RICONOSCIMENTO VOCALE EGESTIONE DI SISTEMI INFORMATICI

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Esaminata la richiesta di verificapreliminare presentata da Michelin italiana S.p.A. ai sensi dell'art. 17 delCodice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196);

Visti gli atti d'ufficio;

Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO

1. Trattamento di dati personalibiometrici di dipendenti per finalità di reimpostazione della parola chiave deisistemi informatici

1.1. Michelin italiana S.p.A. ha presentato una richiesta di verificapreliminare ai sensi dell'art. 17 del Codice, relativa al trattamento di datipersonali dei propri dipendenti per consentire ai medesimi la gestione e lareimpostazione automatica della parola chiave necessaria ad accedere ai sistemiinformativi della società "per riconoscimento vocale tramite telefono”.

Tale trattamento, basato su un processodi riconoscimento biometrico dell'identità dell'utente mediante l'elaborazionedi impronte vocali, verrebbe effettuato con l'ausilio di un'altra società chememorizzerebbe alcune informazioni personali degli utenti su un proprio serversituato nella Repubblica federale tedesca. In esso confluirebbero, alimentandoun archivio centralizzato (distinto rispetto a quello di altri clienti dellamedesima società), i seguenti dati personali di ciascun utente: nome, cognome,user-id dell'utente (per la realizzazione della procedura di enrollment) eindirizzo di posta elettronica (per l'invio di una comunicazione automatica dalsistema relativa al corretto completamento della procedura). Anche i profilivocali degli utenti generati nel corso della c.d. fase di addestramento delsistema (descritta al punto 1.2.) verrebbero memorizzati in forma di filecriptato e senza riferimenti diretti all'utente loro associato ("soltantotramite una tabella pointer della banca dati si può risalire all'abbinamento diquesti file anonimi con gli utenti”:comunicazione Michelin del 22 febbraio 2007, p. 4).

1.2. Al fine del corretto funzionamento del sistema di riconoscimentovocale, in una prima fase (c.d. fase di addestramento, della durata complessivadi circa cinque minuti) gli utenti dovranno "parlare" con il sistema, in modo tale da rendere possibilel'acquisizione di informazioni sufficienti (c.d. formazione del vocabolariodell'utente) per consentire la successiva univoca identificazione degli utenti.A tal fine, questi ultimi dovrebbero pronunciare, per quattro volte, tre coppiedi parole scelte casualmente in una lista predefinita contenente più di 4000vocaboli (c.d. enrollment). Agiudizio della società richiedente "il timbro della voce non può essereriprodotto e non è possibile riutilizzare il profilo della voce altrove" (cfr.comunicazione del 22 febbraio 2007, p. 2). Inoltre, la trasmissione dei datitra Michelin e la società che offre il servizio avverrebbe attraverso una retedi dati protetta (Ssl).

Le informazioni vocali così raccolte, aseguito di opportuno trattamento, verrebbero trasformate nel modello (template) destinato a essere confrontato con quellorisultante ogni qual volta si renda necessario provvedere all'impostazione ereimpostazione della parola chiave. In tali occasioni il sistema procederebbe aun previo confronto tra il dato biometrico risultante dall'analisi delle parolepronunciate dall'utente e il template al medesimo riferito, memorizzato nellafase di addestramento; accertata l'identità dell'utente, il sistemaprocederebbe automaticamente a impostare la parola chiave, comunicandola almedesimo.

Il sistema di riconoscimento, isolato enon comunicante con altri, non verrebbe utilizzato per ulteriori finalità, né èprevista la comunicazione dei dati a terzi (cfr. comunicazione del 22 febbraio2007, p. 4).


2. Dati biometrici e disciplina diprotezione dei dati personali: principi di liceità, finalità e pertinenza neltrattamento
2.1. Il casosottoposto alla verifica preliminare di questa Autorità integra un'ipotesi ditrattamento di dati personali. Sia le impronte vocali, sia i dati da essericavati e successivamente utilizzati per verifiche e raffronti nelle proceduredi autenticazione o di identificazione sono informazioni personali riconducibiliai singoli interessati (art. 4, comma 1, lett. b), del Codice), alle qualitrova applicazione la disciplina contenuta nel Codice (cfr. Provv. 19 novembre 1999, in Boll. n. 10, p. 68,doc. web n. 42058 e 21 luglio 2005, in Boll. n. 63, doc. web n. 1150679; in merito v. pure il documento di lavoro sullabiometria del Gruppo art. 29, direttiva n. 95/46/Ce -WP80-, punto 3.1.).

I dati biometrici, per la loro peculiarenatura, richiedono l'adozione di elevate cautele al fine di prevenire possibilipregiudizi ai danni degli interessati, con particolare riguardo a condotteillecite che determinino l'abusiva "ricostruzione" dell'impronta vocale, la cui possibilità allo statoviene esclusa, partendo dal template e la sua ulteriore "utilizzazione" all'insaputa degli stessi.

