Corte di giustizia UE/2026

Edizione provvisoria CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 15 ottobre 2026 ( 1 ) Causa C ‑ 568/25 [OSCURATO:PERSONA] für Konsumenteninformation contro [OSCURATO:PERSONA]H [domanda di pronuncia pregiudiziale proposta dall’[OSCURATO:PERSONA] (Corte suprema, [OSCURATO:PERSONA])] « Rinvio pregiudiziale – Protezione dei dati personali – Vendita a distanza ai consumatori – Pagamento rateale o su fattura (“pagamento non sicuro”) – Valutazione della probabilità di inadempimento – Profilazione – Processo decisionale automatizzato – Intervento umano » I. Introduzione 1. Le presenti conclusioni riguardano una domanda di pronuncia pregiudiziale proposta dall’[OSCURATO:PERSONA] (Corte suprema, [OSCURATO:PERSONA]), in relazione all’interpretazione dell’articolo 22 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»). Tale domanda è stata presentata nel contesto di un procedimento che vede contrapposti il [OSCURATO:PERSONA] für Konsumenteninformation, un’associazione austriaca che esperisce azioni rappresentative (in prosieguo: il «[OSCURATO:PERSONA]»), e la [OSCURATO:PERSONA] GmbH, una società di vendita a distanza. In concreto, la controversia verte su una prassi commerciale della [OSCURATO:PERSONA] consistente nel negare a taluni clienti la possibilità di scegliere determinati metodi di pagamento cosiddetti «non sicuri», ossia i pagamenti «rateale» e «su fattura», sulla base di una valutazione esclusivamente automatizzata relativa alla probabilità che tali clienti siano insolventi. 2. Nell’epoca della digitalizzazione dell’economia e della società, tale causa rimanda più in generale ai problemi sollevati dall’espansione dell’automatizzazione delle decisioni nel mercato unico. I pericoli di una siffatta automatizzazione sono noti da tempo, infatti, ad esempio, [OSCURATO:PERSONA] aveva scelto l’allegoria della macchina dell’apocalisse per denunciarli ( [OSCURATO:PERSONA] , 1964). È un approccio più pragmatico ad aver guidato la penna del legislatore dell’Unione europea allorché questi si è occupato di tale tematica fondamentale. In tal senso, nel settore della protezione dei dati personali, il RGPD è inteso a proteggere i soggetti interessati dai rischi inerenti ad un trattamento esclusivamente automatizzato, i quali sono connessi, in particolare, ad un’eventuale mancanza di attendibilità dei dati che ne sono oggetto e all’opacità di tale trattamento. Essi possono segnatamente concretizzarsi in discriminazioni o decisioni talvolta difficili da comprendere e da contestare ( 2 ). 3. Nella specie, nel contesto dei rapporti commerciali di cui al procedimento principale, la Corte dovrà precisare le condizioni di applicabilità del diritto, previsto all’articolo 22, paragrafo 1, del RGPD, a non essere sottoposto ad una decisione individuale basata unicamente sul trattamento automatizzato, nonché la portata di tale protezione in relazione ad una delle deroghe a tale diritto, prevista al paragrafo 2 di tale articolo, ossia quella fondata sulla necessità della decisione per la conclusione o l’esecuzione del contratto. II. Contesto normativo A. Diritto dell’Unione 4. Il considerando 71 del RGPD enuncia quanto segue: «L’interessato dovrebbe avere il diritto di non essere sottoposto a una decisione, che possa includere una misura, che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali il rifiuto automatico di una domanda di credito online (...) senza interventi umani. Tale trattamento comprende la “profilazione”, che consiste in una forma di trattamento automatizzato dei dati personali che valuta aspetti personali concernenti una persona fisica, in particolare al fine di analizzare o prevedere aspetti riguardanti (...), la situazione economica, (...), l’affidabilità o il comportamento, (...), ove ciò produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona. Tuttavia, è opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la profilazione, se ciò è (...) necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, o se l’interessato ha espresso il proprio consenso esplicito. In ogni caso, tale trattamento dovrebbe essere subordinato a garanzie adeguate, che dovrebbero comprendere la specifica informazione all’interessato e il diritto di ottenere l’intervento umano, di esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di contestare la decisione (...)». 5. L’articolo 4 di tale regolamento, intitolato «Definizioni», prevede quanto segue: «Ai fini del presente regolamento s’intende per: (...) 4)      “profilazione”: qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti (...) la situazione economica, (...), l’affidabilità, il comportamento (...) di detta persona fisica; (...)». 6. L’articolo 5 di detto regolamento, intitolato «Principi applicabili al trattamento di dati personali», dispone quanto segue: «1.      I dati personali sono: a)      trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”); (...) c)      adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”); (...) 2.      Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)». 7. L’articolo 6 dello stesso regolamento, intitolato «Liceità del trattamento», enuncia quanto segue al suo paragrafo 1: «1.      Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: (...) b)      il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso; (...)». 8. L’articolo 22 del RGPD, intitolato «Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione», prevede quanto segue: «1.      L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. 2.      Il paragrafo 1 non si applica nel caso in cui la decisione: a)      sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento; (...) c)      si basi sul consenso esplicito dell’interessato. 3.      Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione. (...)». B. Normativa austriaca 9. L’articolo 28a del Konsumentenschutzgesetz (legge sulla tutela dei consumatori), del 30 marzo 1979 (BGBl., 140/1979), nella versione applicabile (BGBl. I, 50/2017), prevede quanto segue: «Chiunque violi, nelle relazioni commerciali con i consumatori (...) nell’ambito dei rapporti di credito al consumo, (...) un obbligo o un divieto previsti dalla legge, (...) incidendo in tal modo sugli interessi generali dei consumatori, può essere oggetto di un’azione inibitoria (...)». III. Fatti, procedimento principale e questioni pregiudiziali 10. [OSCURATO:PERSONA] esercita la sua attività di vendita a distanza sul mercato austriaco, dove riceve diverse decine di migliaia di ordini al mese, di cui il 90% circa è oggetto di un pagamento «non sicuro». Prima di accordare ad un cliente la possibilità di ricorrere ad un siffatto metodo di pagamento, la [OSCURATO:PERSONA] procede ad una verifica della sua solvibilità a mezzo di un processo automatizzato. Tale metodo di pagamento può quindi essere rifiutato sulla base di uno “ scoring ” interno di una probabilità di inadempimento e, in relazione ai clienti nuovi, viene trasmessa una richiesta di verifica della loro solvibilità ad un’impresa terza. Qualora tale impresa non conosca il cliente in questione, il ricorso al pagamento non sicuro viene negato. Qualora tale cliente sia noto a detta impresa, sono possibili tre scenari, ciascuno designato con un colore diverso. Se il colore è rosso, il pagamento «non sicuro» viene rifiutato automaticamente e, se il colore è giallo, un collaboratore della [OSCURATO:PERSONA] consulta una banca dati. In caso di rifiuto automatico, il cliente può chiedere di procedere ad un controllo manuale della decisione automatizzata o contestare tale decisione. 