L'
art. 22 del GDPR disciplina
il diritto dell'interessato a non essere assoggettato ad un processo decisionale automatizzato o anche fondato sulla profilazione.
L'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Il par. 1 non si applica nel caso in cui la decisione:
- sia necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un titolare del trattamento;
- sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato;
- si basi sul consenso esplicito dell'interessato.
Nei casi di cui al par. 2, lett. a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, almeno il diritto di ottenere l'intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.
Le decisioni di cui al par. 2 non si basano sulle categorie particolari di dati personali di cui all'
art. 9, par. 1, a meno che non sia d'applicazione l'
art. 9, par. 2, lett. a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato.