-
- Art. 3 Cost.
- Art. 5a Cost.
- Art. 6 Cost.
- Art. 10 Cost.
- Art. 13 Cost.
- Art. 16 Cost.
- Art. 17 Cost.
- Art. 20 Cost.
- Art. 22 Cost.
- Art. 26 Cost.
- Art. 29a Cost.
- Art. 30 Cost.
- Art. 31 Cost.
- Art. 32 Cost.
- Art. 42 Cost.
- Art. 43 Cost.
- Art. 43a Cost.
- Art. 45 Cost.
- Art. 51 Cost.
- Art. 52 Cost.
- Art. 55 Cost.
- Art. 56 Cost.
- Art. 60 Cost.
- Art. 68 Cost.
- Art. 69 Cost.
- Art. 74 Cost.
- Art. 75b Cost.
- Art. 77 Cost.
- Art. 81 Cost.
- Art. 96 cpv. 1 Cost.
- Art. 96 cpv. 2 lett. a Cost.
- Art. 110 Cost.
- Art. 117a Cost.
- Art. 118 Cost.
- Art. 119a Cost.
- Art. 122 Cost.
- Art. 123a Cost.
- Art. 123b Cost.
- Art. 136 Cost.
- Art. 130 Cost.
- Art. 164 Cost.
- Art. 166 Cost.
- Art. 170 Cost.
- Art. 176 Cost
- Art. 178 Cost.
- Art. 189 Cost.
- Art. 191 Cost.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 97 CO
- Art. 98 CO
- Art. 99 CO
- Art. 100 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 633 CO
- Art. 701 CO
- Art. 713 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Disposizioni transitorie per la revisione del diritto azionario del 19 giugno 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 PRA
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b LDP
- Art. 59c LDP
- Art. 60 LDP
- Art. 60a LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 64 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 73 LDP
- Art. 73a LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Art. 1 AIMP
- Art. 1a AIMP
- Art. 3 par. 1 e 2 AIMP
- Art. 8 AIMP
- Art. 8a AIMP
- Art. 11b AIMP
- Art. 16 AIMP
- Art. 17 AIMP
- Art. 17a AIMP
- Art. 32 AIMP
- Art. 35 AIMP
- Art. 47 AIMP
- Art. 48 AIMP
- Art. 54 AIMP
- Art. 55a AIMP
- Art. 56 AIMP
- Art. 67 AIMP
- Art. 67a AIMP
- Art. 74 AIMP
- Art. 74a AIMP
- Art. 80 AIMP
- Art. 80a AIMP
- Art. 80b AIMP
- Art. 80h AIMP
- Art. 63 AIMP
- Art. 80c AIMP
- Art. 80d AIMP
- Art. 80k AIMP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 4 LPD
- Art. 5 lett. d LPD
- Art. 5 lett. c LPD
- Art. 5 lit. f und g LPD
- Art. 6 cpv. 3-5 LPD
- Art. 6 cpv. 6 e 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 18 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 21 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 28 LPD
- Art. 29 LPD
- Art. 31 cpv. 2 lit. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 52 LPD
- Art. 54 LPD
- Art. 55 LPD
- Art. 57 LPD
- Art. 58 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 1 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 2 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 3 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 4 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 5 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 6 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 7 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 8 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 9 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 11 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 12 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 16 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 18 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 25 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 27 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 28 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 29 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 32 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 33 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 34 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
-
- Art. 2 cpv. 1 LRD
- Art. 2 cpv. 2 LRD
- Art. 2 cpv. 3 LRD
- Art. 2a cpv. 1-2 and 4-5 LRD
- Art. 3 LRD
- Art. 7 LRD
- Art. 7a LRD
- Art. 8 LRD
- Art. 8a LRD
- Art. 9 LRD
- Art. 11 LRD
- Art. 14 LRD
- Art. 15 LRD
- Art. 20 LRD
- Art. 23 LRD
- Art. 24 LRD
- Art. 24a LRD
- Art. 25 LRD
- Art. 26 LRD
- Art. 26a LRD
- Art. 27 LRD
- Art. 28 LRD
- Art. 29 LRD
- Art. 29a LRD
- Art. 29b LRD
- Art. 30 LRD
- Art. 31 LRD
- Art. 31a LRD
- Art. 32 LRD
- Art. 33 LRD
- Art. 34 LRD
- Art. 38 LRD
COSTITUZIONE FEDERALE
LEGGE FEDERALE SULL’IMPOSTA FEDERALE DIRETTA
ORDINANZA RELATIVA AI DISPOSITIVI MEDICI
CODICE DELLE OBBLIGAZIONI
LEGGE FEDERALE SUL DIRITTO INTERNAZIONALE PRIVATO
CONVENZIONE DI LUGANO
CODICE DI PROCEDURA PENALE
CODICE DI PROCEDURA CIVILE
LEGGE FEDERALE SUI DIRITTI POLITICI
CODICE CIVILE
LEGGE FEDERALE SUI CARTELLI E ALTRE LIMITAZIONI DELLA CONCORRENZA
LEGGE FEDERALE SULL’ASSISTENZA INTERNAZIONALE IN MATERIA PENALE
LEGGE FEDERALE SULLA PROTEZIONE DEI DATI
LEGGE FEDERALE SULLA ESECUZIONE E SUL FALLIMENTO
CODICE PENALE
CYBERCRIME CONVENTION
ORDINANZA SUL REGISTRO DI COMMERCIO
LEGGE SUL RICICLAGGIO DI DENARO
LEGGE SULLA TRASPARENZA
LEGGE FEDERALE SUL TRASFERIMENTO INTERNAZIONALE DEI BENI CULTURALI
LEGGE SUGLI AGENTI TERAPEUTICI
LEGGE FEDERALE SULL’ARMONIZZAZIONE DELLE IMPOSTE DIRETTE DEI CANTONI E DEI COMUNI
- In breve
- I. Considerazioni generali
- II. Obbligo di informazione in caso di decisione individuale automatizzata (cpv. 1)
- III. Diritti dell’interessato (cpv. 2)
- IV. Eccezioni (comma 3)
- V. Decisione individuale automatizzata da parte di un organo federale (cpv. 4)
- VI. Applicazione
- VII. Riferimenti di diritto comparato
- VIII. Prospettive
- Bibliografia
- I materiali
In breve
L'art. 21 della LPD prevede un obbligo di informazione in caso di decisioni individuali completamente automatizzate che comportino un pregiudizio significativo per l'interessato o che comportino conseguenze giuridiche per lo stesso. Inoltre, la disposizione riconosce all'interessato diversi diritti di tutela: il diritto di esprimere il proprio punto di vista e il diritto alla verifica da parte di un essere umano.
Inoltre, la norma obbliga gli organi federali a contrassegnare espressamente come tali le decisioni individuali interamente automatizzate. Una lacuna sostanziale della disposizione consiste nel fatto che essa non include nel proprio ambito di applicazione le decisioni parzialmente automatizzate.
I. Considerazioni generali
A. Panoramica e struttura
1 Con la revisione della legge sulla protezione dei dati, nel settembre 2023 è stato introdotto nel diritto svizzero il concetto di decisione individuale automatizzata. L’art. 21 LPD disciplina gli obblighi del responsabile del trattamento ai sensi dell’art. 5 lett. j LPD e i diritti dell’interessato in caso di decisione individuale automatizzata. Cpv. 1 definisce la decisione individuale automatizzata e stabilisce un obbligo di informazione al riguardo. Cpv. 2 enuncia i diritti dell’interessato, tra cui figurano il diritto di essere ascoltato e il diritto alla verifica della decisione da parte di una persona fisica. Il cpv. 3 prevede delle eccezioni ai cpv. 1 e 2. Il cpv. 4 stabilisce una disposizione speciale per gli organi federali.
2 La LPD è concretizzata dall’OPDa. Quest’ultimo non contiene finora ulteriori disposizioni relative alle decisioni individuali automatizzate.
B. Finalità normativa
3 Secondo il messaggio del Consiglio federale, l’art. 21 LPD mira ad allinearsi alle disposizioni vigenti del diritto internazionale. Dal punto di vista contenutistico, il Consiglio federale motiva la nuova disposizione con il fatto che le decisioni individuali automatizzate sono in costante aumento a seguito degli sviluppi tecnologici. Non viene tuttavia effettuata un’analisi dettagliata dei rischi connessi alle decisioni individuali automatizzate né della conseguente necessità di regolamentazione.
4 Il messaggio cita tuttavia esempi di come possano essere prese decisioni erronee basate su dati falsi o incompleti. Ciò lascia supporre che uno dei motivi all’origine dell’introduzione del nuovo art. 21 LPD fosse proprio il timore di tali decisioni. Come potenziale obiettivo normativo si può quindi considerare la tutela della dignità umana, il cui scopo è, tra l’altro, quello di proteggere le persone dal semplice ridurle a oggetti di decisioni automatizzate. Un ulteriore possibile obiettivo normativo può essere individuato nella tutela contro la discriminazione da parte dello Stato: se una decisione individuale automatizzata si basa su processi di apprendimento automatico, essa non segue regole stabilite dall’uomo, ma apprende da grandi quantità di dati (i cosiddetti «dati di addestramento»), che possono riflettere svantaggi sociali, modelli ricorrenti o ruoli di genere obsoleti (il cosiddetto data bias). In questo modo, una decisione individuale automatizzata può riprodurre svantaggi e produrre un effetto discriminatorio. La nuova disposizione concede alle persone interessate la possibilità di esercitare un’influenza qualora siano oggetto di una decisione individuale automatizzata («diritto all’udienza umana»). Secondo il messaggio, ciò dovrebbe contrastare le decisioni errate e le loro conseguenze. Peraltro, il legislatore valuta implicitamente le decisioni umane come superiori, poiché a suo avviso le decisioni automatizzate errate possono essere evitate grazie all’intervento umano. Su questo presupposto si basa anche la disposizione relativa alle decisioni individuali automatizzate ai sensi della DSGVO (cfr. N. 69 e segg.), che il messaggio cita come ulteriore motivazione dell’art. 21 LPD.
C. Genesi
5 Il dibattito giuridico sulle decisioni individuali automatizzate ha preso slancio solo con l’introduzione esplicita dell’art. 21 LPD. Come si vedrà di seguito, tuttavia, il concetto risale già a diversi decenni fa. L’art. 21 LPD è quindi il risultato di uno sviluppo graduale che si basa su precedenti tentativi di riforma e su orientamenti internazionali.
6 1981: Nei materiali relativi alla direttiva sul trattamento dei dati personali nell’amministrazione federale del 16 marzo 1981 si faceva riferimento ai rischi che potevano derivare dalla creazione di profili della personalità e dal processo decisionale automatizzato basato su di essi. Nel diritto svizzero, tuttavia, non fu introdotta una normativa esplicita in materia di decisioni individuali automatizzate.
7 2003: Nell’ambito della revisione parziale della LPD nel 2003, il Consiglio federale intendeva introdurre un obbligo esplicito di informazione in caso di decisioni individuali automatizzate. Il Parlamento, tuttavia, respinse tale proposta.
8 2017 – 2020: La versione dell’art. 21 LPD proposta dal Consiglio federale nel messaggio sulla revisione totale del 2017 è stata sostanzialmente ripresa dal Parlamento. Mentre la consultazione era stata ancora oggetto di controversie, la presente disposizione è rimasta in gran parte incontestata nel corso della procedura parlamentare. Come mostra la tabella di concordanza che segue, le modifiche apportate si sono limitate a precisazioni redazionali:
Tabella 1: Tabella di concordanza relativa all’evoluzione dell’art. 21 LPD (elaborazione propria)
9 2018: Un nuovo impulso alla regolamentazione giuridica delle decisioni individuali automatizzate è stato dato nel quadro dell’attuazione della direttiva (UE) 2016/680, vincolante per la Svizzera, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nel settore della cooperazione giudiziaria e di polizia. A tal fine, nell’ambito della Legge sulla protezione dei dati di Schengen (LPD-Schengen; in vigore fino al 31 agosto 2023) è stata introdotta una disposizione relativa alle decisioni individuali automatizzate (art. 11 SDSG). Tale disposizione obbligava gli organi federali, nei settori contemplati, a informare le persone interessate in merito alle decisioni individuali automatizzate e garantiva loro i relativi diritti di partecipazione. Con l’entrata in vigore della legge sulla protezione dei dati riveduta, la SDSG è stata abrogata (art. 68 in combinato disposto con l’allegato 1 LPD). L’art. 21 LPD è subentrato, dal punto di vista del contenuto, all’art. 11 LPSD.
10 2019 – 2023: L’introduzione dell’art. 21 LPD serve inoltre ad adempiere agli obblighi internazionali della Svizzera. La Convenzione modernizzata sulla protezione dei dati del Consiglio d’Europa (Convenzione 108+, Convenzione del Consiglio d’Europa 108+), che la Svizzera ha firmato il 21 novembre 2019 e ratificato il 7 settembre 2023, obbliga espressamente gli Stati contraenti a garantire il diritto all’informazione e all’audizione in caso di decisioni individuali automatizzate (art. 8 cpv. 1 lett. e e art. 9 cpv. 1 lett. a Convenzione del Consiglio d’Europa 108+). Inoltre, con l’introduzione dell’art. 21 LPD, il legislatore ha perseguito l’obiettivo di creare un livello di protezione dei dati che, nei rapporti con l’Unione europea, continui ad essere considerato «adeguato» ai sensi dell’art. 45 della DSGVO.
II. Obbligo di informazione in caso di decisione individuale automatizzata (cpv. 1)
11 La decisione individuale automatizzata è definita giuridicamente nell’art. 21, cpv. 1, della LPD. Per poter inquadrare il concetto (B.), occorre innanzitutto formulare alcune osservazioni sull’automazione e sul suo sviluppo tecnico (A.). Successivamente vengono precisati i presupposti giuridici fondamentali (C.).
A. Contesto tecnico
1. Livelli di automazione
12 Per automazione si intende il trasferimento di compiti dall’uomo alle macchine. Una decisione individuale automatizzata può presentare diversi livelli di automazione. In linea di massima, è possibile distinguere tra automazione parziale e automazione completa.
13 Il concetto di automazione parziale presenta diversi significati. Da un lato, può trattarsi di un supporto decisionale. In questo caso, il sistema automatizzato prepara la decisione (raccolta, compilazione o valutazione di informazioni; creazione di panoramiche). La decisione vera e propria, tuttavia, viene presa da una persona fisica responsabile.
Ad esempio, i sistemi parzialmente automatizzati possono essere utilizzati per formulare diagnosi mediche analizzando radiografie, tomografie computerizzate o risonanze magnetiche.
I sistemi parzialmente automatizzati possono essere impiegati nella definizione delle condizioni contrattuali.
L’automazione parziale può rivelarsi utile anche per estrarre dati rilevanti da grandi quantità di testo. Ad esempio, nell’amministrazione fiscale, un sistema di supporto decisionale può mettere a disposizione dell’autorità dati aggiuntivi non ricavabili direttamente dalla dichiarazione dei redditi del contribuente, oppure evidenziare le clausole contrattuali rilevanti in contratti di notevole lunghezza.
Nei procedimenti penali, in particolare negli Stati Uniti, vengono utilizzati sistemi parzialmente automatizzati che calcolano la probabilità di recidiva dei criminali.
14 D’altra parte, il sistema parzialmente automatizzato può fungere da verifica decisionale, venendo impiegato per controllare una decisione presa da una persona fisica.
15 La piena automazione, invece, significa che un sistema esegue autonomamente ogni singolo passo del processo decisionale. In senso stretto, anche la programmazione e l’avvio del processo decisionale devono essere effettuati dal sistema stesso.
Nel settore privato, ad esempio, le decisioni relative alle richieste di credito possono essere prese in modo completamente automatizzato, verificando automaticamente la solvibilità e la disponibilità al pagamento della persona interessata. In questo contesto, la stipula dei contratti avviene in modo automatizzato.
È inoltre ipotizzabile l’automazione del processo di reclutamento. Si pensi, ad esempio, alla preselezione completamente automatizzata delle candidature di potenziali lavoratori. In questo caso, è il sistema a decidere se invitare una persona fisica a un colloquio di lavoro.
I sistemi completamente automatizzati possono assegnare ai futuri studenti un posto di studio e, di conseguenza, un istituto di istruzione superiore.
16 Nel settore pubblico, la completa automazione si presta particolarmente alle procedure di amministrazione di massa, grazie ai processi standardizzati e alla disponibilità di grandi quantità di dati. Si tratta di quei settori della pubblica amministrazione in cui viene preso un gran numero di decisioni relative a fattispecie quasi identiche.
Ad esempio, data la disponibilità di grandi quantità di dati, la procedura di accertamento fiscale si presta ad essere essere svolta in modo parzialmente, ma anche completamente automatizzato.
Nel settore delle assicurazioni sociali, la decisione relativa al diritto alla riduzione dei premi si rivela idonea alla completa automazione.
Anche nella procedura di concessione delle licenze edilizie si sta valutando la possibilità di introdurre decisioni individuali completamente automatizzate.
17 Il potenziale dei sistemi automatizzati è considerato particolarmente elevato nel prossimo futuro nell’amministrazione pubblica per i sistemi parzialmente automatizzati. In questo modo, i compiti esistenti dovrebbero essere svolti in modo più efficiente, preciso e quindi più sicuro dal punto di vista giuridico.
2. Sviluppo
18 Le origini della decisione individuale automatizzata risalgono ai cosiddetti sistemi esperti. Questi si basano su schemi strutturati «se-allora» (i cosiddetti sistemi basati su regole) e, in questo senso, non vanno oltre i processi decisionali cognitivi delle persone fisiche.
19 In particolare, l’avvento della Big Data Analytics – ovvero la possibilità di analizzare insiemi di dati molto grandi e non strutturati – e il conseguente sviluppo tecnico hanno permesso l’affermazione dei processi di apprendimento automatico (spesso definiti in modo un po’ generico come «Intelligenza Artificiale» [IA]). Ciò comporta, in un certo senso, un cambiamento di prospettiva: al posto delle causalità – ad esempio nell’impiego di reti neurali artificiali – entrano in gioco correlazioni o probabilità. I set di dati non vengono più elaborati mediante schemi «se-allora», ma sono piuttosto i sistemi stessi a stabilire le proprie regole per giungere a un risultato. In questo contesto, spesso non è chiaro come i sistemi giungano a tale risultato. Nella letteratura non sempre viene distinta in modo univoco quando si tratta di una «semplice» automazione o di un «semplice» sistema automatizzato e quando invece vengono impiegati processi di apprendimento automatico.
B. Decisione individuale automatizzata
1. Automazione completa
20 Si ha una decisione individuale automatizzata ai sensi dell’art. 21 LPD quando una decisione si basa esclusivamente su un trattamento automatizzato e comporta una conseguenza giuridica per la persona interessata o la pregiudica in modo significativo (art. 21 cpv. 1 LPD) . È necessario che venga presa una decisione riguardante una determinata persona (decisione individuale) basata sul trattamento di dati personali. Dal punto di vista del diritto pubblico, una decisione individuale automatizzata può anche essere definita «decisione automatizzata».
21 È determinante che il trattamento avvenga «senza l’intervento di una persona fisica». Si tratta quindi di una valutazione dei fatti slegata da una persona fisica, nonché dell’adozione di una decisione, e quindi di una completa automazione ai sensi della distinzione operata nel presente commento (cfr. N. 15). Se la decisione non può più essere modificata, secondo il messaggio non osta alla completa automazione il fatto che essa venga comunicata alla persona interessata da una persona fisica. Diversi autori ritengono invece che si sia comunque in presenza di una decisione individuale automatizzata anche quando una persona fisica sia coinvolta nella programmazione. Se si segue questa opinione, una decisione individuale automatizzata ai sensi dell’art. 21 cpv. 1 LPD non deve necessariamente essere presa in modo del tutto indipendente dall’intervento umano.