2.2. Nella fattispecie in esame, la finalità perseguita dalla società è, intermini generali, lecita: infatti, l'adozione di un sistema di autenticazioneinformatica (mediante il quale gli incaricati dotati di apposite credenzialipossono effettuare specifici trattamenti di dati personali), conforme airequisiti tecnici indicati dalle regole da 1 a 11 dell'Allegato B) al Codice,costituisce una misura di sicurezza che il titolare, il responsabile (ovedesignato) e l'incaricato sono tenuti ad utilizzare (art. 34, comma 1, lett. a)del Codice).

In linea di principio, non sussistonoostacoli alla predisposizione di un sistema più elevato di sicurezza per leprocedure connesse alla gestione delle credenziali di autenticazione, nel casodi specie ricorrendo alle caratteristiche biometriche dell'incaricato (cfr. pure regola 2 dell'allegato B) cit.).

Tenuto conto delle caratteristichetecniche del sistema, nei termini in cui sono state descritte, alla luce dellostato di evoluzione della tecnologia informatica biometrica e considerate lemisure di sicurezza attestate da Michelin anche in riferimento alla società cheoffre in outosourcing il servizio, può ritenersi ammissibile nel caso di speciela centralizzazione in un database delle informazioni personali (in forma di template dell'impronta vocale) trattate nell'ambito deldescritto procedimento di riconoscimento biometrico: allo stato, infatti,l'impronta vocale della persona, nelle forme in cui essa è acquisita ecodificata nella specifica applicazione sottoposta a verifica preliminare, nonrappresenterebbe un dato biometrico suscettibile di essere in concretoutilizzato per finalità diverse da quella perseguita dal titolare deltrattamento.

L'impronta vocale dell'utente (generatasecondo il processo descritto) sarebbe utilizzabile solo per il sistema inesame, e non per eventuali ulteriori diverse applicazioni basate su ulteriori edistinti sistemi di riconoscimento vocale.


3. Adempimenti
Resta fermoil principio secondo cui la società dovrà richiedere il consenso degliinteressati (art. 23 del Codice; cfr. pure, tra i tanti, Provv. 1° febbraio2007, punto 3.3., doc. web n. 1381983; Provv. 26 luglio 2006, punto 3.3. doc. web n. 1318582; Provv. 15 giugno 2006, punto 3.2., doc. web n. 1306523), predisponendo o mantenendo sistemi alternativi perconsentire la reimpostazione della password. Resta parimenti fermo l'obbligodella società di rispettare le disposizioni di legge in tema di:

0.     designazione quale "responsabiledel trattamento" della societàche opera nell'interesse di Michelin per consentire il funzionamento deldescritto sistema di riconoscimento biometrico (art. 29 del Codice);

0.     notificazione al Garante del trattamentodei dati biometrici, anteriormente al suo inizio (artt. 37, comma 1, lett. a),e 38 del Codice);

0.     attuazione di ogni misura, ancheminima, di sicurezza prescritta dal Codice (art. 31 ss. e Allegato B), ancheper ciò che riguarda il rilascio dall'installatore del sistema del prescrittoattestato di conformità e la relativa conservazione presso la propria struttura(regola n. 25 del Disciplinare tecnico in materia di misure minime disicurezza-Allegato "B"al Codice).

Michelin italiana S.p.A. dovrà altresìprovvedere ad adottare, ai sensi dell'art. 17 del Codice, i seguentiaccorgimenti:

a. mettere a disposizione di ciascunutente, unitamente all'informativa che la società deve fornire ai sensidell'art. 13 del Codice, anche con modalità informatiche, le istruzioni per gliutilizzatori (rimesse peraltro a questa Autorità in allegato alla comunicazionedel 7 luglio 2006);

b. porre in essere idonee misureorganizzative per prevenire ogni rischio di abusivo utilizzo dei dati personaliraccolti nella fase di addestramento (ad esempio, prevenendo la presa diconoscenza da parte di soggetti non autorizzati delle coppie di vocabolimemorizzati dagli utenti);

c. curare la tempestivacancellazione dei dati personali necessari al funzionamento del descrittosistema, anche presso il responsabile del trattamento, successivamente allacessazione del rapporto di lavoro o di collaborazione con l'utente.

TUTTO CIÒ PREMESSO ILGARANTE

in sede di verifica preliminare ai sensidegli artt. 17 e 154, comma 1, lett. c), del Codice in materia di trattamentodi dati personali correlato all'utilizzo di un sistema di riconoscimentobiometrico basato sul rilevamento delle impronte vocali da parte di Michelinitaliana S.p.A., volto a consentire l'impostazione delle credenziali di autenticazione,prescrive alla medesima società, quali accorgimenti a garanzia degliinteressati, di:

0.     mettere a disposizione di ciascunutente, anche con modalità informatiche, idonee istruzioni per gli utilizzatori(punto 3);

0.     porre in essere idonee misure organizzativeper prevenire ogni rischio di abusivo utilizzo dei dati personali raccoltinella fase di addestramento (punto 3);

0.     curare la tempestivacancellazione dei dati personali necessari al funzionamento del descrittosistema, anche presso il responsabile del trattamento, in caso di cessazionedel rapporto di lavoro o di collaborazione con l'utente (punto 3).

Roma, 28 febbraio 2008

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
Buttarelli