In particolare, la banca centrale nazionale ha, fra gli altri compiti, quello di ricevere e valutare gli esposti che riguardano la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra gli intermediari bancari e i clienti nonché i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento, al fine di emettere ed applicare le eventuali sanzioni nei confronti degli operatori del settore bancario. Al fine di poter compiere una migliore analisi degli esposti che vengono presentati, la Banca d’Italia ha quindi deciso di utilizzare un sistema basato sull’intelligenza artificiale che possa raccogliere e catalogare in maniera omogena i vari esposti.
Conseguentemente, ha sottoposto alla valutazione del Garante privacy il relativo schema di regolamento che disciplina l’uso di tali strumenti.
2. Il contenuto dello schema di Regolamento
Lo schema di regolamento esaminato, stabilisce, in primo luogo, che il trattamento degli esposti presentati alla Banca d’Italia è finalizzato a ottimizzare l’insieme delle informazioni che si possono ricavare dagli esposti per poter ottenere degli elementi utili circa fenomeni di interesse per l’attività di vigilanza svolta dalla Banca d’Italia nei confronti degli intermediari bancari e finanziari.
In secondo luogo, viene previsto che attraverso gli strumenti di intelligenza artificiale è possibile analizzare il contenuto degli esposti, in modo da estrarre concetti e ricorrenze nonché di collegare le informazioni che sono contenute nei vari esposti. In particolare, detti strumenti potranno accedere a tutti i documenti depositati dagli esponenti e ricercare al loro interno tutte le informazioni presenti che siano riconducibili ad un determinato servizio o prodotto finanziario: in tal modo, potranno essere individuate delle fattispecie che hanno elementi di somiglianza e così ricavare informazioni utili per trattare gli esposti e affinchè la Banca d’Italia possa svolgere la sua attività di vigilanza.
Infine, lo schema di regolamento da conto che i dati personali contenuti negli esposti possono essere anche relativi alle categorie particolari di dati previste dal GDPR o a quelli di carattere giudiziario ed essere riferiti non solo alle persone fisiche che presentano l’esposto, ma anche a soggetti terzi che sono a vario titolo legate o coinvolte nella vicenda.
Dal punto di vista della disciplina dei trattamenti e delle misure adottate, lo schema di Regolamento e la valutazione di impatto compiuta dalla Banca d’Italia e che è ad esso allegata, recepiscono le indicazioni che erano state date dallo stesso Garante privacy durante le audizioni informali precedenti all’emanazione del provvedimento e stabiliscono:
- nel rispetto del principio di liceità, correttezza e trasparenza, in maniera precisa e distinta quali sono i trattamenti effettuati, le tipologie di dati trattati, le categorie di interessati, le operazioni eseguibili e le modalità di trattamento, nella trattazione degli esposti;
- l’individuazione di misure appropriate a tutela dei diritti degli interessati, quali il ricorso ad una logica di aggregazione degli esposti in base alle parole simili, che sono state utilizzate dagli esponenti all’interno dell’esposto, con riferimento ai prodotti e ai servizi offerti alla clientela o all’oggetto della segnalazione delle problematicità; mentre non viene fatta alcuna aggregazione in base ai dati personali degli esponenti o dei soggetti terzi comunque coinvolti (in altri termini, gli strumenti di intelligenza artificiale, nella loro analisi, non tengono conto dei suddetti dati personali);
- altri misure, come l’esclusione di ogni forma di profilazione o di predizione di comportamenti delle persone fisiche esponenti o di quelle terze comunque coinvolte nella vicenda;
- ed ancora altre apposite misure di sicurezza, come la limitazione dell’accesso alle informazioni soltanto ai dipendenti abilitati e addetti all’attività di gestione degli esposti e all’uso delle informazioni in esse contenuti attraverso gli strumenti di intelligenza artificiale;
- la definizione di modalità con cui informare gli interessati del trattamento, delle sue caratteristiche e delle garanzie loro assicurate;
- la previsione che i dati e le elaborazioni effettuate non vengono trasmessi ad alcun destinatario esterno alla Banca d’Italia;
- l’individuazione di un tempo di conservazione dei dati di 10 anni;
- la previsione di un periodico monitoraggio e aggiornamento delle tecniche di machine learning, attraverso la partecipazione di soggetti persone fisiche, esperti dell’area gestione esposti e tecnici della valutazione dei dati, in modo da poter guidare e controllare i modelli che sono creati dagli strumenti di intelligenza artificiale;
- l’uso di tecniche che permettono di poter rappresentare il modo con cui l’algoritmo funziona e che possano così spiegare la logica che ha portato ai risultati prodotti dall’algoritmo stesso;
- la costante effettuazione di valutazioni di rischio sui diritti e le libertà degli interessati compiuta durante il processo di continuo riaddestramento dell’algoritmo.
