Registro dei provvedimenti
n. 488 del 24 novembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lgs. 30 giugno 2003, n. 196, recante il "Codice in materia di protezione dei dati personali" (di seguito "Codice");

VISTE le comunicazioni inviate da Mevaluate Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

PREMESSO

1. Le comunicazioni di Mevaluate Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus in relazione all'"Infrastruttura Immateriale Mevaluate per la Qualificazione Reputazionale".

1.1. Con note del 4 giugno 2015, del 19 gennaio, del 18 marzo e del 4 ottobre 2016, Mevaluate Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus hanno manifestato l'intenzione di voler procedere alla realizzazione di una piattaforma web (con annesso archivio informatico) preordinata all'elaborazione di profili reputazionali concernenti persone fisiche e giuridiche. Il sistema, volto anzitutto a contrastare fenomeni basati sulla creazione di profili reputazionali "artefatti" o "inveritieri", permetterebbe di calcolare in maniera imparziale, affidabile e oggettivamente misurabile il "rating reputazionale" dei soggetti censiti, sì da consentire a eventuali terzi di poter verificare la loro reale credibilità.

In particolare, attraverso la facoltà riconosciuta agli iscritti di documentare la posizione (propria o altrui) rispetto a fatti ritenuti rilevanti sul piano reputazionale, il sistema permetterebbe, tra l'altro, di rendere "più efficaci i processi di valutazione e classificazione delle controparti (appaltatori e subappaltatori, fornitori, distributori, business partner, aspiranti dipendenti, dipendenti in forza e clienti)", incrementando il livello di fiducia nei singoli interlocutori e incentivando l'adozione di comportamenti virtuosi da parte di enti pubblici e privati. Nel valorizzare, quindi, l'aspetto reputazionale quale possibile elemento di valutazione nei rapporti socio-economici, i predetti soggetti ritengono di poter realizzare "spazi negoziali più sicuri", promettendo efficaci azioni di contrasto avverso eventuali forme di mistificazione identitaria e garantendo, in pari tempo, maggiore trasparenza e certezza nelle relazioni interpersonali e di business; ciò, attraverso un servizio che, premiando i soggetti più meritevoli, contribuirebbe altresì allo sviluppo di "buone prassi" presso i singoli operatori economici, ponendosi, nei fatti, quale possibile volano per la promozione di più diffuse forme di legalità.

1.2. Il processo di valutazione degli interessati, per come descritto, prenderebbe avvio dal volontario "caricamento" sulla piattaforma, da parte degli utenti, di documenti contenenti informazioni ritenute significative sul piano reputazionale (v. infra). Tali documenti, prodotti in base alla tipologia di servizio richiesto −1) creazione di un profilo non documentato e non certificato (P-PRO-ND); 2) creazione di un profilo documentato, ma non certificato (P-PRO); 3) certificazione di documenti e dati successivamente alla creazione di un profilo P-PRO (ME-CERT); 4) creazione di un profilo a favore di se stesso (P-PRO CERT); 5) creazione di un profilo contro terzi (P-VS); 6) integrazione documentale dei profili precedenti (I-PRO CERT e I-VS); 7) risposta documentata avverso un profilo "contro" (D-RE CERT)−, verrebbero previamente valutati da appositi "consulenti reputazionali" al fine di garantirne la genuinità e l'integrità. All'esito delle operazioni di verifica, il sistema provvederebbe a calcolare, mediante un sofisticato algoritmo matematico (in fase di asserita brevettazione), un "punteggio" complessivo da assegnare agli interessati (c.d. "rating reputazionale") atto a determinarne il grado di affidabilità.

Tale punteggio, variabile nel tempo e in funzione degli elementi trasmessi, sarebbe suddiviso in cinque sub-rating ("penale", "fiscale" e "civile", oltre, eventualmente, a "lavoro e impegno civile" e, limitatamente alle persone fisiche, "studi e formazione") e verrebbe reso disponibile agli altri utenti della piattaforma, in eventuale associazione ai relativi documenti "giustificativi", mediante apposite "interrogazioni" del sistema, diversamente strutturate in funzione del grado di dettaglio di volta in volta richiesto ("query semplice"/"query dettagliata").

