--- topic_key: "ch-data-automated-decisions" language: "it" slug: "decisione-individuale-automatizzata" domain: "data-protection" jurisdiction_level: "federal" legal_status: "in_force" legislative_stage: "not_applicable" valid_from: "2023-09-01" valid_to: null last_verification: "2026-09-21" --- # Decisione individuale automatizzata Una decisione individuale automatizzata è basata esclusivamente su un trattamento automatizzato e ha per la persona interessata effetti giuridici o conseguenze significative. La legge svizzera sulla protezione dei dati non vieta simili decisioni, ma obbliga il titolare del trattamento a informarne la persona interessata. Quest'ultima può, su richiesta, esprimere un parere ed esigere che una persona fisica riesamini la decisione. Entrambi gli obblighi decadono se la decisione soddisfa una richiesta contrattuale o se la persona interessata ha dato il suo espresso consenso. Il diritto d'accesso comprende inoltre la logica su cui si fonda la decisione. ## Che cos'è una decisione individuale automatizzata L'articolo 21 della legge federale sulla protezione dei dati (LPD) disciplina una situazione precisa: una decisione è basata esclusivamente su un trattamento di dati personali automatizzato e ha per la persona interessata effetti giuridici o conseguenze significative. I due elementi devono concorrere. «Esclusivamente automatizzato» significa che nessuna persona fisica assume nel merito la decisione. Un collaboratore che si limita a trascrivere, a trasmettere o a confermare formalmente il risultato di un sistema non trasforma la decisione in una decisione umana. Ciò che conta è se una persona fisica valuta effettivamente la fattispecie e dispone di un proprio margine di apprezzamento. In mancanza, si resta di fronte a una decisione individuale automatizzata. Gli effetti giuridici riguardano le decisioni che modificano la posizione giuridica della persona interessata: il rifiuto di concludere un contratto, la fine di un rapporto contrattuale, il diniego di una prestazione. Le conseguenze significative vanno oltre e comprendono svantaggi di fatto di un certo peso, per esempio il blocco automatico di un conto, lo scarto di una candidatura o una tariffazione che di fatto preclude l'accesso a una prestazione. Semplici inconvenienti di lieve entità non bastano. ## Nessun divieto, ma un obbligo di informare e un diritto di partecipare Su questo punto il diritto svizzero si distingue nettamente dalla disciplina europea. La LPD non vieta le decisioni individuali automatizzate, ma vi ricollega diritti di trasparenza e di partecipazione. Chi decide in modo automatizzato nel campo d'applicazione della LPD non necessita di una giustificazione particolare, ma deve informare la persona interessata e, su sua richiesta, aprirle l'accesso a una persona fisica. Secondo l'articolo 21 capoverso 1 LPD, il titolare del trattamento informa la persona interessata di ogni decisione individuale automatizzata. La legge non prescrive né una forma né un termine. Dallo scopo della disposizione discende tuttavia che l'informazione deve raggiungere la persona interessata finché i diritti di cui al capoverso 2 possono ancora essere esercitati utilmente. Nella pratica essa viene quindi comunicata insieme alla notificazione della decisione stessa, che è espressamente qualificata come automatizzata. ## Esprimere un parere e ottenere il riesame di una persona fisica L'articolo 21 capoverso 2 LPD conferisce alla persona interessata due diritti. In primo luogo, su richiesta, il titolare del trattamento le dà la possibilità di esprimere un parere. In secondo luogo, se la persona interessata lo esige, la decisione individuale automatizzata va riesaminata da una persona fisica. Entrambi i diritti presuppongono una richiesta della persona interessata; il titolare del trattamento non è tenuto a sentirla d'ufficio. Se però essa esige il riesame, questo deve essere effettuato. Il riesame deve essere sostanziale: la persona fisica deve valutare il caso, tenere conto degli argomenti addotti e disporre della competenza di modificare il risultato iniziale. Una