2. Conseguenza giuridica o pregiudizio significativo
22 Una decisione individuale automatizzata presuppone inoltre che sia collegata a una conseguenza giuridica o che comporti un pregiudizio significativo per l’interessato. Secondo il messaggio del Consiglio federale, la decisione è collegata a una conseguenza giuridica se comporta conseguenze immediate e previste dalla legge per l’interessato. La decisione produce sempre un effetto giuridico quando incide sulla situazione giuridica della persona interessata – ovvero quando per quest’ultima costituisce, modifica o revoca un diritto. A differenza di quanto avviene in caso di pregiudizio (cfr. N. 24), non è richiesta una particolare rilevanza della conseguenza giuridica. Come esempio, il Consiglio federale cita la stipula e la risoluzione di contratti, che comportano in entrambi i casi una conseguenza giuridica per la persona interessata in qualità di parte contraente. In concreto, viene menzionata la stipula automatizzata di un contratto di assicurazione. In questo caso, la copertura assicurativa e l’obbligo di pagamento del premio dovrebbero essere considerati conseguenze giuridiche. Le fatture dei premi inviate periodicamente e in modo automatizzato sulla base del contratto di assicurazione non sono invece considerate, secondo il messaggio, una decisione individuale automatizzata, tanto più che l’emissione della fattura, in quanto conseguenza giuridica, deriva già dalla stipula del contratto. Non costituisce una conseguenza giuridica nel senso sopra indicato nemmeno il fatto qualora non si giunga alla conclusione di un contratto con una persona. La mancata conclusione del contratto può tuttavia essere intesa, in questo esempio, come una decisione individuale automatizzata e comportare un obbligo di informazione, qualora la persona interessata ne subisca un pregiudizio significativo (cfr. N. 24).
23 Nel contesto del diritto pubblico, sussiste sostanzialmente una conseguenza giuridica in caso di emanazione di decisioni ai sensi dell’art. 5 PA, nonché in caso di atti reali ai sensi dell’art. 25a PA. Come esempio, il messaggio cita le liquidazioni fiscali automatizzate.
24 Una decisione individuale automatizzata comporta inoltre un obbligo di informazione qualora la persona interessata ne sia sostanzialmente lesa. Ciò si presume quando la decisione ha un effetto negativo sugli interessi economici o personali della persona interessata. La situazione deve raggiungere un certo grado di gravità; un semplice fastidio non è sufficiente. Determinanti per il grado di gravità richiesto sono aspetti quali l’importanza del bene leso per la persona interessata, la durata dell’effetto della decisione o la possibilità di ricorrere ad alternative. Se la persona interessata subisca un pregiudizio significativo deve quindi essere determinato mediante una valutazione delle circostanze complessive nel singolo caso. Come possibile esempio, il messaggio cita l’assegnazione di prestazioni mediche o la mancata stipula di un contratto sulla base di una decisione individuale automatizzata.
25 Tra gli esempi di decisioni individuali automatizzate che comportano una conseguenza giuridica o un pregiudizio significativo per la persona interessata figurano inoltre:
la stipula o la mancata stipula di un contratto di leasing, comprese le relative modalità (ad es. tasso d’interesse, termine di pagamento), nella misura in cui tali elementi dipendano da una valutazione automatizzata della situazione finanziaria della persona interessata (conseguenza giuridica o pregiudizio significativo in caso di mancata stipula);
il rifiuto da parte di un’assicurazione sanitaria di stipulare un contratto con l’interessato sulla base della valutazione automatizzata dei suoi dati sanitari (pregiudizio significativo);
l’invio automatizzato di multe stradali sulla base di immagini del rispettivo proprietario del veicolo (conseguenza giuridica);
il rifiuto automatizzato di una richiesta di credito online o di una candidatura online senza intervento umano (pregiudizio significativo);
la definizione delle condizioni contrattuali, ad esempio per una determinazione personalizzata dei prezzi (conseguenza giuridica);
26 Non si considera invece una decisione individuale automatizzata:
l’invio di pubblicità personalizzata, poiché manca la conseguenza giuridica o il necessario grado di gravità del pregiudizio.
3. Ulteriori presupposti
27 Secondo il messaggio del Consiglio federale, non occorre basarsi esclusivamente sul criterio della «persona fisica», ma occorre considerare anche quello della complessità del sistema e della particolare incidenza sulla persona interessata. Si ha una decisione individuale automatizzata quando l’automazione presenta una certa complessità e comporta una conseguenza giuridica particolarmente lesiva per la persona interessata. Le semplici «decisioni del tipo “se-allora”» non sono da classificare come decisioni individuali automatizzate.
Come esempio, il Consiglio federale cita il prelievo di denaro presso un bancomat. Se il saldo del conto è sufficientemente elevato, il prelievo viene concesso.
28 A parte questo esempio, il messaggio non specifica quale sia il livello di complessità richiesto per tali decisioni, che rimane quindi per il momento poco chiaro. Il Consiglio federale preciserà tuttavia, se necessario, in un’ordinanza quando si ha una decisione basata esclusivamente su un trattamento automatizzato.
29 Nel contesto statale, alcuni autori si concentrano sul margine di discrezionalità nel processo decisionale. Altre voci, invece, affermano esplicitamente che non si possa prendere una decisione individuale automatizzata fintantoché all’autorità sia concesso un margine di discrezionalità. Facendo riferimento al criterio della complessità, Braun Binder sostiene che la complessità richiesta possa essere determinata mediante un ragionamento a contrario: non costituiscono decisioni individuali automatizzate quelle che non richiedono alcuna accertamento dei fatti.
4. Valutazione
30 Né dal testo di legge né dal messaggio è possibile dedurre con esattezza quando si sia in presenza di una decisione individuale automatizzata. Il criterio di riferimento della «complessità» del sistema è di scarso aiuto. Ciò potrebbe dare l’impressione che la norma sia applicabile solo a procedure decisionali completamente automatizzate, basate su processi di apprendimento automatico (o appunto «IA») , mentre qualsiasi procedura basata su schemi «se-allora» ne resterebbe esclusa. Ciò difficilmente può valere, in particolare, per la pubblica amministrazione, poiché la maggior parte degli algoritmi da essa utilizzati si basa su schemi «se-allora». La normativa in materia di protezione dei dati risulterebbe quindi priva di qualsiasi contenuto. Per evitare che l’art. 21 LPD rimanga lettera morta, devono essere inclusi anche gli schemi «se-allora» basati su regole. L’ostacolo rappresentato dal requisito della complessità non dovrebbe quindi risultare eccessivamente elevato nella pratica.
31 È inoltre deplorevole che le decisioni basate su un’automazione parziale – nella loro forma di supporto o verifica decisionale (cfr. N. 13 e segg.) – non rientrino nella nozione di decisione individuale automatizzata ai sensi dell’art. 21 cpv. 1 LPD. L’applicabilità della disposizione sarà ostacolata in molti casi nella pratica. Ciò è tanto più discutibile in quanto, sia nell’automazione parziale che in quella totale, sorgono questioni rilevanti per la personalità e i diritti fondamentali (ad esempio in materia di discriminazioni, cfr. N. 4). Ciò vale a maggior ragione quando la semi-automazione si basa su complessi metodi di apprendimento automatico.
C. Obbligo di informazione
32 L’art. 21 cpv. 1 LPD stabilisce che il responsabile del trattamento deve informare l’interessato in merito a una decisione individuale automatizzata. Considerata la definizione di decisione individuale automatizzata (cfr. N. 20 segg.), l’obbligo di informazione sussiste quindi solo se la decisione comporta una conseguenza giuridica o un pregiudizio significativo per l’interessato (cfr. N. 22 segg.) .
1. Momento, contenuto e forma
33 Né nella legge né nel messaggio si trovano indicazioni dettagliate riguardo al momento, alla forma e al contenuto dell’obbligo di informazione in caso di decisione individuale automatizzata.
34 Per quanto riguarda il momento, il titolare del trattamento è libero di scegliere se informare l’interessato prima (ex ante) o dopo (ex post) che sia stata presa la decisione individuale automatizzata. Anche se vi fossero validi motivi a favore di un’informazione preventiva – come ad esempio la possibilità di sottrarsi a una decisione individuale automatizzata senza dover ricorrere alle vie legali –, e sarebbe opportuna una corrispondente precisazione normativa, ciò non è previsto dal testo della norma. In questo senso, attualmente si ritiene che anche l’esercizio dei diritti degli interessati ai sensi dell’art. 21 cpv. 2 LPD (esposizione del proprio punto di vista e successiva verifica umana della decisione, cfr. N. 49 e segg.) sia sufficientemente garantito, in quanto uno degli obiettivi normativi dell’obbligo di informazione, mediante un’informazione ex post.
35 Per quanto riguarda la forma, ci si può rifare all’art. 13 dell’OPDa, che prescrive una comunicazione in forma precisa, trasparente, comprensibile e facilmente accessibile. Tale disposizione si riferisce in linea di principio all’obbligo di informazione in occasione della raccolta di dati personali. Un’applicazione analogica all’art. 21 cpv. 1 della LPD è giustificata dal testo identico («informato») . Il titolare del trattamento può adempiere all’obbligo di informazione, ad esempio, pubblicando le informazioni in un’informativa sulla privacy facilmente reperibile sul proprio sito web o inserendo un link a tale informativa in un contratto. L’indicazione della decisione individuale automatizzata (cfr. N. 57 e segg.) è vincolante solo per gli organi federali e, e contrario, facoltativa per i privati.
