Classificazione e profilazione nel marketing: dove passa il confine e come si sceglie la base giuridica

Perché la qualificazione conta (e cosa non la decide)

Ogni giorno, in una direzione commerciale, la stessa base clienti viene interrogata per scopi diversi: dividere i contatti per territorio, individuare i contratti in scadenza, isolare chi si ritiene pronto ad acquistare o vicino ad andarsene. Operazioni che, sullo schermo, si somigliano — sono tutte query — ma che possono avere una qualificazione giuridica opposta, perché diverso è l’uso che fanno delle informazioni personali.

La posta in gioco è concreta. Se ogni selezione commerciale fosse profilazione, la «classificazione» che il Codice di condotta per il telemarketing riconosce espressamente perderebbe ogni utilità. Se, all’opposto, bastasse scrivere una query semplice — o affidare a una persona la scelta finale della campagna — per escludere la profilazione, la maggior parte delle valutazioni automatizzate della clientela sfuggirebbe alla propria corretta qualificazione, e con essa alle garanzie che il Regolamento vi ricollega.

Conviene perciò sgombrare il campo dai falsi criteri, cioè dagli elementi che non decidono:

• la finalità di marketing dell’operazione: che una lista serva a una campagna non dice ancora quale aspetto personale sia valutato;
• la semplicità o complessità del codice: la sintassi non qualifica il trattamento;
• chi approva la campagna: il coinvolgimento umano, come si vedrà, non esclude di per sé la profilazione;
• l’ampiezza del gruppo o il fatto che il messaggio inviato sia identico per tutti: una valutazione può riguardare ciascun membro anche di un insieme numeroso, e un’offerta standard può essere recapitata a destinatari scelti con profili molto dettagliati.

Il criterio che decide è un altro, ed è scritto nella definizione stessa.

Il criterio decisivo: il trattamento valuta la persona?

L’art. 4, punto 4, del Regolamento (UE) 2016/679 definisce la profilazione come:

«qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica».

Le Linee guida WP251 rev.01 del Gruppo «Articolo 29», il testo interpretativo di riferimento, adottato il 3 ottobre 2017 ed emendato il 6 febbraio 2018, scompongono la nozione in tre requisiti cumulativi:

«La profilazione è costituita da tre elementi: deve essere una forma di trattamento automatizzato; deve essere effettuata su dati personali; il suo obiettivo deve essere quello di valutare aspetti personali relativi a una persona fisica».

È il terzo requisito — la finalità valutativa — a segnare il confine. Le stesse Linee guida lo esplicitano nel modo più netto:

«L’uso del verbo “valutare” suggerisce che la profilazione implichi una qualche forma di valutazione o giudizio in merito a una persona».

E, di conseguenza, tracciano la linea con la semplice classificazione:

«La semplice classificazione di persone basata su caratteristiche note quali età, sesso e altezza non determina necessariamente una profilazione. Quest’ultima dipende infatti dalla finalità della classificazione».

L’esempio che il WP251 porta subito dopo è la chiave di volta, perché mostra lo stesso dato su entrambi i lati del confine:

«un’azienda potrebbe voler classificare i propri clienti in base all’età o al sesso per finalità statistiche e per acquisire una panoramica aggregata dei propri clienti senza effettuare previsioni o trarre conclusioni in merito a una persona specifica. In questo caso, la finalità non è la valutazione delle caratteristiche individuali e quindi non si tratta di profilazione».

Contare quanti clienti stanno in ciascuna fascia d’età, per descrivere la composizione della base, è classificazione. Usare l’età per attribuire a ciascuno una preferenza commerciale presunta è valutazione della persona, dunque profilazione. Il dato di partenza è identico; cambia la finalità dell’operazione. Su questo confine, e sugli equivoci che genera nel linguaggio commerciale, vale la pena rileggere le differenze fra le attività di profilazione e segmentazione.

Da qui discendono due corollari che escludono altrettante scorciatoie opposte.

Non serve l’inferenza. Il Regolamento non limita la profilazione alle deduzioni statistiche. Il WP251 chiarisce che la definizione europea si ispira alla Raccomandazione del Consiglio d’Europa CM/Rec(2010)13 «ma non la riprende tale e quale», perché quella «esclude il trattamento che non include la deduzione», mentre il GDPR è più ampio: anche la valutazione di un aspetto già noto può essere profilazione. L’argomento «uso solo dati già presenti, nessun modello» non è quindi un porto sicuro.

