Distinguere tra informazione, ricerca e sfruttamento commerciale del dato personale

Che l'intelligenza artificiale stia modificando il lavoro degli studi legali non è una novità. Ciò che va invece osservato è la selezione di strumenti sempre più presenti nel mercato in grado di supportare il lavoro del legale non solo nella redazione assistita di testi ma soprattutto nella ricerca, nell'analisi e nella classificazione di atti precedenti e decisioni giudiziarie. Il valore di questi strumenti dipende però dalla qualità e dalla liceità dei dati che li alimentano. Quando si tratta di norme e massime il problema è relativamente semplice. Quando invece si tratta di sentenze contenenti dati personali, e in particolare informazioni relative a condanne penali, la questione diventa delicata.

Una recente sentenza della Corte di Giustizia Ue nel caso Lexbase aiuta a precisare il problema. La vicenda nasce in Svezia e riguarda una banca dati privata che rendeva accessibili online a pagamento informazioni tratte da sentenze penali. Una persona condannata nel 2011 aveva chiesto la cancellazione dei propri dati. La società aveva resistito richiamando la protezione della libertà di espressione prevista dall'ordinamento svedese, che copriva la banca dati.

La domanda posta alla Corte non riguardava direttamente l'AI né il training di modelli. Essa contiene tuttavia utili indicazioni per il mercato delle banche dati giuridiche e per gli strumenti che trasformano documenti giudiziari in informazioni ricercabili, aggregabili e riutilizzabili, vale a dire la base informativa per la creazione degli strumenti AI specialistici. Ebbene, il primo punto su cui si è appuntata la Corte riguarda l'articolo 85 del Gdpr, che impone agli Stati membri di conciliare protezione dei dati personali e libertà di espressione e informazione. Tuttavia la Corte distingue tra paragrafo 1 e 2 della norma. Il primo contiene una clausola generale di conciliazione; il secondo consente deroghe al Gdpr solo per trattamenti effettuati a scopi giornalistici o di espressione accademica, artistica o letteraria. Ne deriva che gli Stati membri non possono usare genericamente la libertà di informazione per sottrarre al Gdpr trattamenti che non rientrano in quelle finalità.

Il secondo punto riguarda l'accesso ai rimedi. Il diritto nazionale svedese, secondo la ricostruzione del giudice del rinvio, lasciava alla persona interessata i rimedi legati alla diffamazione. La Corte esclude questa soluzione chiarendo che i rimedi previsti dal capo VIII del Gdpr (reclamo all'autorità di controllo, ricorso giurisdizionale, azione contro il titolare o responsabile, risarcimento del danno) non possono essere eliminati da una disciplina nazionale di bilanciamento con la libertà di espressione. Questo passaggio è importante perché impedisce di assorbire la protezione dei dati nella sola tutela reputazionale. Un trattamento può non essere diffamatorio e tuttavia porre un problema autonomo di protezione dei dati.

Il terzo punto è forse il più rilevante per le banche dati giuridiche. La Corte chiarisce che la nozione di giornalismo va interpretata in senso ampio: il fatto che l'attività si svolga online, che sia a pagamento o che utilizzi documenti pubblici non esclude la finalità giornalistica. Tuttavia non basta mettere a disposizione del pubblico documenti giudiziari per invocare automaticamente questa finalità.

La Corte non dice, dunque, che i dati contenuti nelle sentenze penali non possano mai essere usati a fini informativi ma che la pubblicità dell'atto giudiziario non coincide con la libera indicizzazione e commercializzazione dei dati che contiene. È qui che la sentenza diventa utile anche per riflettere sull'AI legale. Gli strumenti di ricerca e analisi non lavorano più solo sul documento come unità chiusa ma tendono a scomporlo in dati: nomi, eventi, esiti, qualificazioni giuridiche, pattern decisionali. Questo passaggio dal documento al dato computabile produce valore ma aumenta il rischio di decontestualizzazione. Il fatto che una sentenza sia pubblica non significa che tutti i dati personali in essa contenuti possano essere trattati senza limiti, aggregati con altri dati o utilizzati come materia prima per servizi commerciali.

Il problema si accentua quando il trattamento riguarda dati relativi a condanne penali. L'articolo 10 del Gdpr ne prevede una tutela specifica: il loro trattamento deve avvenire sotto il controllo dell'autorità pubblica o essere autorizzato dal diritto Ue o degli Stati membri. La sentenza Lexbase non decide in via diretta la conformità del trattamento all'articolo 10, ma conferma che la natura penale dei dati è un elemento rilevante nel successivo giudizio di proporzionalità e nella valutazione delle garanzie necessarie.

Per gli operatori del legal tech il messaggio è pragmatico. Le decisioni giudiziarie possono essere una risorsa le per la qualità degli strumenti di ricerca ma il loro riuso richiede un'architettura giuridica chiara: base giuridica del trattamento, minimizzazione, eventuale anonimizzazione o pseudonimizzazione, limiti di conservazione, controlli sull'accesso, distinzione tra uso professionale e accesso indiscriminato del pubblico, attenzione rafforzata ai dati penali.

In ultima analisi la Corte invita a guardare alla funzione concreta del trattamento: se da un lato non basta invocare la libertà di informazione per sottrarsi al Gdpr, dall'altro non occorre nemmeno negare il valore della circolazione dell'informazione giuridica. Il bilanciamento deve distinguere tra informazione, ricerca, trasparenza e sfruttamento commerciale del dato personale. (riproduzione riservata)

Oreste Pollicino

ordinario di Diritto Costituzionale

e Regolamentazione dell'AI

all'università Bocconi e founder

di Pollicino Aidvisory

Federica Paolucci

Assegnista di ricerca

all'università Bocconi