36 L’obbligo di informazione è finalizzato alla trasparenza e all’obiettivo di mettere a disposizione dell’interessato tutte le informazioni necessarie per far valere i propri diritti ai sensi dell’art. 21 cpv. 2 LPD. Per garantire ciò, è indispensabile che il responsabile fornisca informazioni sui seguenti punti:
Informazione sul fatto che verrà presa o è stata presa una decisione individuale automatizzata (a seconda del momento in cui viene fornita l’informazione);
l’indicazione chiara di quali decisioni o categorie di decisioni vengono prese in modo automatizzato (tenendo conto che sono comprese solo quelle che rientrano nell’art. 21 cpv. 1 LPD);
la possibilità di esercitare il diritto di presentare le proprie osservazioni e di richiedere la revisione della decisione individuale automatizzata, nonché le indicazioni relative all’attuazione concreta di tali diritti (ad es. i recapiti del responsabile del trattamento).
37 Secondo l’interpretazione qui sostenuta, non è necessario informare B in meritoB alla logica alla base della decisione individuale automatizzata. Per ottenere tali informazioni, l’interessato può piuttosto far valere il diritto di accesso. Di conseguenza, il responsabile del trattamento deve comunicargli esplicitamente l’esistenza della decisione individuale automatizzata nonché la logica alla base della stessa (cfr. art. 25 cpv. 2 lett. f LPD).
38 L’obbligo di informazione ai sensi dell’art. 21 cpv. 1 LPD deve essere adempiuto dal responsabile del trattamento sempre in aggiunta all’obbligo generale di informazione in sede di raccolta dei dati ai sensi dell’art. 19 LPD. È tuttavia possibile che le informazioni siano messe a disposizione nello stesso punto o nello stesso documento (cfr. in merito ai requisiti formali N. 35).
2. Valutazione
39 Anche l’obbligo di informazione richiede implicitamente che si tratti di una decisione individuale completamente automatizzata. Per la valutazione di questa circostanza da parte delle autrici, cfr. N. 31.
III. Diritti dell’interessato (cpv. 2)
40 L’art. 21, cpv. 2, LPD conferisce all’interessato oggetto di una decisione individuale automatizzata diversi diritti. Essa può esporre il proprio punto di vista (A.) nonché far riesaminare la decisione da una persona fisica (B.). Ciò consente di sottolineare che l’informazione ai sensi del cpv. 1 deve consentire all’interessato di far valere i diritti sanciti dal cpv. 2.
A. Diritto di esporre il proprio punto di vista
41 L’interessato oggetto di una decisione individuale automatizzata deve avere la possibilità di esporre il proprio punto di vista. Su richiesta, da un lato deve poter esprimere il proprio punto di vista in merito all’esito della decisione individuale automatizzata. Dall’altro lato, deve poter ricevere informazioni sulle modalità di formazione della decisione individuale automatizzata. Le informazioni relative al processo di formazione della decisione individuale automatizzata devono in particolare impedire che il trattamento dei dati si basi su dati incompleti, inesatti o obsoleti.
1. Privati
42 I privati avranno interesse al diritto di presentare le proprie osservazioni in particolare quando la decisione individuale automatizzata risulta erroneamente negativa per l’interessato. Se, ad esempio, viene negata l’affidabilità creditizia del privato interessato, ciò può avere conseguenze negative anche per il titolare del trattamento privato, qualora a causa della decisione non si instauri alcun rapporto contrattuale tra le parti.
43 La legge non stabilisce il momento in cui devono essere presentate le osservazioni. Di conseguenza, ciò è possibile sia prima che dopo l’adozione della decisione. Dal punto di vista del titolare del trattamento privato ciò non comporta difficoltà, purché tale possibilità sussista in qualsiasi momento.
44 Il titolare del trattamento privato può applicare costi per la concessione del diritto di presentare le proprie osservazioni. Tuttavia, può essere nel suo interesse mantenerli bassi per non impedire la potenziale conclusione di un contratto.
2. Stato
45 Nel contesto statale, l’esposizione del proprio punto di vista ai sensi della normativa sulla protezione dei dati va intesa come conseguenza del diritto di essere ascoltati ai sensi dell’art. 29 cpv. 2 Cost. In quanto garanzia procedurale costituzionale fondamentale, il diritto di essere ascoltati deve essere concesso obbligatoriamente in ogni procedimento statale.
46 Secondo la giurisprudenza del Tribunale federale, la persona interessata da una decisione statale deve poter prendere posizione (per iscritto) sugli elementi rilevanti del caso prima che venga presa una decisione che incida sulla sua posizione giuridica. Secondo il messaggio relativo alla LPD, tuttavia, l’esposizione del proprio punto di vista può avvenire anche dopo l’emanazione della decisione, ad esempio mediante l’interposizione di un ricorso. Poiché il diritto di essere sentiti conferisce il diritto di esprimersi dinanzi all’autorità che ha emesso la decisione, è tuttavia ammissibile solo un ricorso non devolutivo – ad esempio un’opposizione con funzione di ricorso. L’obiettivo è ottenere una decisione sotto forma di decisione sull’opposizione da parte dell’autorità di primo grado.
47 Il termine di opposizione è disciplinato dalle leggi procedurali pertinenti. Esso è di norma di 30 giorni. Le basi giuridiche devono essere adeguate di conseguenza, qualora si intenda introdurre decisioni individuali automatizzate.
48 L’esposizione del proprio punto di vista nel procedimento amministrativo non deve comportare costi (procedurali) così elevati da indurre l’interessato a rinunciarvi. In linea di principio, è quindi consentito riscuotere costi per la presentazione della domanda. Alla luce del principio di legalità, tuttavia, ciò è ammesso solo se previsto dalla legge.
B. Diritto al controllo da parte di una persona fisica
49 L’art. 21 cpv. 2 LPD prevede inoltre il diritto dell’interessato al controllo umano della decisione individuale automatizzata. Ciò può risultare particolarmente importante qualora l’interessato sospetti di essere stato svantaggiato dalla decisione individuale automatizzata.
50 La verifica deve essere effettuata da una persona fisica con potere decisionale, affinché possa, se del caso, revocare la decisione. Tuttavia, essa è libera nelle proprie valutazioni e non è obbligata a revocare la decisione. L’unico requisito, secondo il presente parere, è che essa riesamini la decisione in buona fede.
51 Nella pratica, questo diritto al riesame a posteriori è ritenuto non sufficiente, in particolare in considerazione del potenziale di discriminazione. Si dovrebbe verificare in via preventiva se i sistemi decisionali automatizzati prendano decisioni involontariamente discriminatorie.
52 Né la legge né il messaggio relativo alla LPD si pronunciano su un determinato termine entro il quale debba essere fatto valere il diritto al riesame da parte di una persona fisica. Per i privati non sarà possibile fissare un termine di validità generale, ma esso deriverà dalle circostanze del singolo caso. Gli organi federali possono orientarsi ai termini previsti per il riesame, poiché questi conferiscono un diritto analogo. La richiesta di riesame non è in linea di principio vincolata ad alcun termine, fatte salve le disposizioni di leggi speciali. In considerazione del principio di legalità e al fine di evitare l’arbitrarietà, appare tuttavia opportuno che un termine sia esplicitamente stabilito almeno a livello di ordinanza.
IV. Eccezioni (comma 3)
53 L’art. 21 cpv. 3 LPD prevede, per le decisioni individuali automatizzate, due casi di eccezione in cui non si applicano né l’obbligo di informazione né i diritti supplementari della persona interessata. Come giustamente osservano Vasella e Henseler, alla luce della chiara disposizione di legge e della posizione sistematica della norma, si deve presumere che le eccezioni all’obbligo di informazione previste dall’art. 20 LPD, previste per la raccolta di dati personali, non siano trasferibili all’obbligo di informazione relativo alle decisioni individuali automatizzate ai sensi dell’art. 21 cpv. 1 LPD. Tale distinzione è confermata anche dal testo dell’art. 20 cpv. 1 LPD. Anche se una decisione individuale automatizzata si basa su una base legale (cfr. art. 20 cpv. 1 lett. b LPD), il responsabile del trattamento non può invocare un’eccezione all’obbligo di informazione ai sensi dell’art. 21 cpv. 1 LPD.
54 La prima eccezione ai sensi dell’art. 21 cpv. 3 lett. a LPD si applica quando la decisione individuale automatizzata è direttamente connessa alla conclusione o all’esecuzione di un contratto tra il responsabile del trattamento e l’interessato e corrisponde pienamente alla sua richiesta. In tale contesto, il legislatore ha ritenuto che non sussista alcun interesse degno di tutela da parte dell’interessato a ricevere ulteriori informazioni o ad esercitare ulteriori diritti.
55 Come secondo caso di eccezione, l’art. 21 cpv. 3 lett. b LPD menziona il consenso esplicito dell’interessato alla decisione individuale automatizzata. I materiali non contengono informazioni dettagliate sui requisiti che il consenso deve soddisfare. Secondo l’intenzione del legislatore, un consenso valido presuppone almeno un’informazione preventiva e adeguata. Diversi autori della dottrina ritengono tuttavia che i requisiti generali per il consenso al trattamento dei dati siano adeguati anche nel contesto delle decisioni individuali automatizzate.
V. Decisione individuale automatizzata da parte di un organo federale (cpv. 4)
56 Infine, l’art. 21 cpv. 4 LPD contiene una disposizione speciale per gli organi federali ai sensi dell’art. 5 lett. i LPD. La disposizione impone a questi ultimi l’obbligo di contrassegnare le decisioni individuali automatizzate (A.). Inoltre, in determinati casi è prevista la non applicabilità dell’art. 21 cpv. 2 LPD (B.). La disposizione non consente tuttavia agli organi federali, a causa della scarsa densità normativa, di adottare decisioni individuali automatizzate (C.).
A. Obbligo di contrassegnare
57 L’obbligo di contrassegnare le decisioni adottate in modo automatizzato ha lo scopo di rendere riconoscibile all’interessato che la decisione non è stata presa da una persona fisica. Contro le decisioni l’interessato ha in linea di principio la possibilità di presentare ricorso. Il contrassegno gli consente di di far valere, nel procedimento di ricorso, il proprio diritto di essere sentita (art. 29 cpv. 2 Cost.), esponendo il proprio punto di vista e facendo sì che la decisione venga riesaminata da una persona fisica.