Non serve un modello statistico, né un punteggio, né un campo nuovo. Anche una regola deterministica valuta, se il suo esito è un giudizio sulla persona. Se un insieme di condizioni fa scattare un’etichetta come «cliente poco affidabile» o «cliente a rischio», quella è una valutazione, pur senza alcuna probabilità calcolata. Il determinismo del codice non è, di per sé, sinonimo di semplice classificazione.

Il ruolo della scelta umana: dove nasce la valutazione

Qui si annida l’equivoco più frequente nel marketing: «la campagna la scelgo io, quindi non è un trattamento automatizzato». Il WP251 esclude questa lettura:

«La profilazione deve implicare una qualche forma di trattamento automatizzato, sebbene il coinvolgimento umano non comporti necessariamente l’esclusione dell’attività dalla definizione».

L’aggettivo «automatizzato» dell’art. 4, punto 4, qualifica il trattamento — la query viene eseguita da un elaboratore — e non pretende che la decisione finale sia presa senza persone. Confonderlo con l’automazione della decisione, che è materia dell’art. 22, significa svuotare la nozione: quasi ogni profilazione è progettata da un umano, e quasi sempre è un umano a decidere se usarne l’esito.

Le Linee guida offrono però lo strumento che rende il confine operativo, distinguendo tre momenti del trattamento:

«raccolta dei dati; analisi automatizzata per individuare correlazioni; applicazione della correlazione a una persona fisica per individuare caratteristiche di comportamento presenti o future».

E la definizione di sintesi:

«la profilazione consiste nella raccolta di informazioni su una persona (o un gruppo di persone) e nella valutazione delle loro caratteristiche o dei loro modelli di comportamento al fine di includerli in una determinata categoria o gruppo».

Ne segue la regola pratica, che però non fa leva sulla collocazione temporale del giudizio umano. Se la selezione ha funzione descrittiva e il responsabile marketing vi aggiunge, a valle, la sola aspettativa che «questo gruppo comprerà», quell’aspettativa non è una valutazione prodotta dal sistema: il trattamento resta classificazione. Ma se la selezione è progettata per applicare ai clienti una valutazione — codificata nei criteri, nel campo interrogato o nel modo in cui la lista è costruita e usata — il fatto che la regola l’abbia disegnata una persona non muta la qualificazione, perché è il sistema a compiere la valutazione. Ciò che conta è la funzione della selezione, non chi formula il giudizio o quando.

La linea, in una domanda: la valutazione della persona è prodotta dal trattamento, oppure è un giudizio umano sovrapposto a una selezione descrittiva?

Le «ulteriori operazioni» del Codice di condotta

Il Codice di condotta per le attività di telemarketing e teleselling — approvato dal Garante con provvedimento n. 148 del 7 marzo 2024, pubblicato in G.U. n. 73 del 27 marzo 2024 — definisce la classificazione all’art. 2, comma 2, lettera l):

«l’operazione di mera estrazione da database di macro-categorie di interessati effettuata tramite query per partizionare i dati grezzi presenti nella banca dati (ad esempio, fascia di età, genere, area di residenza, nazionalità), senza effettuare ulteriori operazioni di trattamento consistenti in attività di profilazione quali, ad esempio, lo sviluppo di conclusioni in merito ad aspetti personali relativi ad un interessato, quali preferenze d’acquisto, interessi, gusti ed abitudini, comportamenti on line, ubicazione o spostamenti».

E, alla lettera m), riproduce sostanzialmente la nozione di profilazione dell’art. 4, punto 4, del Regolamento.

Due parole di questa definizione fanno tutto il lavoro. La prima è «dati grezzi»: non significa «dati mai elaborati» — una fascia d’età ricavata dalla data di nascita, l’anzianità di rapporto calcolata dalla sottoscrizione restano descrittive — ma dati non ancora caricati di una valutazione della persona. La seconda è l’inciso «senza effettuare ulteriori operazioni… consistenti in attività di profilazione»: la classificazione resta tale finché non sopravviene un contenuto valutativo.