1.3. In base agli elementi trasmessi, il "rating" elaborato dal sistema consentirebbe di ricevere una rappresentazione tendenzialmente completa dei soggetti censiti, perché riferito a "tutti gli aspetti (a 360°) che concorrono a definire la [loro] reputazione" (cfr. all. 8 alla nota del 18 marzo 2016, cit.). Tale obiettivo sarebbe perseguito, in particolare, attraverso l'allegazione di numerosissimi documenti −in parte obbligatori e in parte facoltativi− in grado di rivelare, nei distinti ambiti considerati ("civile"; "penale"; "fiscale"; ecc.), importanti informazioni relative agli interessati, rilevanti anche sotto il profilo etico.

Tali documenti −tra cui figurano, a titolo esemplificativo: certificati del casellario giudiziale; certificati di regolarità fiscale; certificati relativi ad abilitazioni; diplomi; denunce; querele; provvedimenti giudiziari; ecc.− proverrebbero esclusivamente da fonti diverse dagli interessati (non essendo ammesso, al riguardo, materiale in autocertificazione, potenzialmente distorsivo del sistema) e atterrebbero a fatti e circostanze legate, tra l'altro, alla "sfera morale" dei soggetti censiti (certificati di riconoscimento al valor civile; partecipazione ad attività di volontariato; encomi; premi; referenze; ecc.) e a quella "tecnico-professionale" (presenza/assenza di successi e/o insuccessi professionali); inoltre, verrebbero eventualmente acquisite informazioni tratte da "articoli stampa, radio/TV", laddove prodotte facoltativamente dagli interessati (v. all. B1, E-H alla nota del 4 giugno 2015, cit., nonché all. 8 alla nota del 18 marzo 2016, cit.).

1.4. L'attendibilità dei profili reputazionali, secondo quanto riferito, sarebbe garantita da una molteplicità di fattori. All'assunzione di responsabilità da parte degli interessati −chiamati a sottoscrivere un'apposita dichiarazione di completezza e accuratezza delle informazioni e di autenticità dei documenti inseriti nel sistema− si aggiungerebbe il vaglio documentale realizzato dai predetti consulenti reputazionali e la possibilità, riconosciuta agli stessi utenti della piattaforma, di visionare in ogni tempo i documenti prodotti da altri; ciò consentirebbe di verificare periodicamente la correttezza e l'integrità delle informazioni presenti a sistema, attuando una forma di controllo generalizzato e diffuso sui dati raccolti. Inoltre, quale ulteriore presidio a garanzia delle informazioni acquisite, verrebbe istituito un apposito "Comitato di Controllo" incaricato di vigilare sull'operato dei medesimi consulenti reputazionali. Infine, verrebbe riconosciuta agli interessati la possibilità di integrare, modificare o aggiornare in ogni tempo i profili a sé riferiti, allegando a tal fine idonea documentazione a supporto (con relativo inserimento, per contro, in un'apposita "black list" o "grey list" in caso, rispettivamente, di allegazione di documenti falsi o di omesso tempestivo aggiornamento dei documenti incidenti sul "rating").

Tale complessivo meccanismo, basato su procedure, accorgimenti e misure asseritamente in grado di assicurare elevati standard di completezza, esattezza e integrità dei dati, porta le proponenti a ritenere che i profili reputazionali elaborati dal sistema presentino, tra gli altri, idonei requisiti di affidabilità e accuratezza (in quanto frutto esclusivo di calcoli matematici basati su documenti autentici, aggiornati e previamente validati), nonché di oggettività e imparzialità (perché non influenzabili da condizionamenti esterni e/o considerazioni personali).

1.5. Il servizio, che presuppone l'iscrizione ad Associazione Mevaluate Onlus e l'adesione ai "valori" espressi dalla "community", opererebbe principalmente su base volontaristica. Le informazioni e i documenti caricati dagli aderenti, infatti, verrebbero raccolti, verificati e resi disponibili agli altri utenti della piattaforma, unitamente ai relativi profili reputazionali, solo a seguito della preventiva raccolta del consenso da parte degli interessati, che "coprirebbe" anche le successive operazioni di trattamento effettuate da terzi (visualizzazione, estrazione e riutilizzo dei dati e dei documenti); il medesimo consenso, inoltre, verrebbe acquisito per giustificare eventuali operazioni di trattamento collegate a presunte "irregolarità" documentali segnalate da altri, nonché per pubblicare atti e documenti attinenti a controversie giudiziarie pendenti o future.

