Profilazione dell'utente

Per profilazione dell'utente si intende correntemente l'insieme di attività di raccolta ed elaborazione dei dati inerenti agli utenti di servizi (pubblici o privati, richiesti o forzosi) per suddividere l'utenza in gruppi di comportamento^[1].

In ambito commerciale, la profilazione dell'utente è uno strumento del cosiddetto marketing mirato, che fa ampio uso di questa e altre tecniche per ottenere accurate analisi dei potenziali clienti, operando spesso al limite del legalmente consentito, quando non oltre^[2].

La profilazione dell'utente e la Rete

La massiccia diffusione delle TIC, di Internet e il crescente uso delle reti sociali hanno aumentato e semplificato l'attività di profilazione degli utenti^[3].
Un esempio concreto è rappresentato dal pulsante "mi piace" di Facebook: il suo uso, analizzato alla luce di appositi algoritmi, consente di profilare gli utenti del servizio, raffinandone le identità digitali^[4]. La popolare rete sociale starebbe inoltre progettando di introdurre anche il pulsante "non mi piace", proprio per migliorare la profilazione degli utenti^[5].

La profilazione dell'utente in Italia

In Italia, il Garante per la protezione dei dati personali ha deciso di regolamentare le pratiche di profilazione, in particolare quelle legate all'uso di Internet e della TV "smart". La profilazione degli utenti di questi servizi è infatti consentita solo ottenendo l'esplicito consenso di questi, e operando nel rispetto dei limiti posti dalla legge^[6]^[7].
Nel 2015 la regolamentazione della profilazione si è ufficialmente estesa anche alla Rete. La definizione di "profili" di utenti per fornire servizi o promozioni personalizzate viene così condizionata da norme precise. In sintesi ogni soggetto che fornisca servizi in linea deve^[8]:

tutelare la privatezza sia degli utenti autenticati, sia di quelli non autenticati;
presentare l'informativa sul trattamento dei dati deve essere chiara, completa, esaustiva e resa ben visibile. In particolare si prevede una struttura a più livelli: il primo, facilmente visibile e con tutte le informazioni essenziali, e il secondo, accessibile con un solo clic dalla pagina in cui l'utente si trova.
ogni trattamento dei dati personali dell'utente per finalità di profilazione diversa da quelle necessarie per la fornitura del servizio deve ottenere il consenso informato dell'utente. L'utente deve quindi decidere se dare il suo consenso dopo avere avuto una spiegazione efficace e sintetica. Si tratta sostanzialmente delle attività promozionali, che per loro natura richiedono la raccolta di informazioni sui dati (es. indirizzo di posta), caratteristiche, scelte e abitudini degli utenti;
definire tempi di conservazione dei dati che siano certi e proporzionati alle finalità perseguite.

Dal 25 maggio 2018 avrà effettiva applicazione in Italia il Regolamento europeo (UE) 2016/679, già in vigore dal 25 maggio 2016. Il regolamento si occupa di profilazione negli articoli 21, 22 e 23, definendola come una forma di trattamento automatizzato dei dati personali che valuta aspetti personali per analizzare o prevedere comportamenti o preferenze, se ciò produce effetti giuridici o influisce significativamente sulla persona.

Secondo il regolamento, l'interessato ha diritto a non essere sottoposto ad una decisione (es. rifiuto automatico di una domanda di credito, pratiche di assunzione elettronica) basata unicamente su un trattamento automatizzato. In ogni caso, l'interessato deve essere esplicitamente informato del trattamento ed ha sempre diritto ad ottenere l'intervento umano ed una spiegazione (o contestazione) delle decisioni conseguite in seguito alla profilazione. I minori non possono essere soggetti a profilazione, così come bisogna rispettare stringenti condizioni per profilare dati sensibili.

Una corretta profilazione prevede l'utilizzo di procedure matematiche o statistiche adeguate: il Titolare del trattamento dei dati è tenuto alla rettifica dei fattori, alla minimizzazione del rischio di errori che influiscano sull'esattezza dei dati e alla messa in sicurezza dei dati. Per fare ciò il titolare deve tenere conto dell'analisi dei rischi, considerando anche il rischio di effetti discriminatori nei confronti delle persone fisiche.

L'interessato, ai sensi dell'art.6 dello stesso regolamento, ha il diritto di opporsi in qualsiasi momento al trattamento dei dati che lo riguardano e, pertanto, anche alla profilazione. Questo diritto deve poter essere esercitato con mezzi automatici. Il titolare è tenuto ad informare l'interessato di questo diritto con un'informativa chiara ed evidente, al più tardi alla prima comunicazione con l'interessato.

La violazione dei diritti degli interessati descritti in questi articoli sono punibili con sanzioni fino a 20 000 000,00 € o, per le imprese, fino al 4% del fatturato annuo, se superiore.^[9]