Potrebbe interessarti anche:
- Garante sanziona struttura sanitaria dal cui sito internet si poteva facilmente accedere ai dati sanitari di 1700 utenti
- La Regione, titolare del trattamento dei dati sanitari, risponde anche nel caso di trattamento illegittimo su richiesta del Ministero
- Il parere del Garante Privacy sullo schema predisposto da AgID per l’erogazione del servizio pubblico wi-fi free
3. Il parere del Garante
In considerazione di tutto quanto sopra, il Garante ha ritenuto che il trattamento di dati effettuato dalla Banca d’Italia attraverso l’uso di strumenti di intelligenza artificiale per la gestione degli esposti, insieme alle indicazioni contenute nella valutazione di impatto correlata, come sopra esposte, fornisce delle misure adeguate di tutela dei diritti e delle libertà degli interessati, proprio in considerazione del fatto che è escluso ogni processo decisionale automatizzato in ordine alle persone fisiche, del fatto che è garantita la necessaria trasparenza del trattamento (ai fini dell’esercizio dei propri diritti da parte di questi ultimi) e del fatto che la presenza di operatori umani che affiancano l’algoritmo permette di rispettare i principi di accountability e di privacy by design e by default previsti dal Regolamento europeo.
Pertanto, il Garante per la protezione dei dati personali ha dato il proprio parere positivo sullo schema di Regolamento in esame che è stato proposto dalla Banca d’Italia.
Volume consigliato:
Privacy e GDPR: Manuale applicativo con esempi e casistiche settoriali
Il volume si distingue per il suo carattere multidisciplinare ponendosi quale strumento pratico e immediato per rispondere in modo corretto alle finalità della legge.Per ogni tipologia di attività, dalla sanità, alle assicurazioni, dalle banche, alle PMI fino ad arrivare al settore scolastico, il manuale diventa uno strumento per interpretare in modo efficace, il quadro regolatorio in materia di protezione dei dati personali e le sue indicazioni pratiche, riescono a dare criteri precisi su come applicarlo. Il manuale oltre a contenere le disposizioni della legge, è dotato di un formulario che permette un’analisi accurata della situazione in cui il soggetto si trova e, con chek-list, fac-simili, lettere di nomina, informative, istruzioni operative a tutto quello che occorre, permette di riuscire ad avere in breve tempo, una soluzione a tutte le problematiche che il GDPR ha introdotto. Il manuale può essere utilizzato, non solo a chi la legge la deve applicare, ma anche a quei soggetti, certificatori e verificatori delle norme UNI EN ISO, che sono preposti alla valutazione per i sistemi di qualità.Sistemi che oggi sono fondamentali per porre le aziende nella condizione di trovarsi, in un mercato concorrenziale, pronte a soddisfare le sempre più esigenti richieste di tutti gli stakeholder. Il volume affronta, in particolare, i seguenti settori:- banche;- assicurazioni;- sanità;- lavoro;- scuole. MONICA MANDICOGià DPO e legal Specialist di privati e aziende, è avvocato e founder di Mandico & Partners. È stata coautrice di diverse opere, oltre ad aver pubblicato diverse monografie e contribuito ad opere collettanee in materia di privacy. Docente nel Corso di Perfezionamento “ Privacy e potere di controllo nelle imprese e nei rapporti di lavoro”, organizzato e patrocinato dalle Università delle Marche ed UNICAM.
Monica Mandico | 2019 Maggioli Editore