Nell'eventualità in cui taluni soggetti (committenti; datori di lavoro; fornitori) fossero già membri del sodalizio associativo, l'"autorizzazione" alla pubblicazione di atti e documenti relativi alle controparti (appaltatori; lavoratori; clienti) verrebbe acquisita, a pena della mancata stipula del negozio o di risoluzione del vincolo in caso di sua revoca, per effetto di apposite clausole che le proponenti vorrebbero inserite nell'ambito dei rapporti contrattuali tra loro intercorrenti.

In presenza di "profili contro terzi" non iscritti alla "piattaforma", il trattamento verrebbe effettuato, qualora fondato su documenti ritenuti liberamente utilizzabili (ad esempio, le sentenze), ai sensi dell'art. 24, comma 1, lett. c), del Codice; in ogni caso, non concorrerebbero alla determinazione del rating, né formerebbero oggetto di condivisione con gli altri utenti della "community", gli atti endo-procedimentali o pre-contenziosi eventualmente acquisiti dal sistema (v. all. 1 alla nota del 19 gennaio 2016, p. 11). Resterebbe peraltro salva, per costoro, la possibilità di aderire in ogni tempo alla piattaforma e presentare nuovi documenti volti a integrare e/o modificare i profili a sé riferiti.

Nessuna autorizzazione specifica, ai sensi degli artt. 26 e 27 del Codice, richiederebbe il trattamento dei dati sensibili e giudiziari eventualmente presenti o desumibili dai documenti prodotti dagli utenti, trattandosi di informazioni, a detta delle proponenti, liberamente disponibili dagli interessati. In ogni caso, tale trattamento risulterebbe già autorizzato dal Garante attraverso le autorizzazioni generali nn. 3 e 7 dell'11 dicembre 2014.

Le caratteristiche dei trattamenti svolti verrebbero rese note agli iscritti in occasione della loro adesione al servizio, attraverso l'apposita informativa riportata sul sito web della piattaforma; in caso di soggetti censiti per effetto di segnalazioni altrui, l'informativa verrebbe resa alla prima occasione utile di contatto, di norma in sede di notifica dell'avviso agli interessati.

1.6. Il servizio verrebbe configurato per operare in conformità al "Codice della reputazione universale" (dichiaratamente ispirato alla "Dichiarazione Universale dei Diritti dell'Uomo"), elaborato da Mevaluate Holding Ltd. al fine di disciplinare i princìpi per l'individuazione della reputazione di persone fisiche e giuridiche e definire, attraverso l'accluso regolamento, i criteri e le modalità della relativa misurazione. L'affidabilità e l'autorevolezza dei "rating" elaborati a livello nazionale verrebbero garantiti da un apposito organismo tecnico (denominato "Comitato etico mondiale") che, attraverso "note-paese" specificamente elaborate sulla base dei singoli contesti socio-culturali, ne assicurerebbe un'interpretazione coerente con i princìpi sopra richiamati.

1.7 La soluzione descritta troverebbe giustificazione, a detta delle proponenti, in alcuni indici normativi specificamente individuati (art. 1, comma 1, lett. uu, della l. n. 11/2016; d.lgs. n. 460/1997; art. 118 Cost.), oltre che nell'esigenza di contrastare i predetti fenomeni di "ingegneria reputazionale" sovente legati alla commissione di fattispecie delittuose (corruzione; riciclaggio; terrorismo; ecc.), e si affiancherebbe agli strumenti normativi già esistenti −su tutti, il "rating di legalità" di cui all'art. 5-ter d.l. n. 1/2012− con l'intenzione di migliorarne taluni limiti applicativi. Il sistema, inoltre, arrecherebbe significativi vantaggi agli interessati, permettendo loro di valorizzare (e promuovere) la propria immagine sul piano morale, professionale e relazionale, nonché alla collettività, attraverso il contributo fornito allo sviluppo di prassi "compliant" alla normativa vigente. Il tutto, dietro versamento, da parte degli aderenti e dei fruitori della piattaforma (con alcune eccezioni), di un corrispettivo variabile in funzione dei servizi richiesti e con possibilità per gli stessi iscritti di garantirsi futuri ritorni economici, attraverso "royalties" commisurate al numero di accessi registrato sui singoli "profili" da loro stessi creati.

