L’evoluzione tecnologica degli ultimi decenni ha inciso in modo profondo sulle modalità di raccolta, utilizzo e circolazione delle informazioni personali, modificando radicalmente il rapporto tra individuo, tecnologia e potere decisionale.
Se, in una fase iniziale, il dibattito sulla protezione dei dati personali si concentrava prevalentemente sulla gestione di informazioni anagrafiche o identificative in senso tradizionale, oggi si confronta con una realtà più complessa, nella quale i dati riguardano direttamente il corpo, i comportamenti e, sempre più frequentemente, la sfera personale dell’individuo. In questo scenario, i dati biometrici rappresentano uno dei punti di snodo più delicati, in quanto segnano il passaggio da una tutela della “informazione su qualcuno” a una tutela della “informazione direttamente riconducibile alla persona”.
Il crescente utilizzo di tecnologie biometriche, in molti ambiti, (accesso a dispositivi digitali, controlli di sicurezza, gestione delle presenze lavorative e servizi di frontiera) testimonia come l’identificazione automatizzata sia divenuta una componente ordinaria del nostro quotidiano. L’impronta digitale, il volto, l’iride, la voce o modalità di interazione con i dispositivi non sono più soltanto tratti distintivi dell’individuo, ma si trasformano in chiavi di accesso, strumenti di autenticazione e, in taluni casi, in veri e propri indicatori di affidabilità o comportamento. Questa trasformazione comporta indubbi vantaggi in termini di efficienza e rapidità, ma solleva, al contempo, interrogativi profondi sul controllo dei dati, sulla libertà personale e sulla possibilità di sottrarsi a forme talvolta estremamente invasive della sfera personale.
Il Legislatore europeo ha preso atto di tali rischi qualificando espressamente i dati biometrici come una categoria di dati personali riconducibile sì a quelli c.d. particolari ma elevandone l’importanza legata alla pressoché immediata riconducibilità degli stessi all’individuo. L’art. 4, par. 1, n. 14, del Regolamento (UE) 2016/679 (“GDPR”) definisce i dati biometrici come i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, come l’immagine facciale o i dati dattiloscopici.
Questa definizione mette in luce due profili centrali: da un lato, la presenza di un processo tecnico che trasforma una caratteristica umana in informazione digitale; dall’altro, la funzione identificativa, che rende tali dati particolarmente sensibili.
Non a caso, l’art. 9 del GDPR stabilisce un divieto generale di trattamento dei dati biometrici utilizzati a fini di identificazione univoca, consentendolo solo in presenza di specifiche condizioni, come il consenso esplicito dell’interessato o la necessità del trattamento per motivi di interesse pubblico rilevante, purché nel rispetto di adeguate garanzie.
Il principio che emerge è chiaro: il trattamento di dati biometrici non è mai neutro e richiede una giustificazione rafforzata, fondata su esigenze concrete e proporzionate.
Con riferimento all’ordinamento nazionale, tale impostazione è rafforzata dall’art. 2-septies del Codice della Privacy, che subordina il trattamento dei dati biometrici al rispetto delle misure di garanzia individuate dal Garante per la protezione dei dati personali. Ciò significa che la liceità del trattamento non dipende soltanto dalla base giuridica astrattamente invocata, ma anche dall’adozione di specifiche cautele tecniche e organizzative, calibrate in relazione ai rischi che il trattamento comporta per i diritti e le libertà degli interessati.
Questo principio assume un peso notevole nel contesto dei sistemi biometrici, che spesso operano attraverso processi automatizzati complessi. Non è sufficiente, dunque, informare l’utente che i suoi dati saranno trattati: occorre metterlo in condizione di comprendere, almeno nei tratti fondamentali, come e per quali finalità ciò avverrà.
Due anni dopo, la Cassazione affronta il tema dell’uso delle impronte digitali per la rilevazione delle presenze dei dipendenti, ribadendo la responsabilità del datore di lavoro quale titolare del trattamento e l’obbligo di effettuare le verifica preliminare e notifiche previste dalla normativa applicabile. La Corte chiarisce in tale sede che l’utilizzo di sistemi biometrici in ambito lavorativo non può essere considerato una scelta organizzativa ordinaria, ma costituisce un trattamento ad alto impatto che richiede un’attenta valutazione di legittimità (Cass. Civ., Ord. 6 marzo 2023, n. 6642).
CONTINUA SU
*Prefazione a cura degli Avv.ti Vincenzo Colarocco e Diletta Simonetti
(Accesso riservato agli abbonati Top24 Diritto e Top24 Diritto Ai)
SCARICA