Attenzione, però, a come si leggono quelle «ulteriori operazioni». Non richiedono una seconda query, né un passaggio successivo nel tempo. La valutazione può essere già incorporata:

• nei criteri di selezione: «residenti della zona X perché presunti più propensi al prodotto Y» attribuisce una preferenza, non descrive un territorio;
• nel campo interrogato: filtrare su un campo che è già l’esito di una valutazione — un punteggio di propensione, un indice che misura la fedeltà o il coinvolgimento del cliente — significa usare il risultato di una profilazione preesistente, anche se l’ultimo passaggio è un semplice filtro; un campo derivato ma descrittivo, come il numero di rapporti attivi, non lo è;
• nell’uso che si dà a un fatto: un calo dell’attività di un cliente può essere registrato come semplice dato, oppure preso come segno di disaffezione; nel secondo caso l’operazione serve a valutarne il comportamento, e non occorre che quella conclusione sia salvata in una colonna apposita.

Resta un limite alla portata del Codice: è uno strumento settoriale, che vincola gli aderenti nel proprio ambito. La sua definizione può orientare l’interpretazione altrove, ma non sostituisce quella del GDPR e non estende a ogni marketing il regime pensato per telemarketing e teleselling.

Il test operativo: tre verifiche

Dai principi precedenti si ricava un metodo replicabile. Davanti a una query, non si guarda «quanto è complessa», ma si interroga il trattamento su tre fronti.

• I criteri. Codificano un proxy valutativo (una caratteristica usata per attribuire una preferenza, un interesse, una capacità)? Allora è profilazione. Selezionano un fatto con funzione descrittiva o organizzativa (provincia per la logistica, scadenza per una comunicazione di servizio, età per un conteggio aggregato)? Allora è classificazione.
• Il campo interrogato. È un dato descrittivo — anche se derivato da un calcolo, come una fascia d’età o l’anzianità di rapporto — oppure è l’esito di un’analisi valutativa, cioè un punteggio di propensione, un indice di rischio, un segmento costruito attribuendo caratteristiche personali? Nel secondo caso l’estrazione usa una profilazione, per quanto banale sia il filtro finale.
• L’uso del risultato. L’inclusione nel gruppo esprime un fatto, o assegna a ciascuno un aspetto personale? Se il fatto osservato viene caricato di un significato valutativo, l’operazione valuta la persona.

Se nessuno dei tre fronti rivela un contenuto valutativo, si è nel campo della classificazione. Se anche uno solo lo rivela, si è nella profilazione.

Casi applicativi

Gli esempi seguenti illustrano il metodo. Le qualificazioni valgono per le operazioni descritte e presuppongono che non vi siano indicatori valutativi o impieghi ulteriori non dichiarati. Il termine «segmentazione» è qui usato nel senso descrittivo di semplice classificazione: nel linguaggio commerciale la stessa parola indica anche gruppi costruiti con la profilazione, e da sola non ha significato giuridico.

Tre avvertenze completano la lettura della tabella. Una spesa elevata — o un singolo acquisto importante — non prova un interesse stabile né una capacità economica: quando da un dato di consumo si passa alla valutazione della propensione o del profilo del cliente, quel salto va riconosciuto e verificato; la sua eventuale imprecisione non fa cessare la natura valutativa, ma vi aggiunge un problema di correttezza e accuratezza. Il testo identico di una comunicazione non risolve nulla: contano i criteri di scelta dei destinatari, non il contenuto dell’offerta. Infine, la provenienza del dato — fornito, osservato o desunto — aiuta a ricostruire il trattamento ma non lo qualifica da sola: lo segnala l’EDPB nelle Linee guida 8/2020 sul targeting degli utenti di social media, là dove osserva che il targeting fondato su dati inferiti comporta tipicamente profilazione e la nota 86 avverte che quest’ultima «può essere avvenuta anche [negli] esempi precedenti», cioè pure in quelli basati su dati forniti o osservati. La provenienza del dato, quindi, non basta a qualificare il trattamento.

Dalla qualificazione alla liceità: sono due domande diverse

Qualificare correttamente l’attività è necessario, ma non la rende lecita. E — punto che va detto con nettezza — nel GDPR non esiste l’equazione «classificazione uguale legittimo interesse, profilazione uguale consenso». La base giuridica si individua alla luce del trattamento concreto, delle regole del canale promozionale e degli obblighi del Codice a cui il titolare abbia aderito.