58 È discutibile come l’obbligo di contrassegno si concili con l’obbligo di informazione ai sensi dell’art. 21 cpv. 1 LPD. Quest’ultimo, infatti, a differenza dell’obbligo di informazione in caso di raccolta di dati personali ai sensi dell’art. 19 cpv. 1 LPD, non viene meno se il trattamento è previsto dalla legge (art. 20 cpv. 1 lett. b LPD). Considerando che in futuro le decisioni automatizzate individuali nell’amministrazione saranno introdotte in particolare nei procedimenti di massa (cfr. N. 16), ci si chiede in che modo il responsabile statale debba adempiere all’obbligo di informazione (nel singolo caso). L’indicazione, invece, appare più mirata alla luce dell’economia processuale.
59 L’indicazione deve figurare in modo evidente e facilmente riconoscibile sulla decisione automatizzata. Secondo l’opinione qui sostenuta, si ritiene opportuno inserire l’avviso dopo il contenuto effettivo del provvedimento, ma prima delle indicazioni sui mezzi di ricorso. In questo modo l’interessato viene a sapere innanzitutto che la decisione è stata adottata in modo automatizzato, prima di essere informato sulle sue possibilità di tutela giuridica. Ciò corrisponde a un ordine di lettura naturale. Se l’indicazione fosse riportata dopo le indicazioni sui mezzi di ricorso, sussisterebbe il rischio che l’interessato prendesse atto di tale informazione troppo tardi o non ne prendesse affatto atto, prendendo così una decisione non informata in merito alla tutela giuridica.
B. Inapplicabilità dell’art. 21 cpv. 2 LPD
60 I diritti dell’interessato ai sensi dell’art. 21 cpv. 2 LPD, ovvero di esporre il proprio punto di vista e di far verificare la decisione individuale automatizzata da una persona fisica, si applicano in linea di principio anche alle decisioni individuali automatizzate adottate da organi federali. Ai sensi dell’art. 21 cpv. 4 LPD tali diritti vengono tuttavia meno se, ai sensi dell’art. 30 cpv. 2 PA o di un’altra legge federale, l’interessato non deve essere sentito.
61 L’art. 30 PA concretizza il diritto di essere sentiti ai sensi dell’art. 29 cpv. 2 PA. Ai sensi del cpv. 1, le parti devono in linea di principio essere ascoltate prima dell’emanazione di una decisione. Tale diritto è limitato dal comma 2. Si hanno eccezioni al diritto di essere ascoltati, ad esempio, quando una decisione è impugnabile mediante opposizione (art. 30 cpv. 2 lett. b PA) o quando le autorità accolgono integralmente le richieste delle parti (art. 30 cpv. 2 lett. c PA) . Ciò ha lo scopo di evitare duplicazioni nel processo decisionale e di non compromettere la sostanza del diritto di essere ascoltati. Nel procedimento di opposizione è possibile far valere a posteriori il diritto di essere ascoltati. In caso di piena accoglimento delle richieste delle parti, tale interesse viene invece meno.
62 In definitiva, la deroga prevista dalla normativa sulla protezione dei dati comporta che la LPD non riconosca alle persone interessate da una decisione individuale automatizzata dello Stato diritti più ampi di quelli già previsti dalla PA: se le parti devono comunque essere ascoltate ai sensi dell’art. 30 cpv. 1 PA, esse godono anche dei diritti – non più ampi – ai sensi dell’art. 21 cpv. 2 della LPD. Se è applicabile un’eccezione ai sensi dell’art. 30 cpv. 2 della PA e la parte non deve essere ascoltata, essa non può nemmeno fare valere il diritto di essere ascoltata ai sensi dell’art. 21 cpv. 2 della LPD. I diritti di cui all’art. 21 cpv. 2 LPD, in relazione alle decisioni automatizzate di diritto federale, sono di natura dichiarativa e, in alcuni casi, hanno addirittura creato maggiore incertezza giuridica per la persona interessata.
C. Mancanza di un intento generale di ammissibilità
63 Nella dottrina giuridica si solleva la questione se il legislatore, con l’introduzione dell’art. 21 cpv. 1 della LPD, intendesse introdurre in Svizzera una norma generale di ammissibilità per le decisioni individuali automatizzate. Secondo il Consiglio federale, le decisioni individuali automatizzate dello Stato costituiscono «decisioni ordinarie» ai sensi dell’ art. 5 PA, emanate senza intervento umano. A differenza della normativa europea, che con l’art. 22 cpv. 1 DSGVO stabilisce un divieto di principio dell’automazione con riserva di autorizzazione e prevede quindi una generale inammissibilità (cfr. N. 69 segg.), il diritto svizzero sembra così presupporre un’ammissibilità di tali decisioni sostanzialmente senza condizioni. Il rinvio generico all’art. 21 LPD dà l’impressione che la LPD funga da norma generale di ammissibilità per l’adozione di decisioni individuali automatizzate nel procedimento amministrativo svizzero. Tale intenzione, tuttavia, non può essere dedotta né dal messaggio relativo alla LPD né è compatibile con il principio di legalità (art. 5 cpv. 1 Cost.). Quest’ultimo richiede, oltre a una base legale formale (art. 164 cpv. 1 Cost.), anche una sufficiente determinatezza della norma. Sebbene la LPD sia una legge formale, ma la sua determinatezza appare insufficiente per quanto riguarda le decisioni emanate in modo completamente automatizzato. Risulta inoltre discutibile il fatto che la disposizione non preveda ambiti di applicazione concreti, ma si limiti semplicemente a presupporre l’esistenza di decisioni individuali automatizzate.
64 A ciò si aggiunge il fatto che, nel corso della revisione totale della LPD nel 2020, altre leggi sono state integrate con il termine «decisione individuale automatizzata». La LPD funge quindi da punto di partenza per questi riferimenti incrociati nelle leggi (procedurali) pertinenti.
VI. Applicazione
65 La legge prevede innanzitutto sanzioni penali. I privati sono puniti con multe fino a CHF 250'000 se, tramite una decisione individuale automatizzata, forniscono informazioni false, incomplete o non forniscono alcuna informazione (cfr. art. 60 cpv. 1 lett. a LPD). La sanzione presuppone la presentazione di una denuncia entro i termini previsti e l’azione dolosa. La normativa sulle multe non si applica agli organi federali.
66 Inoltre, la LPD prevede misure di vigilanza. Le violazioni degli obblighi di cui all’art. 21 LPD possono essere segnalate all’IFPDT. In tal caso, l’IFPDT può obbligare il responsabile del trattamento a fornire le informazioni alla persona interessata e a concederle la possibilità di esporre il proprio punto di vista o di far verificare la decisione individuale automatizzata da una persona fisica (cfr. art. 51 cpv. 3 lett. c LPD). Ciò vale in egual misura per i responsabili del trattamento del settore privato e di quello pubblico.
67 La LPD non contiene alcuna disposizione che stabilisca se e in che modo il responsabile del trattamento debba correggere una decisione individuale automatizzata errata. Per questo motivo, talvolta viene mossa l’accusa di non offrire una protezione sufficiente ed efficace dalle conseguenze delle decisioni individuali automatizzate. Nel caso specifico in cui la violazione dell’obbligo di informazione e di audizione violi i principi di trattamento di cui all’art. 6 LPD, si può ravvisare in ciò un trattamento illecito dei dati da parte dell’organo federale (art. 41 cpv. 1 LPD) o una violazione della personalità da parte dei responsabili privati (art. 30 LPD). Nel contesto delle decisioni individuali automatizzate, è ovvia la violazione del principio di finalità (art. 6 cpv. 3 LPD). Di conseguenza, la persona interessata ha la facoltà di esigere l’eliminazione delle conseguenze negative del trattamento illecito dei dati (cfr. art. 41 cpv. 1 lett. b LPD per gli organi federali e art. 32 cpv. 2 LPD per i privati).
68 Nell’ambito dell’applicazione del diritto nel contesto del diritto pubblico, non è chiaro quale sia il rapporto tra il suddetto diritto alla riparazione e i mezzi di ricorso previsti dal diritto procedurale amministrativo in caso di violazione del diritto di essere sentiti. Tale incertezza giuridica è dovuta al fatto che il diritto all’audizione o al riesame ai sensi dell’art. 21 cpv. 2 della LPD non conferisce diritti che vadano oltre il diritto di essere ascoltati già previsto dall’art. 30 cpv. 1 della PA. La problematica si accentua qualora l’operato delle autorità, in relazione all’emanazione di una decisione che violi gli obblighi di cui all’art. 21 della LPD, venisse qualificato come trattamento illecito dei dati (cfr. art. 41 cpv. 1 della LPD) . Ai sensi della LPD, in tale contesto l’interessato ha la possibilità di richiedere l’eliminazione delle conseguenze di un trattamento illecito (art. 41 cpv. 1 lett. b LPD). Ciò suggerisce che una decisione emanata in violazione del diritto di essere sentiti dovrebbe essere revocata in quanto conseguenza di un trattamento illecito dei dati. Ciò metterebbe in discussione la definitività delle decisioni, in particolare dopo la scadenza dei termini di ricorso.
VII. Riferimenti di diritto comparato
A. Normativa europea (art. 22 DSGVO)
69 La DSGVO contiene una disposizione paragonabile all’art. 21 LPD. Sotto il titolo «Decisioni automatizzate in singoli casi, compresa la profilazione», l’art. 22 cpv. 1 DSGVO riconosce all’interessato il diritto di non essere sottoposto a una decisione basata esclusivamente su un trattamento automatizzato – compresa la profilazione – che produca effetti giuridici nei suoi confronti o che la leda in modo analogo.
