GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 1 - Raccomandazioni sulle buone prassi

Le seguenti raccomandazioni sulle buone prassi aiuteranno il titolare del trattamento a soddisfare i requisiti stabiliti dalle disposizioni del regolamento generale sulla protezione dei dati in materia di profilazione e processo decisionale automatizzato52.

Articolo

22 e considerando 71

Questione

Garanzie adeguate

Raccomandazione

L’elenco che segue, sebbene non esaustivo, fornisce alcuni suggerimenti di buone prassi che il titolare del trattamento dovrebbe tenere in considerazione quando prende decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione (definite all’articolo 22, paragrafo 1):

• controlli regolari di garanzia della qualità dei sistemi per assicurare che le persone siano trattate in maniera equa e non siano discriminate sulla base di categorie particolari di dati personali o in altro modo;
• verifica degli algoritmi – testare gli algoritmi utilizzati e sviluppati dai sistemi di apprendimento automatico per dimostrare che stanno effettivamente funzionando come previsto e non producono risultati discriminatori, errati o ingiustificati;
• per l’audit indipendente di “terzi” (laddove il processo decisionale basato sulla profilazione abbia un impatto elevato sulle persone fisiche), fornitura all’ispettore di tutte le informazioni necessarie su come funziona l’algoritmo o il sistema di apprendimento automatico;
• per gli algoritmi di terzi, ottenimento di garanzie contrattuali che sono stati effettuati audit e test e che l’algoritmo è conforme alle norme concordate;
• misure specifiche per la minimizzazione dei dati al fine di prevedere periodi di conservazione chiari per i profili e per tutti i dati personali utilizzati durante la creazione o l’applicazione dei profili;
• utilizzo di tecniche di anonimizzazione o pseudonimizzazione nel contesto della profilazione; •modi per consentire all’interessato di esprimere il proprio punto di vista e contestare la decisione;
• un meccanismo per l’intervento umano in determinati casi, ad esempio fornendo un collegamento a una procedura di ricorso nel momento in cui la decisione automatizzata viene trasmessa all’interessato, con termini concordati per il riesame e la designazione di un punto di contatto per qualsiasi domanda.

Il titolare del trattamento può altresì valutare opzioni quali:

• meccanismi di certificazione per i trattamenti;
• codici di condotta per la verifica dei processi che comportano apprendimento automatico;
• comitati di revisione etica per valutare i potenziali danni e benefici per la società di particolari applicazioni per la profilazione.

_____________

52 Il titolare del trattamento deve altresì assicurarsi di disporre di solide procedure destinate a garantire che può adempiere i suoi obblighi ai sensi degli articoli da 15 a 22 entro i termini previsti dal regolamento.

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227