Per gli aderenti al Codice di condotta, e nel suo ambito, vale però una regola precisa. L’art. 12, comma 4, esonera la sola classificazione dal consenso specifico e distinto altrimenti richiesto per la profilazione:

«Non necessita di un consenso specifico e distinto l’attività di classificazione degli interessati eseguita da parte o per conto dell’aderente purché sia effettuata come descritto al precedente art. 2, comma 2, lettera l) e non comporti in alcun modo un’attività di profilazione».

Ne discendono due conseguenze. La prima: l’esonero copre la classificazione conforme all’art. 2, non la profilazione, che per finalità di marketing richiede un consenso specifico e distinto. La disposizione non ritaglia alcuna eccezione per i profili «leggeri»: non distingue tra profilazione complessa e profilazione semplice. La seconda: questo esonero non è un’autorizzazione a contattare liberamente il cliente. La liceità dell’analisi e quella del contatto sono verifiche separate. Per il contatto promozionale restano applicabili l’art. 130 del Codice privacy (d.lgs. 196/2003), le eccezioni previste e, per il marketing telefonico, la disciplina del Registro pubblico delle opposizioni. Se l’analisi è lecita, non ne segue che lo sia il contatto.

Il legittimo interesse per la profilazione di marketing: possibile, ma stretto

È qui che va affrontata la domanda che il marketing pone più spesso: se una query è profilazione, posso fondarla sul legittimo interesse pur usando il target a fini promozionali, invocando le «ragionevoli aspettative» del cliente?

La risposta di principio è sì. Nessuna norma impone il consenso per ogni profilazione. Il considerando 47 include il marketing diretto tra i possibili legittimi interessi; l’art. 21, paragrafo 2, presuppone che la profilazione di marketing possa fondarsi sull’art. 6, paragrafo 1, lettera f); e il WP251 dedica alla profilazione su legittimo interesse un’apposita sezione, senza escluderla.

Ma «ragionevoli aspettative» non è una base giuridica autonoma: è uno dei fattori del test dell’art. 6, paragrafo 1, lettera f), che resta a tre condizioni cumulative. La Corte di giustizia, nella sentenza Meta Platforms e a. contro Bundeskartellamt (4 luglio 2023, causa C-252/21, ECLI:EU:C:2023:537), le ricorda con precisione:

«detta disposizione prevede tre condizioni cumulative affinché i trattamenti di dati personali da essa considerati siano leciti, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano sul legittimo interesse del responsabile del trattamento o di terzi» (punto 106).

Ciascuna condizione va verificata sul serio.

Interesse. Deve essere lecito, reale e attuale. Il richiamo del considerando 47 al marketing diretto non basta da solo.

Necessità. Va intesa in senso stretto e in combinato con la minimizzazione. La Corte impone di verificare che il legittimo interesse «non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati» (punto 108) e che il trattamento resti «entro i limiti di quanto strettamente necessario alla realizzazione di tale legittimo interesse» (punto 126). Nella stessa direzione vanno le Linee guida EDPB 1/2024 sull’art. 6, paragrafo 1, lettera f): se esistono alternative meno intrusive e altrettanto efficaci, il trattamento non è «necessario». Chi vuole profilare deve quindi dimostrare perché lo scopo non si raggiunge in modo meno invasivo.

Bilanciamento e ragionevoli aspettative. È il crinale decisivo per il marketing. Il considerando 47 àncora l’aspettativa al contesto della raccolta: gli interessi dell’interessato prevalgono quando egli «non possa ragionevolmente attendersi» l’ulteriore trattamento. La Corte, dopo aver ammesso che «il trattamento di dati personali per finalità di marketing diretto può essere considerato come effettuato per soddisfare un legittimo interesse del responsabile del trattamento» (punto 115), impone comunque di tenere conto «delle ragionevoli aspettative dell’interessato, nonché della portata del trattamento in questione e dell’impatto di quest’ultimo» (punto 116), e sulla pubblicità personalizzata conclude (punto 117):

«malgrado la gratuità dei servizi di un social network online quale Facebook, l’utente di quest’ultimo non può ragionevolmente attendersi che, senza il suo consenso, l’operatore di tale social network tratti i suoi dati personali a fini di personalizzazione della pubblicità».