mera conferma del risultato del sistema, senza un esame proprio, non soddisfa l'articolo 21 capoverso 2 LPD. Per contro il titolare del trattamento non deve un determinato esito: il riesame può anche confermare la decisione. ## Le due eccezioni dell'articolo 21 capoverso 3 LPD I capoversi 1 e 2 non si applicano in due casi. ### Contratto con richiesta integralmente soddisfatta La prima eccezione presuppone che la decisione individuale automatizzata sia in relazione diretta con la conclusione o l'esecuzione di un contratto tra il titolare del trattamento e la persona interessata e che la richiesta di quest'ultima sia soddisfatta. Le due condizioni sono cumulative. Se una domanda è accolta integralmente in modo automatizzato, non vi è motivo di informare né di riesaminare. Se è respinta o accolta solo parzialmente, l'eccezione non opera e gli obblighi dei capoversi 1 e 2 valgono pienamente. ### Consenso espresso La seconda eccezione presuppone che la persona interessata abbia dato il suo espresso consenso a che la decisione sia presa in maniera automatizzata. Al consenso si applicano i requisiti dell'articolo 6 capoverso 6 LPD: deve essere dato liberamente, per uno o più trattamenti determinati e dopo un'adeguata informazione. Il carattere espresso esclude il consenso tacito o presunto; una clausola nascosta nelle condizioni generali di norma non soddisfa tali requisiti. ## Decisioni automatizzate di organi federali Se la decisione individuale automatizzata è presa da un organo federale, questi la designa come tale secondo l'articolo 21 capoverso 4 LPD. L'obbligo di designazione si aggiunge all'obbligo di informare di cui al capoverso 1. Il diritto di esprimere un parere e di ottenere il riesame secondo il capoverso 2 è per contro limitato: non si applica nei casi in cui, in virtù dell'articolo 30 capoverso 2 della legge federale sulla procedura amministrativa (PA) o di un'altra legge federale, l'organo federale non è tenuto a sentire la persona interessata prima di prendere la decisione. L'articolo 30 capoverso 2 PA menziona segnatamente le decisioni incidentali non impugnabili separatamente, le decisioni impugnabili mediante opposizione e le decisioni con cui l'autorità accoglie integralmente le conclusioni delle parti. Restano salvi i rimedi giuridici della procedura amministrativa. ## Rapporto con il diritto d'accesso L'articolo 21 LPD non opera isolatamente. Se la persona interessata chiede informazioni secondo l'articolo 25 LPD, l'articolo 25 capoverso 2 lettera f LPD prevede che il contenuto del diritto d'accesso comprenda, se del caso, l'esistenza di una decisione individuale automatizzata e la logica su cui si fonda la decisione. È quindi dovuta una spiegazione comprensibile della logica decisionale: quali categorie di dati confluiscono, secondo quali criteri sono ponderate e come si forma il risultato. Non è dovuta la divulgazione del codice sorgente o di un modello completo. L'informazione è di regola gratuita secondo l'articolo 25 capoverso 6 LPD ed è fornita, secondo l'articolo 18 dell'ordinanza sulla protezione dei dati (OPDa), entro 30 giorni dalla ricezione della domanda. Se la comunicazione comporta un onere sproporzionato, il titolare del trattamento può richiedere, secondo l'articolo 19 OPDa, una partecipazione alle spese di al massimo 300 franchi, di cui deve informare previamente la persona interessata. ## Profilazione e valutazione d'impatto Le decisioni automatizzate si fondano spesso su una profilazione ai sensi dell'articolo 5 lettera f LPD, ossia su una valutazione automatizzata di aspetti personali quali il rendimento professionale, la situazione economica, la salute o l'affidabilità. Se la profilazione comporta un'associazione di dati che permette di valutare aspetti essenziali della personalità, si tratta di profilazione a rischio elevato ai sensi dell'articolo 5 lettera g LPD. Un privato necessita in tal caso del consenso espresso della persona interessata secondo l'articolo 6 capoverso 7 lettera b LPD. Se il trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali, il titolare del trattamento effettua inoltre previamente una valutazione d'impatto sulla protezione dei dati secondo l'articolo 22 LPD. Indipendentemente da ciò si applicano i principi dell'articolo 6 LPD, ossia liceità, buona fede, proporzionalità, vincolo dello scopo ed esattezza dei dati, nonché l'obbligo di protezione dei dati fin dalla progettazione secondo l'articolo 7 LPD. ## Attuazione In caso di violazione degli obblighi sono aperte tre vie. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) può ordinare, secondo l'articolo 51 capoverso 3 lettera c LPD, che le persone interessate siano informate conformemente agli articoli 19 e 21 LPD; secondo l'articolo 51 capoverso 1 LPD può ordinare che il trattamento sia adeguato, sospeso o cessato. Sul piano civile la persona interessata può agire contro una lesione illecita della personalità secondo gli articoli 30 e 32 LPD e chiedere segnatamente la rettifica di dati personali inesatti, il divieto di un determinato trattamento o la cancellazione di dati personali. Sul piano penale l'articolo 60 capoverso 1 LPD prevede la multa fino a 250 000 franchi. È punibile chi fornisce intenzionalmente informazioni inesatte o incomplete oppure omette intenzionalmente di informare la persona interessata conformemente all'articolo 21 capoverso 1 LPD. Il perseguimento avviene solo a querela di parte e la multa colpisce la persona fisica responsabile. ## Che cosa devono predisporre i titolari del trattamento Chi decide in modo automatizzato tiene utilmente un inventario dei processi decisionali interessati e annota, per ciascuno, se sussistono effetti giuridici o conseguenze significative, se opera un'eccezione dell'articolo 21 capoverso 3 LPD, come e quando avviene l'informazione e chi effettua il riesame previsto dal capoverso 2. Questa persona necessita dell'accesso alle basi della decisione e della competenza di modificarne il risultato. La logica decisionale va documentata in modo da poter essere spiegata in maniera comprensibile entro 30 giorni in caso di domanda d'accesso. Se la decisione è presa da un responsabile del trattamento, il titolare resta tenuto a fornire le informazioni secondo l'articolo 25 capoverso 4 LPD; le relative competenze vanno disciplinate contrattualmente. ## Fatti - **Base legale:** L'articolo 21 LPD disciplina la decisione individuale automatizzata; la legge federale del 25 settembre 2020 sulla protezione dei dati è in vigore dal 1° settembre 2023. — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Definizione:** Una decisione individuale automatizzata è basata esclusivamente su un trattamento automatizzato e ha per la persona interessata effetti giuridici o conseguenze significative. — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Obbligo di informare:** Il titolare del trattamento informa la persona interessata di ogni decisione individuale automatizzata (art. 21 cpv. 1 LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Diritto di esprimere un parere:** Su richiesta, il titolare del trattamento dà alla persona interessata la possibilità di esprimere un parere (art. 21 cpv. 2 LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Riesame da parte di una persona fisica:** Se la persona interessata lo esige, la decisione individuale automatizzata va riesaminata da una persona fisica (art. 21 cpv. 2 LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Eccezione contrattuale:** Gli obblighi decadono se la decisione è in relazione diretta con la conclusione o l'esecuzione di un contratto e la richiesta della persona interessata è soddisfatta (art. 21 cpv. 3 lett. a LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Eccezione del consenso:** Gli obblighi decadono se la persona interessata ha dato il suo espresso consenso a che la decisione sia presa in maniera automatizzata (art. 21 cpv. 3 lett. b LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Organi federali:** Se la decisione è presa da un organo federale, questi la designa come tale (art. 21 cpv. 4 LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21 - **Eccezione nella procedura amministrativa:** Il diritto di esprimere