11. La controversia di cui al procedimento principale verte su un’azione rappresentativa proposta dal [OSCURATO:PERSONA], il quale ritiene che la prassi descritta al paragrafo precedente delle presenti conclusioni violi sistematicamente l’articolo 22 del RGPD. Al contrario, la [OSCURATO:PERSONA] sostiene che l’articolo 22 di tale regolamento non sia applicabile, in quanto una decisione di non autorizzare i clienti interessati ad utilizzare un pagamento non sicuro non produce effetti giuridici che li riguardano e non incide in modo analogo significativamente sulla loro persona. In ogni caso, una siffatta decisione è necessaria per la conclusione o l’esecuzione del contratto, in conformità a quanto previsto dall’articolo 22, paragrafo 2, lettera a), di detto regolamento. 12. [OSCURATO:PERSONA] (tribunale del Land, Salisburgo, [OSCURATO:PERSONA]) ha respinto il ricorso del [OSCURATO:PERSONA]. L’appello interposto da quest’ultimo è stato parimenti respinto dall’[OSCURATO:PERSONA] (Tribunale superiore del Land di [OSCURATO:PERSONA], [OSCURATO:PERSONA]). Investito di un ricorso per cassazione («Revision») dal [OSCURATO:PERSONA], l’[OSCURATO:PERSONA] (Corte suprema), giudice del rinvio, si interroga sull’interpretazione dell’articolo 22 dello stesso regolamento. 13. In primo luogo, il giudice del rinvio solleva la questione dell’applicabilità dell’articolo 22, paragrafo 1, del RGPD e, in particolare, dell’interpretazione della terza condizione prevista da tale disposizione, attinente alla produzione di effetti giuridici o all’incidenza in modo analogo significativamente sulla persona interessata da parte di una decisione basata su un trattamento automatizzato. Esso osserva che, in circostanze come quelle di cui al procedimento principale, si potrebbe ritenere che una siffatta decisione non incida sulla posizione giuridica del cliente in questione e che non dia origine ad un rapporto giuridico con quest’ultimo. Tuttavia, si potrebbe altresì sostenere, da un lato, che la stessa decisione stabilisce se, e come, un contratto possa essere concluso o modificato e, dall’altro, che la scelta di taluni metodi di pagamento può pregiudicare gli interessi economici o personali di tale cliente ai sensi della sentenza SCHUFA Holding e a. (Scoring). 14. In secondo luogo, nell’ipotesi in cui l’articolo 22, paragrafo 1, di tale regolamento fosse applicabile, il giudice del rinvio osserva che occorrerebbe allora verificare se sia possibile avvalersi dell’eccezione prevista al paragrafo 2, lettera a), di tale articolo. Esso si chiede se la determinazione del carattere necessario di decisioni come quelle di cui al procedimento principale debba dipendere dall’eventuale esistenza di un collegamento oggettivo tra la valutazione automatizzata della solvibilità del cliente interessato e la finalità concreta del contratto di vendita. 15. In terzo luogo, il giudice del rinvio ritiene che la formulazione dell’articolo 22, paragrafo 2, lettera a), di detto regolamento non sia chiara, e si chiede se per giustificare l’inapplicabilità del paragrafo 1 di tale articolo esso debba essere interpretato nel senso che l’esecuzione del contratto in questione dipende dall’adozione di una «decisione automatizzata», o semplicemente di una decisione. 16. Date tali circostanze, l’[OSCURATO:PERSONA] (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1)      Se l’articolo 22, paragrafo 1, del [RGPD] debba essere interpretato nel senso che la decisione con la quale una società di vendita a distanza rifiuta come metodo di pagamento il “pagamento rateale” o il “pagamento su fattura” richiesto dal cliente al momento del suo ordine, ma dichiara già al cliente di essere disposta a instaurare il rapporto commerciale con il metodo di pagamento costituito da “carta di credito” o “PayPal” – decisione fondata esclusivamente su una valutazione automatizzata della probabilità che un cliente sia insolvente, risultante dal fatto che, a seguito di una richiesta automatica a un’agenzia di valutazione del merito creditizio, il riscontro fornito da quest’ultima indichi che il cliente non le è noto o dal fatto che, nel caso di un cliente noto, uno “scoring” creditizio interno porti a concludere che il cliente non presenta una solvibilità sufficiente – produce “effetti giuridici” nei confronti del cliente o incide “in modo analogo significativamente” sulla sua persona, nella misura in cui con detta decisione non viene rifiutato l’ordine in quanto tale, ma il cliente viene limitato, nella sua scelta, ai soli metodi di pagamento imposti dalla società di vendita a distanza. In caso di risposta affermativa alla prima questione: 2)      a)      Se l’articolo 22, paragrafo 2, lettera a), del RGPD debba essere interpretato nel senso che, per stabilire se una decisione di una società di vendita a distanza basata su una valutazione automatizzata della probabilità di inadempimento del potenziale cliente, come descritta nella prima questione, sia “necessaria” per la conclusione di un contratto tra il cliente e la società di vendita a distanza, debba esistere un nesso sostanziale diretto tra la finalità del contratto da stipulare con il cliente e la valutazione della probabilità di inadempimento del cliente. b)      Se, ai fini della sussistenza della necessità di cui all’articolo 22, paragrafo 2, lettera a), del RGPD, le categorie di dati raccolti debbano essere oggettivamente appropriate, di per sé o in combinazione tra loro, a valutare la probabilità di inadempimento. Se la società di vendita a distanza o il cliente debba indicare e dimostrare quali categorie di dati siano state concretamente raccolte al fine di valutare la probabilità di inadempimento e che tali categorie di dati siano oggettivamente appropriate, di per sé o in combinazione tra loro, a valutare la probabilità di inadempimento. In caso di risposta affermativa alla prima questione: 3)      Se l’articolo 22, paragrafo 2, lettera a), del RGPD debba essere interpretato nel senso che, per la conclusione o l’esecuzione del contratto è necessario proprio un processo decisionale automatizzato da parte del titolare del trattamento. In caso di risposta affermativa [a tale questione]: a)      Se l’articolo 22, paragrafo 2, lettera a), del RGPD debba essere interpretato nel senso che, per stabilire se una decisione di una società di vendita a distanza come descritta nella prima questione sia necessaria per la conclusione del contratto, sia rilevante accertare se il processo decisionale automatizzato riguardo alla concessione o al rifiuto del metodo di pagamento richiesto possa essere effettuato, con uno sforzo ragionevole, anche mediante un intervento umano. Quale importanza abbiano, a tal fine, il numero di ordini ricevuti dalla società di vendita a distanza e l’aspettativa tipica dei clienti nell’ambito della procedura di ordine online di essere immediatamente informati del fatto che il metodo di pagamento da loro richiesto sia o meno accettato dalla società di vendita a distanza». IV. Valutazione 17. L’articolo 22 del RGPD prevede un divieto di principio, sancito al paragrafo 1 di tale articolo, ai sensi del quale l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato e che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. Tale divieto è accompagnato da eccezioni, previste al paragrafo 2 di detto articolo, le quali si applicano nel rispetto di limiti previsti ai paragrafi 3 e 4 dello stesso articolo. Mentre i principali obiettivi perseguiti all’articolo 22 di tale regolamento sono facilmente comprensibili, le sue modalità di attuazione concreta sono, invece, meno evidenti, data l’indeterminatezza di alcuni dei concetti ivi menzionati ( 3 ). 18. Gli interrogativi del giudice del rinvio vertono al contempo sulle condizioni di applicazione del divieto previsto all’articolo 22, paragrafo 1, di detto regolamento (prima questione), e su una delle deroghe a tale divieto, ossia quella concernente il carattere necessario di una decisione per la conclusione o l’esecuzione di un contratto, come prevista all’articolo 22, paragrafo 2, lettera a) dello stesso regolamento (seconda e terza questione). A. Sull’applicazione del divieto previsto all’articolo 22, paragrafo 1, del RGPD (prima questione) 19. Con la prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 22, paragrafo 1, del RGPD debba essere interpretato nel senso che, nel contesto di una vendita a distanza, la decisione di escludere la possibilità per il cliente di scegliere determinati metodi di pagamento, adottata unicamente sulla base di una valutazione automatizzata della probabilità di inadempimento di tale cliente, produce effetti giuridici nei confronti di detto cliente o incide in modo analogo significativamente sulla sua persona. 