70 La differenza rispetto all’art. 21 della LPD risiede in particolare nell’approccio normativo. I pareri della dottrina giuridica sull’art. 22 della DSGVO non sono concordi sul fatto che la disposizione europea vieti in linea di principio le decisioni individuali automatizzate o che alle persone interessate venga concesso un diritto di opposizione. La Corte di giustizia dell’Unione europea (CGUE) dell’Aia parte – senza fornire una motivazione approfondita – da un divieto di principio delle decisioni individuali automatizzate. Al contrario, il testo dell’art. 21 cpv. 1 LPD ammette in linea di principio le decisioni automatizzate.
71 L’art. 22, cpv. 2, della DSGVO consente tuttavia, in via eccezionale – ed esaustiva –, le decisioni automatizzate individuali qualora la decisione sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare del trattamento (lett. a), se è consentita in virtù di disposizioni legislative dell’Unione o degli Stati membri a cui è soggetto il titolare del trattamento e tali disposizioni prevedono misure adeguate a tutela dei diritti, delle libertà e degli interessi legittimi dell’interessato (lett. b) oppure se è effettuata con il consenso esplicito dell’interessato (lett. c). Nel complesso, la normativa svizzera risulta quindi meno restrittiva rispetto alla DSGVO.
72 Ai sensi dell’art. 22 cpv. 3 della DSGVO, nei casi di cui all’art. 22 cpv. 2 lett. a e c della DSGVO, il responsabile del trattamento adotta misure adeguate al fine di tutelare i diritti e le libertà nonché gli interessi legittimi dell’interessato, tra cui rientrano almeno il diritto di ottenere l’intervento di una persona da parte del titolare del trattamento, di esprimere il proprio punto di vista e di contestare la decisione. Ulteriori requisiti relativi alle decisioni automatizzate che determinano effetti individuali derivano da una serie di altre disposizioni della DSGVO, quali gli obblighi di informazione e il diritto di accesso. Il diritto europeo va, sotto il profilo sostanziale, oltre l’art. 21 della LPD.
73 Infine, l’art. 22 cpv. 4 della DSGVO, a differenza della normativa della LPD, prevede limitazioni specifiche per i dati personali particolarmente sensibili (secondo la terminologia svizzera).
B. Casistica
74 La LPD introduce il concetto di decisione individuale automatizzata nel diritto svizzero. Finora in Svizzera non esiste giurisprudenza su questo tema. Sebbene la LPD (svizzera) e la DSGVO (europea) sanciscano principi diversi in merito all’impiego delle decisioni individuali automatizzate – la LPD parte dalla ammissibilità di principio di tali decisioni, mentre la DSGVO stabilisce una norma di divieto con riserva di autorizzazione (cfr. N. 69 e segg.) – e la prassi dell’UE non può quindi essere recepita senza riserve, essa fornisce tuttavia indicazioni per la Svizzera.
1. Sulla distinzione tra decisioni parzialmente e completamente automatizzate
75 L’art. 21 della LPD contiene esclusivamente disposizioni relative alle decisioni individuali completamente automatizzate (cfr. N. 20 e segg.). I primi esempi provenienti dall’ambito europeo dimostrano che la distinzione rispetto alle decisioni parzialmente automatizzate può risultare difficile. Di seguito vengono presentati due esempi selezionati su questo tema, che sono stati valutati dalla Corte di giustizia dell’Unione europea (CGUE).
a. Austria: algoritmo AMAS
76 In un primo esempio, l’utilizzo sperimentale del «Sistema automatizzato di assistenza alle opportunità sul mercato del lavoro» (AMAS) da parte del Servizio austriaco per il mercato del lavoro (AMS) ha portato a una sistematica discriminazione a sfavore delle donne e delle persone con disabilità. Il sistema selezionava (in modo automatizzato) le candidature relative a una determinata descrizione del posto di lavoro sulla base dei dati contenuti nei fascicoli di candidatura degli ultimi vent’anni. Poiché in passato gli uomini venivano assunti più frequentemente delle donne, queste ultime (così come le persone con disabilità) non venivano nemmeno invitate a un colloquio di lavoro. L’Autorità austriaca per la protezione dei dati è intervenuta contro tale pratica. Nel dicembre 2020, il Tribunale amministrativo federale austriaco ha emesso una sentenza relativa all’AMAS. La questione principale non riguardava il divieto di discriminazione, bensì la base giuridica per l’utilizzo dell’AMAS. La risposta a questa domanda dipendeva in ultima analisi dal fatto che la procedura in questione fosse un processo completamente o parzialmente automatizzato, poiché questi sono soggetti a requisiti diversi.
77 Le parti hanno avanzato le seguenti argomentazioni divergenti:
78 Il tribunale austriaco ha seguito l’argomentazione del Servizio per il mercato del lavoro. La direttiva sarebbe concreta per quanto riguarda lo svolgimento della procedura e stabilirebbe che il valore calcolato in modo automatizzato debba essere discusso nel corso di un colloquio di consulenza con le persone in cerca di lavoro. Il tribunale ha quindi classificato la procedura come parzialmente automatizzata.
79 Per la giurisprudenza svizzera ciò può costituire un’indicazione del fatto che, ai fini della distinzione tra parzialmente e completa non debba essere determinante esclusivamente il coinvolgimento di una persona fisica nel processo. Occorre piuttosto considerare le circostanze complessive del singolo caso.
b. Germania: il caso della Schufa
80 La Schufa è un ente gestito dagli istituti di credito tedeschi e da altre imprese, presso il quale le controparti contrattuali possono richiedere informazioni sui potenziali mutuatari. Su richiesta, essa fornisce un punteggio o un valore che dovrebbe indicare in che misura la persona in questione adempia in modo affidabile ai propri obblighi di pagamento.
81 Dopo che alcune persone in Germania avevano intentato causa contro la Schufa, tra l’altro perché le loro registrazioni non erano state cancellate e non era stato loro concesso l’accesso ai propri dati, il Tribunale amministrativo di Wiesbaden ha sottoposto il caso alla Corte di giustizia dell’Unione europea (CGUE) affinché chiarisse se il sistema di scoring della Schufa costituisse una decisione basata su un trattamento automatizzato – compresa la profilazione – ai sensi dell’art. 22 della DSGVO.
82 Il 7 dicembre 2023 la Corte di giustizia dell’Unione europea ha stabilito che il punteggio della Schufa rientra nell’ambito di applicazione dell’articolo 22 della DSGVO relativo alle decisioni automatizzate. Ha ritenuto soddisfatte le seguenti tre condizioni, che ai sensi dell’articolo 22, cpv. 1, della DSGVO devono essere soddisfatte cumulativamente:
Decisione: la Corte di giustizia dell’Unione europea ha considerato il scoring creditizio come base per il successivo rifiuto del credito (anch’esso) una decisione, tanto più che le decisioni possono includere anche misure e, di conseguenza, il termine deve essere inteso in senso ampio. Secondo la Corte, un’interpretazione più restrittiva comporta il rischio di eludere l’art. 22 della DSGVO, in quanto, ad esempio, il calcolo del punteggio di credito non sarebbe soggetto alle disposizioni relative al trattamento di categorie particolari di dati personali (art. 22, cpv. 4, della DSGVO).
Trattamento dei dati esclusivamente automatizzato: tale presupposto è soddisfatto, tanto più che il trattamento dei dati da parte della Schufa costituisce una profilazione ai sensi dell’art. 4, n. 4 della DSGVO e il valore di probabilità è stato inoltre determinato in modo completamente automatizzato.
Effetto giuridico o pregiudizio significativo: poiché la Schufa ha basato la propria decisione, e quindi il rifiuto del credito, in modo determinante sul valore di probabilità del punteggio di credito, sussiste un pregiudizio significativo per l’interessato.
83 La sentenza anticipa l’applicabilità dell’art. 22 della DSGVO al credit scoring effettuato dalla Schufa, che precede la decisione effettiva di non concedere il credito. La Corte di giustizia dell’Unione europea (CGUE) richiede tuttavia, in via restrittiva, che la decisione automatizzata di negare il credito si basi in modo determinante sul punteggio di credito come una sorta di decisione preliminare. Le conseguenze di questa sentenza sono di ampia portata, in quanto le decisioni automatizzate ai sensi dell’art. 22, cpv. 1, della DSGVO sono, in linea di principio, considerate vietate. Un’eccezione si applica solo se la decisione, ai sensi del cpv. 2, in alternativa:
è necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare del trattamento (lett. a);
è consentita in virtù di disposizioni di legge dell’Unione o degli Stati membri (lett. b);
avviene con il consenso esplicito dell’interessato (lett. c).
2. Sulla gravità del pregiudizio ai sensi dell’art. 21, cpv. 2, della LPD
84 La questione della gravità del pregiudizio arrecato all’interessato dalla decisione automatizzata individuale può essere valutata solo alla luce delle circostanze del singolo caso. Tre casi provenienti dai Paesi Bassi illustrano quando un pregiudizio è grave o non lo è.
a. Paesi Bassi: sistema SyRI
85 Nel 2014 è stata approvata nei Paesi Bassi una legge per l’introduzione del sistema antifrode SyRI (Systeem Risico Indicatie). SyRI era uno strumento algoritmico per il rilevamento delle frodi, limitato ai quartieri con popolazione colpita dalla povertà o dalle minoranze nei Paesi Bassi, che elaborava profili di rischio di singoli individui al fine di individuare diverse forme di frode – ad esempio in ambito fiscale e delle prestazioni sociali. Nel 2020 un tribunale olandese ha ordinato la sospensione immediata del programma, in quanto questo violava la CEDU.
