Le attività economiche

In ragione della proliferazione di sistemi in grado, tra l’altro, di rilevare le caratteristiche dinamiche della firma autografa (ritmo; velocita'; pressione; accelerazione; movimento) apposta dai clienti in occasione della sottoscrizione di atti o documenti, l’Autorita' è stata chiamata a valutare, nell’ambito di una verifica preliminare presentata da una banca operante solo online e per il tramite di promotori finanziari, il trattamento di dati personali e biometrici connesso a un servizio di “firma grafometrica” offerto alla clientela (provv. 12 settembre 2013, n. 396, doc. web n. 2683533). Il sistema, che nell’ottica prospettata integrerebbe i requisiti previsti per la firma elettronica avanzata (d.P.C.M. 22 febbraio 2013), risulterebbe in grado di “sigillare” elettronicamente, all’interno del documento informatico sottoscritto dal cliente, i dati biometrici raccolti dai dispositivi (tablet) in dotazione ai promotori, sì da consentire ex post, ove richiesto dall’autorita' giudiziaria, lo svolgimento di specifiche perizie calligrafiche sulla genuinita' della sottoscrizione.

Nel valutare positivamente il trattamento – basato sul libero consenso degli interessati ed effettuato, oltre che nel rispetto dei princìpi di necessita' e proporzionalita', per perseguire finalita' lecite rese previamente note agli interessati (artt. 3, 11, 13 e 23 del Codice) –, l’Autorita' ha evidenziato che la soluzione proposta (conforme anche agli standard ISO) poteva effettivamente contribuire – attraverso la garanzia di autenticita', non ripudio e integrita' dei documenti sottoscritti elettronicamente – a conferire maggiore certezza nei rapporti giuridici intercorrenti con gli utenti; nondimeno, ha ritenuto opportuno indicare ulteriori misure a tutela degli interessati, considerato l’impiego “in mobilita'” dei dispositivi e la loro possibile utilizzabilita' per finalita' (e in contesti) ulteriori rispetto a quelli considerati. In particolare, oltre all’adozione di idonee misure volte a ridurre i rischi di alterazione dei dispositivi e di installazione disoftware o applicazioni non autorizzati e potenzialmente pericolosi, è stato prescritto l’impiego di presidi tecnico-organizzativi in grado di assicurare la cancellazione “da remoto” delle informazioni in caso di loro smarrimento o sottrazione. Il Garante ha inoltre sottolineato la necessita' che la banca preveda adeguate policy per la gestione di eventuali incidenti di sicurezza nell’ambito delle diverse fasi del processo di acquisizione della firma grafometrica.

Fonte: Garante per la protezione dei dati personali - Relazione 2013