Corte di giustizia UE/2024

62022CC0203 CONCLUSIONI DELL’[OSCURATO:PERSONA] [OSCURATO:PERSONA] presentate il 12 settembre 2024 ( 1 ) Causa C‑203/22 CK con l’intervento di Dun & [OSCURATO:PERSONA] GmbH, Magistrat der [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA] (Tribunale amministrativo di [OSCURATO:PERSONA], [OSCURATO:PERSONA])] «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 1, lettera h) – Articolo 22 – Processo decisionale automatizzato, compresa la profilazione – Valutazione della solvibilità di una persona fisica – Accesso a informazioni significative sulla logica utilizzata nell’ambito del processo decisionale automatizzato – Verifica della correttezza delle informazioni fornite e della loro coerenza con la decisione inerente al rating di cui trattasi – Tutela dei diritti e delle libertà altrui – Direttiva (UE) 2016/943 – Segreto commerciale» I. Introduzione 1. La presente domanda di pronuncia pregiudiziale verte sull’interpretazione, da un lato, dell’articolo 15, paragrafo 1, lettera h), e paragrafo 4, e dell’articolo 22 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( 2 ) (in prosieguo: il «RGPD») e, dall’altro, dell’articolo 2, punto 1, della direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know‑how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti ( 3 ). 2. Detta domanda è stata presentata nell’ambito di una controversia che contrappone CK al Magistrat der [OSCURATO:PERSONA] (amministrazione comunale della città di [OSCURATO:PERSONA]) con riferimento alla domanda di esecuzione forzata di una decisione giurisdizionale che obbligava un’impresa che effettuava valutazioni della solvibilità a fornire a CK informazioni significative sulla logica utilizzata nell’ambito di una profilazione riguardante i suoi dati personali. 3. Nelle considerazioni che seguono, andrò a precisare cosa si debba intendere, a mio avviso, con «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, oltre alle modalità con cui deve essere compiuto un bilanciamento tra, da un lato, il diritto di accesso a tali informazioni e, dall’altro, la tutela dei diritti e delle libertà altrui, quali i segreti commerciali. II. Fatti del procedimento principale e questioni pregiudiziali 4. CK si è vista negare da un operatore di telefonia mobile la conclusione o un’estensione della durata di un contratto di telefonia mobile che avrebbe comportato un pagamento mensile di EUR 10 in quanto priva di sufficiente capacità finanziaria. L’asserita insufficiente solvibilità di CK veniva giustificata sulla base di una valutazione della sua qualità creditizia effettuata in maniera automatizzata dalla [OSCURATO:PERSONA] GmbH (divenuta, nel frattempo, Dun & [OSCURATO:PERSONA] GmbH; in prosieguo: la «D & B»), un’azienda specializzata nella fornitura di tali valutazioni. 5. CK si rivolgeva all’autorità austriaca per la protezione dei dati chiedendo informazioni pertinenti sulla logica utilizzata nell’ambito del processo decisionale automatizzato seguito da D & B. Tale autorità accoglieva detta domanda. 6. La D & B contestava, dinanzi al Bundesverwaltungsgericht (Corte amministrativa federale, [OSCURATO:PERSONA]), la decisione dell’autorità austriaca per la protezione dei dati che la obbligava a comunicare le informazioni richieste da CK. 7. Con decisione del 23 ottobre 2019, detto giudice confermava parzialmente la succitata decisione dell’autorità austriaca per la protezione dei dati. Esso dichiarava così che la D & B aveva violato il diritto di accesso riconosciuto a CK in forza dell’articolo 15, paragrafo 1, lettera h), del RGPD, non fornendole informazioni significative sulla logica utilizzata nell’ambito del processo decisionale automatizzato relativo ai dati personali di CK, o, in ogni caso, non motivando in maniera sufficiente la sua impossibilità a farlo. 8. Detta decisione del Bundesverwaltungsgericht (Corte amministrativa federale) è divenuta definitiva ed è esecutiva in forza del diritto austriaco. 9. La domanda di esecuzione forzata di detta decisione presentata da CK veniva, tuttavia, respinta dall’autorità competente per l’esecuzione, l’amministrazione comunale della città di [OSCURATO:PERSONA], in quanto la D & B avrebbe già soddisfatto a sufficienza il suo obbligo di informazione. 10. CK ha proposto un ricorso avverso tale decisione dinanzi al [OSCURATO:PERSONA] (Tribunale amministrativo di [OSCURATO:PERSONA], [OSCURATO:PERSONA]), giudice del rinvio. Detto giudice osserva che, nell’ambito di tale ricorso, esso è tenuto ad adottare, in luogo dell’autorità esecutiva, una decisione avente ad oggetto l’esecuzione della decisione del Bundesverwaltungsgericht (Corte amministrativa federale). Il giudice del rinvio è pertanto chiamato a stabilire, in concreto, quali informazioni D & B sia tenuta a comunicare a CK ( 4 ). 11. In tale ottica, detto giudice ritiene che l’articolo 15, paragrafo 1, lettera h), del RGPD conferisca all’interessato un diritto di accesso a informazioni esatte. Detto giudice osserva, a questo proposito, che vi sono chiari indizi del fatto che le – poche – informazioni ad oggi fornite dalla D & B non sono veritiere. Infatti, benché le informazioni fornite a CK le attribuiscano una qualità creditizia particolarmente elevata, la sua profilazione reale l’ha indicata, di fatto, come insolvibile anche rispetto alla capacità finanziaria di versare la somma mensile di EUR 10. Esisterebbe, pertanto un’evidente contraddizione tra, da un lato, le informazioni comunicate a CK sui suoi dati personali trattati e sulla logica utilizzata nell’ambito della valutazione automatica compiuta e, dall’altro, la conclusione che l’operatore di telefonia mobile ha tratto dal rating effettivamente assegnato. Detta contraddizione porterebbe a dubitare dell’esattezza delle informazioni ad oggi fornite a CK. 12. Muovendo da tale constatazione, il giudice del rinvio osserva che l’interessato, quando è sottoposto a profilazione, può far valere un diritto di accesso a informazioni esatte solo laddove l’articolo 15, paragrafo 1, lettera h), del RGPD gli riconosca un diritto di accesso sufficientemente ampio al fine di consentirgli di verificare la coerenza e il carattere intelligibile della valutazione fornita, nonché di comprendere se la logica interna a lui comunicata nel quadro del suo diritto di accesso sia stata effettivamente utilizzata ai fini della profilazione cui è stato sottoposto. In sintesi, l’interessato dovrebbe poter ottenere informazioni sufficientemente dettagliate sui dati personali trattati e sulla logica interna utilizzata nell’ambito del processo decisionale automatizzato tali da consentirgli di comprendere detto processo e di verificarne l’esattezza. 13. Secondo detto giudice, tale interpretazione dell’articolo 15, paragrafo 1, lettera h), del RGPD potrebbe garantire l’effetto utile di questa disposizione, impedendo la trasmissione di informazioni errate da parte del titolare del trattamento. Inoltre, detta interpretazione consentirebbe all’interessato di esercitare i diritti a lui conferiti dall’articolo 22, paragrafo 3, del regolamento di cui trattasi, vale a dire, segnatamente, quello di esprimere la propria opinione in merito a un processo decisionale automatizzato relativo alle persone fisiche e di contestarne la coerenza e l’esattezza. 14. Il suddetto giudice sottolinea che il requisito secondo cui l’interessato deve poter verificare la coerenza e l’esattezza delle informazioni fornite in applicazione dell’articolo 15, paragrafo 1, lettera h), del RGPD incide fortemente nello stabilire in che misura e con quale livello di precisione il titolare del trattamento sia tenuto a divulgare informazioni in forza di detta disposizione. 15. Nell’ambito del procedimento principale, il giudice del rinvio ha nominato un consulente chiamato a stabilire in concreto le informazioni che la D & B era tenuta a comunicare a CK in forza della decisione del Bundesverwaltungsgericht (Corte amministrativa federale). 16. Secondo il consulente nominato, per permettere una precisione tale da consentire un’esecuzione forzata, garantire l’intelligibilità del processo decisionale automatizzato e verificare l’esattezza e la coerenza delle informazioni fornite, l’interessato dovrebbe ricevere, in forza del diritto di accesso a lui garantito dall’articolo 15, paragrafo 1, lettera h), del RGPD, in maniera sufficientemente dettagliata e circostanziata, le seguenti informazioni minime: – in primo luogo, i dati personali dell’interessato trattati nell’ambito della determinazione dei fattori, le modalità con cui ciò è avvenuto e se tali dati siano stati ponderati; – in secondo luogo, le parti essenziali dell’algoritmo su cui si fonda il processo decisionale automatizzato, comprese, in ogni caso, la formula matematica in cui possono essere inserite, sotto forma di valore numerico, tutte le informazioni pertinenti per il calcolo del rating del credito cosicché detta formula porti a tale rating, e la spiegazione comprensibile di tutti i valori utilizzati in detta formula, segnatamente quelli che non sono direttamente tratti da informazioni memorizzate relative all’interessato, e – in terzo luogo, le informazioni pertinenti che consentono di stabilire la correlazione tra le informazioni trattate e la valorizzazione compiuta, ivi comprese, in particolare, l’indicazione e la descrizione adeguata delle funzioni di valorizzazione di tutti i valori impiegati in detta formula, l’illustrazione delle informazioni necessarie per stabilire la correlazione tra l’informazione e la valorizzazione in caso di valutazioni periodiche, nonché la presentazione delle funzioni catastali o indicizzate utilizzate. 