Del Dott. Enrico Ferrante – Data Protection Officer

Ogni volta che parliamo di dati personali, dovremmo ricordarci che non stiamo maneggiando numeri, ma frammenti di vita. Ed è proprio quando la tecnologia diventa abbastanza potente da ricomporre quei frammenti che il diritto è chiamato a fare il suo mestiere più difficile: fermarsi un attimo a pensare.

Spesso c’è un equivoco che accompagna il dibattito sulla protezione dei dati personali: l’idea che il problema nasca quando i dati vengono raccolti.

In realtà, molto più spesso, il punto critico emerge dopo, quando quei dati vengono elaborati, messi in relazione e utilizzati per trarre conclusioni.

Per anni abbiamo convissuto con archivi separati, banche dati verticali, informazioni frammentate; ognuna aveva una sua logica, una sua finalità, un suo perimetro; il rischio era contenuto anche perché la lettura incrociata risultava complessa, lenta e spesso manuale.

Oggi, invece, questo scenario è profondamente cambiato; non perché siano nati nuovi dati, ma perché sono nati strumenti capaci di correlare ciò che prima restava disperso.

Dal punto di vista tecnico, i sistemi di analisi avanzata non fanno nulla di misterioso: non creano dati dal nulla, ma operano su informazioni già esistenti, le elaborano, le mettono in relazione e le rendono interrogabili in modo più efficiente.

Il salto qualitativo sta tutto qui. Ed è un salto che ha un nome preciso: inferenza.

L’inferenza è il momento in cui, a partire da dati – personali e non personali – il sistema, o l’operatore che lo utilizza, ricava informazioni ulteriori, non immediatamente presenti nei singoli archivi.
Non è più una semplice consultazione, ma un processo di ricomposizione dal quale, attraverso l’elaborazione, prende forma un nuovo scenario informativo.

È la capacità di far emergere un significato ulteriore dalla combinazione di dati raccolti in modo frammentario e disomogeneo, ricomponendoli in una visione unitaria.

Un’operazione che consente, dunque, di cogliere relazioni, assetti e dinamiche che, se osservati isolatamente, resterebbero opachi o marginali, ma che, una volta letti insieme, assumono una portata informativa più ampia, con possibili riflessi sulla ricostruzione di una persona, del suo patrimonio e dei suoi comportamenti.

Ed è proprio qui che, come DPO, sento il terreno farsi più delicato, perché l’inferenza cambia la natura del trattamento e amplifica il potere conoscitivo di chi analizza i dati.

Può far emergere schemi, relazioni e sospetti e, soprattutto, produrre effetti concreti sulla vita delle persone, anche prima dell’assunzione di una decisione formale.

Il Regolamento (UE) 2016/679 (di seguito, GDPR) è molto chiaro su questo punto, anche quando non utilizza espressamente il termine “inferenza”.

È necessario chiarire sin da subito un passaggio che costituisce la vera chiave di volta dell’intero impianto: il rischio elevato non discende dalla quantità dei dati trattati, ma dalla capacità del trattamento di incidere, in concreto, sui diritti e sulle libertà degli interessati.

Un trattamento può essere perfettamente lecito nella sua fase di raccolta e diventare problematico nel momento in cui viene inserito in un sistema capace di produrre inferenze strutturate.

Per questo, la normativa vigente in materia di protezione dei dati personali insiste su alcuni presìdi che, letti nel loro insieme, disegnano una linea di confine precisa: separazione tra analisi e decisione, esclusione di effetti giuridici automatici, controllo umano effettivo, tracciabilità delle operazioni, limitazione delle finalità, tempi di conservazione definiti.

Non sono formule astratte, ma argini costruiti per evitare che determinate tipologie di trattamento, da potenziali strumenti di evoluzione tecnologica al servizio della collettività, si trasformino in una spada di Damocle sospesa sui diritti e sulle libertà degli interessati.

