Corte di Giustizia 7 dicembre 2023 , C-634/21 afferma quanto sopra.
Dato il tenore letterale della norma, la conclusione è esatta ma anche scontata.
<<42 Quanto al tenore dell’articolo 22, paragrafo 1, del RGPD, tale disposizione prevede che un interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
43 L’applicabilità di tale disposizione è quindi soggetta a tre condizioni cumulative, vale a dire, in primo luogo, che deve esistere una «decisione», in secondo luogo, che tale decisione deve essere «basata unicamente sul trattamento automatizzato, compresa la profilazione», e, in terzo luogo, che essa deve produrre «effetti giuridici [riguardanti l’interessato]» o incidere «in modo analogo significativamente sulla sua persona».
44 Per quanto riguarda, in primo luogo, la condizione relativa all’esistenza di una decisione, occorre rilevare che la nozione di «decisione», ai sensi dell’articolo 22, paragrafo 1, del RGPD, non è definita da tale regolamento. Tuttavia, dalla formulazione stessa di tale disposizione risulta che tale nozione rinvia non solo ad atti che producono effetti giuridici riguardanti il soggetto di cui trattasi, ma anche ad atti che incidono significativamente su di esso in modo analogo.
45 L’ampia portata rivestita dalla nozione di «decisione» è confermata dal considerando 71 del RGPD, ai sensi del quale una decisione che implica la valutazione di taluni aspetti personali di un interessato, di cui quest’ultimo dovrebbe avere il diritto di non essere oggetto, può «includere una misura» che produce «effetti giuridici che lo riguardano» o incide «in modo analogo significativamente sulla sua persona». Secondo tale considerando, sono coperti dal termine «decisione», a titolo esemplificativo, il rifiuto automatico di una domanda di credito online o pratiche di assunzione elettronica senza interventi umani.
46 Poiché la nozione di «decisione» ai sensi dell’articolo 22, paragrafo 1, del RGPD può quindi includere, come rilevato dall’avvocato generale al paragrafo 38 delle sue conclusioni, diversi atti che possono incidere sulla persona interessata in vari modi, tale nozione è sufficientemente ampia da ricomprendere il risultato del calcolo della solvibilità di una persona sotto forma di tasso di probabilità relativo alla capacità di tale persona di onorare impegni di pagamento in futuro.
47 Per quanto riguarda, in secondo luogo, la condizione secondo cui la decisione, ai sensi di tale articolo 22, paragrafo 1, deve essere «fondata esclusivamente su un trattamento automatizzato, compresa la profilazione», come rilevato dall’avvocato generale al paragrafo 33 delle sue conclusioni, è pacifico che un’attività come quella della SCHUFA risponde alla definizione di «profilazione» di cui all’articolo 4, punto 4, del RGPD e quindi che tale condizione è soddisfatta nel caso di specie, dato che il testo della prima questione pregiudiziale si riferisce peraltro esplicitamente al calcolo automatizzato di un tasso di probabilità basato su dati personali relativi ad una persona e riguardante la capacità di quest’ultima di onorare un prestito in futuro.
48 Per quanto riguarda, in terzo luogo, la condizione secondo cui la decisione deve produrre «effetti giuridici» riguardanti la persona di cui trattasi o incida «in modo analogo significativamente» su di essa, dal tenore stesso della prima questione pregiudiziale risulta che l’azione del terzo al quale è trasmesso il tasso di probabilità è guidata «in modo decisivo» da tale tasso. Pertanto, secondo gli accertamenti di fatto del giudice del rinvio, in caso di domanda di mutuo rivolta da un consumatore a una banca, un tasso di probabilità insufficiente comporta, in quasi tutti i casi, il rifiuto di quest’ultima di concedere il prestito richiesto.
49 In tali circostanze, si deve ritenere che anche la terza condizione alla quale è subordinata l’applicazione dell’articolo 22, paragrafo 1, del RGPD sia soddisfatta, in quanto un tasso di probabilità come quello di cui trattasi nel procedimento principale incide, quanto meno, sull’interessato significativamente.
50 Ne consegue che, in circostanze come quelle di cui al procedimento principale, nelle quali il tasso di probabilità stabilito da una società che fornisce informazioni commerciali e comunicato a una banca svolge un ruolo decisivo nella concessione di un credito, il calcolo di tale tasso deve essere qualificato di per sé come decisione che produce nei confronti di un interessato «effetti giuridici che lo riguardano o che incid[e] in modo analogo significativamente sulla sua persona», ai sensi dell’articolo 22, paragrafo 1, del RGPD>>