17. Dalla perizia emerge che solo la comunicazione della formula matematica e delle funzioni di valorizzazione di tutti i valori utilizzati in detta formula consentirebbe a CK di comprendere la profilazione cui è stata sottoposta, cosicché solo sulla base di tali informazioni ella sarebbe in grado di far valere i diritti, conferitile dall’articolo 22, paragrafo 3, del RGPD, di esprimere la propria opinione e di contestare la decisione fondata su un trattamento automatizzato. 18. In base a detta perizia, per consentire la verifica dell’esattezza delle informazioni minime comunicate, la D & B dovrebbe altresì predisporre e presentare, in maniera relativamente completa e circostanziata così da poter fungere da base di comparazione, un elenco di tutte le informazioni su almeno 25 casi di profilazione comparabili e non anonimizzati, contemporanei alla profilazione cui CK è stata sottoposta e realizzati applicando la medesima regola di calcolo. 19. Su quest’ultimo aspetto, il giudice del rinvio osserva che la comunicazione di dette informazioni può comportare una lesione dei diritti alla protezione dei dati personali nei casi di profilazione utilizzati come base di confronto. 20. Detto giudice si chiede, quindi, tenuto conto in particolare di quanto prevede al riguardo l’articolo 9 della direttiva 2016/943, se il conflitto tra i diversi interessi in gioco possa essere risolto comunicando i dati personali di terzi, necessari alla verifica della correttezza delle informazioni minime trasmesse, unicamente all’autorità o all’organo giurisdizionale competenti, che esaminerebbero poi in maniera autonoma se tali dati di terzi siano veritieri. 21. Il giudice del rinvio osserva altresì che, in base alla giurisprudenza dell’[OSCURATO:PERSONA] (Corte suprema, [OSCURATO:PERSONA]) e alla dottrina dominante, l’algoritmo utilizzato in una profilazione costituisce un segreto commerciale, ai sensi della direttiva 2016/943. Il giudice del rinvio osserva, a tal proposito, che la D & B ha invocato l’esistenza di un segreto commerciale meritevole di tutela con riferimento all’algoritmo su cui si fonda il trattamento per negare la comunicazione di informazioni sufficienti sulla logica utilizzata nell’ambito del processo decisionale automatizzato. Ancora una volta, detto giudice si chiede se il conflitto tra gli interessi dell’interessato e quelli del titolare del trattamento possa essere risolto divulgando le informazioni qualificate come «segreti commerciali», ai sensi dell’articolo 2, punto 1, della direttiva 2016/943, unicamente all’autorità o all’organo giurisdizionale competenti, che verificherebbero in maniera autonoma se tale qualificazione possa essere accolta e se le informazioni fornite dal titolare del trattamento in applicazione dell’articolo 15, paragrafo 1, lettera h), del RGPD siano veritiere. 22. Il giudice del rinvio sottolinea, tuttavia, che questa modalità di risoluzione dei conflitti tra i diversi interessi in gioco ha l’inconveniente di privare l’interessato di informazioni dettagliate, il che limita, o rende addirittura impossibile, il diritto di accesso garantito da quest’ultima disposizione. Ciò potrebbe avere l’effetto di impedire a detto interessato di verificare se le informazioni fornite dal titolare del trattamento siano comprensibili ed esatte e di esercitare i diritti a lui garantiti, segnatamente, dall’articolo 22, paragrafo 3, del RGPD e dall’articolo 47 della Carta dei diritti fondamentali dell’Unione europea ( 5 ). 23. Nell’ambito del necessario bilanciamento tra gli interessi della persona che rivendica l’accesso e quelli del titolare del trattamento, detto giudice sollecita, altresì, alla luce in particolare di quanto previsto dall’articolo 4, paragrafo 6, del Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (legge federale in materia di protezione delle persone fisiche con riferimento al trattamento dei dati personali) del 17 agosto 1999 ( 6 ), nella versione applicabile nel procedimento principale ( 7 ) (in prosieguo: il «DSG»), l’interpretazione dell’articolo 15, paragrafo 4, e dell’articolo 23, paragrafo 1, lettera i), del RGPD, alla luce del considerando 63 di detto regolamento. 24. In tali circostanze, il [OSCURATO:PERSONA] (Tribunale amministrativo di [OSCURATO:PERSONA]) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Quali siano i requisiti sostanziali che devono essere soddisfatti dalle informazioni fornite per essere qualificate sufficientemente “significative” ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD]. Se, in caso di profilazione, il titolare del trattamento debba comunicare – pur nel rispetto di un segreto aziendale preesistente – nell’ambito delle informazioni inerenti alla “logica utilizzata”, in linea di principio, le informazioni essenziali per consentire la comprensione dell’esito della decisione automatizzata nel singolo caso, incluse, in particolare (...) la comunicazione dei dati dell’interessato oggetto del trattamento, (...) la divulgazione delle parti dell’algoritmo alla base della profilazione, le quali sono necessarie ai fini della sua comprensibilità e (..) le informazioni rilevanti per stabilire la correlazione tra l’informazione oggetto di trattamento e la valutazione che ne è risultata. Se, nei casi aventi ad oggetto una profilazione, all’avente diritto all’accesso ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD] debbano essere fornite, anche nell’ipotesi in cui venga eccepita l’esistenza di un segreto aziendale, almeno le seguenti informazioni sullo specifico trattamento che lo riguarda per consentirgli di esercitare i diritti a lui conferiti dall’articolo 22, paragrafo 3 del medesimo regolamento: a) [la] trasmissione di tutte le informazioni, eventualmente pseudo-anonimizzate, riguardanti, in particolare, la modalità del trattamento dei dati dell’interessato, che permettono di verificare il rispetto del [RGPD]; b) [la] messa a disposizione dei dati utilizzati per la creazione del profilo; c) i parametri e i valori in ingresso utilizzati per pervenire alla valutazione; d) l’influenza di detti parametri e delle variabili in ingresso sul calcolo della valutazione; e) informazioni sull’origine dei parametri o delle variabili in ingresso, f) [la] spiegazione del motivo per cui all’avente diritto all’accesso ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD] viene assegnato uno specifico punteggio e [il] chiarimento del significato associato a detto punteggio, [nonché] g) [l’]elenco delle categorie di profili e [la] spiegazione della valutazione associata a ciascuna di dette categorie. 2) Se il diritto di accesso conferito dall’articolo 15, paragrafo 1, lettera h), del [RGPD] sia correlato ai diritti garantiti dall’articolo 22, paragrafo 3, del [RGPD], di esprimere la propria opinione e di contestare una decisione automatizzata ai sensi dell’articolo 22 dello stesso regolamento, nella misura in cui la portata delle informazioni da fornire a seguito della richiesta di accesso di cui all’articolo 15, paragrafo 1, lettera h), del medesimo regolamento è sufficientemente “significativa” solo qualora il soggetto richiedente l’accesso nonché interessato ai sensi di tale ultima disposizione venga messo in condizione di esercitare in maniera effettiva, articolata e prevedibilmente utile i diritti, garantiti dal summenzionato articolo 22, paragrafo 3, di esprimere la propria opinione e di contestare la decisione automatizzata che lo riguarda, in base all’articolo 22 del regolamento in parola. 3 a) Se l’articolo 15, paragrafo 1, lettera h), del [RGPD] debba essere interpretato nel senso che può ritenersi esistente una “informazione significativa” ai sensi di tale disposizione solo nel caso in cui tale informazione sia talmente ampia da consentire al soggetto avente diritto all’accesso in base alla disposizione menzionata di stabilire se l’informazione fornita sia altresì veritiera, vale a dire se le informazioni comunicate costituiscano anche sotto il profilo fattuale il fondamento della decisione automatizzata specificamente richiesta. b) In caso di risposta affermativa: in qual modo debba procedersi laddove la correttezza delle informazioni fornite dal titolare del trattamento possa essere verificata unicamente nel caso in cui all’avente diritto all’accesso ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD] vengano rivelati anche dati di terzi protetti da detto regolamento (black box). Se il contrasto esistente tra il diritto all’accesso di cui all’articolo 15, paragrafo 1, del [RGPD] e il diritto dei terzi alla protezione dei dati possa essere risolto anche comunicando i dati di terzi, necessari ai fini del controllo di correttezza e del pari sottoposti alla stessa profilazione, esclusivamente all’autorità amministrativa o al giudice, con la conseguenza che questi ultimi saranno chiamati a verificare autonomamente se i dati comunicati di tali terze persone siano veritieri. c) In caso di risposta affermativa: quali diritti debbano essere comunque riconosciuti all’avente diritto all’accesso ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD] laddove sia necessario garantire la protezione dei diritti di terzi ai sensi del successivo paragrafo 4, tramite la creazione della black box menzionata alla terza questione sub b). Se, nel caso in esame, i dati di altre persone, che il titolare del trattamento di cui all’articolo 15, paragrafo 1, del [RGPD] è tenuto a comunicare all’avente diritto all’accesso al fine di consentire il controllo di correttezza del processo decisionale ai sensi dell’articolo 15, paragrafo 1, lettera h), del medesimo regolamento, debbano essere in ogni caso comunicati in forma pseudo-anonimizzata. 