Ed è proprio all’interno di questo panorama che va letto il provvedimento con cui il Garante per la protezione dei dati personali, il 4 agosto 2025, esprimeva parere favorevole sul sistema CEREBRO, la piattaforma che utilizzerebbe la Polizia di Stato a supporto delle indagini patrimoniali.

CEREBRO è, infatti, un sistema che lavora proprio sul piano dell’inferenza.

Non si limita a mostrare dati già noti, ma aiuta a ricostruire assetti patrimoniali complessi, a collegare informazioni disperse e a far emergere incoerenze; ed è per questo che il suo utilizzo richiede un presidio giuridico rafforzato.

Il sistema non opera in modo generalizzato; non analizza la popolazione, non genera profili automatici; entra in funzione solo quando esiste già un perimetro investigativo definito, un fascicolo aperto e una finalità specifica.

In tale contesto, l’inferenza non è lasciata all’algoritmo in modo autonomo, ma resta uno strumento a supporto dell’analisi umana.

Questo elemento è decisivo dal punto di vista della protezione dei dati personali, in quanto incide direttamente sulla qualificazione del trattamento e sul livello di rischio che esso comporta.
Il carattere non generalizzato del sistema consente, anzitutto, di escludere una logica di sorveglianza preventiva o indiscriminata.

Tale aspetto si riflette direttamente sul principio di limitazione della finalità: l’elaborazione dei dati non è autonoma né esplorativa, ma è funzionalmente ancorata a una finalità specifica e preesistente, individuata a monte e non ridefinita dall’algoritmo (cfr. art. 5, par. 1, lett. b, GDPR).

La presenza di un fascicolo aperto e di un perimetro investigativo delimitato incide anche sul tema della necessità e proporzionalità del trattamento.

L’analisi non viene svolta “nel dubbio che possa servire”, ma perché esiste un contesto concreto che ne giustifica l’attivazione, consentendo di mantenere il trattamento entro i confini di quanto effettivamente necessario, in linea con il principio di minimizzazione (cfr. art. 5, par. 1, lett. c, GDPR).

Ancora più rilevante, sul piano delle garanzie, è il fatto che l’inferenza non sia lasciata all’algoritmo in modo autonomo, ma resti uno strumento a supporto dell’analisi umana.

Il riferimento è immediato al divieto di decisioni basate unicamente su trattamenti automatizzati idonei a produrre effetti giuridici o comunque significativamente incidenti sugli interessati (cfr. art. 22 GDPR).

Nel modello descritto, l’algoritmo non assume decisioni, non qualifica situazioni giuridiche e non determina conseguenze dirette.

L’inferenza resta confinata nella fase istruttoria, come ausilio cognitivo per l’operatore, che mantiene la piena responsabilità della valutazione finale.

Questo assetto consente di preservare la contestabilità del trattamento; le conclusioni non sono il risultato di un processo opaco e incontrollabile, ma di valutazioni umane motivate, inserite in un procedimento formalizzato e verificabile.

Si tratta di un elemento che si collega direttamente al principio di trasparenza e alla responsabilizzazione del titolare del trattamento (cfr. artt. 5, par. 2, e 24 GDPR).

Il carattere non generalizzato e non automatico del sistema riduce, infine, il rischio che l’inferenza si trasformi in una forma di profilazione strutturata; non perché l’inferenza, in sé, sia vietata, ma perché, quando diventa sistematica e sganciata da un controllo umano effettivo, altera l’equilibrio tra potere informativo e tutela dei diritti. Ed è proprio questo equilibrio che la vigente normativa sulla protezione dei dati mira a preservare.

Proprio per questo, e per le molteplici implicazioni che ne derivano, noi DPO siamo chiamati a svolgere una funzione essenziale. Il nostro vero ruolo non è quello di presidiare un regolamento, ma di custodire un equilibrio; e quando quell’equilibrio vacilla, la mera conoscenza della norma non è sufficiente: occorre la responsabilità di chi sa scegliere, consapevolmente, da che parte stare.