Negli ultimi anni la biometria ha fatto l’ingresso nella vita quotidiana di milioni di persone. Ci si riferisce, in particolare, all’utilizzo di tecniche biometriche di identificazione o misurazione dell’essere umano, attraverso la rilevazione di determinate caratteristiche fisiche (volto, impronte digitali, Dna, ecc.) o comportamentali (andatura, firma, ecc.), ormai in costante aumento (si pensi alla decisione di Apple di dotare l’iPhone 5S di un lettore di impronte digitali).
L’idea sottesa a tali tecniche è che il corpo umano possa essere utilizzato come una password per attestare l’identità ed autorizzare in modo sicuro gli accessi fisici e logici. I dati biometrici sono, infatti, più difficili da falsificare, non possono essere dimenticati o persi, come accade con le comuni password, e consentono procedure di identificazione facili ed automatizzate.
Il ricorso alla biometria non è però esente da rischi. In particolare, vi è il pericolo che i dati biometrici vengano utilizzati anche per finalità diverse rispetto a quelle per cui sono stati raccolti (ad esempio, l’analisi dell’iride può evidenziare l’uso di alcool o di sostanze stupefacenti) o per profilare in maniera occulta e pervasiva gli interessati (si pensi alla videosorveglianza associata al riconoscimento facciale).
Proprio in considerazione di tali rischi, il Garante per la protezione dei dati personali ha emanato un provvedimento generale in materia di biometria, fornendo alcune importanti linee guida ed introducendo delle semplificazioni per alcune tipologie di trattamento considerate meno rischiose.
L’Autorità ha prescritto che ogni sistema di rilevazione debba essere configurato riducendo al minimo l’utilizzazione di dati personali ed indentificativi, nonché in maniera tale da raccogliere un numero circoscritto di informazioni. I dati biometrici possono essere trattati solo per finalità legittime e l’informativa resa agli interessati deve indicare anche le cautele adottate, i tempi di conservazione e l’eventuale centralizzazione dei dati. I titolari devono adottare specifiche misure di sicurezza, tra cui quella che obbliga a cifrare il riferimento biometrico con tecniche crittografiche, con una lunghezza delle chiavi adeguata alla dimensione e al ciclo di vita dei dati.
Quanto alle semplificazioni, il Garante ha stabilito che, in determinati casi, i dati biometrici possano essere trattati senza l’obbligo di effettuare istanza di verifica preliminare all’Autorità, nonché senza il consenso degli interessati, pur permanendo l’obbligo di notificare il trattamento all’Autorità. In particolare, in presenza di determinati presupposti, vi è un’esenzione sia dall’obbligo relativo all’istanza di verifica che da quello di acquisire il consenso dell’interessato, allorquando il trattamento sia effettuato per finalità di autenticazione informatica tramite impronta digitale o emissione vocale, o per controllare l’accesso fisico a particolari aree sensibili o macchinari pericolosi tramite impronta digitale o topografia della mano.
Sono stati ugualmente sottratti all’obbligo di preventiva istanza preliminare, al ricorrere di determinate condizioni e fermo restando l’obbligo di acquisire il libero consenso degli interessati, l’uso dell’impronta digitale o della topografia della mano per regolare e semplificare l’accesso fisico di utenti ad aree fisiche, nonché il trattamento dei dati biometrici per la sottoscrizione di documenti informatici tramite firma elettronica avanzata (per intenderci, quella apposta tramite tablet). In tale ipotesi, è tuttavia obbligatorio rendere disponibili sistemi alternativi di sottoscrizione a chi non intende prestare il consenso al trattamento dei propri dati biometrici.
L’Autorità ha, infine, prescritto ai titolari del trattamento di comunicare le eventuali violazioni di dati biometrici o gli incidenti informatici, che possano avere un impatto significativo sui sistemi biometrici o sui dati personali ivi custoditi, entro ventiquattro ore dalla scoperta del fatto, utilizzando un apposito modulo allegato al provvedimento.