4 a) In qual modo debba procedersi laddove le informazioni da fornire soddisfino anche i requisiti di un segreto commerciale ai sensi dell’articolo 2, punto 1, della direttiva [2016/943]. Se il contrasto tra il diritto di accesso garantito dall’articolo 15, paragrafo 1, lettera h), del [RGPD] e il diritto alla non divulgazione di un segreto commerciale protetto dalla direttiva know-how possa essere risolto attraverso la comunicazione delle informazioni classificabili come segreto commerciale ai sensi dell’articolo 2, paragrafo 1, della direttiva [2016/943] esclusivamente all’autorità amministrativa o al giudice, con la conseguenza che questi ultimi saranno chiamati a verificare autonomamente l’eventuale esistenza di un segreto commerciale ai sensi di detta disposizione e se le informazioni fornite dal titolare del trattamento ai sensi dell’articolo 15, paragrafo 1, del suddetto regolamento siano veritiere. b) In caso di risposta affermativa: quali diritti debbano essere comunque concessi all’avente diritto all’accesso di cui all’articolo 15, paragrafo 1, lettera h), del [RGPD] laddove sia necessario garantire la protezione dei diritti di terzi ai sensi dell’articolo 15, paragrafo 4, del medesimo regolamento tramite la creazione della black box menzionata alla quarta questione sub a). Se (anche) in una simile ipotesi di diversità delle informazioni da comunicare all’autorità amministrativa o, rispettivamente, al giudice e quelle da fornire ai sensi all’articolo 15, paragrafo 1, lettera h), del [RGPD] all’avente diritto all’accesso, quest’ultimo debba comunque ricevere, nei casi che abbiano ad oggetto una profilazione, le seguenti informazioni relative al trattamento specifico che lo riguarda al fine di consentirgli la piena salvaguardia dei diritti a lui conferiti dall’articolo 22, paragrafo 3, del suddetto regolamento: i) [la] trasmissione di tutte le informazioni, eventualmente pseudo-anonimizzate, riguardanti, in particolare, la modalità del trattamento dei dati dell’interessato, che permettono di verificare il rispetto del [RGPD]; ii) [la] messa a disposizione dei dati utilizzati per la creazione del profilo; iii) i parametri e le variabili in ingresso utilizzati per pervenire alla valutazione, iv) l’influenza di detti parametri e delle variabili in ingresso sul calcolo della valutazione, v) informazioni sull’origine dei parametri o delle variabili in ingresso, vi) [la] spiegazione del motivo per cui l’avente diritto all’accesso ai sensi dell’articolo 15, paragrafo 1, lettera h), del [RGPD] viene assegnato ad uno specifico punteggio e [il] chiarimento del significato associato a detto punteggio, [nonché] vii) [l’]elenco delle categorie di profili e [la] spiegazione della valutazione associata a ciascuna di dette categorie. 5) Se la disposizione dell’articolo 15, paragrafo 4, del [RGPD] limiti in qualche modo la portata dell’accesso da fornire ai sensi dell’articolo 15, paragrafo 1, lettera h), del medesimo regolamento. In caso di risposta affermativa, in quale maniera detto diritto all’accesso venga limitato dall’articolo 15, paragrafo 4, del regolamento generale sulla protezione dei dati, e come possa determinarsi la portata di detta limitazione nel rispettivo caso. 6) Se la disposizione dell’articolo 4, paragrafo 6, [del DSG], secondo la quale “il diritto di accesso dell’interessato di cui all’articolo 15 del [RGPD] non sussiste, di regola, nei confronti di un titolare del trattamento, fatte salve altre limitazioni legali, qualora un siffatto accesso esponga a rischio un segreto commerciale o aziendale del titolare del trattamento o di terzi”, sia compatibile con i requisiti dell’articolo 15, paragrafo 1, in combinato disposto con l’articolo 22, paragrafo 3, del medesimo regolamento. In caso di risposta affermativa, a quali condizioni sia assoggettata una tale compatibilità». 25. Hanno presentato osservazioni scritte CK, la D & B, i governi spagnolo, dei [OSCURATO:PERSONA] e polacco nonché la Commissione europea. III. Analisi A. Osservazioni preliminari 26. Ai sensi dell’articolo 22, paragrafo 1, del RGPD, «[l]’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona» ( 8 ). Tuttavia, il divieto così sancito non si applica nei casi elencati all’articolo 22, paragrafo 2, di detto regolamento, su cui tornerò nelle considerazioni che seguono. 27. Nella sua sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) ( 9 ), la Corte ha dichiarato che l’articolo 22, paragrafo 1, del RGPD deve essere interpretato nel senso che il calcolo automatizzato, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità basato su dati personali relativi a una persona e riguardanti la capacità di quest’ultima di onorare in futuro gli impegni di pagamento costituisce un «processo decisionale automatizzato relativo alle persone fisiche», ai sensi di tale disposizione, qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo, al quale è comunicato tale tasso di probabilità ( 10 ). 28. A seguito di detta sentenza, la Corte ha invitato il giudice del rinvio a indicare se intendesse mantenere la propria domanda di pronuncia pregiudiziale e questi ha risposto in senso affermativo. Esso ha ritenuto, infatti, in sostanza, che detta sentenza non rispondesse ai suoi quesiti vertenti, segnatamente, sulle modalità di risoluzione del conflitto tra i diritti dell’interessato alla protezione dei suoi dati personali e gli interessi del titolare del trattamento con riferimento alla protezione dei segreti commerciali. Inoltre, la medesima sentenza non avrebbe risposto alla questione relativa al livello di precisione esigibile con riferimento alle «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato, ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD. 29. La presente causa porta così la Corte a integrare la sua sentenza SCHUFA Holding e a. (Scoring) ( 11 ), precisando la portata del diritto di accesso garantito da detta disposizione. 30. Il giudice del rinvio deve infatti stabilire la portata e il livello di precisione delle informazioni che la D & B deve fornire al fine di conformarsi a quanto richiesto da detta disposizione. 31. In tale prospettiva, detto giudice chiede lumi alla Corte sulle seguenti questioni giuridiche. 32. In primo luogo, cosa si debba intendere per «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, se dette informazioni comprendano l’algoritmo utilizzato a tal fine e in che misura e con quale grado di concretezza si possa esigere dal titolare del trattamento che comunichi informazioni sufficienti per consentire all’interessato di verificare l’esattezza di dette informazioni e la loro coerenza con la decisione inerente al rating di cui trattasi. 33. In secondo luogo, in che misura la protezione dei diritti e delle libertà altrui, in particolare la protezione dei segreti commerciali, possa influire sull’obbligo del titolare del trattamento di fornire «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD e quali meccanismi possano, se del caso, consentire di risolvere il conflitto tra i diritti dell’interessato e gli interessi del titolare del trattamento. 34. Nelle conclusioni presentate nella causa che ha dato luogo alla sentenza SCHUFA Holding e a. (Scoring) ( 12 ), l’avvocato generale Pikamäe ha preso posizione sugli aspetti principali di dette questioni. Egli ha ritenuto che l’articolo 15, paragrafo 1, lettera h), del RGPD, in combinato disposto con il considerando 63 di detto regolamento, dovesse essere interpretato nel senso che esso «copre, in linea di principio, anche il metodo di calcolo utilizzato da un’agenzia di valutazione del credito per calcolare un punteggio di scoring, salvo che vi siano interessi contrastanti degni di tutela» ( 13 ). 35. Pur volendo garantire un giusto equilibrio tra i diritti e gli interessi divergenti in gioco, il legislatore dell’Unione avrebbe inteso assicurare che «un minimo di informazione [sia] in ogni caso fornita al fine di non compromettere il contenuto essenziale del diritto alla protezione dei dati a carattere personale» ( 14 ). Di conseguenza, secondo l’avvocato generale Pikamäe, «se la protezione del segreto industriale e aziendale o della proprietà intellettuale rappresenta, in linea di principio, per un’agenzia di valutazione del credito una ragione legittima per rifiutarsi di rivelare l’algoritmo utilizzato ai fini del calcolo del punteggio di scoring dell’interessato, essa non può invece affatto giustificare un rifiuto tout court delle informazioni» ( 15 ). 36. Alla luce dell’articolo 12, paragrafo 1, del RGPD, ai sensi del quale «[i]l titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni [ai sensi dell’articolo 15] relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro » ( 16 ), e del considerando 58 di detto regolamento, l’avvocato generale Pikamäe ha considerato che «il reale obiettivo dell’articolo 15, paragrafo 1, lettera h), del RGPD consiste nel garantire che l’interessato ottenga le informazioni in maniera comprensibile e accessibile, in linea con le sue esigenze» ( 17 ). A suo avviso, «già tali requisiti escludono un eventuale obbligo di divulgare l’algoritmo, tenuto conto della sua complessità. Infatti, la divulgazione di una formula particolarmente complessa sarebbe di dubbia utilità in mancanza delle necessarie spiegazioni» ( 18 ). 