1.8. Titolare dei trattamenti sarebbe l'Associazione Mevaluate Onlus, che si avvarrebbe a tal fine di Mevalutate Italia s.r.l. nella veste di responsabile ex art. 29 del Codice e della collaborazione di Mevaluate Italia Advisory s.r.l., compagine associativa dei consulenti reputazionali. Questi ultimi, unitamente agli altri soggetti aventi accesso ai dati per conto dell'associazione, verrebbero designati incaricati ai sensi dell'art. 30 del Codice.

I dati e i documenti utilizzati per l'elaborazione dei "rating" verrebbero messi a disposizione degli utenti della piattaforma per essere successivamente utilizzati da costoro a vario titolo (indagini su fornitori, appaltatori, consulenti; selezione di personale; accertamenti su dipendenti; verifiche sulla clientela; controlli su soci, legali rappresentanti, consiglieri di amministrazione; ecc.). In caso di recesso, i medesimi dati e documenti, insieme ai connessi profili reputazionali, verrebbero cancellati dal sistema, fatta eccezione per quelli relativi ai "profili contro terzi" e quelli inseriti in "black list", conservati per un ulteriore periodo di dodici mesi dalla loro messa a disposizione (v. all. 1 alla nota del 19 gennaio 2016, cit., p. 14 e nota del 18 marzo 2016, cit., p. 35).

Tra le misure (minime) indicate a tutela dei dati (v. notifica del 20 gennaio 2016, allegata alla nota interlocutoria del 28 settembre 2016; v., altresì, nota del 18 marzo 2016, pp. 28 e ss.), figurano:

− forme di autenticazione basate su "user id" e "password";

− sistemi di tracciamento degli accessi;

− software antivirus aggiornati semestralmente;

− meccanismi di cifratura dei dati giudiziari.

I dati, secondo la documentazione trasmessa, non formerebbero oggetto di trasferimento in Paesi non appartenenti all'Unione europea (v. nota del 18 marzo 2016, cit., p. 36; v. anche notifica del 20 gennaio 2016, cit.).

1.9. Nel corso della corrispondenza intercorsa con l'Autorità le proponenti hanno prodotto cospicuo materiale documentale, tra cui copia de:

− le slides illustrative del progetto;

− il "Report finale dei risultati delle attività svolte dal Gruppo di Ricerca e Sviluppo in Collaborazione per l'ottimizzazione della piattaforma di qualificazione reputazionale fornita da Mevaluate Holding Ltd. […]" (vers. 9 giugno 2014);

− il "Regolamento interno dell'Associazione Mevaluate Onlus per l'accesso ai servizi Mevaluate e per la loro utilizzazione" (vers. 8 gennaio 2016);

− il "Codice della Reputazione Universale";

− la "notifica" effettuata ai sensi degli artt. 37 e 38 del Codice;

− "La Piattaforma Mevaluate – Architettura Funzionale e Trattamento del Dato" (vers. 18 marzo 2016);

− il modello di informativa privacy predisposto per gli interessati;

− le "Condizioni generali di fornitura dei servizi di certificazione reputazionale Mevalutate Italia s.r.l. (braccio operativo dell'Associazione Mevaluate Onlus) e/o di consulenza reputazionale in favore di aziende, enti, individui soci dell'associazione Mevaluate Onlus".

La suddetta piattaforma, alla data del 18 marzo 2016, sarebbe stata ancora in fase di allestimento (v. nota del 18 marzo 2016, cit., p. 1); nessun trattamento ad essa correlato, pertanto, avrebbe avuto luogo, quantomeno fino a tale data, in ordine ai dati personali degli utenti.

Il sistema, inoltre, ha già formato oggetto di alcune prime considerazioni da parte dell'Autorità (v. nota del 21 ottobre 2015, inviata a Mevaluate Holding Ltd.), sia pure in riferimento a presupposti e modalità di implementazione parzialmente differenti da quelle descritte nel presente provvedimento.

2. Le considerazioni dell'Autorità.

2.1. L'"Infrastruttura Immateriale Mevaluate per la Qualificazione Reputazionale" descritta da Mevaluate Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus è costituita da una piattaforma web (con annesso archivio informatico) preordinata all'assegnazione, previa raccolta, verifica, ed elaborazione di numerosi dati personali contenuti in documenti prodotti dagli utenti, di indicatori alfanumerici asseritamente in grado di misurare l'affidabilità reputazionale dei soggetti censiti (persone fisiche e giuridiche).