20. Come ho già indicato al paragrafo 17 delle presenti conclusioni, dal dettato dell’articolo 22, paragrafo 1, del RGPD risulta che l’interessato ha il diritto di non essere sottoposto ad una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. Tre condizioni cumulative devono dunque essere soddisfatte per giustificare l’attuazione del divieto previsto da tale disposizione. In primo luogo, l’interessato deve essere sottoposto ad una «decisione». In secondo luogo, tale decisione deve essere «basata unicamente sul trattamento automatizzato, compresa la profilazione», e, in terzo luogo, essa deve produrre «effetti giuridici che [riguardano l’interessato]» o incidere «in modo analogo significativamente» sulla sua persona. 21. Gli interrogativi del giudice del rinvio vertono unicamente sulla terza di tali condizioni, cosicché occorre stabilire le circostanze in cui una decisione come quella di cui al procedimento principale possa esplicare effetti giuridici nei confronti dell’interessato o incidere in modo analogo significativamente sulla sua persona. In assenza di un rinvio al diritto nazionale degli Stati membri, ritengo che tale nozione sia una nozione autonoma del diritto dell’Unione, la quale deve essere interpretata in modo uniforme nel territorio dell’Unione, sulla base del significato abituale dei termini in questione nel linguaggio corrente e tenendo conto del contesto in cui essa si inserisce nonché degli obiettivi perseguiti da detta disposizione ( 4 ). 22. Per quanto riguarda, sotto un primo profilo, il significato abituale dei termini impiegati, osservo che la terza condizione prevista all’articolo 22, paragrafo 1, del RGPD menziona due situazioni autonome, separate dalla congiunzione «o». Vengono in tal senso prese in considerazione le decisioni che possono produrre «effetti giuridici» nei confronti di una persona o, in alternativa, incidere «in modo analogo significativamente» su quest’ultima. È sufficiente che si verifichi una di queste due situazioni affinché il divieto previsto sia applicabile. 23. Per quanto riguarda la prima situazione, ossia quella in cui una decisione produce «effetti giuridici», ritengo che sia l’idoneità di tale decisione a modificare i diritti o gli obblighi di una persona, nella loro sostanza o nel loro esercizio, ad essere presa in considerazione. 24. Per quanto riguarda la seconda situazione, rileva anzitutto l’incidenza sull’interessato, il che implica un impatto concreto e non solo astratto della decisione in questione sulla situazione di tale persona. Deve inoltre essere preso in considerazione il carattere «significativo» di tali effetti, al di là della sfera giuridica. Mentre il significato di tale termine è ambiguo nella lingua francese, esso è per contro chiaro nelle altre versioni linguistiche del RGPD, ad esempio in lingua inglese (« significantly »), in lingua spagnola (« significativamente »), o in lingua lettone (« ievērojami »), nelle quali esso rimanda all’importanza della nozione che lo stesso qualifica ( 5 ). Gli effetti della decisione in questione devono dunque raggiungere una certa soglia per innescare la protezione offerta all’articolo 22, paragrafo 1, di tale regolamento, il che esclude un’incidenza solo accessoria o marginale. Infine, oltre a tale aspetto quantitativo, la formulazione adottata precisa che l’incidenza sull’interessato deve avere luogo «in modo analogo», introducendo così un elemento di comparabilità con il criterio degli «effetti giuridici» per quanto riguarda le conseguenze di una siffatta decisione sulla situazione dell’interessato. L’incidenza di tale decisione deve pertanto essere quantomeno analoga a quella che risulterebbe dalla modifica o dalla soppressione di un diritto o di un obbligo ( 6 ). 25. Per quanto riguarda, sotto un secondo profilo, il contesto, il considerando 71 di detto regolamento fornisce esempi concreti di situazioni in cui si deve ritenere che una decisione produca effetti giuridici nei confronti di una persona o incida significativamente sulla stessa, senza tuttavia effettuare una distinzione tra queste due forme di effetti. Le due situazioni menzionate sono il rifiuto automatico di una domanda di credito online e le pratiche di assunzione elettronica senza interventi umani. 26. Per quanto riguarda infine, sotto un terzo profilo, le finalità perseguite, l’obiettivo dello stesso regolamento consiste, segnatamente, nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla protezione dei dati personali, sancito dall’articolo 16 TFUE e garantito in quanto diritto fondamentale all’articolo 8 della Carta dei diritti fondamentali dell’Unione europea ( 7 ). Tali elementi sono menzionati dal considerando 1 del RGPD. 27. È tenuto conto di tutte le considerazioni che precedono che occorre stabilire se circostanze come quelle descritte dal giudice del rinvio, ossia il rifiuto opposto ad un cliente di poter ricorrere a determinati metodi di pagamento a seguito di una verifica automatizzata della sua solvibilità, possano modificare direttamente i diritti o gli obblighi di tale cliente oppure avere un’incidenza sufficientemente concreta e rilevante sulla sua situazione da poter essere assimilata ad una siffatta modifica. A tal riguardo, la Corte ha già precisato nella sentenza SCHUFA Holding e a. (Scoring) che un individuo subisce un’incidenza, quantomeno, in modo significativo analogo ad effetti giuridici, se il calcolo automatizzato di un tasso di probabilità basato sull’analisi dei suoi dati personali comporta, in maniera pressoché sistematica, il rifiuto di una banca di concedergli un prestito ( 8 ). 28. In tale contesto, occorre domandarsi se, nella specie, il rifiuto di accordare determinati metodi di pagamento a un consumatore produca nei confronti dello stesso effetti analoghi o comparabili a quelli prodotti dal rifiuto di concedere un prestito. Ebbene, pur se spetta al giudice del rinvio valutare gli effetti concreti di un siffatto rifiuto nel contesto giuridico e fattuale della controversia di cui è investito, incombe alla Corte fornirgli tutte le indicazioni necessarie al fine di guidarlo in tale valutazione ( 9 ). 29. Di conseguenza, si pone segnatamente la questione di stabilire se le circostanze giuridiche della presente causa siano assimilabili a quelle che hanno dato luogo alla sentenza SCHUFA Holding e a. (Scoring), il che giustificherebbe l’applicazione dei principi che se ne possono trarre a contratti come quelli oggetto del procedimento principale. A tal riguardo, all’interno dell’Unione, la direttiva 2008/48/CE ( 10 ) verte appunto sui contratti di credito ai consumatori. Tuttavia, ai sensi del suo articolo 2, paragrafo 2, lettera f) ( 11 ) e alla luce degli elementi del fascicolo a disposizione della Corte, tale direttiva potrebbe escludere dal suo ambito di applicazione contratti come quelli di cui al procedimento principale, impedendo in tal modo di stabilire un’analogia diretta tra i contratti in questione e i contratti di credito ai consumatori assimilabili a quelli di cui trattavasi nella sentenza SCHUFA Holding e a. (Scoring). 