37. Alla luce di tali elementi, l’avvocato generale Pikamäe ha, quindi, concluso che «l’obbligo di fornire “informazioni significative sulla logica utilizzata ” [deve] essere inteso nel senso che impone spiegazioni sufficientemente dettagliate sul metodo utilizzato per il calcolo del punteggio e le ragioni che hanno portato a un determinato risultato. In linea di massima, il titolare del trattamento dovrebbe fornire all’interessato informazioni generali, in particolare, sui fattori presi in considerazione ai fini del processo decisionale e sulla loro rispettiva rilevanza a livello aggregato, anch’esse utili a consentirgli di contestare qualsiasi “decisione” ai sensi dell’articolo 22, paragrafo 1, del RGPD» ( 19 ). 38. Come spiegherò in dettaglio nelle considerazioni che seguono, aderisco, in sostanza, all’interpretazione proposta dall’avvocato generale Pikamäe ( 20 ). B. Sulle questioni pregiudiziali 39. Con le sue questioni, che propongo di esaminare congiuntamente, il giudice del rinvio chiede alla Corte, sostanzialmente, se, da un lato, l’articolo 15, paragrafo 1, lettera h), del RGPD debba essere interpretato nel senso che le «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato comprendono informazioni sufficientemente complete per consentire all’interessato di verificarne l’esattezza e la loro coerenza con la decisione inerente al rating di cui trattasi, tra cui l’algoritmo utilizzato ai fini di detto processo decisionale automatizzato. Dall’altro, detto giudice vuole sapere se e, se del caso, in quale misura la tutela dei diritti e delle libertà altrui, quali la protezione dei segreti commerciali invocata dal titolare del trattamento, possa limitare la portata del diritto di accesso di cui l’interessato dispone in forza detta disposizione. 1. Sulla nozione di «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato 40. Occorre osservare anzitutto che, di recente, la Corte ha evidenziato numerose caratteristiche del diritto di accesso previsto all’articolo 15 del RGPD allorquando si è trovata a pronunciarsi sulla portata del diritto ad ottenere una copia dei dati personali oggetto di un trattamento, come sancito al paragrafo 3, prima frase, di detto articolo. Tali elementi mi sembrano utili al fine di rispondere agli interrogativi del giudice del rinvio. 41. L’articolo 15 del RGPD, dal titolo «Diritto di accesso dell’interessato», definisce, al suo paragrafo 1, l’oggetto e l’ambito di applicazione del diritto di accesso riconosciuto all’interessato e sancisce il diritto di quest’ultimo di ottenere dal titolare del trattamento l’accesso ai suoi dati personali nonché le informazioni di cui alle lettere da a) a h) di tale paragrafo. 42. La garanzia di un siffatto diritto mira a conseguire gli obiettivi perseguiti dal RGPD che consistono, come indicato ai suoi considerando 10 e 11, nell’assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione europea nonché il rafforzamento e la disciplina dettagliata dei diritti degli interessati ( 21 ). 43. L’articolo 15, paragrafo 1, lettera h), del RGPD prevede, più in particolare, che un interessato ha il diritto di essere informato dal titolare del trattamento dell’esistenza di un processo decisionale automatizzato, compresa la profilazione ( 22 ), di cui all’articolo 22, paragrafi 1 e 4, di detto regolamento, e, almeno in tali casi, di ottenere informazioni significative sulla logica utilizzata ( 23 ), nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato ( 24 ). 44. In termini generali, dalla giurisprudenza della Corte emerge che il diritto di accesso previsto all’articolo 15 del RGPD deve consentire all’interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito ( 25 ). 45. Peraltro, la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire ai sensi dell’articolo 15, paragrafo 3, prima frase, del RGPD, deve presentare tutte le caratteristiche che consentano all’interessato di esercitare effettivamente i suoi diritti a norma di tale regolamento e, pertanto, deve riprodurre integralmente e fedelmente tali dati ( 26 ). 46. In particolare, tale diritto di accesso è necessario affinché l’interessato possa esercitare, se del caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all’oblio») e il suo diritto di limitazione di trattamento, diritti questi che gli sono riconosciuti, rispettivamente, dagli articoli 16, 17 e 18 del RGPD, il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all’articolo 21 del RGPD, nonché il suo diritto di agire in giudizio nel caso in cui subisca un danno, previsto agli articoli 79 e 82 del RGPD ( 27 ). 47. Per quanto attiene al diritto dell’interessato di ottenere le informazioni previste all’articolo 15, paragrafo 1, lettera h), aggiungo che tale diritto di accesso deve consentirgli di esercitare i diritti a lui riconosciuti dall’articolo 22 del RGPD, vertente specificamente sulla situazione di un interessato oggetto di una decisione fondata su un trattamento automatizzato. 48. Così, come ho indicato in precedenza, l’articolo 22, paragrafo 1, di detto regolamento prevede che ogni interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona ( 28 ). Tuttavia, il divieto così sancito non si applica nei casi menzionati all’articolo 22, paragrafo 2, di detto regolamento, ossia qualora tale decisione sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento [lettera a)], qualora sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento [lettera b)], o si basi sul consenso esplicito dell’interessato [lettera c)]. 49. Inoltre, l’articolo 22 del RGPD dispone, al paragrafo 2, lettera b), e al paragrafo 3, che devono essere previste misure appropriate per la salvaguardia dei diritti, delle libertà e dei legittimi interessi dell’interessato. Nei casi di cui all’articolo 22, paragrafo 2, lettere a) e c), di tale regolamento, il titolare del trattamento attua almeno il diritto dell’interessato di ottenere un intervento umano, di esprimere la propria opinione e di contestare la decisione ( 29 ). Nell’ambito della presente causa, il giudice del rinvio pone l’accento sulla correlazione tra il diritto di accesso previsto all’articolo 15, paragrafo 1, lettera h), di detto regolamento e i suddetti diritti dell’interessato di esprimere la propria opinione e di contestare la decisione automatizzata. 50. Secondo la Corte, i requisiti più rigorosi previsti dal RGPD per quanto riguarda la liceità di un processo decisionale automatizzato nonché gli obblighi di informazione supplementari del titolare del trattamento e i relativi diritti di accesso supplementari dell’interessato si spiegano con la finalità perseguita dall’articolo 22 di detto regolamento, che consiste nel proteggere le persone contro i rischi specifici per i loro diritti e le loro libertà derivanti dal trattamento automatizzato di dati personali, compresa la profilazione ( 30 ). 51. Ne consegue che, al fine di stabilire cosa rientri tra le «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, occorre tener conto della finalità perseguita dall’articolo 22 di detto regolamento, così da garantire che l’interessato possa effettivamente, sulla base di dette informazioni, avvalersi dei diritti che quest’ultimo gli conferisce. 52. In tale prospettiva va osservato che, conformemente al principio di trasparenza, cui fa riferimento il considerando 58 del RGPD e che sancisce espressamente l’articolo 12, paragrafo 1, del medesimo, le informazioni destinate all’interessato devono essere concise, facilmente accessibili e di facile comprensione, e formulate in un linguaggio semplice e chiaro ( 31 ). 53. La Corte ha così dedotto da tale disposizione che il titolare del trattamento è tenuto ad adottare misure appropriate per fornire all’interessato tutte le informazioni di cui, in particolare, all’articolo 15 del RGPD, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro . Tale disposizione, che è l’espressione del principio di trasparenza, ha lo scopo di garantire che l’interessato sia messo in grado di comprendere pienamente le informazioni che gli vengono inviate ( 32 ). 54. Secondo la Corte, da tali elementi risulta che la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire ai sensi dell’articolo 15, paragrafo 3, prima frase, del RGPD, deve presentare tutte le caratteristiche che consentano all’interessato di esercitare effettivamente i suoi diritti a norma di tale regolamento e, pertanto, deve riprodurre integralmente e fedelmente tali dati ( 33 ). 55. La Corte ha altresì precisato che può risultare necessario contestualizzare i dati personali trattati per garantirne l’intelligibilità . Ciò perché, per garantire che le informazioni così fornite siano facilmente comprensibili, come richiede l’articolo 12, paragrafo 1, del RGPD, in combinato disposto con il considerando 58 di tale regolamento, la riproduzione di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l’altro, i dati personali oggetto di trattamento può rivelarsi indispensabile ( 34 ). 56. In particolare, secondo la Corte, quando si generano dati personali a partire da altri dati o quando dati del genere derivano da campi a testo libero, vale a dire, una mancanza di indicazioni che rivelino un’informazione sull’interessato, il contesto in cui tali dati sono oggetto di trattamento è un elemento indispensabile per consentire all’interessato di disporre di un accesso trasparente e di una presentazione intelligibile di tali dati ( 35 ). 57. Di conseguenza, il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati . Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l’altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all’interessato di esercitare effettivamente i diritti conferitigli da tale regolamento ( 36 ). 