., IX, 2020, 1, 73.
Pasquale F., The black box society. The secret algorithms that control money and information, Harvard University
         Press, 2015.
Peruzzi M., Il diritto antidiscriminatorio al test di intelligenza artificiale, in LLI, 2021, 1, 48.
Resta G. - Zeno-Zencovich V., Volontà e consenso nella fruizione dei servizi in rete, in RTDPC, 2018, 2.
Ricciuto V., Il contratto ed i nuovi fenomeni patrimoniali: il caso della circolazione dei dati personali, in RDC, 2020,
         3, 642.
Sartor G. - Lagioia F., Le decisioni algoritmiche tra etica e diritto, in Intelligenza artificiale. Il diritto, i diritti, l’etica,
         a cura di U. Ruffolo, Giuffrè, 63-86.
Sciascia G., Reputazione e potere: il “social scoring” tra distopia e realtà, in Gior. dir. amm., 2021, 3, 317.
Vigorito A., La declinazione “algoritmica” del consenso dell’interessato al trattamento dei dati personali. Il caso
         Mevaluate e il “rating” reputazionale “privato”, in RCDP, 2021, 3, 441.
Wachter S. - Mittelstadt B. - Floridi L, Why a right to explanation of automated decision-making does not exist in
         the General Data Protection Regulation, in Int. Data Privacy Law, 2017, 7, 78.
Wachter S. - Mittelstadt B. - Russell C., Counterfactual explanations without opening the black box: Automated
         decisions and the GDPR, in Harv. JL & Tech., 2017, 841.
Yeung K., ‘Hypernudge’: Big Data as a mode of regulation by design, in Inf. Commun. Soc., 2017, 1, 118.
Zarsky T., Understanding Discrimination in the Scored Society, in Wash. L. Rev, 2014, 4, 137.
Zuboff S., Il capitalismo della sorveglianza, Luiss University Press, 2019.




          LLI, Vol. 9, No. 2, 2023, ISSN 2421-2695                                                                   97
