I dati biometrici

Considerato il crescente interesse per l’utilizzo di sistemi di rilevazione biometrica, l’Autorita' ha continuato ad esaminare numerose richieste di verifica preliminare aventi ad oggetto il trattamento di tale peculiare tipologia di dati, in particolare acquisiti attraverso l’analisi delle caratteristiche dinamiche della firma autografa apposta dagli utenti su dispositivi hardware impiegati in ambito bancario. Ferme restando le ipotesi di esonero da ultimo previste nell’apposito provvedimento generale adottato dal Garante in materia (cfr. par. 15.2) e le correlate dichiarazioni di conformita' rese dai titolari sulla base delle prescrizioni ivi formulate, l’Autorita' si è pronunciata su un distinto caso relativo all’utilizzo di dati biometrici a fini di autenticazione nelle procedure di sottoscrizione con firma digitale di documenti e modulistica bancaria. Conformandosi all’orientamento gia' espresso negli anni precedenti (v. Relazione 2012, p. 206 e ss.), l’Autorita' ha ribadito, con provvedimento 23 gennaio 2014, n. 25 (doc. web n. 2938921), che il trattamento dei dati biometrici di natura comportamentale connesso all’utilizzo di sistemi complessi qual è quello di firma digitale remota con autenticazione biometrica, può ritenersi lecito solo se effettuato con il libero consenso degli interessati e previo rilascio a questi ultimi di un’informativa adeguata ed esaustiva. Inoltre, devono essere sempre rispettati, oltre ai principi di liceita' e finalita' del trattamento (art. 11, comma 1, lett. a) e b), del Codice), quelli di necessita' e proporzionalita' (artt. 3 e 11, comma 1, lett. d), del Codice), avuto anche riguardo alle modalita' di configurazione del sistema (che, nel caso esaminato, avrebbero consentito il trattamento dei dati biometrici degli interessati in forma “disgiunta” dai relativi dati anagrafici, sì da permetterne l’identificazione solo indirettamente). Il Garante, nel valutare positivamente il sistema sottoposto alla sua attenzione, ha tuttavia prescritto ai cotitolari del trattamento ulteriori misure e accorgimenti a protezione dei dati biometrici dei firmatari, in particolare attraverso l’adozione di presidi tecnico-organizzativi in grado di ridurre i rischi di alterazione dei dispositivi e di installazione di software o applicazioni potenzialmente pericolosi. Infine, sono stati stabiliti, in conformita' alle disposizioni di legge (art. 11, comma 1, lett. e), del Codice), i tempi di conservazione dei dati degli interessati, rapportandoli alle finalita' e alle funzionalita' del servizio.

Per altro verso, l’Autorita' è stata chiamata a valutare un distinto trattamento di dati biometrici basato sui rilievi dattiloscopici degli interessati per finalita' di accesso ai caveaux di una societa' operante nel settore della conservazione e custodia di beni, merci e oggetti di rilevante valore economico, nonchè della contazione e selezione di banconote e monete metalliche per conto terzi (provv. 17 aprile 2014, n. 205, doc. web n. 3239985). Muovendo da alcune precedenti pronunce, il Garante ha ritenuto proporzionato il trattamento oggetto dell’istanza, sia alla luce della delicatezza delle attivita' svolte dalla societa' (meritevoli, gia' di per sè, di elevati standard di affidabilita' e sicurezza), sia in ragione delle specifiche finalita' perseguite e del peculiare contesto in cui la stessa ha dichiarato di operare (tale da giustificare, nella prospettiva indicata, un accertamento particolarmente rigoroso degli utenti in ingresso ai caveaux). L’Autorita', nel prendere atto che le modalita' del trattamento indicatenon risultavano in violazione dei principi di necessita' e proporzionalita', ha ricordato come il consenso al trattamento possa ritenersi effettivamente libero solo se sia realmente assicurata agli interessati la possibilita' di fruire di modalita' alternative di accesso ai caveaux (artt. 11, comma 1, lett. a) e 23 del Codice); la societa', che aveva gia' fornito rassicurazioni in tal senso, è stata comunque invitata ad integrare l’informativa resa agli interessati, con specifico riferimento all’utilizzo della tecnologia Rfid applicata alle smartcard adoperate dagli utenti. E' stato infine precisato che i dati trattati, accessibili unicamente da incaricati del trattamento autorizzati e adeguatamente istruiti, potranno essere conservati dalla societa' anche oltre i tempi stabiliti, ma solo in presenza di eventi criminosi o di richieste provenienti dall’autorita' giudiziaria o dagli stessi interessati.

Fonte: Garante per la protezione dei dati personali - Relazione 2014