58. La giurisprudenza della Corte relativa ai requisiti che il titolare del trattamento deve rispettare quando fornisce, in applicazione dell’articolo 15, paragrafo 3, prima frase, del RGPD, una copia dei dati personali oggetto di trattamento, offre, a mio avviso, indizi preziosi per determinare le caratteristiche che devono soddisfare le «informazioni significative sulla logica utilizzata» nell’ambito del processo decisionale automatizzato, ai sensi dell’articolo 15, paragrafo 1, lettera h), di detto regolamento. 59. Certamente, da detta giurisprudenza emerge altresì che i dati personali di cui il titolare del trattamento deve fornire una copia in applicazione dell’articolo 15, paragrafo 3, prima frase, di detto regolamento non coincidono con le informazioni per le quali l’interessato ha un diritto di accesso in forza dell’articolo 15, paragrafo 1, lettere da a) a h), del medesimo regolamento ( 37 ). 60. Tuttavia, a mio parere, non vi è alcun dubbio che il requisito di trasparenza delle informazioni comunicate, previsto all’articolo 12, paragrafo 1, del RGPD e su cui si fonda detta giurisprudenza, si applica, in base alla formulazione stessa di detta disposizione, a tutti i suddetti dati e informazioni, ivi compresi quelli collegati a un processo decisionale automatizzato. 61. Pertanto, nel contesto di un processo decisionale automatizzato come quello di cui al procedimento principale, l’interessato deve ricevere comunicazione di una copia dei suoi dati personali che sono stati oggetto di trattamento che riproduca integralmente e fedelmente tali dati , conformemente a quanto previsto dall’articolo 15, paragrafo 3, prima frase, del RGPD. 62. Inoltre, sembrerebbe indispensabile che l’interessato sia a conoscenza del contesto in cui i suoi dati personali sono oggetto di un trattamento automatizzato per consentirgli di esercitare i diritti che gli sono riconosciuti dal RGPD, tra cui quelli di esprimere la propria opinione su una decisione automatizzata e di contestarla. 63. Questo è, del resto, l’oggetto stesso dell’articolo 15, paragrafo 1, lettera h), del RGPD, che impone, in sostanza, che l’interessato sia messo a conoscenza del contesto in cui è intervenuto un processo decisionale automatizzato, in particolare la logica utilizzata nell’ambito di tale processo decisionale. 64. La conoscenza da parte dell’interessato di detto contesto deve consentirgli di comprendere il risultato cui la decisione automatizzata è pervenuta, attraverso la conoscenza degli elementi essenziali del metodo e dei criteri applicati. In sintesi, il processo, per sua natura tecnico, che ha portato a detta decisione deve essere reso intelligibile. Solo in tal modo detta persona potrà esercitare i diritti che le sono riconosciuti dal RGPD, tra cui quelli di esprimere la propria opinione su una decisione automatizzata e di contestarla. La nozione di «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato deve pertanto essere intesa in maniera funzionale ( 38 ). 65. A tal proposito, l’accento posto dal legislatore dell’Unione sulla necessità di informazioni significative è direttamente legato al carattere tecnico del settore di cui trattasi che impone di garantire il carattere comprensibile e significativo di dette informazioni per l’interessato. Si tratta di una condizione necessaria per assicurare l’utilità delle informazioni di cui trattasi nell’ottica di consentire a tale interessato di esercitare effettivamente i diritti garantitigli dal RGPD. A seconda delle versioni linguistiche dell’articolo 15, paragrafo 1, lettera h), del RGPD, l’accento è posto a diversi livelli sul carattere «comprensibile» o «significativo» delle informazioni, fermo restando che questa doppia accezione è espressa nella versione in lingua inglese con il termine «meaningful» ( 39 ). Occorre, quindi, a mio avviso, accogliere un’interpretazione della nozione di «informazioni significative», ai sensi di quest’ultima disposizione che consenta, nell’ambito di un approccio funzionale, di tener conto di dette accezioni tra loro complementari. 66. In linea con quanto vale per la copia dei dati personali oggetto di trattamento che deve essere fornita in applicazione dell’articolo 15, paragrafo 3, prima frase, del RGPD, il carattere significativo delle informazioni per l’interessato presuppone, quindi, che tali informazioni siano concise, facilmente accessibili e di facile comprensione, e formulate in un linguaggio semplice e chiaro . L’interessato cui dette informazioni sono comunicate deve quindi poter comprendere pienamente le informazioni che gli vengono inviate . In tale prospettiva, può rendersi necessario contestualizzare le informazioni comunicate al fine di garantirne l’intelligibilità . 67. In sintesi, le «informazioni significative», come richieste dall’articolo 15, paragrafo 1, lettera h), del RGPD, devono essere non solo chiare ed accessibili, ma anche accompagnate da spiegazioni che ne consentano la corretta comprensione. Ciò vale a maggior ragione quando si tratta di fornire all’interessato informazioni in un settore tecnico. In tal senso, tale disposizione offre all’interessato un vero e proprio diritto ad ottenere spiegazioni in merito al funzionamento del meccanismo alla base di un processo decisionale automatizzato di cui tale interessato è stato oggetto e al risultato a cui detta decisione ha condotto ( 40 ). Osservo, a tal proposito, che, conformemente a quanto indicato nel considerando 71 del RGPD, l’interessato dovrebbe poter «ottenere una spiegazione della decisione conseguita dopo tale valutazione». 68. A tali esigenze, occorre aggiungere che l’interessato deve poter verificare l’ esattezza dei dati personali che lo riguardano e delle informazioni relative alla logica utilizzata nell’ambito di un processo decisionale automatizzato. Egli deve, inoltre, avere la possibilità di verificare che esiste una coerenza e un nesso di causalità oggettivamente verificabile tra, da un lato, il metodo e i criteri utilizzati e, dall’altro, il risultato cui è pervenuta la decisione automatizzata. In altre parole, le informazioni comunicate devono consentire a tale interessato di controllare se esse siano veritiere e, quindi, se la decisione automatizzata di cui trattasi sia effettivamente fondata su informazioni esatte ( 41 ). 69. Ricordo, a questo proposito, che, come emerge dalla decisione di rinvio, le informazioni fornite a CK dalla D & B sembrano non essere veritiere, poiché non avrebbero rivelato la profilazione reale compiuta nei suoi riguardi. Orbene, la Corte ha già sottolineato il fatto che, tenuto conto dei rischi specifici per i loro diritti e le loro libertà derivanti dal trattamento automatizzato di dati personali, compresa la profilazione, occorre, secondo il considerando 71 del RGPD, prevedere garanzie adeguate e assicurare un trattamento corretto e trasparente nel rispetto dell’interessato, in particolare mediante l’uso di procedure matematiche o statistiche appropriate per la profilazione e mediante l’applicazione di misure tecniche e organizzative adeguate al fine di minimizzare il rischio di errori ( 42 ). 70. Tale requisito di esattezza è, a mio avviso, rafforzato se si considera, in linea con quanto stabilito dalla Corte nella sua sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) ( 43 ) a proposito del trattamento di dati personali relativi alla concessione di esdebitazioni, che un trattamento automatizzato come quello oggetto del procedimento principale costituisce una grave ingerenza nei diritti fondamentali della persona interessata, sanciti agli articoli 7 e 8 della Carta. Infatti, i dati personali dell’interessato sono trattati al fine di valutarne la solvibilità e costituiscono pertanto informazioni sensibili sulla sua vita privata. Il loro trattamento può nuocere considerevolmente agli interessi del medesimo impedendogli di intrattenere rapporti contrattuali che possono soddisfare esigenze abituali ( 44 ). 71. Di conseguenza, ritengo che le «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato debbano consentire all’interessato di esercitare i diritti garantitigli dal RGPD e, in particolare, dall’articolo 22 di detto regolamento. Ciò presuppone, in primo luogo, che tale persona possa ottenere informazioni concise, facilmente accessibili e di facile comprensione, e formulate in un linguaggio semplice e chiaro sul metodo e sui criteri utilizzati in vista di detta decisione. In secondo luogo, tali informazioni devono essere sufficientemente complete e contestualizzate da consentire a detta persona di verificarne l’esattezza e se esista una coerenza e un nesso di causalità oggettivamente verificabile tra, da un lato, il metodo e i criteri utilizzati e, dall’altro, il risultato cui la decisione automatizzata è pervenuta. 72. Alla luce di questi elementi, non ritengo che l’articolo 15, paragrafo 1, lettera h), del RGPD debba essere interpretato nel senso che fa gravare sul titolare del trattamento un obbligo di divulgare all’interessato informazioni che, in ragione del loro carattere tecnico, presentano un livello di complessità tale da non poter essere comprese dalle persone che non dispongono di una competenza tecnica particolare ( 45 ). Questo è il caso, a mio avviso, degli algoritmi utilizzati nell’ambito di un processo decisionale automatizzato. 73. Si potrebbe certamente sostenere, in nome di una lettura estensiva dell’obbligo di trasparenza, che il controllo della modalità con cui i dati personali sono trattati da un algoritmo impone che quest’ultimo sia rivelato all’interessato ( 46 ). Tuttavia, ritengo che la ragion d’essere di tale obbligo sia quella di consentire a tale persona di comprendere le informazioni che le sono comunicate affinché quest’ultima possa far valere i diritti di cui gode a norma del RGPD. In tale ottica, spiegazioni accessibili che non presuppongono una particolare competenza tecnica sono certamente più «significative» di una formula matematica complessa. 