La pronuncia va letta con il suo contesto: la Corte valorizza la scala del trattamento — «particolarmente esteso», vertente su «dati potenzialmente illimitati» e tale da suscitare «la sensazione di una continua sorveglianza» (punto 118). Quanto più l’osservazione del cliente è ampia e pervasiva, tanto più arduo è invocare il legittimo interesse; il che lascia aperta la possibilità che inferenze circoscritte e prevedibili superino il test. Quanto pesi, in concreto, la trasparenza su questo terreno lo mostra bene il caso della sanzione a Intesa Sanpaolo per la profilazione della clientela.

Il WP251 fornisce i fattori con cui condurre in concreto la ponderazione — «il livello di dettaglio del profilo», «la completezza del profilo», «l’impatto della profilazione» e «le garanzie destinate ad assicurare la correttezza, la non discriminazione e l’esattezza» — e avverte:

«sarebbe difficile per il titolare del trattamento giustificare il ricorso al legittimo interesse come base legittima per pratiche intrusive di profilazione e tracciamento per finalità di marketing o pubblicità, ad esempio quelle che comportano il tracciamento di persone fisiche su più siti web, ubicazioni, dispositivi, servizi o l’intermediazione di dati».

Questi fattori orientano il bilanciamento; non sono una scala che assegna d’ufficio il legittimo interesse ai profili semplici e il consenso a quelli complessi. Anche un profilo limitato può incidere gravemente su una persona vulnerabile; e nessuna garanzia fa venir meno un obbligo di consenso previsto da una disposizione applicabile.

Se ne ricava una linea utile all’operatività, purché non la si fraintenda: «inferenza leggera» non è una categoria giuridica con un regime proprio. La limitata invasività, la prevedibilità e la prossimità al rapporto sono fattori che possono far pendere il bilanciamento a favore del titolare, ma non sostituiscono la verifica della necessità né gli altri requisiti. Il legittimo interesse può entrare in gioco per inferenze che il cliente può ragionevolmente attendersi e che incidono poco su di lui — per esempio dedurre dai suoi acquisti passati un interesse per prodotti della stessa categoria, così da proporglieli. La prevedibilità delle inferenze e il loro impatto contenuto possono favorire il ricorso al legittimo interesse, senza determinarne automaticamente l’ammissibilità: restano da dimostrare l’interesse legittimo, la necessità e l’assenza di prevalenza dei diritti dell’interessato, e l’esito dipende anche dalla natura dei prodotti, dai dati impiegati, dalla durata dell’analisi e dalle modalità di raccolta. Se invece ci si limita a selezionare chi ha acquistato un certo prodotto, senza utilizzare tale informazione per valutare aspetti personali, si resta nel campo della classificazione. È assai arduo, all’opposto, giustificare sul legittimo interesse le profilazioni comportamentali costruite osservando in modo esteso la condotta del cliente: chi sottoscrive un servizio non può ragionevolmente attendersi che ogni suo comportamento — ciò che consulta, quando accede, cosa acquista altrove — venga analizzato per costruirne un profilo commerciale dettagliato. Aderire a un servizio non rende prevedibile qualunque analisi dei dati che ne derivano.

Due vincoli, infine, rendono il legittimo interesse fragile anche dove è astrattamente disponibile. Primo: la liceità dell’analisi è cosa diversa dalla liceità del contatto, e qui torna l’art. 130 del Codice privacy. Secondo: per il marketing diretto l’art. 21, paragrafi 2 e 3, riconosce un diritto di opposizione incondizionato, che copre anche la profilazione collegata; una volta esercitato, il trattamento per quelle finalità deve cessare, senza un nuovo bilanciamento a favore del titolare.

E per gli aderenti al Codice, nel canale telefonico, la questione si chiude a monte: l’art. 12, comma 4, impone il consenso per la profilazione di marketing e rimuove, in quel perimetro, l’opzione del legittimo interesse per la componente di profilazione, quale che sia l’esito di una qualsiasi valutazione di bilanciamento.

Categorie particolari, decisioni automatizzate, DPIA

Tre verifiche restano distinte dal confine classificazione/profilazione e non vanno confuse con esso.

Dati particolari (art. 9). Quando il trattamento coinvolge categorie particolari, occorre una condizione dell’art. 9, paragrafo 2, oltre alla base dell’art. 6. E la profilazione può generare dati particolari per inferenza. Come avverte il WP251:

«La profilazione può creare dati appartenenti a categorie particolari desumendoli da dati che di per sé non appartengono a categorie particolari ma che diventano tali se combinati con altri dati».

