Il Garante ha effettuato accertamenti in merito ad un progetto del Ministero dell’interno relativo alla realizzazione di un sistema automatico di ricerca di un volto presente nell’archivio dei soggetti foto-segnalati, denominato “SARI Enterprise”.

Il trattamento dei dati biometrici ricavabili dall’immagine facciale, effettuato dalle Forze di polizia a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, è previsto e disciplinato da una pluralità di fonti normative (art. 4 del Tulps, approvato con r.d. 18 giugno 1931, n. 773 e art. 7 del relativo regolamento di esecuzione, approvato con r.d. 6 maggio 1940, n. 635; art. 349 c.p.p.; art. 11, d.l. 21 marzo 1978, n. 59, convertito in legge 18 maggio 1978, n. 191; art. 5, d.lgs. 25 luglio 1998, n. 286; decreto del Ministro dell’interno 24 maggio 2017, recante l’individuazione dei trattamenti di dati personali effettuati con strumenti elettronici e i relativi titolari, in attuazione dell’art. 53, comma 3, del Codice).

Con i sistemi attualmente in uso, l’attività di ricerca della presenza di un soggetto nell’archivio delle persone foto-segnalate avviene tramite l’operazione manuale di un operatore idonea ad inserire, nei campi presenti nella maschera di interrogazione dell’archivio, informazioni anagrafiche, connotati e contrassegni (ad es., colore dei capelli, degli occhi, tatuaggi).

Il progettato sistema “SARI Enterprise” non effettua elaborazioni aggiuntive rispetto al passato, limitandosi ad automatizzare alcune operazioni in vista dell’effettuazione della ricerca nel database dei soggetti foto-segnalati attraverso l’inserimento di una immagine fotografica elaborata automaticamente al fine di fornire l’elenco di foto segnaletiche somiglianti, ottenute attraverso un algoritmo decisionale che ne individua la priorità, dalla più alla meno somigliante.

Per tali ragioni, secondo il Garante l’utilizzo del sistema “SARI Enterprise” non costituisce un nuovo trattamento di dati personali, ma una nuova modalità di trattamento di dati biometrici, che dovrà comunque essere effettuata nel rispetto delle regole previste dalla normativa rilevante in materia di tutela dei dati personali.

Né il trattamento in esame incorre nel divieto di cui all’art. 8, d.lgs. 18 maggio 2018, n. 51, relativo alle decisioni fondate unicamente su un trattamento automatizzato, compresa la profilazione, basate sulle categorie particolari di dati personali di cui all’art. 9 del RGPD (tra le quali rientrano i dati biometrici ricavabili dall’immagine facciale), in quanto il trattamento in argomento costituisce un mero ausilio all’agire umano, avente lo scopo di velocizzare l’identificazione da parte dell’operatore di polizia di un soggetto ricercato della cui immagine facciale si disponga, ferma restando l’esigenza dell’intervento dell’operatore per verificare l’attendibilità dei risultati prodotti dal sistema. Sulla base di tali elementi il Garante ha ritenuto che il trattamento di dati personali da realizzarsi mediante il sistema “SARI Enterprise” non presenta criticità sotto il profilo della protezione dati (provv. 26 luglio 2018, n. 440, doc. web n. 9040256).

Fonte: Autorità Garante - Relazione 2018