86 Sebbene il sistema non emettesse decisioni individuali automatizzate, il caso illustra chiaramente quando sussiste evidentemente un pregiudizio significativo. Infatti, secondo le considerazioni del giudice, già una semplice segnalazione di rischio ha un impatto significativo sulla vita privata della persona a cui si riferisce la segnalazione.
b. Tribunale distrettuale di Amsterdam: servizio di taxi Uber
87 È stata intentata un’azione legale contro il servizio di taxi Uber per violazione dell’art. 22 della DSGVO, dopo che Uber aveva disposto il blocco automatico degli account di autisti in caso di sospetto di attività fraudolente. Poiché questi ultimi potevano riattivare i propri account dopo una verifica, il Tribunale distrettuale ha negato la violazione dell’art. 22 della DSGVO. Il blocco temporaneo degli account non comportava conseguenze significative, a lungo termine o permanenti, come richiesto dall’art. 22 della DSGVO. Inoltre, i dati raccolti erano dati oggettivi, quali la posizione e il traffico, acquisiti indipendentemente dal comportamento del conducente.
c. Tribunale distrettuale di Amsterdam: app Ola
88 L’app «Ola» aveva imposto ai propri utenti detrazioni dal credito di viaggio o multe sulla base dei dati raccolti dal sistema. Il Tribunale distrettuale ha riconosciuto l’esistenza di effetti significativi ai sensi dell’art. 22 della DSGVO. Con l’imposizione di sanzioni pecuniarie, le conseguenze per gli interessati sarebbero state immediate e definitive. Inoltre, sarebbero stati raccolti «dati sulle prestazioni» completi, relativi al comportamento generale e continuativo di una persona.
3. Implicazioni per l’ordinamento giuridico svizzero
89 La distinzione tra decisioni individuali completamente automatizzate ai sensi dell’art. 21 cpv. 1 LPD e decisioni parzialmente automatizzate potrebbe rivelarsi difficile nella pratica. Un punto di riferimento può essere costituito dal margine di discrezionalità umana nel singolo caso. Se questo è ampio, si deve presumere che si tratti di una decisione parzialmente automatizzata. Allo stesso modo, le direttive interne all’amministrazione, la formazione dei collaboratori e la possibilità per gli interessati di presentare le proprie argomentazioni possono costituire indizi della presenza di una decisione individuale parzialmente automatizzata. In entrambi i casi, l’art. 21 LPD non è applicabile. Se, invece, una decisione viene presa da terzi, può comunque trattarsi di una decisione individuale automatizzata ai sensi dell’art. 21 LPD.
90 Allo stesso modo, può risultare difficile tracciare una linea di demarcazione tra le decisioni che comportano un pregiudizio significativo e quelle che non lo comportano. I seguenti aspetti possono servire alla classificazione:
l’immediatezza dell’effetto della decisione sulla persona interessata;
l’effetto temporaneo o definitivo della decisione;
la potenziale influenza della decisione sul comportamento o sul processo decisionale della persona interessata;
la questione della limitazione delle possibili fonti di reddito o di un’eventuale perdita finanziaria per la persona interessata.
VIII. Prospettive
91 L’automazione dei processi e delle procedure decisionali sta avanzando rapidamente sia nel settore privato che in quello pubblico. Anche il Consiglio federale ritiene che in futuro le decisioni automatizzate saranno più frequenti. L’art. 21 LPD obbliga i responsabili del trattamento a informare gli interessati in merito alle decisioni individuali automatizzate e a garantire loro determinati diritti di tutela. Appare tuttavia critico il fatto che tali obblighi si applichino esclusivamente alle decisioni completamente automatizzate. Le decisioni parzialmente automatizzate (supporto o verifica decisionale) non rientrano nell’ambito di applicazione della norma. Ciò è problematico, poiché tali sistemi sono più diffusi nella pratica e – a seconda della complessità dell’algoritmo utilizzato – possono avere un’influenza considerevole sull’esito della decisione. Ciò crea lacune nella tutela, in particolare per quanto riguarda la trasparenza e la tutela dei diritti fondamentali. In questo contesto, è necessario estendere l’ambito di applicazione dell’art. 21 LPD alle decisioni parzialmente automatizzate. Questa questione è stata affrontata nel dibattito giuridico sull’uso dei sistemi automatizzati. Inoltre, la necessità di intervenire è stata presa in considerazione anche nel processo legislativo.
Bibliografia
Alon Barkat Saar/Busuioc Madalina, Human-AI Interactions in Public Sector Decision Making : « Automation Bias » and « Selective Adherence » to Algorithmic Advice, JPART 33 (2023), S. 153 ff.
Alpaydin Ethem, Machine Learning, Cambridge 2016.
Bieri Adrian/Powell Julian, Kommentierung zu Art. 21 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar, Datenschutzgesetz, Zürich 2023.
Bieri Adrian/Powell Julian, Informationspflicht nach dem totalrevidierten Datenschutzgesetz, AJP 12 (2020), S. 1533–1542.
Braun Binder Nadja, Künstliche Intelligenz und automatisierte Entscheidungen in der öffentlichen Verwaltung, SJZ 115 (2019), S. 467–476 (zit. Künstliche Intelligenz).
Braun Binder Nadja, Als Verfügungen gelten Anordnungen der Maschinen im Einzelfall…–Dystopie oder künftiger Verwaltungsalltag?, ZSR 139 (2020), S. 253–278 (zit. Dystopie).
Braun Binder Nadja, Automatisierte Entscheidungen: Perspektive Datenschutzrecht und öffentliche Verwaltung, SZW 2020, S. 27–34 (zit. Automatisierte Entscheidungen).
Braun Binder Nadja, Staat, Mensch, Algorithmus, BJM 2023, S. 2–19 (zit. Staat).
Braun Binder Nadja, Der Untersuchungsgrundsatz als Herausforderung automatisierter Verfahren, zsis) 2020, abrufbar unter https://www.zsis.ch/artikel/der-untersuchungsgrundsatz-als-herausforderung-vollautomatisierter-verfahren, besucht am 19.3.2026 (zit. Untersuchungsgrundsatz).
Braun Binder Nadja, Algorithmic Regulation – Der Einsatz algorithmischer Verfahren im staatlichen Steuerungskontext, in: Hermann Hill/Joachim Wieland (Hrsg.), Zukunft der Parlamente: Speyer Konvent in Berlin, Berlin 2018, S. 107–120 (zit. Algorithmic Regulation).
Braun Binder et al., Künstliche Intelligenz: Handlungsbedarf im Schweizer Recht, Jusletter vom 28.6.2021 (zit. Handlungsbedarf).
Braun Binder Nadja et al., Einsatz Künstlicher Intelligenz in der Verwaltung: rechtliche und ethische Fragen, Schlussbericht vom 28. Februar 2021 zum Vorprojekt IP6.4, abrufbar unter https://www.zh.ch/content/dam/zhweb/bilder-dokumente/themen/politik-staat/kanton/digitale-verwaltung-und-e-government/projekte_digitale_transformation/ki_einsatz_in_der_verwaltung_2021.pdf, besucht am 19.3.2026 (zit. Studie 2021).
Braun Binder Nadja/Obrecht Liliane, Algorithmisch überprüfte Steuererklärung im ordentlichen gemischten Veranlagungsverfahren, zsis 2023, abrufbar unter https://www.zsis.ch/artikel/algorithmisch-ueberpruefte-steuererklaerung-im-ordentlichen-verfahren, besucht am 19.3.2026.
Braun Binder Nadja/Thouvenin Florent/Volz Stephanie/Obrecht Liliane, Schutz vor algorithmischer Diskriminierung, Rechtsgutachten, November 2025, abrufbar unter https://www.ekr.admin.ch/pdf/D_Gutachten_Schutz_vor_algorithmischer_Diskriminierung.pdf, besucht am 19.3.2026.
Braun Binder Nadja/Ulbrich Christian, Die grosse Verwirrung – KI und Automatisierung in Staat und Wirtschaft, NZZ 27.4.2023, abrufbar unter https://www.nzz.ch/meinung/die-grosse-verwirrung-ki-und-automatisierung-in-staat-und-wirtschaft-ld.1729694, besucht am 19.3.2026.
Büyüksagis Erdem, Décisions algorithmiques: mieux vaut responsabiliser qu’informer, REAS 2020, S. 225–242 (zit. Décisions algorithmiques).
Büyüksagis Erdem, Responsabilité pour les systèmes d’intelligence artificielle, REAS 2021, S. 12–24 (zit. Responsabilité).
Bull Hans Peter, Verwaltung durch Maschinen, Köln/Berlin 1964.
Christen Markus et al., Wenn Algorithmen für uns entscheiden: Chancen und Risiken der künstlichen Intelligenz, TA-SWISS Studie, April 2020.
Daedelow Romy, Wenn Algorithmen (unfair) über Menschen entscheiden…, Jusletter 26.11.2018.
Dentand Claire, Wer soll entscheiden: Maschine oder Mensch?, Jusletter IT 30.9.2021.
Epiney Astrid, Kommentierung zu Art. 5 BV, in: Waldmann Bernhard/Belser Eva Maria/Epiney Astrid (Hrsg.), Basler Kommentar, Bundesverfassung, 2. Aufl., Basel 2025.
Ernst Christian, Algorithmische Entscheidungsfindung und personenbezogene Daten, JuristenZeitung 21 (2017), S. 1026–1036.
Ernst Hartmut/Schmidt Jochen/Beneken Gerd, Grundkurs Informatik, 8. Aufl., Wiesbaden 2023.
Flueckiger Christian, Kommentierung zu Art. 21 DSG, in: Meier Philippe/Métille Sylvain (Hrsg.), Loi sur la protection des données, Commentaire Romand, Basel 2023.
Glaser Andreas, Einflüsse der Digitalisierung auf das schweizerische Verwaltungsrecht, SJZ 114 (2018), S. 181–190.
Glatthaar Matthias, Robot Recruiting, SZW 2020, S. 43–52.
Gordon Clara-Ann/Lutz Tanja, Haftung für automatisierte Entscheidungen – Herausforderungen in der Praxis, SZW 2020, S. 53–61.
Häfelin Ulrich/Müller Georg/Uhlmann Felix, Allgemeines Verwaltungsrecht, 8. Aufl., Zürich 2020.
Henseler Simon, EuGH C-634/21 – Anträge GA: Kreditscore (der SCHUFA) als automatisierte Entscheidung, https://datenrecht.ch/eugh-c-634-21-antraege-ga-kreditscore-der-schufa-als-automatisierte-entscheidung/, besucht am 12.5.2023 (zit. EuGH).