L’analisi di acquisti, contenuti consultati o abitudini può quindi far emergere aspetti protetti da dati apparentemente ordinari: un rischio da presidiare, non da presumere assente.

Decisioni automatizzate (art. 22). La profilazione va tenuta distinta dalle decisioni «basate unicamente su un trattamento automatizzato» con effetti giuridici o analogamente significativi. La presenza di profilazione non basta ad applicare l’art. 22; un intervento umano solo formale non basta a escluderlo. Un’offerta commerciale, di norma, non produce l’effetto qualificato; ma se un punteggio guidasse da solo decisioni incidenti in modo significativo, la verifica diventa necessaria.

Valutazione d’impatto (art. 35). La DPIA dipende dalla probabilità di un rischio elevato. L’art. 35, paragrafo 3, lettera a), la richiede espressamente per:

«una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici… o incidono in modo analogo significativamente».

Alla lettera a) si affianca però l’elenco delle tipologie di trattamento individuate dall’autorità nazionale ai sensi dell’art. 35, paragrafo 4: in Italia, il provvedimento del Garante n. 467 dell’11 ottobre 2018 e il suo allegato. Vi rientrano, tra gli altri, i «trattamenti valutativi o di scoring su larga scala», la profilazione e le attività predittive (punto 1), e i trattamenti «effettuati mediante interconnessione, combinazione o raffronto di informazioni» (punto 9), ciascuno alle condizioni previste dall’elenco. La verifica dell’obbligo di DPIA non si esaurisce quindi nelle decisioni con effetti giuridici o analogamente significativi.

La DPIA non stabilisce la base giuridica e non ne sana l’assenza: un trattamento fondato sul consenso può richiederla, e un trattamento che la richiede resta compatibile, in astratto, con il legittimo interesse. Liceità, rischi e adeguatezza delle misure si verificano separatamente.

Le Raccomandazioni del Consiglio d’Europa, al loro posto

Il WP251 si fonda sulla Raccomandazione CM/Rec(2010)13 e ne segnala il limite: quella escludeva i trattamenti senza deduzione, mentre il GDPR è più ampio. La successiva CM/Rec(2021)8, del 3 novembre 2021, ha sostituito il testo del 2010 e adotta una nozione di profilazione vicina al Regolamento, con il richiamo all’apprendimento automatico a titolo di inclusione, non di requisito.

Il loro peso va collocato con esattezza: sono atti di indirizzo del Consiglio d’Europa. Danno criteri di lettura e indicazioni di tutela, ma non modificano il GDPR, non creano basi giuridiche nuove per le imprese e non consentono di escludere la profilazione solo perché manca un modello statistico. Usare gli esempi del 2010 come se bastassero ancora, da soli, a tracciare il confine europeo è un errore di metodo.

Motivare la qualificazione, una query alla volta

Una valutazione attendibile ricostruisce il trattamento nel suo insieme: i campi usati e la loro origine, la logica applicata, il significato delle soglie, l’impiego effettivo dell’elenco. Soprattutto, dice se l’inclusione nel gruppo esprime un fatto o una valutazione della persona, indicando quale parte del processo è automatizzata e quale è affidata agli operatori. Quando le informazioni non bastano, è preferibile dichiarare che cosa resta da accertare, anziché adottare una qualificazione assoluta.

Le due tentazioni opposte vanno respinte entrambe. Chiamare profilazione ogni estrazione commerciale ignora lo spazio che il WP251 e il Codice riconoscono alla semplice classificazione. Escludere la profilazione perché manca un modello ignora quanto è ampia la definizione dell’art. 4, punto 4. La motivazione deve individuare l’eventuale contenuto valutativo dell’operazione, anche quando è incorporato in una regola elementare.

Da questa ricostruzione seguono scelte di liceità documentate: base giuridica del trattamento; condizioni del contatto promozionale; obblighi del Codice applicabile; informazione al cliente; garanzie proporzionate ai rischi. Sono questi elementi concreti — non l’etichetta apposta alla query — a rendere la distinzione tra classificazione e profilazione davvero utile a chi progetta, usa e controlla le campagne.