74. Nello stesso senso, osservo che, come emerge dalle linee guida, «[può essere] difficile comprendere come funzionano un processo decisionale automatizzato o la creazione di profili». Infatti, «[i]l titolare del trattamento dovrebbe trovare modi semplici per comunicare all’interessato la logica o i criteri sui quali si basa l’adozione della decisione. Il regolamento impone al titolare del trattamento di fornire informazioni significative sulla logica utilizzata, ma non necessariamente una spiegazione complessa degli algoritmi utilizzati o la divulgazione dell’algoritmo completo (...). Le informazioni fornite dovrebbero tuttavia essere sufficientemente complete affinché l’interessato possa comprendere i motivi alla base della decisione» ( 47 ). Così, «[i]l titolare del trattamento dovrebbe fornire all’interessato informazioni di carattere generale (in particolare, sui fattori presi in considerazione per il processo decisionale e sul rispettivo “peso” a livello aggregato) che sono utili all’interessato anche per contestare la decisione» ( 48 ). 75. Tuttavia, come osservato dal gruppo di lavoro «Articolo 29» sulla protezione dei dati nelle sue linee guida, «[l]a complessità non è una scusa per non fornire informazioni all’interessato» ( 49 ). Ne consegue che il titolare del trattamento non può invocare la complessità delle informazioni per rifiutarsi di adempiere l’obbligo che gli incombe in forza dell’articolo 15, paragrafo 1, lettera h), del RGPD. A lui spetta fare in modo di fornire informazioni che siano allo stesso tempo accessibili e complete affinché l’interessato possa comprendere il processo che ha portato all’adozione della decisione automatizzata di cui è stato oggetto. 76. Da tali elementi deduco che il titolare del trattamento non è tenuto, in forza dell’articolo 15, paragrafo 1, lettera h), del RGPD, a comunicare all’interessato informazioni di natura tecnica che quest’ultimo non sarebbe in grado di comprendere, quali i dettagli degli algoritmi utilizzati ( 50 ). Per contro, detto titolare del trattamento deve soddisfare l’obbligo a suo carico consistente, in ogni caso, nel fornire a tale persona informazioni che siano allo stesso tempo accessibili e sufficientemente complete sul processo che ha portato all’adozione della decisione automatizzata di cui trattasi e sulle ragioni che spiegano l’esito cui detta decisione è giunta. Così definite, le «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato dovrebbero descrivere, segnatamente, il metodo utilizzato e i criteri di cui si è tenuto conto, nonché la loro ponderazione ( 51 ). L’interessato deve quindi poter comprendere quali informazioni sono state utilizzate nel processo decisionale automatizzato e in che modo esse sono state considerate e ponderate. 77. Occorre altresì precisare che detta disposizione non osta, a mio avviso, a che il titolare del trattamento decida, su base volontaria, di comunicare all’interessato informazioni di carattere tecnico, quali i dettagli degli algoritmi utilizzati, a condizione, tuttavia, che egli accluda a detta comunicazione informazioni che consentono a tale persona di comprendere il processo che ha portato all’adozione della decisione automatizzata e il risultato da essa ottenuto. 78. Aggiungo che l’articolo 15, paragrafo 1, lettera h), del RGPD non dovrebbe, a mio avviso, essere interpretato nel senso che impone al titolare del trattamento di fornire all’interessato dati personali relativi a terzi, salvo ledere di riflesso i diritti di questi ultimi. Per contro, esempi di trattamenti analoghi, forniti in maniera anonima a titolo di confronto, potrebbero consentire a tale persona di meglio comprendere la decisione automatizzata di cui è stata oggetto. 79. Spetta al giudice del rinvio, sulla base delle indicazioni che precedono, stabilire quali informazioni dovrebbero essere messe a disposizione della persona interessata nel procedimento principale. A tal riguardo, dubito che la Corte, nella sua funzione di interprete del diritto dell’Unione ad essa conferita dall’articolo 267 TFUE, che deve essere distinta dalla funzione consistente nell’applicare tale diritto, rimessa al giudice nazionale, possa spingersi, nella determinazione concreta di tali informazioni, sin dove auspicato da detto giudice. 80. Preciso, inoltre, che l’interpretazione della nozione di «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, che suggerisco alla Corte di accogliere, consente di ritenere che il legislatore dell’Unione abbia già, in ampia misura, garantito l’equilibrio tra, da un lato, l’esigenza di trasparenza alla base di detta disposizione e, dall’altro, la salvaguardia dei diritti e delle libertà tra cui figura la protezione dei segreti commerciali. Infatti, nella misura in cui, a mio avviso, detta nozione non dovrebbe estendersi a informazioni di carattere tecnico, come un algoritmo, che un interessato non è in grado di comprendere senza disporre di una competenza particolare, il diritto di accesso garantito dalla disposizione di cui trattasi non dovrebbe, nella maggior parte dei casi, comportare una lesione del segreto commerciale di cui può legittimamente avvalersi il titolare del trattamento. Lo stesso vale per la protezione dei dati personali di terzi nella misura in cui detta nozione non dovrebbe, in linea di principio, ricomprendere tali dati. 81. Ciò premesso, non si può escludere che, in determinati casi, il diritto di accesso garantito dall’articolo 15, paragrafo 1, lettera h), del RGPD possa comportare una violazione dei diritti e delle libertà altrui. Una siffatta violazione può essere invocata dal titolare del trattamento per giustificare un rifiuto di comunicare determinate informazioni all’interessato. È peraltro possibile che le informazioni comunicate siano insufficienti per consentire di verificarne l’esattezza e la coerenza con il risultato cui è pervenuta la decisione automatizzata di cui trattasi e che la trasmissione di informazioni supplementari ai fini di detta verifica possa ledere i diritti e le libertà altrui. Per tale motivo è opportuno stabilire, come chiede il giudice del rinvio, con quali meccanismi possano essere quindi conciliati i diritti e gli interessi in causa. 2. Sul bilanciamento tra i diritti dell’interessato e i diritti e le libertà altrui 82. Ricordo che il giudice del rinvio desidera sapere, in sostanza, se e, se del caso, in quale misura la tutela dei diritti e delle libertà altrui, quali la protezione dei segreti commerciali invocata dal titolare del trattamento, possa limitare la portata del diritto di accesso di cui l’interessato dispone in forza dell’articolo 15, paragrafo 1, lettera h), del RGPD. 83. A tal riguardo, occorre anzitutto osservare che, in forza del considerando 4 del RGPD, il diritto alla protezione dei dati personali non è una prerogativa assoluta e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Così, il RGPD rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati ( 52 ). 84. Inoltre, il considerando 63 di detto regolamento indica che il diritto riconosciuto a tutti gli interessati di accedere ai dati personali raccolti che li riguardano «non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni». 85. Così, l’articolo 15, paragrafo 4, del RGPD prevede che «[i]l diritto di ottenere una copia [dei dati personali oggetto di trattamento] non deve ledere i diritti e le libertà altrui». 86. Analogamente, l’articolo 23, paragrafo 1, lettera i), del RGPD ricorda che una limitazione della portata degli obblighi e dei diritti previsti, in particolare, all’articolo 15 del RGPD è possibile «qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare la tutela dei diritti e delle libertà altrui» ( 53 ). 87. La Corte ha dedotto da tali disposizioni che il diritto riconosciuto all’interessato di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento non è assoluto ( 54 ). In particolare, ai sensi dell’articolo 15, paragrafo 4, del RGPD, in combinato disposto con il considerando 63 del medesimo, il diritto di ottenere una copia dei dati personali oggetto di trattamento di cui al paragrafo 3 di detto articolo non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software ( 55 ). 88. Da questi elementi si evince che considerazioni relative, in particolare, alla tutela dei diritti e delle libertà altrui sono idonee a giustificare una limitazione del diritto di accesso previsto all’articolo 15, paragrafo 4, lettera h), del RGPD, purché una siffatta limitazione ne rispetti l’essenza e costituisca una misura necessaria e proporzionata al fine di salvaguardare tale tutela, come previsto dall’articolo 23, paragrafo 1, lettera i), del RGPD ( 56 ). 89. Orbene, considerazioni attinenti alla protezione del segreto commerciale, ai sensi dell’articolo 2, paragrafo 1, punto 1, della direttiva 2016/943 ( 57 ) possono giustificare una limitazione del diritto di accesso previsto all’articolo 15, paragrafo 1, lettera h), del RGPD. 90. Certamente, il considerando 35 della direttiva 2016/943 indica che quest’ultima «non dovrebbe (...) pregiudicare i diritti e gli obblighi stabiliti dalla direttiva 95/46/CE [del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( 58 )], in particolare i diritti dell’interessato di accedere ai suoi dati personali che sono oggetto di trattamento e di ottenere la rettifica, la cancellazione o il congelamento dei dati incompleti o inesatti». Ciò premesso, le disposizioni del RGPD da me citate in precedenza sembrano deporre, in caso di conflitto tra, da un lato, l’esercizio del diritto di accesso previsto all’articolo 15, paragrafo 1, lettera h), di detto regolamento e, dall’altro, i diritti o le libertà altrui, a favore della possibilità di operare un bilanciamento tra i diritti e le libertà di cui trattasi ( 59 ). 