Tale sistema, come già anticipato a Mevaluate Holding Ltd. nella nota sopra citata, comporta rilevanti problematiche sotto il profilo della disciplina di protezione dei dati personali –qui considerate unicamente in rapporto alle persone fisiche (art. 40 del d.l. n. 201/2011, convertito, con modificazioni, dalla l. n. 214/2011)– in ragione della delicatezza delle informazioni che si vorrebbero utilizzare, del pervasivo impatto sugli interessati, nonché dei presupposti e delle modalità di trattamento prospettate.

2.2. Ed infatti, pur essendo legittima, in linea di principio, l'erogazione di servizi che possano contribuire a rendere maggiormente efficienti, trasparenti e sicuri i rapporti socio-economici, si osserva che il sistema in esame presuppone la raccolta di dati personali suscettibili di incidere significativamente, per tipologia e quantità, sulla rappresentazione economica e sociale di un'ampia platea di soggetti (clienti; dipendenti; candidati; imprenditori; liberi professionisti; fornitori; cittadini; ecc.). Il "rating" da questo elaborato, infatti, potrebbe ripercuotersi pesantemente sulla vita (anche privata) degli individui censiti, influenzandone scelte e prospettive e condizionando la loro stessa ammissione a (o esclusione da) specifiche prestazioni, servizi o benefici; occorre, pertanto, estrema cautela nell'affrontare tematiche così delicate, anche in considerazione del fatto che la "reputazione" che si vorrebbe qui misurare, in quanto strettamente correlata alla considerazione delle persone e alla loro stessa "proiezione" sociale, risulta intimamente connessa con la loro dignità, elemento cardine della disciplina di protezione dei dati personali (art. 2 del Codice; v. anche C. Cass. 8 agosto 2013, n. 18981 secondo cui "la dignità dell'interessato […], [in quanto] «valore sommo a cui è ispirata la legislazione sul trattamento dei dati personali» –il cui disegno è funzionale alla difesa della persona e dei suoi fondamentali diritti, [tendendo] ad impedire che l'uso,  astrattamente legittimo, del dato personale avvenga con modalità tali da renderlo lesivo di quei diritti […]− è [comunque] preminente rispetto all'iniziativa economica privata" tutelata dall'art. 41 Cost.).

Tale doverosa premessa porta il Garante a ritenere, anche alla luce di quanto già evidenziato, sia pure in ambiti parzialmente differenti, dal Gruppo di lavoro dei Garanti europei istituito ai sensi dell'art. 29 della direttiva 95/46/CE (cfr. Parere del 3 ottobre 2002, "Documento di lavoro sulle liste nere", WP65), che la costituzione di siffatta piattaforma (e il connesso trattamento di dati personali), in ragione delle sue peculiari caratteristiche –tali da incidere, come detto, sulla stessa dignità degli interessati−, non sia, allo stato, lecita.

Al riguardo, non può trascurarsi, infatti, che gli altri sistemi di "accreditamento" riconosciuti attualmente dall'ordinamento derivano da previsioni di legge che ne individuano espressamente, salvo il rinvio a discipline più di dettaglio, le principali caratteristiche (v., ad esempio, il già citato "rating di legalità", ovvero il "rating di impresa" di cui all'art. 83, comma 10 del d.lgs. n. 50/2016); ciò appare coerente, del resto, con l'obiettivo di rendere disponibili alla collettività strumenti di valutazione universalmente riconosciuti, in grado di fornire agli utenti, attraverso un avallo formale che ne stabilisca puntualmente i requisiti e i limiti, elementi di giudizio certi e oggettivi, nonché imparziali e affidabili.

In tale quadro, i riferimenti addotti da Mevaluate Holding Ltd., Mevaluate Italia s.r.l. e Associazione Mevaluate Onlus – tenuto conto del tipo di trattamento che si intende realizzare - appaiono generici e, comunque, inidonei a giustificare la costituzione della prefigurata banca di dati. Anche il richiamo alla citata legge n. 11/2016 (per la cui attuazione v., in parte qua, il summenzionato art. 83, comma 10, del d.lgs. n. 60/2016), lungi dal corroborare la tesi delle proponenti, appare piuttosto avvalorare l'impostazione sopra evidenziata, sia in relazione alla necessità di un'idonea fonte di regolazione di siffatte tipologie di strumenti, sia in merito all'opportunità di demandarne la gestione in capo a soggetti muniti di adeguate e comprovate garanzie di terzietà e indipendenza. E ciò, a tacere del fatto che il richiamo al menzionato "Codice della reputazione universale", peraltro assimilabile a un codice di condotta o autoregolamentazione (ancorché liberamente ispirato, secondo quanto sostenuto, ai princìpi della "Dichiarazione Universale dei Diritti dell'Uomo") e in sé privo di valenza normativa certa, appare invero inidoneo rispetto ai fini sopra evidenziati.