30. Tuttavia, occorre inoltre sottolineare che la direttiva (UE) 2023/2225 ( 12 ), che non è applicabile ratione temporis alla controversia di cui al procedimento principale ( 13 ), precisa, al considerando 15, che, nella vigenza della direttiva 2008/48, alcuni Stati membri hanno scelto di applicare quest’ultima in settori non rientranti nel suo ambito di applicazione per rafforzare il livello di protezione dei consumatori. Di conseguenza, la Repubblica d’[OSCURATO:PERSONA] poteva ritenere, nel corso del periodo rilevante, che contratti come quelli oggetto del procedimento principale rientrassero nell’ambito di applicazione della direttiva 2008/48 e fossero assimilabili a contratti di credito come quelli in questione nella sentenza SCHUFA Holding e a. (Scoring). In ogni caso, nulla impediva alla Repubblica d’[OSCURATO:PERSONA] di definire come contratti di credito i contratti che comprendevano pagamenti non sicuri, risultando in tal caso applicabili mutatis mutandis i principi della sentenza SCHUFA Holding e a. (Scoring). 31. Anche se così non fosse, l’impossibilità di ricorrere a taluni metodi di pagamento, per effetto di una decisione fondata su una valutazione interamente automatizzata riguardante la solvibilità di potenziali clienti, può privare questi ultimi della possibilità di concludere un contratto di vendita qualora essi non siano in grado di corrispondere il prezzo di vendita al momento della conclusione del contratto utilizzando i metodi di pagamento che verrebbero loro, di fatto, imposti. In una fattispecie del genere, tali clienti si troverebbero dunque in una situazione analoga a quelli della causa che ha dato luogo alla sentenza SCHUFA Holding e a. (Scoring), poiché essa è assimilabile al rigetto di una domanda di prestito e ha come potenziale conseguenza l’impossibilità di concludere un contratto. 32. A lla luce di tutto quanto suesposto, propongo di rispondere alla prima questione pregiudiziale dichiarando che l’articolo 22, paragrafo 1, del RGPD deve essere interpretato nel senso che, nel contesto di una vendita a distanza, la decisione di escludere la possibilità per un cliente di scegliere determinati metodi di pagamento, adottata unicamente sulla base di una valutazione automatizzata della probabilità che tale cliente sia insolvente, produce effetti giuridici nei confronti di detto cliente o, quantomeno, incide in modo analogo significativamente sulla sua persona qualora essa sia idonea ad impedire la conclusione del contratto di vendita in questione. B. Sull’applicazione dell’eccezione prevista all’articolo 22, paragrafo 2, lettera a), del RGPD (seconda e terza questione) 33. La seconda e la terza questione vertono sulle condizioni alle quali è possibile adottare una decisione individuale basata unicamente sul trattamento automatizzato, in forza della deroga prevista all’articolo 22, paragrafo 2, lettera a), del RGPD, concernente il carattere necessario per la conclusione o l’esecuzione di un contratto. Più specificamente, la seconda questione riguarda la valutazione del carattere «necessario» di una siffatta decisione, mentre la terza questione è intesa a stabilire se tale carattere «necessario» debba essere determinato in relazione all’adozione di una decisione in quanto tale, oppure esclusivamente di una decisione basata sul trattamento automatizzato di dati personali. 34. In via preliminare, è utile rammentare, in primo luogo, il contesto in cui tali questioni si collocano. Il divieto previsto all’articolo 22, paragrafo 1, di tale regolamento contribuisce alla realizzazione dell’obiettivo generale di tutela dei dati personali dei singoli perseguito da detto regolamento, già richiamato al paragrafo 26 delle presenti conclusioni. La possibilità, derivante dall’articolo 22, paragrafo 2, dello stesso regolamento, di adottare eventualmente una siffatta decisione, costituisce, in sostanza, una deroga a tale divieto e, come ogni deroga, deve essere dunque interpretata restrittivamente ( 14 ). 35. In secondo luogo, la [OSCURATO:PERSONA] sostiene che, nella specie, il ricorso ai processi decisionali automatizzati va a beneficio, anzitutto, dei consumatori, i quali possono ricevere in tal modo una risposta pressoché immediata circa i metodi di pagamento di cui possono disporre, i quali possono eventualmente includere metodi di pagamento non sicuri. Tuttavia, mentre capisco il vantaggio procurato da una decisione positiva, esso è meno evidente allorché la decisione è negativa. La presente causa solleva quindi la questione della conciliazione degli interessi commerciali delle imprese, e anche di taluni consumatori, con la protezione dei dati personali. 1. Sulla seconda questione 36. Con la seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 22, paragrafo 2, lettera a), del RGPD debba essere interpretato nel senso che, qualora una società di vendita a distanza concluda un contratto con un cliente, da un lato, occorre dimostrare l’esistenza di un collegamento oggettivo tra la finalità di tale contratto e la valutazione automatizzata della probabilità che il cliente sia insolvente per poter concludere che una siffatta valutazione automatizzata sia necessaria per l’esecuzione del contratto stesso e, dall’altro, occorre che i dati raccolti siano oggettivamente appropriati per effettuare tale valutazione nonché occorre precisare quali fossero tali dati e perché siano stati raccolti. A tal riguardo, il giudice del rinvio si chiede se l’onere della prova gravi sulla società di vendita a distanza o sul cliente. a)      – Sul carattere «necessario per l’esecuzione di un contratto» di un trattamento automatizzato di dati 37. L’articolo 22, paragrafo 2, lettera a), del RGPD sancisce una delle deroghe all’applicazione del primo paragrafo di tale articolo, da cui può discendere la possibilità di adottare una decisione individuale basata unicamente sul trattamento automatizzato di dati personali. È la necessità che la decisione sia adottata ai fini della conclusione o dell’esecuzione di un contratto a giustificare tale esclusione, e il giudice del rinvio si chiede se la valutazione di una siffatta necessità dipenda dall’esistenza di un collegamento oggettivo tra tale decisione e la finalità del contratto in questione. 38. La nozione di «carattere necessario per la conclusione o l’esecuzione di un contratto» di un processo decisionale automatizzato non è oggetto di alcun rinvio al diritto nazionale degli Stati membri ai fini della sua definizione in tale regolamento. Di conseguenza, in applicazione della giurisprudenza citata al paragrafo 21 delle presenti conclusioni, occorre, da un lato, ritenere che tale nozione sia una nozione autonoma di diritto dell’Unione, e, dall’altro, determinarne il significato applicando lo stesso metodo. 39. Sotto un primo profilo, per quanto riguarda il senso comune di detta nozione, la Corte ha già rilevato che l’aggettivo «necessario» rinvia a quanto è richiesto o indispensabile per conseguire un obiettivo determinato ( 15 ). 40. Sotto un secondo profilo, per quanto riguarda il contesto, sotto la rubrica «Principi», il capo II del RGPD prevede obblighi ai quali devono ottemperare tutti i destinatari di tale regolamento. Tale capo contiene l’articolo 6, intitolato «Liceità del trattamento», il cui paragrafo 1, lettera b), dispone che il trattamento dei dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte». La Corte ha ritenuto che, affinché tale condizione sia soddisfatta, il trattamento di dati in questione debba essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato, il che implica che il titolare del trattamento sia in grado di dimostrare in che modo l’oggetto principale del contratto non potrebbe essere conseguito in assenza del trattamento di cui è causa. Essa ha precisato che il trattamento di dati personali deve essere essenziale per consentire la corretta esecuzione del contratto e, pertanto, che non esistono altre soluzioni percorribili e meno invasive ( 16 ). 41. In tal senso, il test giuridico applicabile per stabilire se un trattamento di dati sia necessario per la conclusione o l’esecuzione di un contratto consiste nel verificare se tale trattamento di dati sia indispensabile per conseguire la finalità principale della prestazione contrattuale, nel senso che gli obblighi previsti non possono eseguiti in sua assenza. Ciò implica che ci si accerti che non esistono altre soluzioni percorribili e meno invasive per la protezione dei dati, che possano consentire tale conseguimento. 