91. Così, come già statuito dalla Corte, ove possibile, si devono scegliere modalità di comunicazione di dati personali che non ledano i diritti o le libertà altrui , tenendo conto del fatto che tali considerazioni non devono «condurre a un diniego a fornire all’interessato tutte le informazioni», come risulta dal considerando 63 del RGPD ( 60 ). 92. Il giudice del rinvio desidera sapere, sostanzialmente, quali forme possano assumere tali modalità di comunicazione rispettose dei diritti e delle libertà altrui nel contesto specifico dell’articolo 15, paragrafo 1, lettera h), del RGPD. 93. A tal riguardo, osservo che la Corte ha già dichiarato che un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco. Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta ( 61 ). 94. Tale giurisprudenza può, a mio avviso, applicarsi alle informazioni di cui all’articolo 15, paragrafo 1, lettera h), del RGPD. Alla luce della giurisprudenza succitata, ritengo che la disposizione di cui trattasi, letta in combinato disposto con il considerando 63 e l’articolo 23, paragrafo 1, lettera i), di detto regolamento, debba essere interpretata nel senso che, quando le informazioni che devono essere fornite all’interessato in forza del diritto di accesso garantito dalla prima di dette disposizioni possono comportare una lesione dei diritti e delle libertà altrui, segnatamente perché contengono dati personali di terzi tutelati dal RGPD o un segreto commerciale, ai sensi dell’articolo 2, paragrafo 1, punto 1, della direttiva 2016/943, dette informazioni devono essere comunicate all’autorità di controllo o all’organo giurisdizionale competenti affinché questi ultimi possano ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità e della riservatezza di dette informazioni, gli interessi in gioco e stabilire la portata del diritto di accesso che deve essere riconosciuto a tale persona. 95. In base alle indicazioni fornite dal giudice del rinvio nella sua domanda di pronuncia pregiudiziale, l’articolo 4, paragrafo 6, del DSG esclude, in linea di principio, il diritto di accesso dell’interessato, previsto all’articolo 15 del RGPD, quando tale accesso comprometterebbe un segreto commerciale o aziendale del titolare del trattamento o di un terzo. A tal riguardo, ritengo che una siffatta disposizione non possa sostituirsi a un bilanciamento che deve essere compiuto caso per caso dall’autorità o dall’organo giurisdizionale competenti. Dalla giurisprudenza della Corte mi sembra emergere, infatti, che, quando deve essere effettuata una ponderazione dei diritti e degli interessi contrapposti, uno Stato membro non può stabilire in modo definitivo il risultato di detta ponderazione ( 62 ), senza consentire un diverso risultato in ragione delle circostanze specifiche del caso concreto ( 63 ). IV. Conclusione 96. Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal [OSCURATO:PERSONA] (Tribunale amministrativo di [OSCURATO:PERSONA], [OSCURATO:PERSONA]) come segue: L’articolo 15, paragrafo 1, lettera h), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), in combinato disposto con il considerando 63 e con l’articolo 23, paragrafo 1, lettera i), di detto regolamento, deve essere interpretato nel senso che: – quando un interessato è sottoposto a un processo decisionale automatizzato, compresa la profilazione, di cui all’articolo 22 del regolamento 2016/679, le «informazioni significative sulla logica utilizzata» nell’ambito di detto processo decisionale automatizzato cui tale persona ha diritto di accedere vertono sul metodo e sui criteri utilizzati a tal fine dal titolare del trattamento; – dette informazioni devono consentire all’interessato di esercitare i diritti che gli sono garantiti dal regolamento 2016/679 e, in particolare, da detto articolo 22. Esse devono quindi essere concise, facilmente accessibili e di facile comprensione, e formulate in un linguaggio semplice e chiaro. Inoltre, esse devono essere sufficientemente complete e contestualizzate da consentire a detta persona di verificarne l’esattezza e se esista una coerenza e un nesso di causalità oggettivamente verificabile tra, da un lato, il metodo e i criteri utilizzati e, dall’altro, il risultato cui è pervenuta la decisione automatizzata di cui trattasi; – per contro, il titolare del trattamento non è tenuto a divulgare all’interessato informazioni che, in ragione del loro carattere tecnico, presentano un livello di complessità tale da non poter essere comprese dalle persone che non dispongono di una competenza tecnica particolare, il che consente di escludere la comunicazione degli algoritmi utilizzati nell’ambito del processo decisionale automatizzato; – quando le informazioni che devono essere fornite all’interessato in forza del diritto di accesso garantito dall’articolo 15, paragrafo 1, lettera h), del regolamento 2016/679 possono comportare una lesione dei diritti e delle libertà altrui, segnatamente perché contengono dati personali di terzi tutelati da detto regolamento o un segreto commerciale, ai sensi dell’articolo 2, paragrafo 1, punto 1, della direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti, dette informazioni devono essere comunicate all’autorità di controllo o all’organo giurisdizionale competenti affinché questi ultimi possano ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità e della riservatezza di dette informazioni, gli interessi in gioco e stabilire la portata del diritto di accesso che deve essere riconosciuto a tale persona. ( 1 ) Lingua originale: il francese. ( 2 ) GU 2016, L 119, pag. 1 , e rettifica in GU 2018, L 127, pag. 2 . ( 3 ) GU 2016, L 157, pag. 1 . ( 4 ) A questo proposito, il giudice del rinvio sottolinea che il Bundesverwaltungsgericht (Corte amministrativa federale) non ha, nella sua decisione, precisato la portata dei dati personali trattati da fornire e il livello di precisione della logica utilizzata da comunicare. ( 5 ) In prosieguo: la «Carta». ( 6 ) BGBl. I, 165/1999. ( 7 ) BGBl. I, 14/2019. Tale disposizione esclude, in linea di principio, il diritto di accesso dell’interessato, previsto all’articolo 15 del RGPD, quando tale accesso comprometterebbe un segreto commerciale o aziendale del titolare del trattamento o di un terzo. ( 8 ) V., a tal riguardo, il considerando 71 del RGPD, secondo cui «[l]’interessato dovrebbe avere il diritto di non essere sottoposto a una decisione, che possa includere una misura, che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali il rifiuto automatico di una domanda di credito online o pratiche di assunzione elettronica senza interventi umani. Tale trattamento comprende la “profilazione” (...), ove ciò produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona». ( 9 ) C‑634/21 , in prosieguo: la sentenza SCHUFA Holding e a. (Scoring), EU:C:2023:957 . ( 10 ) V. sentenza SCHUFA Holding e a. (Scoring) (punto 73). ( 11 ) Lo stesso giorno dell’emanazione di detta sentenza, la Corte ha pronunciato anche la sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) ( C‑26/22 e C‑64/22 , EU:C:2023:958 ), in cui ha interpretato l’articolo 5, paragrafo 1, lettera a), in combinato disposto con l’articolo 6, paragrafo 1, primo comma, lettera f); l’articolo 17, paragrafo 1, lettere c) e d), e l’articolo 78, paragrafo 1, del RGPD. ( 12 ) C‑634/21 , EU:C:2023:220 . ( 13 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 54 ). ( 14 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 56 ). ( 15 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 56 ). ( 16 ) Il corsivo è mio. ( 17 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 57 ). ( 18 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 57 ). ( 19 ) V. conclusioni dell’avvocato generale Pikamäe nella causa SCHUFA Holding e a. (Scoring) ( C‑634/21 , EU:C:2023:220 , paragrafo 58 ). A tal proposito, l’avvocato generale Pikamäe si è fondato sulle «Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679», adottate il 3 ottobre 2017 dal gruppo di lavoro «Articolo 29» sulla protezione dei dati, versione emendata e adottata il 6 febbraio 2018 (in prosieguo: le «linee guida»), pagg. 28 e 30. ( 20 ) Occorre osservare altresì che la nozione di «informazioni significative sulla logica utilizzata» nell’ambito di un processo decisionale automatizzato ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, ha dato luogo a numerose pubblicazioni che consentono, grazie alla diversità di prese di posizione, di arricchire la riflessione sul significato che va attribuito a detta nozione. Tra dette pubblicazioni, citerei le seguenti: Goodman, B., e Flaxman, S., «[OSCURATO:PERSONA] on [OSCURATO:PERSONA] and a “Right to Explanation”», AI Magazine , vol. 38, n. 3, Wiley, Berlino, 2017, pagg. da 50 a 57; Wachter, S., Mittelstadt, B., e Floridi, L., «Why a Right to Explanation of [OSCURATO:PERSONA][OSCURATO:PERSONA] in the [OSCURATO:PERSONA]», [OSCURATO:PERSONA] , vol. 7, n. 2, [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2017, pagg. da 76 a 99; Selbst, A.D., e Powles, J., «Meaningful information and the right to explanation», [OSCURATO:PERSONA] , vol. 7, n. 4, [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2017, pagg. da 233 a 242; Cabral, T.S., «AI and the Right to Explanation: [OSCURATO:PERSONA] under the GDPR», in Hallinan, D., Leenes, R., e [OSCURATO:PERSONA], P., [OSCURATO:PERSONA] and [OSCURATO:PERSONA]: [OSCURATO:PERSONA] and [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2021, pagg. da 29 a 56; Edwards, L., e Veale, M., «Slave to the Algorithm? Why a “Right to an Explanation” [OSCURATO:PERSONA] the [OSCURATO:PERSONA]», [OSCURATO:PERSONA] & [OSCURATO:PERSONA] , vol. 16, [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2017, pagg. da 18 a 84; Brkan, M., «Do algorithms rule the worlds? [OSCURATO:PERSONA] decision-making and data protection in the framework of the GDPR and beyond», [OSCURATO:PERSONA] of Law and [OSCURATO:PERSONA] , vol. 27, n. 2, [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2019, pagg. da 91 a 121; Kaminski, M.E., e Malgieri, G., «[OSCURATO:PERSONA] impact assessments under the GDPR: producing multi-layered explanations», [OSCURATO:PERSONA] , vol. 11, n. 2, [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2021, pagg. da 125 a 144; Custers, B., e Heijne, A.