2.3. In disparte l'assenza di un'idonea cornice normativa (rilevante anche ai sensi dell'art. 11, comma 1, lett. a), del Codice), vale poi osservare, sempre sul piano della liceità dei trattamenti, che il consenso degli interessati, per essere conforme a legge, deve essere manifestato liberamente (art. 23 del Codice). Tale presupposto non ricorre se il consenso risulta manifestato –come nel caso di profili creati da altri− dietro necessità di contrastare gli effetti negativi derivanti da eventuali valutazioni avverse (in tal senso, v. pure il "Parere 15/2011 sulla definizione di consenso" adottato dal Gruppo di lavoro articolo 29 per la protezione dei dati in data 13 luglio 2011, WP 187, secondo cui il consenso non può essere considerato libero se le conseguenze dello stesso "minano la libertà di scelta dell'individuo"). Parimenti, e per le stesse ragioni, non apparirebbe frutto di libera autodeterminazione il consenso espresso da appaltatori, lavoratori e clienti in conseguenza della clausola contrattuale che l'associazione vorrebbe inserita nell'ambito dei rapporti intercorrenti con le controparti, non potendo considerarsi tale la volontà manifestata dagli interessati dietro "minaccia" della mancata stipula del contratto o quale condizione per la permanenza del vincolo negoziale.

Ancora, non risulterebbe giustificato il trattamento che l'associazione vorrebbe effettuare con riferimento ai soggetti non iscritti alla piattaforma, posto che i relativi dati personali, ove anche tratti da documenti liberamente conoscibili, verrebbero comunque elaborati da quest'ultima per ottenere valutazioni reputazionali autonome, originali e del tutto distinte dalle informazioni originariamente acquisite; ragion per cui il loro lecito trattamento potrebbe avvenire solo sulla base del "libero" consenso degli interessati, ovvero di altro idoneo presupposto alternativo (artt. 23 e 24 del Codice), allo stato non ravvisabile. Analogamente, nessun presupposto giustificherebbe il trattamento (fosse anche nella forma della sola raccolta e conservazione: v. nota del 18 marzo 2016, cit., p. 26) dei dati sensibili eventualmente riconducibile ai medesimi soggetti, che potrebbe avvenire unicamente con il "libero" consenso (scritto) di costoro o in presenza di altro adeguato equipollente (artt. 23, comma 4 e 26, commi 1 e 4, del Codice), comunque non ricorrente.

Non risultano documentati, infine, i criteri di stretta pertinenza e indispensabilità richiesti dalle autorizzazioni generali nn. 3 (punto 7) e 7 (capo VII, punto 4) del 2014 ai fini di una lecita pubblicazione dei dati sensibili e giudiziari degli interessati, non potendosi ritenere per ciò solo legittimante, come pure sostenuto dalle proponenti, il mero consenso espresso dagli interessati (v. nota del 18 marzo 2016, cit., pp. 25 e ss.).

2.4. Il descritto trattamento, per altro verso, desta perplessità anche con riferimento ai princìpi di necessità e proporzionalità (artt. 3 e 11, comma 1, lett. d), del Codice).