42. Ritengo che tali considerazioni siano applicabili nel contesto dell’interpretazione dell’articolo 22, paragrafo 2, lettera a), del RGPD, in quanto il suo tenore letterale pressoché identico a quello dell’articolo 6, paragrafo 1, lettera b), di tale regolamento giustifica che la nozione di «necessità all’esecuzione del contratto» menzionata in ciascuno di essi sia interpretata in maniera analoga. Infatti, in assenza di qualsivoglia indicazione in tal senso in detto regolamento, sarebbe contrario alla sua architettura interpretare in maniera differente nozioni ivi enunciate con una formulazione identica ( 17 ). La logica dello stesso regolamento corrobora peraltro tale interpretazione, poiché il criterio di «necessità all’esecuzione di un contratto» non può essere interpretato applicando una soglia di rigore diversa a seconda che miri a giustificare la liceità di un trattamento di dati personali [articolo 6, paragrafo 1, lettera b), del RGPD] o quella dell’adozione di una decisione individuale automatizzata [articolo 22, paragrafo 2, lettera a), di tale regolamento], quando invece il problema sollevato da una siffatta adozione in relazione a detto regolamento risiede proprio nel fatto che essa si basa unicamente su un trattamento automatizzato di dati personali ( 18 ). 43. Sotto un terzo profilo, le finalità perseguite dallo stesso regolamento, già richiamate al paragrafo 26 delle presenti conclusioni, avvalorano detta interpretazione che consente di delimitare in maniera rigorosa una possibilità di derogare al divieto di ricorrere ad un processo decisionale automatizzato relativo alle persone fisiche previsto all’articolo 22, paragrafo 1, del RGPD. 44. Alla luce delle considerazioni figuranti ai paragrafi da 38 a 43 delle presenti conclusioni, l’adozione di una decisione individuale basata unicamente sul trattamento automatizzato di dati può essere giustificata ai sensi dell’articolo 22, paragrafo 2, lettera a), del RGPD solo se supera un test giuridico analogo a quello descritto al precedente paragrafo 41. Ebbene, la prima fase di tale test consiste nello stabilire se l’adozione di una siffatta decisione sia oggettivamente indispensabile al raggiungimento della finalità principale del contratto in questione. Pertanto tale fase consiste proprio nel cercare l’esistenza di un collegamento di necessità tra tale decisione e il raggiungimento della finalità di tale contratto. Di conseguenza, la dimostrazione dell’esistenza di un collegamento oggettivo diretto tra la finalità di un contratto da stipulare e una decisione individuale automatizzata è un presupposto indispensabile per poter concludere che tale decisione è necessaria alla conclusione o all’esecuzione di tale contratto. Tale condizione necessaria non è, tuttavia, sufficiente, poiché occorre soddisfare anche la seconda fase del test pertinente, consistente nel dimostrare che per conseguire lo stesso risultato non è possibile un’altra soluzione meno invasiva. 45. Nel caso di specie, dalle spiegazioni fornite dal giudice del rinvio emerge che la finalità dei contratti di cui al procedimento principale è il trasferimento di proprietà, da parte di una società di vendita a distanza, di beni di consumo a clienti in cambio del pagamento del prezzo dei beni in questione. L’obiettivo del ricorso a una decisione basata unicamente sul trattamento automatizzato di dati personali consiste nell’accertarsi della solvibilità di tali clienti, al fine di proporre loro un metodo di pagamento adeguato. 46. Alla luce di tutte le considerazioni che precedono, si potrebbe ritenere che l’adozione di una decisione basata unicamente sul trattamento automatizzato di dati personali sia intesa a conseguire la finalità di contratti come quelli di cui al procedimento principale. Sarà tuttavia necessario dimostrare, per verificarlo, che la messa a disposizione di un metodo di pagamento appropriato è volta a garantire la corretta esecuzione di tale prestazione contrattuale ( 19 ), e che l’esame di tale appropriatezza dipende effettivamente dalla valutazione automatizzata della solvibilità del cliente interessato, la quale non potrebbe essere realizzata mediante una soluzione meno invasiva. Ne risulterebbe infatti che la conclusione o l’esecuzione di un siffatto contratto, e dunque il conseguimento della sua finalità, dipenderebbe concretamente da tale valutazione. Tuttavia, spetta al giudice del rinvio verificare, da un lato, che sia effettivamente questo il caso, e, dall’altro, che un siffatto trattamento automatizzato sia uno strumento adatto a conseguire tale finalità. Tale giudice dovrà segnatamente fondare la sua valutazione sugli elementi che costituiscono l’oggetto della seconda parte della seconda questione pregiudiziale. b) – Sulla natura dei dati raccolti e sulla ripartizione dell’onere della prova 47. Il giudice del rinvio chiede, in sostanza, se, in sede di adozione di una decisione basata unicamente sul trattamento automatizzato di dati personali ai sensi dell’articolo 22, paragrafo 2, lettera a), del RGPD, tale trattamento debba essere limitato a dati oggettivamente appropriati a consentire il raggiungimento della finalità del contratto, e se l’onere della prova di tale appropriatezza gravi sul titolare del trattamento o sull’interessato. 48. In primo luogo, per quanto riguarda l’appropriatezza dei dati selezionati per essere oggetto di un trattamento automatizzato ai fini della conclusione o dell’esecuzione di un contratto, la questione deferita dal giudice del rinvio mi sembra poter essere interpretata in due modi alla luce delle considerazioni ad essa sottese. Da un lato, tale giudice sembra interrogarsi sulla portata quantitativa dei dati che possono essere oggetto di un siffatto trattamento. Dall’altro, gli interrogativi di detto giudice potrebbero altresì essere intesi, più sostanzialmente, nel senso che essi attengono all’idoneità di tali dati al raggiungimento della finalità perseguita da tale trattamento. 49. Sotto un primo profilo, per quanto riguarda la portata quantitativa dei dati che possono essere presi in considerazione nell’ambito dell’adozione di decisioni automatizzate come quelle oggetto del procedimento principale, occorre sottolineare che tali decisioni devono rispettare i principi che governano il trattamento dei dati personali, previsti all’articolo 5 del RGPD, i quali sono applicabili cumulativamente. Tra tali principi figura il principio cosiddetto della «minimizzazione dei dati», dal quale discende che i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati»( 20 ). Pertanto, «il titolare del trattamento non può procedere, in modo generalizzato e indifferenziato, alla raccolta di dati personali e non deve raccogliere dati che non siano strettamente necessari rispetto alle finalità del trattamento». Inoltre, dall’articolo 25 di tale regolamento risulta che il titolare del trattamento deve attuare misure adeguate a garantire che, per impostazione predefinita, siano trattati solo i dati personali necessari per ciascuna finalità specifica del trattamento ( 21 ). 50. Dalla giurisprudenza della Corte può dunque desumersi che solo i dati che sono oggettivamente appropriati e strettamente necessari al raggiungimento della finalità perseguita da un trattamento di dati personali devono essere raccolti ed utilizzati dal titolare del trattamento. Di conseguenza, nel procedimento principale, spetterà al giudice del rinvio verificare che i dati raccolti e trattati siano tutti indispensabili alla valutazione della solvibilità dei clienti interessati. 