Henseler Simon, Datenschutz beim Kreditscoring von Auskunfteien: Eine Untersuchung zum Profiling (mit hohem Risiko) und zur automatisierten Entscheidung, Zürich 2025, abrufbar unter https://eizpublishing.ch/wp-content/uploads/2025/09/Datenschutz-beim-Kreditscoring-von-Auskunfteien-Digital-V1_02-20250814.pdf, besucht am 19.3.2026 (zit. Kreditscoring ).
Kiener Regina/Rütsche Bernhard/Kuhn Matthias, Öffentliches Verfahrensrecht, 3. Aufl., Zürich 2021.
Konrad Lischka/Anita Klingel, Wenn Maschinen Menschen bewerten, Internationale Fallbeispiele für Prozesse algorithmischer Entscheidungsfindung, Arbeitspapier, Gütersloh 2017, abrufbar unter https://www.bertelsmann-stiftung.de/doi/10.11586/201702, besucht am 19.3.2026.
Lötscher Cordula, Wenn das Auto den Laster nicht sieht, Jusletter IT 24.11.2016.
Martini Mario, Blackbox Algorithmus: Grundfragen einer Regulierung Künstlicher Intelligenz, Berlin 2019.
Mathys Roland/Reinhart Helen, Bestimmung von Vertragskonditionen im Rahmen automatisierter Entscheidungen, SZW 2020, S. 35–42.
Mehmedovic Senida, Le droit d’accès à une décision individuelle automatisée, Jusletter 19.9.2022.
Meyer Christian, Digitale Formulare als Angelpunkt automatisierter Verwaltungsverfahren, ZSR I 2022, S. 365–383.
Morand Anne-Sophie, Warum das europäische KI-Gesetz auch die Schweiz betrifft, Interview in der Netzwoche mit René Jaun, 10. Mai 2023, abrufbar unter https://www.netzwoche.ch/interviews/2023-05-10/warum-das-europaeische-ki-gesetz-auch-die-schweiz-betrifft, besucht am 19.3.2026 (zit. Interview).
Obrecht Liliane, Verfügung und automatisierte Einzelentscheidung – same same but different?, ex/ante, 2022 Nr. 2, S. 38–45.
Pärli Kurt/Flück Nathalie, Kommentierung zu Art. 21 DSG, in Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar, Datenschutzgesetz (DSG), 2. Aufl., Bern 2023.
Pesapane Filippo/Codari Marina/Sardanelli Francesco, Artificial intelligence in medical imaging: threat or opportunity? – Radiologists again at the forefront of innovation in medicine, EurRadiol Exp 2018, abrufbar unter https://doi.org/10.1186/s41747-018-0061-6, besucht am 19.3.2026.
Plattner Roger, Digitales Verwaltungshandeln, Zürich 2021, abrufbar unter https://suigeneris-verlag.ch/img/uploads/pdf/oa_pdf-021-1633456506.pdf, besucht am 19.3.2026.
Powell Julian/Obrecht Liliane, Regelung automatisierter Einzelentscheidungen im Lichte der KI-Konvention des Europarates, SJZ 122 (2026), S. 287–299.
Prince Anya E.R./Schwarcz Daniel, Proxy Discrimination in the Age of Artificial Intelligence and Big Data, Iowa Law Review 2020, S. 1257–1318.
Räz Tim, COMPAS: zu einer wegweisenden Debatte über algorithmische Risikobeurteilung, Forensische Psychiatrie, Psychologie, Kriminologie 2022, S. 300–306.
Rechsteiner David, Der Algorithmus verfügt, Jusletter 26.11.2018.
David Rosenthal, Der Entwurf für ein neues Datenschutzgesetz, in: Jusletter 27.11.2017 (zit. Entwurf).
Rosenthal David, Das neue Datenschutzgesetz, Jusletter 16.11.2020 (zit. nDSG).
Roth Simon, Die automatisierte Einzelentscheidung, digma 2017, S. 104–109.
Škorjanc Žiga, Automatisierte Kreditentscheidungen, CB 2020, S. 70–74.
Schindler Benjamin, Kommentierung zu Art. 5 BV, in: Ehrenzeller Bernhard et al. (Hrsg.), St. Galler Kommentar, Bundesverfassung, 4. Aufl., Zürich/St. Gallen 2023 (zit. SGK).
Schmidt Christoph, Quo vadis, Finanzverwaltung? Potenziale und Herausforderungen eines künftigen behördlichen KI-Einsatzes, Teil I: Entscheidungsunterstützung im Rahmen der hybridgen Fallbearbeitung, REthinking tax, Januar 2022, S. 70–81 (zit. Teil I).
Schmidt Christoph, Quo vadis, Finanzverwaltung? Potenziale und Herausforderungen eines künftigen behördlichen KI-Einsatzes, Teil II: Spezifische Chancen und Problemfelder der vollständigen Entscheidungsautomatisierung im Überblick, REthinking tax, September 2022, S. 31–42 (zit. Teil II).
Stöcklin Fabia, Robot Recruiting, sui generis 2022, abrufbar unter https://sui-generis.ch/article/view/4045/2949, besucht am 19.3.2026.
Styczynski Zbigniew A./Rudion Krzysztof/Naumann André, Einführung und Grundbegriffe der Expertensysteme, in: Styczynski Zbigniew A./Rudion Krzysztof/Naumann André (Hrsg.), Einführung in Expertensysteme, Berlin 2017, S. 1–20.
Thouvenin Florent et al., Positionspapier «Ein Rechtsrahmen für Künstliche Intelligenz», Zürich 2021, abrufbar unter https://www.dsi.uzh.ch/de/research/projects/strategy-lab/strategy-lab-21.html, besucht am 19.3.2026.
Thouvenin Florent/Früh Alfred, Automatisierte Entscheidungen: Grundfragen aus der Perspektive des Privatrechts, SZW 2020, S. 3–17.
Thouvenin Florent/Früh Alfred/George Damian, Datenschutz und automatisierte Entscheidungen, Jusletter 26.11.2018.
Thouvenin Florent/Früh Alfred/Henseler Simon, Article 22 GDPR on Automated Individual Decision-Making: Prohibition or Data Subject Right?, EDPL 2 (2022), S. 183–198.
Thurnherr Daniela, Automatisierte Verwaltungsverfahren auf Bundesebene, in: Braun Binder Nadja/Bussjäger Peter/Eller Mathias (Hrsg.), Auswirkungen auf die Erlassung und Zuordnung behördlicher Entscheidungen, Wien/Hamburg 2021, S. 133–157.
Tsai Chun-Wie/Lai Chin-Feng/Chao Han-Chieh/Vasilakos Athanasios V., Big data analytics: a survey, Journal of Big Data 2015, abrufbar unter https://link.springer.com/article/10.1186/s40537-015-0030-3, besucht am 19.3.2026.
Vasella David/Henseler Simon, Kommentierung von Art. 21 DSG, in Blechta Gabor-Paul/Vasella David (Hrsg.), Basler Kommentar, Datenschutzgesetz/Öffentlichkeitsgesetz, 4. Aufl., Basel 2014 (zit. BSK).
Waldmann Bernhard, Kommentierung zu Art. 29 BV, in: Waldmann Bernhard/Belser Eva Maria/Epiney Astrid (Hrsg.), Basler Kommentar, Bundesverfassung, 2. Aufl., Basel 2025.
Weber Rolf H., Automatisierte Entscheidungen: Perspektive Grundrechte, SZW 2020, S. 18–26 (zit. Grundrechte).
Weber Rolf H., Dürfen Maschinen über Menschen entscheiden?, Eine rechtliche Auslegeordnung im Lichte neuer Technologien, Schweizer Monat 2019, Ausgabe 1063, S. 72–74 (zit. Maschinen).
Weder Regina, Verfahrensgrundrechtliche Anforderungen an automatisierte Verwaltungsverfahren, in: Simmler Monika (Hrsg.), Smart Criminal Justice, Basel 2021, S. 237–262.
Wiederkehr René/Meyer Christian, Schranken, Ausnahmen und Relativierungen des rechtlichen Gehörs: Insbesondere mit Blick auf automatisierte Verwaltungsverfahren, AJP 2022, S. 1092–1108.
Wiederkehr René/Meyer Christian/Böhme Anna, Orell Füssli Kommentar, Bundesgesetz über das Verwaltungsverfahren und weiteren Erlassen, Zürich 2022.
Winkler Markus, Credit Scoring, AML Software & Risk Profiling: Automatisierte Entscheidungen im Rahmen von Finanzdienstleistungen, SZW 2020, S. 62–72.
I materiali
Bundesamt für Justiz, Rechtliche Basisanalyse im Rahmen der Auslegung zu den Regulierungsansätzen im Bereich künstliche Intelligenz, August 2024 (zit. BJ, Rechtliche Basisanalyse).
Botschaft zur Änderung des Schwerverkehrsabgabegesetzes und zum Verpflichtungskredit für die Finanzierung eines neuen Systems für die Erhebung der leistungsabhängigen Schwerverkehrsabgabe vom 31. August 2022, BBl 2022 2323 (zit. Botschaft SVAG 2022).
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 6941 7192 ff. (zit. Botschaft DSG 2017).
bitkom e.V. - Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V., Entscheidungsunterstützung mit Künstlicher Intelligenz, Berlin 2017, abrufbar unter https://www.bitkom.org/sites/main/files/file/import/171012-KI-Gipfelpapier-online.pdf, besucht am 19.3.2026.
Bundesamt für Justiz, Erläuternder Bericht zum Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz vom 21. Dezember 2017 (zit. Erläuternder Bericht Vorentwurf DSG).
Botschaft zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung vom 19. Februar 2003, BBl 2003 2101 (zit. Botschaft DSG 2003).
Richtlinien für die Bearbeitung von Personendaten in der Bundesverwaltung vom 16. März 1981, BBl 1981 I 1298 (zit. Richtlinien 1981).