Premesso che il funzionamento del sistema si basa su modalità di raccolta (massiva) di dati e documenti che non risultano in linea con l'art. 3 del Codice (il quale impone, come noto, di configurare i sistemi informativi e i programmi informatici in modo da ridurre al minimo l'utilizzo di dati personali e identificativi degli interessati), occorre evidenziare, da altro angolo di visuale, che la rilevanza e pertinenza di detti dati e documenti (parte dei quali, peraltro, in grado di rivelare aspetti anche molto delicati della vita privata delle persone) appare in taluni casi dubbia e, comunque, indimostrata. E ciò, non solo in ragione dei criteri (discrezionali) individuati come basi per il calcolo del rating reputazionale, ma anche per l'assenza di circostanziati elementi in grado di comprovare, empiricamente, l'effettiva incidenza di talune dinamiche etico-comportamentali sull'"affidabilità" dei soggetti censiti (a titolo esemplificativo, non è detto che l'aver ricevuto attestati di merito o riconoscimenti al valor civile garantisca –di per sé– una maggiore "credibilità" rispetto a soggetti che ne sono privi, come pure l'appartenere ad associazioni di volontariato o l'aver conseguito successi e/o insuccessi sul piano professionale). Sicché, essendo il sistema preordinato, per l'appunto, a valorizzare "il bene più prezioso di ciascuno: la reputazione" (cfr. all. "A" alla nota del 4 giugno 2015, cit.) attraverso l'allegazione di detti documenti, sarebbe stato preciso onere delle proponenti presentare rigorosi elementi in tal senso.

A ciò, si aggiunga che il trattamento riguarderebbe un numero potenzialmente molto elevato di soggetti, con attendibili significative ripercussioni per i diritti individuali degli interessati in caso di violazione delle misure di sicurezza (v. infra), di accessi non autorizzati o di utilizzo abusivo delle informazioni, anche da parte di terzi. Dacché appaiono sproporzionate anche le modalità con cui si è stabilito di dare libero e indiscriminato accesso a tutti i numerosi documenti presenti sulla piattaforma, considerati i rischi che corrono gli interessati in relazione al loro successivo riutilizzo per finalità non necessariamente lecite (si pensi, ad esempio, al riuso dei dati per finalità di indagine su fatti non attinenti alla valutazione dell'attitudine professionale di candidati e lavoratori, potenzialmente confliggente con l'art. 8 della legge n. 300/1970, richiamato dall'art. 113 del Codice).

2.5. Anche con riferimento al principio di qualità dei dati (art. 11, comma 1, lett. c), del Codice), il sistema pare scontare alcune criticità.

Dall'esame delle risultanze in atti, infatti, non si evincono documentati elementi idonei a comprovare un'elevata affidabilità del sistema descritto. Al di là delle mere dichiarazioni concernenti una sua presunta brevettazione (v., su tutti, all. "I" alla nota del 4 giugno 2015, cit.), le proponenti non sono state in grado di dimostrare l'efficacia del non meglio identificato algoritmo che regolerebbe la determinazione dei "rating" e al quale dovrebbe essere rimessa, peraltro senza possibilità di contestazione (v. all. 1 alla nota del 19 gennaio 2016, cit.), la valutazione reputazionale dei soggetti censiti; e ciò, verosimilmente, anche a causa dell'assenza di riconosciuti criteri, a livello nazionale o internazionale, sulla base dei quali poter "misurare" la reputazione degli individui in modo realmente oggettivo, affidabile e imparziale.

In ogni caso, si nutrono perplessità, più in generale, sull'opportunità stessa di rimettere a un sistema automatizzato ogni determinazione in merito ad aspetti particolarmente delicati e complessi quali quelli connessi alla reputazione dei soggetti coinvolti. A prescindere, infatti, dall'oggettiva difficoltà di misurare situazioni, parametri e variabili non sempre agevolmente "classificabili" o "quantificabili", occorre evidenziare che la suddetta (acritica) valutazione potrebbe fondarsi su atti, documenti o certificati viziati ex ante da falsità ideologica, ovvero caratterizzati da alterazioni materiali non facilmente riscontrabili da parte di pur esperti "consulenti" reputazionali (peraltro non esenti, contrariamente a quanto sostenuto, da pericoli di errore o tentativi di corruzione); con il rischio, neanche tanto remoto, di creare profili reputazionali inesatti e non rispondenti alla reale rappresentazione –e, quindi, all'identità personale, intesa anche quale immagine sociale (art. 2 del Codice; Provv. 9 marzo 2006 [doc. web n. 1269316]; Trib. Roma 7 dicembre 2015)− dei soggetti censiti. E ciò, a tacere del fatto che gli stessi interessati potrebbero non essere in condizione, per molteplici ragioni, di aggiornare tempestivamente i propri profili reputazionali, con evidenti, ulteriori ricadute in termini di effettiva qualità dei dati.