51. Sotto un secondo profilo, per quanto riguarda l’idoneità dei dati che sono stati oggetto di un trattamento automatizzato a raggiungere la finalità perseguita da tale trattamento, può sorgere la questione se l’omissione di un dato, o il ricorso ad un dato piuttosto che ad un altro, possa esercitare un’influenza decisiva e, se del caso, potenzialmente problematica, su una valutazione fondata su detto trattamento. Anche la risposta a tale interrogativo discende dall’interpretazione del principio della «minimizzazione dei dati», nella misura in cui quest’ultimo presenta una dimensione qualitativa attinente al carattere adeguato e pertinente dei dati trattati, ossia, appunto, alla loro idoneità a raggiungere le finalità che hanno giustificato lo stesso trattamento. 52. Al di là di tali considerazioni generali, osservo tuttavia che il RGPD non fornisce indicazioni circa i criteri che consentono di valutare il carattere «adeguato» e «pertinente» di un dato. A tal riguardo, la Corte si è limitata a precisare che, qualora i dati soddisfino questi due requisiti, essi sono idonei a conseguire le finalità del trattamento in questione e, a fortiori , a realizzare l’obiettivo di tale trattamento ( 22 ). Ciò si spiega, a mio avviso, logicamente, con l’estrema varietà delle situazioni coperte e dal margine di manovra necessario di cui gli Stati membri devono beneficiare per applicare tali principi. Inoltre, mentre tale regolamento è destinato a regolare le questioni direttamente connesse al trattamento dei dati, il controllo dei requisiti di adeguatezza e di pertinenza rispetto alla finalità del trattamento dipende dall’esame di altre normative settoriali che possono spiegare o precisare il rapporto tra i dati trattati e la finalità perseguita. 53. Pertanto, in una fattispecie come quella di cui al procedimento principale, la questione della valutazione della solvibilità di un cliente e degli elementi che devono – o non devono – essere presi in considerazione per accertarla, potrebbe rientrare, ad esempio, nell’ambito di applicazione o della normativa dell’Unione sui contratti di credito ai consumatori o del diritto nazionale, mentre la valutazione generale vertente sulla legittimità del ricorso a tale finalità sarebbe soggetta a un controllo di proporzionalità ai sensi di detto regolamento tenendo conto delle normative specifiche pertinenti ( 23 ). Nella specie, spetta al giudice del rinvio, alla luce del contesto fattuale della controversia di cui al procedimento principale, stabilire se i dati che sono stati oggetto di una valutazione automatizzata fossero effettivamente appropriati ed idonei a dimostrare la solvibilità dei clienti interessati ( 24 ), esaminando, per farlo, la normativa nazionale applicabile ai contratti in questione nonché alla protezione dei consumatori. 54. In secondo luogo, per quanto riguarda l’onere della prova, dalla formulazione estremamente chiara dell’articolo 5, paragrafo 2, dello stesso regolamento risulta che il titolare del trattamento è competente per il rispetto dei principi previsti sotto forma di obblighi al paragrafo 1 di tale articolo, e che deve essere in grado di comprovarlo. Inoltre, nel contesto dell’applicazione dell’articolo 6, paragrafo 1, lettera b), del RGPD, del quale ho rilevato la somiglianza con l’articolo 22, paragrafo 2, lettera a), del medesimo regolamento al paragrafo 42 delle presenti conclusioni, la Corte ha già dichiarato che è il titolare del trattamento che deve essere in grado di dimostrare in che modo l’oggetto principale del contratto in questione non potrebbe essere conseguito in assenza del trattamento di dati personali controverso ( 25 ). 55. Spetta dunque al titolare del trattamento indicare quali dati siano stati raccolti e trattati, nonché dimostrare la loro necessità per il raggiungimento della finalità perseguita dal trattamento controverso. 56. Alla luce di tali considerazioni, propongo alla Corte di rispondere alla seconda questione pregiudiziale nei seguenti termini: l’articolo 22, paragrafo 2, lettera a), del RGPD deve essere interpretato nel senso che, qualora una società di vendita a distanza concluda un contratto con un cliente, da un lato, occorre dimostrare l’esistenza di un collegamento oggettivo tra la finalità di tale contratto e la valutazione automatizzata della probabilità che il cliente sia insolvente per poter concludere che una siffatta valutazione automatizzata sia necessaria all’esecuzione del contratto stesso, e, dall’altro, occorre che i dati raccolti a tal fine siano oggettivamente appropriati per effettuare tale valutazione, nonché occorre precisare quali fossero tali dati e perché siano stati raccolti. A tal riguardo, l’onere della prova grava sulla società di vendita a distanza. 2. Sulla terza questione 57. Con la terza questione, il giudice del rinvio chiede, in sostanza, da un lato, se, affinché sia applicabile la deroga al divieto di adottare una decisione basata unicamente sul trattamento automatizzato prevista all’articolo 22, paragrafo 2, lettera a), del RGPD, sia una «decisione» oppure una «decisione automatizzata» ad essere necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, e, dall’altro, se elementi come risparmi di tempo per i clienti ed economie realizzate dall’impresa che ha fatto ricorso ad un siffatto trattamento automatizzato siano rilevanti per valutare la necessità di tale trattamento, così come la possibilità di sostituirlo con un trattamento effettuato da una persona fisica mediante uno sforzo ragionevole. 58. In primo luogo, gli interrogativi del giudice del rinvio sono principalmente relativi al tenore letterale di tale disposizione, la quale si limita a menzionare una «decisione» necessaria per la conclusione o l’esecuzione di un contratto. Per ragioni analoghe a quelle già illustrate ai paragrafi 21 e 38 delle presenti conclusioni, occorre analizzare il significato abituale di tale nozione, tenendo conto del contesto in cui essa si inserisce nonché degli obiettivi perseguiti da detta disposizione. 59. Sotto un primo profilo, il testo dell’articolo 22, paragrafo 2, lettera a), del RGPD, rimanda unicamente al termine «decisione», senza precisare che essa deve essere automatizzata, il che potrebbe far intendere che non debba esserlo. Tuttavia, tale termine è preceduto dall’articolo determinativo «la» e non dall’articolo indeterminativo «una», il che implica che la decisione di cui trattasi in tale disposizione è già individuata. Di conseguenza, il gruppo nominale «la decisione» può rinviare, nella specie, solo alla «decisione basata unicamente sul trattamento automatizzato, compresa la profilazione» di cui al paragrafo 1 di tale articolo. Dal tenore letterale dell’articolo 22, paragrafo 2, lettera a), di tale regolamento risulta quindi che tale disposizione riguarda le decisioni automatizzate ( 26 ). 60. Sotto un secondo profilo, il contesto di detta disposizione avvalora tale interpretazione. Infatti, secondo il dettato del considerando 71 di detto regolamento, il quale, in sostanza, consente di chiarire l’interpretazione dell’articolo 22 dello stesso regolamento ( 27 ), è effettivamente l’adozione di « decisioni sulla base di tale trattamento , compresa la profilazione», che dovrebbe essere consentita «se ciò è (...) necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento» ( 28 ). 61. Sotto un terzo profilo, per quanto attiene agli obiettivi perseguiti dal RGPD e già richiamati ai paragrafi 26 e 43 delle presenti conclusioni, rilevo che l’interpretazione da me proposta della nozione di «decisione» nel contesto dell’interpretazione dell’articolo 22, paragrafo 2, lettera a), di tale regolamento comporta la restrizione della portata della deroga al divieto di ricorrere a processi decisionali automatizzati relativi alle persone fisiche ivi sancito. Nel caso contrario, sarebbe sufficiente che l’adozione di una decisione (automatizzata o meno) sia necessaria per la conclusione o l’esecuzione di un contratto per consentire di fondare la stessa su un trattamento automatizzato di dati. Le considerazioni che precedono sono a maggior ragione pertinenti, a mio avviso, nel contesto richiamato al paragrafo 34 delle presenti conclusioni, e dal quale risulta che la deroga prevista all’articolo 22, paragrafo 2, lettera a), di detto regolamento può essere interpretata solo restrittivamente. 