Il credit scoring algoritmico nel sistema europeo delle decisioni automatizzate e della conservazione dei dati negativi: il contributo della giurisprudenza austriaca

La sentenza del Bundesverwaltungsgericht del 28 marzo 2025 offre un contributo alla definizione degli standard europei in materia di trattamento dei dati creditizi, con particolare riferimento alla profilazione algoritmica e alla conservazione delle informazioni negative. La pronuncia si distingue per un approccio sostanzialistico. Da un lato, riconduce l’ambito applicativo dell’art. 22 reg. privacy alla funzione concretamente svolta dal trattamento automatizzato nell’ambito del processo decisionale di allocazione del credito, indipendentemente dalla complessità tecnica del modello algoritmico impiegato o dalla forma dell’output: in tale prospettiva anche un risultato che non si traduca in uno score espressamente negativo – come nel caso di «punteggio 0: calcolo non possibile» – può integrare una «decisione» ai sensi del Regolamento. D’altro lato, il diritto alla cancellazione previsto dall’art. 17 reg. privacy viene inteso come strumento fisiologico e non eccezionale, operante ogniqualvolta venga meno la necessità del trattamento. In tal senso, con particolare riguardo ai dati raccolti nell’ambito di rapporti privatistici, la sentenza del BVwG esclude che la liceità del trattamento possa fondarsi esclusivamente su automatismi comparativi con i termini di pubblicità legale previsti per le fonti pubbliche: ciò che rileva in via dirimente è la concreta incidenza del dato sulla posizione dell’interessato e la persistenza della relativa capacità predittiva rispetto alla finalità di valutazione del rischio. In relazione a siffatti temi, il commento analizza la portata della sentenza, evidenziandone i profili di novità rispetto ai recenti orientamenti della giurisprudenza europea (con particolare riguardo al noto caso Schufa) e le implicazioni applicative nel contesto del credit scoring algoritmico.