Garante per la protezione
    dei dati personali

Comunicato Stampa

PRIVACY: NUOVE REGOLE PER IMPRONTE DIGITALI E FIRMA GRAFOMETRICA

Niente più verificapreliminare per alcuni usi, ma introdotto l'obbligo di comunicare al Garante leviolazioni ai sistemi biometrici

 

Il Garante per laprivacy ha approvato un quadro unitario di misure e accorgimenti di caratteretecnico, organizzativo e procedurale per mantenere alti livelli di sicurezzanell'utilizzo di particolari tipi di dati biometrici, semplificando tuttaviaalcuni adempimenti. L'intervento  dell'Autorità si è reso necessario allaluce della crescente diffusione di dispositivi biometrici, anche incorporati inprodotti di largo consumo.

Sempre più spessoinfatti aziende  e  pubbliche amministrazioni si servono di datibiometrici, come le impronte digitali, la topografia della mano o lecaratteristiche della firma autografa,  per  il controllo degliaccessi, per l'autenticazione degli utenti (anche su pc e tablet) o per lasottoscrizione di documenti informatici.

Nel provvedimento generale -adottato a seguito di una consultazione pubblica e in corso di pubblicazionesulla G.U. con le allegate Linee guida e un modulo per la comunicazioneall'Autorità di violazioni dei sistemi biometrici - il Garante ha individuatoalcune tipologie di trattamento che, per le specifiche finalità perseguite,presentano un livello ridotto di rischio e non necessitano più della verifica preliminare da parte dell'Autorità.

La semplificazioneriguarderà solo le specifiche tipologie di trattamento che dovranno in ognicaso essere effettuate nel rispetto delle rigorose misure di sicurezzaindividuate dal Garante, e comunque rispettando i presupposti di legittimitàprevisti dal Codice privacy, in particolare informando sempre gli interessatisui loro diritti, sugli scopi e le modalità del trattamento:

    Autenticazione informatica

Lecaratteristiche biometriche dell'impronta digitale o dell'emissione vocale diuna persona possono essere utilizzate come credenziali di autenticazione perl'accesso a banche dati e sistemi informatici. Tale trattamento può essereeffettuato anche senza il consensodell'utente.

    Controllo di accesso fisico ad aree"sensibili" e utilizzo di apparati e macchinari pericolosi

Lecaratteristiche dell'impronta digitale o della topografia della mano potrannoessere trattate per consentire l'accesso ad aree e locali ritenuti"sensibili" oppure per consentire l'utilizzo di apparati e macchinaripericolosi ai soli soggetti qualificati. Tale trattamento può essere realizzatoanche senza il consenso dell'utente.

    Sottoscrizione di documenti informatici

L'analisidei dati biometrici associati all'apposizione a mano libera di una firmaautografa potrà essere utilizzata per la firma elettronica avanzata. Questamodalità è però consentita solo con il consenso degli interessati, consenso nonnecessario invece in ambito pubblico, se devono essere perseguite specifiche finalità istituzionali. Dovranno comunque essere resi disponibilisistemi alternativi (cartacei o digitali) di sottoscrizione, che non comportinol'utilizzo di dati biometrici.

    Scopi facilitativi

L'improntadigitale e la topografia della mano potranno essere utilizzate anche perconsentire l'accesso fisico di utenti ad aree fisiche in ambito pubblico (es.biblioteche) o privato (es. aree aeroportuali riservate). Anche in questo casol'utilizzo è consentito solo con ilconsenso degli interessati. Dovranno comunque essere previste modalità alternative per l'erogazionedel servizio per chi rifiuta di far utilizzare i propri dati biometrici.

Ogni sistema di rilevazionedovrà essere configurato in modo tale da raccogliere un numero limitato diinformazioni (principio di minimizzazione), escludendo l'acquisizione di datiulteriori rispetto a quelli necessari per il conseguimento della finalitàperseguita. Ad esempio, in caso di autenticazione informatica, i datibiometrici non dovranno essere trattati in modo da poter desumere ancheinformazioni di natura sensibile dell'interessato.

Tra le numerose misuredi sicurezza individuate dal Garante vi è quella che obbliga a cifrare ilriferimento biometrico con tecniche crittografiche, con una lunghezza dellechiavi adeguata alla dimensione e al ciclo di vita dei dati. Particolareattenzione è inoltre rivolta alla messa in sicurezza dei dispositivi mobili(come tablet o pc) che potrebbero più facilmente essere compromessi o smarriti.

Anche al fine diprevenire eventuali furti di identità biometrica, tutte le violazioni dei dati o gli incidenti informatici("data breaches") che possano avere un impatto significativo suisistemi biometrici o sui dati personali custoditi, dovranno essere comunicati da chi detiene i dati al Garante entro 24 ore dalla scoperta, così daconsentire di adottare opportuni interventi a tutela delle persone interessate.A tal fine è stato predisposto un modulo che consente di semplificare ilpredetto adempimento.

Sono esclusi dallemodalità semplificate individuate nel provvedimento del Garante i trattamentiche prevedono la realizzazione di archivi biometrici centralizzati, per i qualicontinuerà ad essere obbligatorio richiedere una verifica preliminare. Rimanein vigore anche l'obbligo di notificazione al Garante per i trattamenti nonesplicitamente esclusi dal provvedimento, come quelli effettuati da esercentile professioni sanitarie e da avvocati.

Per le verifichepreliminari in corso sono state previste specifiche disposizioni transitorie.

Roma,26 novembre 2014