62. Inoltre, la Commissione europea precisa di avere sottoposto al Parlamento europeo e al Consiglio dell’Unione europea una proposta di regolamento diretta segnatamente a modificare il RGPD ( 29 ), la quale consentirebbe di dissipare ogni dubbio circa l’interpretazione della nozione di «decisione» ai sensi dell’articolo 22, paragrafo 2, lettera a), di tale regolamento, poiché ne risulterebbe esplicitamente che non sarebbe richiesto che una decisione possa essere presa solo mediante un trattamento automatizzato per poter invocare la deroga da esso prevista. Tuttavia, poiché tale proposta non è entrata in vigore e non è stata neanche approvata come tale dal Parlamento e dal Consiglio, essa non può presentare alcuna rilevanza per l’interpretazione della nozione in questione. 63. In secondo luogo, per quanto riguarda gli elementi che devono essere presi in considerazione per valutare la necessità di ricorrere a un processo decisionale automatizzato e, segnatamente, nella specie, il numero di ordini che imprese come la [OSCURATO:PERSONA] devono gestire e le aspettative dei clienti in materia di celerità del servizio fornito, è alla luce del test giuridico descritto al paragrafo 41 nonché delle considerazioni richiamate ai paragrafi da 49 a 55 delle presenti conclusioni che il giudice del rinvio dovrà verificare se siffatti elementi fattuali siano idonei a dimostrare che il ricorso ad un processo decisionale automatizzato è necessario, nel senso, da un lato, che la valutazione automatizzata della solvibilità dei clienti è indispensabile per garantire la corretta esecuzione dei contratti in questione, e, dall’altro, che essa non può essere sostituita mediante un intervento umano che costituirebbe un’alternativa meno invasiva ai sensi della seconda fase di tale test e in conformità, in particolare, del considerando 39 di detto regolamento. 64. A mio avviso, nelle linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento (UE) 2016/679, adottate il 3 ottobre 2017, viene correttamente indicato che un giudice nazionale potrebbe pervenire, ad esempio, ad una siffatta conclusione allorché constati che un intervento umano sia impraticabile o impossibile in considerazione della quantità di dati trattati. Ciò implicherebbe che il ricorso a una decisione automatizzata sia indispensabile, in quanto è soddisfatta la seconda fase del test giuridico descritto al paragrafo 41 delle presenti conclusioni. Tuttavia, spetta all’impresa interessata dimostrarlo, e il fatto che un siffatto trattamento sia soltanto utile per l’esecuzione del contratto in questione non è sufficiente al riguardo ( 30 ). 65. In concreto, per quanto attiene, sotto un primo profilo, al volume degli ordini trattati e alla celerità della risposta fornita al cliente circa il metodo di pagamento che potrà utilizzare, sarebbe necessario dimostrare, fondandosi su elementi oggettivi ( 31 ), da un lato, per quale motivo la quantità dei dati trattati generata dal volume di tali ordini implica che possa essere oggetto solo di un trattamento automatizzato, non esistendo un’alternativa meno invasiva, e, dall’altro, che il fatto di ottenere una risposta immediata circa il metodo di pagamento è un fattore che condiziona la scelta del cliente di concludere il contratto in questione con l’impresa interessata. 66. Sotto un secondo profilo, osservo parimenti che, nell’ipotesi in cui il giudice del rinvio ritenesse che i metodi di pagamento di cui al procedimento principale rientrino nell’ambito di applicazione della direttiva 2008/48 in forza della normativa austriaca, il merito creditizio dei clienti dovrebbe allora essere valutato prima della conclusione dei contratti controversi, in applicazione dell’articolo 8 di tale direttiva. Così come avviene per le problematiche evocate al paragrafo precedente delle presenti conclusioni, spetterebbe in tal caso all’impresa in questione dimostrare, fondandosi su elementi di prova oggettivi, perché il trattamento automatizzato non può essere sostituito con un’altra soluzione percorribile e meno invasiva al fine di adempiere a tale obbligo. 67. Alla luce di tutto quanto sopra esposto, ritengo che occorra rispondere alla terza questione pregiudiziale dichiarando che l’articolo 22, paragrafo 2, lettera a), del RGPD deve essere interpretato nel senso che, da un lato, affinché sia applicabile la deroga al divieto di adottare una decisione basata unicamente sul trattamento automatizzato che esso prevede, occorre che un processo decisionale automatizzato sia necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, nel senso, in particolare, che non sia possibile ricorrere a un’alternativa meno invasiva, e, dall’altro, che elementi come risparmi di tempo per i clienti ed economie realizzate dall’impresa che ha fatto ricorso ad un siffatto trattamento automatizzato possono essere rilevanti per valutare la necessità di tale trattamento automatizzato se, nelle specifiche circostanze del caso di specie, essi sono idonei a dimostrare oggettivamente tale necessità, segnatamente nel senso che non è possibile ricorrere ad un’alternativa meno invasiva. V. Conclusione 68. Alla luce dell’analisi esposta nelle presenti conclusioni, propongo alla Corte di rispondere nei seguenti termini alle questioni proposte dall’[OSCURATO:PERSONA] (Corte suprema, [OSCURATO:PERSONA]): 1)      L’articolo 22, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) deve essere interpretato nel senso che: nel contesto di una vendita a distanza, la decisione di escludere la possibilità per un cliente di scegliere determinati metodi di pagamento, adottata unicamente sulla base di una valutazione automatizzata della probabilità che tale cliente sia insolvente, produce effetti giuridici nei confronti di detto cliente o, quantomeno, incide in modo analogo significativamente sulla sua persona qualora essa sia idonea ad impedire la conclusione del contratto di vendita in questione. 2)      L’articolo 22, paragrafo 2, lettera a), del regolamento 2016/679 deve essere interpretato nel senso che: qualora una società di vendita a distanza concluda un contratto con un cliente, da un lato, occorre dimostrare l’esistenza di un collegamento oggettivo tra la finalità di tale contratto e la valutazione automatizzata della probabilità che il cliente sia insolvente per poter concludere che una siffatta valutazione automatizzata sia necessaria all’esecuzione del contratto stesso, e, dall’altro, occorre che i dati raccolti a tal fine siano oggettivamente appropriati per effettuare tale valutazione, nonché occorre precisare quali fossero tali dati e perché siano stati raccolti. A tal riguardo, l’onere della prova grava sulla società di vendita a distanza. 3)      L’articolo 22, paragrafo 2, lettera a), del regolamento 2016/679 deve essere interpretato nel senso che: da un lato, affinché sia applicabile la deroga al divieto di adottare una decisione basata unicamente sul trattamento automatizzato che esso prevede, occorre che un processo decisionale automatizzato sia necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, nel senso, in particolare, che non sia possibile ricorrere ad un’alternativa meno invasiva, e, dall’altro, elementi come risparmi di tempo per i clienti ed economie realizzate dall’impresa che ha fatto ricorso ad un siffatto trattamento automatizzato possono essere rilevanti per valutare la necessità di tale trattamento automatizzato se, nelle specifiche circostanze del caso di specie, essi sono idonei a dimostrare oggettivamente tale necessità, segnatamente nel senso che non è possibile ricorrere ad un’alternativa meno invasiva. 1 Lingua originale: il francese. 