Utilizzo dei sistemi biometrici: ecco le regole

Rischi, limiti e garanzie dell’uso dei dati biometrici sono stati presi in considerazione dai Garanti della privacy europei in un documento di lavoro approvato lo scorso agosto.
I Garanti hanno fissato dei punti cardine che dovrebbero essere poi sviluppati con la creazione di appositi codici deontologici che fissino i criteri da seguire nello sviluppo e nell’utilizzo di sistemi biometrici.

Per molte categorie di dati biometrici, la raccolta dei dati è caratterizzata da una ridotta invasività, possono infatti essere raccolti senza che il soggetto se ne accorga. Ciò comporta, in particolare, il rischio di un’utilizzazione indiscriminata dei dati.

Le indicazioni fornite intendono presentare un quadro di riferimento omogeneo a livello europeo sia per l’industria dei sistemi biometrici sia per gli utenti di tali sistemi. Il documento è stato sintetizzato in lingua italiana nel sito del Garante della privacy.

Le considerazioni svolte dai Garanti riguardano soltanto i dispositivi biometrici utilizzati per finalità di autenticazione e verifica dell’identità, e non quelli utilizzati per scopi di identificazione (confronto del dato relativo al singolo soggetto con quelli di tutti i soggetti le cui informazioni sono conservate in un archivio).

Sia che si tratti di sistemi biometrici basati su informazioni “fisiologiche” (impronte digitali, iride, contorno della mano, DNA) sia di quelli basati su informazioni di tipo “comportamentale” (andatura, analisi della tipologia di digitazione su tastiera), i Garanti ribadiscono che il trattamento di dati biometrici è un trattamento di dati personali. Quindi si applicano integralmente i principi della Direttiva in materia di protezione dei dati personali, fin dalla fase di raccolta.

E’ necessario identificare con chiarezza le finalità del ricorso a sistemi biometrici e valutare se tale ricorso sia realmente proporzionato rispetto alle finalità stesse.
Per autenticare o verificare l’identità di una persona, non è necessario disporre di un archivio centralizzato contenente tutti i dati biometrici raccolti (cosa che è invece necessaria ai fini dell’identificazione).
Secondo i Garanti, quindi, per le procedure di autenticazione e/o verifica attraverso sistemi biometrici è preferibile utilizzare, in linea di principio, dispositivi decentralizzati - ad esempio, smart cards, nei cui chip siano contenuti i dati biometrici del soggetto da autenticare.

Il rispetto del principio di finalità comporta inoltre il divieto di utilizzare i dati biometrici per finalità incompatibili con quelle per cui essi sono stati raccolti – dunque, se il dato biometrico viene raccolto per verificare l’accesso dei dipendenti a determinate aree o settori, non può essere utilizzato per monitorarne l’attività lavorativa.

Se si decide di ricorrere a sistemi centralizzati, ad esempio per installazioni di massima sicurezza, i Garanti ritengono che i rischi possibili per i diritti e le libertà fondamentali degli interessati impongano un controllo preliminare ai sensi dell’art. 20 della Direttiva da parte delle singole autorità nazionali.

Restano fermi anche tutti i requisiti legati all’informazione degli interessati – ovviamente con il divieto di utilizzare dati biometrici raccolti all’insaputa di questi ultimi .
Anche la legittimità del trattamento deve basarsi sui principi stabiliti nella Direttiva (Art. 7), fra i quali il consenso del singolo interessato – che deve essere veramente “specifico” e “libero”.

I documento di lavoro dei Garanti europei è disponibile in lingua inglese sul sito dell’UE.