un parere e di ottenere il riesame decade se la parte non deve essere sentita prima della decisione secondo l'articolo 30 capoverso 2 PA. — https://www.fedlex.admin.ch/eli/cc/1969/737_757_755/it#art_30 - **Accesso alla logica:** Nel quadro del diritto d'accesso vanno comunicate l'esistenza di una decisione individuale automatizzata e la logica su cui essa si fonda (art. 25 cpv. 2 lett. f LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_25 - **Termine per l'informazione:** Le informazioni sono fornite entro 30 giorni dalla ricezione della domanda (art. 18 OPDa). — https://www.fedlex.admin.ch/eli/cc/2022/568/it#art_18 - **Sanzione:** Chi omette intenzionalmente di informare secondo l'articolo 21 capoverso 1 LPD è punito, a querela di parte, con la multa fino a 250 000 franchi (art. 60 cpv. 1 LPD). — https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_60 ## Domande frequenti ### Le decisioni automatizzate sono vietate in Svizzera? No. La LPD non le vieta, ma vi ricollega un obbligo di informare e il diritto di esprimere un parere e di esigere il riesame da parte di una persona fisica (art. 21 LPD). ### Quando una decisione è esclusivamente automatizzata? Quando nessuna persona fisica valuta il caso nel merito. Chi si limita a trasmettere o a confermare formalmente un risultato, senza un proprio margine di apprezzamento, non rende umana la decisione. ### Devo essere informato se la mia richiesta è accolta automaticamente? Di regola no. Se la decisione è in relazione diretta con un contratto e la sua richiesta è soddisfatta, gli obblighi dell'articolo 21 capoversi 1 e 2 LPD decadono. ### Che cosa deve comprendere il riesame di una persona fisica? Una nuova valutazione nel merito. Chi riesamina deve tenere conto degli argomenti addotti e poter modificare il risultato. Può tuttavia anche confermare la decisione. ### Ho diritto alla divulgazione dell'algoritmo? No. L'articolo 25 capoverso 2 lettera f LPD impone di comunicare la logica su cui si fonda la decisione, ossia le categorie di dati, i criteri e la loro ponderazione. Il codice sorgente o un modello completo non sono dovuti. ### Di quanto tempo dispone il titolare del trattamento? Di 30 giorni dalla ricezione della domanda (art. 18 OPDa). Se non può rispettare il termine, deve informarne la persona interessata e comunicarle entro quando fornirà le informazioni. ### La domanda d'accesso è a pagamento? In linea di principio no. Solo in caso di onere sproporzionato il titolare del trattamento può richiedere, secondo l'articolo 19 OPDa, una partecipazione alle spese di al massimo 300 franchi, comunicata previamente. ### Quali conseguenze ha una violazione dell'articolo 21 LPD? L'IFPDT può ordinare l'informazione (art. 51 LPD), sul piano civile sono aperte le azioni degli articoli 30 e 32 LPD e l'omissione intenzionale è punita, a querela di parte, con la multa fino a 250 000 franchi (art. 60 LPD). ## Fonti - [Fedlex – Legge sulla protezione dei dati (LPD), art. 21](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_21) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 25](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_25) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 5](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_5) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 6](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_6) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 22](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_22) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 51](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_51) [A] - [Fedlex – Legge sulla protezione dei dati (LPD), art. 60](https://www.fedlex.admin.ch/eli/cc/2022/491/it#art_60) [A] - [Fedlex – Ordinanza sulla protezione dei dati (OPDa), art. 18](https://www.fedlex.admin.ch/eli/cc/2022/568/it#art_18) [A] - [Fedlex – Ordinanza sulla protezione dei dati (OPDa), art. 19](https://www.fedlex.admin.ch/eli/cc/2022/568/it#art_19) [A] - [Fedlex – Legge sulla procedura amministrativa (PA), art. 30](https://www.fedlex.admin.ch/eli/cc/1969/737_757_755/it#art_30) [A]