2 V., al riguardo, sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) [C‑634/21; in prosieguo: la «sentenza SCHUFA Holding e a. (Scoring)», EU:C:2023:957, punti da 57 a 59]. 3 V., a tal riguardo, Poullet, Y., «Cinq ans après : le RGPD et les défis du profilage à l’heure de l’intelligence artificielle», Revue des affaires européennes , 2021/I, pagg. 97 e 98. 4 V. sentenza del 14 aprile 2026, Pelham (Nozione di «pastiche») (C‑590/23, EU:C:2026:290, punto 34 e giurisprudenza citata). 5 A tal riguardo, mi sembra, per contro, che tali considerazioni non comportino necessariamente che gli effetti della decisione in questione siano di una certa gravità, contrariamente alle considerazioni svolte dal gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito all’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31) nelle linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento (UE) 2016/679, adottate il 3 ottobre 2017, nella loro versione riveduta e adottata il 6 febbraio 2018 (v. pag. 23). Gli effetti di una decisione possono essere considerati significativi, nel senso che rivestono una certa importanza per la persona che ne è oggetto (economica, sociale, professionale, ecc.), senza presentare tuttavia un carattere di «gravità», fermo restando che quest’ultima nozione si caratterizza per la sua connotazione negativa e suggerisce una conseguenza sfavorevole o una forma di pregiudizio (danno, rischio, ecc.). 6 A mio avviso, da tale formulazione risulta che potrebbero rientrare nella seconda ipotesi prevista all’articolo 22, paragrafo 1, del RGPD situazioni come la valutazione di una domanda di credito, la fissazione dell’importo di un premio assicurativo, o l’accollo – o meno – di cure mediche, ecc. 7 V. sentenza del 27 febbraio 2025, Dun & [OSCURATO:PERSONA] e a. (C‑203/22, EU:C:2025:117, punto 51). 8 V., in tal senso, sentenza SCHUFA Holding e a. (Scoring) (punti 48 e 49). 9 V., in tal senso, sentenza del 29 luglio 2024, Perle (C‑14/23, EU:C:2024:647, punto 49 e giurisprudenza citata). 10 Direttiva del Parlamento europeo e del Consiglio del 23 aprile 2008, relativa ai contratti di credito ai consumatori e che abroga la direttiva 87/102/CEE del Consiglio (GU 2008, L 133, pag. 66, nonché rettifiche in GU 2009, L 207, pag. 14, GU 2010, L 199, pag. 40, GU 2011, L 234, pag. 46, e GU 2015, L 36, pag. 15). 11 «La presente direttiva non si applica ai: (...) contratti di credito che non prevedono il pagamento di interessi o altre spese e contratti di credito in forza dei quali il credito deve essere rimborsato entro tre mesi e che comportano solo spese di entità trascurabile». 12 Direttiva del Parlamento europeo e del Consiglio, del 18 ottobre 2023, relativa ai contratti di credito ai consumatori e che abroga la direttiva 2008/48/CE (GU L, 2023/2225). 13 Tale direttiva contiene disposizioni che possono incidere in maniera sostanziale sul ricorso alle decisioni automatizzate, da essa disciplinate appunto nel contesto della valutazione obbligatoria del merito creditizio dei consumatori, al suo articolo 18, e segnatamente al paragrafo 8 dello stesso. Tuttavia, dal suo articolo 2, paragrafo 2, lettera h), risulta che detta direttiva potrebbe non essere applicabile a contratti come quelli oggetto della controversia di cui al procedimento principale. 14 V., in tal senso e nel contesto della tutela dei dati personali e delle deroghe alla medesima che devono essere applicate entro i limiti dello stretto necessario, sentenze del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 210 e giurisprudenza citata) nonché del 4 luglio 2023, [OSCURATO:PERSONA] e a. (Condizioni generali di utilizzo di un social network) (C‑252/21, EU:C:2023:537, punto 93 e giurisprudenza citata). 15 Sentenza del 14 dicembre 2017, EBMA/Giant (Cina) (C‑61/16 P, EU:C:2017:968, punto 47). In tale sentenza, la Corte ha dichiarato, in sostanza, che sono unicamente le informazioni senza le quali un’inchiesta antidumping non può essere condotta a termine che possono essere considerate come «necessarie», ai sensi dell’articolo 18, paragrafo 1, del regolamento (CE) n. 1225/2009 del Consiglio, del 30 novembre 2009, relativo alla difesa contro le importazioni oggetto di dumping da parte di paesi non membri della Comunità europea (GU 2009, L 343, pag. 51, e rettifica in GU 2010, L 7, pag. 22). 16 Sentenza del 4 luglio 2023, [OSCURATO:PERSONA] e a. (Condizioni generali di utilizzo di un social network) (C‑252/21, EU:C:2023:537, punti 98 e 99). 17 Alla luce delle esigenze di unità e di coerenza dell’ordinamento giuridico dell’Unione, le nozioni utilizzate dagli atti adottati nel medesimo settore devono avere lo stesso significato quando il legislatore dell’Unione non ha espresso una diversa volontà [v., per analogia, sentenza del 17 marzo 2021, [OSCURATO:PERSONA] (C‑459/19, EU:C:2021:209, punto 35 e giurisprudenza citata)]. 18 Al punto di ritenere che tale decisione comprenda tale trattamento di dati. 19 In contrapposizione, ad esempio, al ragionamento seguito ai punti da 39 a 42 della sentenza del 9 gennaio 2025, Mousse (C‑394/23, EU:C:2025:2), tramite i quali la Corte ha ritenuto, in sostanza, che la personalizzazione della comunicazione commerciale, fondata sul genere del cliente interessato, non fosse necessaria per fornire a tale cliente un servizio di trasporto ferroviario, nella misura in cui l’impresa interessata poteva optare, ad esempio, per una comunicazione basata su formule di cortesia generiche. Per contro, nella specie, la capacità del cliente di corrispondere i pagamenti che sono parte integrante della prestazione contrattuale in questione può comprometterne direttamente la corretta esecuzione. 20 Sentenza del 4 ottobre 2024, Schrems (Comunicazione di dati al grande pubblico) (C‑446/21, EU:C:2024:834, punti da 47 a 49 e giurisprudenza citata). 21 Sentenza del 4 ottobre 2024, Schrems (Comunicazione di dati al grande pubblico) (C‑446/21, EU:C:2024:834, punti 59 e 60 e giurisprudenza citata). 22 Sentenza del 18 giugno 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, punto 97). 23 V., per analogia, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C‑26/22 e C‑64/22, EU:C:2023:958, punti da 82 a 86). 24 Ai fini di tale valutazione, sarebbe segnatamente pertinente stabilire se i dati in questione presentino un collegamento diretto e oggettivo con la valutazione della solvibilità del cliente interessato, e se siano indispensabili – da soli o in combinazione con altri dati – a tale valutazione, interrogandosi al contempo sui rischi che essa rappresenta per l’interessato. 25 Sentenza del 4 luglio 2023, [OSCURATO:PERSONA] e a. (Condizioni generali di utilizzo di un social network) (C‑252/21, EU:C:2023:537, punto 98). 26 Peraltro, tale interpretazione è corroborata da altre versioni linguistiche di tale disposizione. Così, la versione in lingua tedesca menziona « die Entscheidung », mentre la versione in lingua inglese « the decision ». 27 V., per analogia, sentenza del 5 marzo 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202, punto 59 e giurisprudenza citata). 28 Il corsivo è mio. 29 Proposta di regolamento del Parlamento europeo e del Consiglio che modifica i regolamenti (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 e (UE) 2023/2854 e le direttive 2002/58/CE, (UE) 2022/2555 e (UE) 2022/2557 per quanto riguarda la semplificazione del quadro legislativo nel settore digitale e che abroga i regolamenti (UE) 2018/1807, (UE) 2019/1150 e (UE) 2022/868 e la direttiva (UE) 2019/1024 (omnibus digitale) [COM(2025) 837 final]. 30 V., per analogia, sentenza del 4 luglio 2023, [OSCURATO:PERSONA] e a. (Condizioni generali di utilizzo di un social network) (C‑252/21, EU:C:2023:537, punto 99). 31 Penso, segnatamente, ad analisi di dati numerici di costi e benefici, nonché all’impatto finanziario delle diverse misure ipotizzabili sull’impresa in questione, e, per esempio, a studi statistici.