-S., «The right of access in automated decision-making: The scope of article 15(1)(h) GDPR in theory and practice», [OSCURATO:PERSONA] & [OSCURATO:PERSONA] , vol. 46, Elsevier, Amsterdam, 2022; Naudts, L., Dewitte, P., e Ausloos, J., «Meaningful transparency through data rights: A multidimensional analysis», [OSCURATO:PERSONA] on EU [OSCURATO:PERSONA] w, Elgar, Cheltenham, 2022, pagg. da 530 a 571. ( 21 ) V., segnatamente, sentenza del 26 ottobre 2023, FT (Copia della cartella medica) [ C‑307/22 ; in prosieguo: la sentenza FT (Copia della cartella medica), EU:C:2023:811 , punti 47 e 48 , e giurisprudenza citata]. ( 22 ) Ai sensi dell’articolo 4, punto 4, del RGPD, per «profilazione» si intende «qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica». ( 23 ) Detta nozione figura anche all’articolo 13, paragrafo 2, lettera f), e all’articolo 14, paragrafo 2, lettera g), del RGPD.V., altresì, considerando 63 di detto regolamento, che indica che «[o]gni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni (...) in relazione (...) alla logica cui risponde qualsiasi trattamento automatizzato dei dati [personali] e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento». ( 24 ) Benché la presente domanda di pronuncia pregiudiziale verta, più in particolare, sulla nozione di «informazioni significative sulla logica utilizzata», ai sensi dell’articolo 15, paragrafo 1, lettera h), del RGPD, non si deve tuttavia sottovalutare il fatto che l’interessato deve essere informato anche dell’importanza e delle conseguenze previste del trattamento di cui trattasi . Secondo il gruppo «Articolo 29» sulla protezione dei dati, «[q]uesti termini suggeriscono che devono essere fornite informazioni sul trattamento previsto o futuro, nonché sulle possibili conseguenze del processo decisionale automatizzato sull’interessato (...). Per rendere queste informazioni significative e comprensibili, dovrebbero essere forniti esempi reali e concreti del tipo di possibili effetti»: v. linee guida (pag. 29). ( 25 ) V., segnatamente, sentenza del 4 maggio 2023, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑487/21 , in prosieguo: la sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA], EU:C:2023:369 , punto 34 e giurisprudenza citata), e sentenza FT (Copia della cartella medica) (punto 73 e giurisprudenza citata). ( 26 ) V., segnatamente, sentenza FT (Copia della cartella medica) (punto 73 e giurisprudenza citata). ( 27 ) V., segnatamente, sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 35 e giurisprudenza citata). ( 28 ) Come precisato dalla Corte nella sua sentenza SCHUFA Holding e a. (Scoring) (punto 52), tale disposizione sancisce un divieto di principio la cui violazione non necessita di essere fatta valere individualmente da una tale persona. ( 29 ) V. sentenza SCHUFA Holding e a. (Scoring) (punto 54). ( 30 ) V. sentenza SCHUFA Holding e a. (Scoring) (punto 57). Infatti, secondo la Corte, tale trattamento implica, come risulta dal considerando 71 del RGPD, la valutazione di aspetti personali relativi alla persona fisica interessata da tale trattamento, in particolare al fine di analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato (punto 58). Secondo tale considerando, tali rischi specifici possono compromettere i legittimi interessi e i diritti dell’interessato, in particolare tenendo conto dei potenziali effetti discriminatori nei confronti delle persone fisiche (punto 59). ( 31 ) V. sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 37). ( 32 ) V. sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 38). ( 33 ) V. sentenze [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 39) e FT (Copia della cartella medica) (punto 73). ( 34 ) V. sentenze [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 41) e FT (Copia della cartella medica) (punto 74). ( 35 ) V. sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 42). ( 36 ) V. sentenze [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 45) e FT (Copia della cartella medica) (punto 75). ( 37 ) V., sull’interpretazione accolta dalla Corte della nozione di «informazioni», ai sensi dell’articolo 15, paragrafo 3, terza frase, del RGPD, sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punti da 46 a 53). ( 38 ) V. Selbst, A.D., e Powles, J., op. cit., pag. 236. ( 39 ) V., a tal riguardo, Malgieri, G., e Comandé, G., «Why a Right to Legibility of [OSCURATO:PERSONA][OSCURATO:PERSONA] in the [OSCURATO:PERSONA]», [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2017, vol. 7, n. 4, pagg. da 243 a 265, in particolare pag. 257. ( 40 ) V., segnatamente, Cabral, T.S., op. cit. V., altresì, sul dibattito sull’esistenza o meno di un diritto alla spiegazione, Brkan, M., op. cit., pagg. 110 e segg. ( 41 ) V. Foss-Solbrekk, K., e Glenster, A.K., «The intersection of data protection rights and trade secrets privileges in “algorithmic transparency”», in [OSCURATO:PERSONA] on EU [OSCURATO:PERSONA] , op. cit., pagg. da 163 a 183. Tra i vari dubbi sollevati dall’utilizzo degli algoritmi, gli autori evidenziano «la possibilità che gli algoritmi (...) siano basati su dati inesatti, che portino così a risultati che non rispecchiano la situazione dell’interessato» (pag. 166) (traduzione libera). ( 42 ) V. sentenza SCHUFA Holding e a. (Scoring) (punto 59). ( 43 ) C‑26/22 e C‑64/22 , EU:C:2023:958 . ( 44 ) V. sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) ( C‑26/22 e C‑64/22 , EU:C:2023:958 , punto 94 e giurisprudenza citata). ( 45 ) V. Selbst, A.D., e Powles, J., op. cit., pag. 236. ( 46 ) V., segnatamente, sull’ampio dibattito generato da tale questione, Foss-Solbrekk, K., e Glenster, A.K., op. cit., pag. 167. ( 47 ) V. linee guida (pag. 28). Il corsivo è mio. ( 48 ) V. linee guida (pag. 30). ( 49 ) V. linee guida (pag. 28). Come indicato da detto gruppo di lavoro, dal considerando 58 del RGPD emerge che «il principio di trasparenza è “particolarmente utile in situazioni in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se, da chi e per quali finalità sono raccolti dati personali che lo riguardano, quali la pubblicità online”». ( 50 ) V. Malgieri, G., e Comandé, G., op. cit., che osservano come, «[s]pesso, [gli] algoritmi non s[iano] soltanto sconosciuti, ma anche del tutto incomprensibili per le persone» (traduzione libera) (pag. 243). ( 51 ) V. Poullet, Y., Le RGPD face aux défis de l’intelligence artificielle , Larcier, Bruxelles, 2021, il quale osserva che la «nozione di “informazioni significative” indica tipologie di dati anonimi o non trattati, le loro fonti, le modalità di funzionamento dell’algoritmo e, senza dubbio e senza doverne fornire i dettagli, il peso accordato a ciascun tipo di dati nell’algoritmo di base» (pag. 115). ( 52 ) V., segnatamente, sentenza FT (Copia della cartella medica) (punto 59 e giurisprudenza citata). ( 53 ) V. sentenza FT (Copia della cartella medica) (punto 61). ( 54 ) V. sentenza FT (Copia della cartella medica) (punto 62). ( 55 ) V. sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 43). ( 56 ) V., per analogia, sentenza FT (Copia della cartella medica) (punto 63). ( 57 ) Ai sensi di detta disposizione, ai fini della direttiva di cui trattasi per «segreto commerciale» si intendono «informazioni che soddisfano tutti i seguenti requisiti: a) sono segrete nel senso che non sono, nel loro insieme o nella precisa configurazione e combinazione dei loro elementi, generalmente note o facilmente accessibili a persone che normalmente si occupano del tipo di informazioni in questione; b) hanno valore commerciale in quanto segrete; c) sono state sottoposte a misure ragionevoli, secondo le circostanze, da parte della persona al cui legittimo controllo sono soggette, a mantenerle segrete». ( 58 ) GU 1995, L 281, pag. 31 . ( 59 ) V., in tal senso, a proposito dell’articolo 15, paragrafo 4, del RGPD, che consente di limitare il diritto di ottenere una copia dei dati personali di cui al paragrafo 3 di detto articolo, sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 44). ( 60 ) V. sentenza [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (punto 44). ( 61 ) V. sentenza del 2 marzo 2023, [OSCURATO:PERSONA] ( C‑268/21 , EU:C:2023:145 , punto 58 ). ( 62 ) V., segnatamente, sentenza SCHUFA Holding e a. (Scoring) (punto 70 e giurisprudenza citata). ( 63 ) V., segnatamente, sentenza del 17 giugno 2021, M.I.C.M. ( C‑597/19 , EU:C:2021:492 , punto 111 e giurisprudenza ivi citata).