2.6. Senza voler entrare nel merito del prefigurato meccanismo remunerativo –che pur potrebbe alimentare, in concreto, pericolosi impulsi delatori in danno di un'estesa platea di soggetti, esposti al rischio di "censimento" per il solo fatto di avere pendenti controversie giudiziarie di varia natura−, si osserva, da altro angolo di visuale, che suscitano dubbi anche le misure di sicurezza indicate dalle proponenti (v. punto 1.8).

Dall'esame delle risultanze istruttorie, infatti, è emerso che tali misure sarebbero basate, prevalentemente, su sistemi di autenticazione "debole" (user id e password) e su meccanismi di cifratura dei (soli) dati giudiziari, invero inadeguate −specie se rapportate all'elevato numero di soggetti che potrebbero essere coinvolti e all'ingente quantitativo di informazioni, anche molto delicate, che verrebbero registrate all'interno della piattaforma− a garantire idonei standard di tutela degli interessati. Al contrario, sistemi quali quello in esame dovrebbero offrire rigorose garanzie in termini di sicurezza e affidabilità dei dati, basate su misure e accorgimenti che vadano ben oltre quelle minime dichiarate in corso di istruttoria e che prevedano certificazioni od omologazioni rilasciate da appositi organismi qualificati e indipendenti.

Gli elementi in atti, invece, hanno denotato significative lacune in tal senso, evidenziando rischi con riferimento a possibili situazioni di violazione dei dati e di furto di identità, sia in fase di visualizzazione delle informazioni (accessi a dati non pertinenti; accessi non autorizzati) che di invio dei documenti da parte degli utenti (alterazione di profili a seguito di furto delle credenziali).

2.7. Ulteriori criticità, ancora, si ravvisano nei tempi di conservazione dei dati e nell'informativa da rendere agli interessati.

Quanto al primo profilo, si rileva che nessun elemento giustificativo è stato addotto con riferimento agli ulteriori tempi di conservazione (dodici mesi dall'intervenuto recesso) delle informazioni relative ai profili "contro" o contenute nella "black list"; tale conservazione, in assenza di idonea motivazione, risulta in violazione dell'art. 11, comma 1, lett. e), del Codice.

Per quanto riguarda, invece, l'informativa agli interessati, la stessa non risulta adeguata rispetto al trattamento che si intenderebbe svolgere. Posto che il testo in atti reca riferimenti a "finalità connesse all'esecuzione di procedure selettive indette" dall'associazione o da società collegate che nulla hanno a che vedere con i servizi offerti agli utenti, si rileva, sotto altro profilo, che la stessa informativa, contrariamente a quanto sostenuto in sede istruttoria (cfr. nota del 16 marzo 2016, cit., p. 36; v. notifica del 20 gennaio 2016, cit.), richiama possibili trasferimenti all'estero dei dati; dal relativo testo, inoltre, si desume la raccolta di un consenso facoltativo in merito a non meglio identificate finalità commerciali, nemmeno menzionate tra gli scopi perseguiti dal titolare. Ciò ingenera notevole confusione circa le effettive caratteristiche del trattamento, con conseguente violazione dell'art. 13 del Codice.

2.8. Alla luce delle considerazioni che precedono, si ritiene, conclusivamente, che il trattamento di dati personali connesso ai servizi offerti tramite l'"Infrastruttura Immateriale Mevaluate per la Qualificazione Reputazionale", per le ragioni di cui in motivazione, non possa essere considerato conforme alla disciplina di protezione dei dati personali (artt. 2, 3, 11, 13, 23, 24 e 26 del Codice); ne consegue che qualunque operazione di trattamento (presente o futura) al riguardo, ove effettuata sulla base dei presupposti e delle modalità indicate, deve essere considerata illecita e, quindi, vietata in riferimento ai dati personali degli interessati (art. 154, comma 1, lett. d), del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi e per gli effetti di cui all'art. 154, comma 1, lett. d) del Codice, dichiara che il trattamento di dati personali connesso ai servizi offerti tramite l'"Infrastruttura Immateriale Mevaluate per la Qualificazione Reputazionale", che Associazione Mevaluate Onlus intenderebbe effettuare con l'ausilio di soggetti terzi, non risulta conforme al Codice (artt. 2, 3, 11, 13, 23, 24 e 26 del Codice), per le ragioni di cui in motivazione, e pertanto ne vieta qualunque operazione di trattamento (presente o futura), ove effettuata sulla base dei presupposti e delle modalità indicate, in riferimento ai dati personali degli interessati.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 24 novembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia