Garante Privacy: ecco le nuove regole su impronte digitali e firma grafometrica

Nuove misure dal Garante per la Privacy che riguardano di carattere tecnico, organizzativo e procedurale per garantire un alto livello di sicurezza nell'utilizzo di particolari tipi di dati biometrici, semplificando tuttavia alcuni adempimenti. Le nuove regole da parte dell'Autorità si sono rese necessarie alla luce della crescente diffusione di dispositivi biometrici, anche incorporati in prodotti di largo consumo. I dispositivi biometrici sono dispositivi automatici utili per l'identificazione di una persona sulla base di caratteristiche biologiche, quindi caratteristiche fisiologiche come possono essere, appunto, le impronte digitali e anche la firma grafometrica.

E accade sempre più spesso che aziende e pubbliche amministrazioni si servano di dati biometrici, come le impronte digitali, la topografia della mano o le caratteristiche della firma autografa, per il controllo degli accessi, per l'autenticazione degli utenti (anche su pc e tablet) o per la sottoscrizione di documenti informatici. E nel provvedimento generale (doc. web n. 3556992) per la comunicazione all'Autorità di violazioni dei sistemi biometrici, il Garante ha individuato alcune tipologie di trattamento che, per le specifiche finalità perseguite, presentano un livello ridotto di rischio e non necessitano più della verifica preliminare da parte dell'Autorità.

Autenticazione informatica. Le caratteristiche biometriche dell'impronta digitale o dell'emissione vocale di una persona possono essere utilizzate come credenziali di autenticazione per l'accesso a banche dati e sistemi informatici. Questo trattamento può essere effettuato senza il consenso dell'utente.

Controllo di accesso fisico ad aree "sensibili" e utilizzo di apparati e macchinari pericolosi. Le caratteristiche dell'impronta digitale o della topografia della mano potranno essere trattate per consentire l'accesso ad aree e locali ritenuti "sensibili" oppure per consentire l'utilizzo di apparati e macchinari pericolosi ai soli soggetti qualificati. Anche questo trattamento può essere realizzato senza il consenso dell'utente.

Sottoscrizione di documenti informatici. L'analisi dei dati biometrici associati all'apposizione a mano libera di una firma autografa potrà essere utilizzata per la firma elettronica avanzata. Questa modalità è consentita solo con il consenso degli interessati, consenso non necessario invece in ambito pubblico, se devono essere perseguite specifiche finalità istituzionali. Dovranno comunque essere resi disponibili sistemi alternativi (cartacei o digitali) di sottoscrizione, che non comportino l'utilizzo di dati biometrici.

Scopi facilitativi. L'impronta digitale e la topografia della mano potranno essere utilizzate anche per consentire l'accesso fisico di utenti ad aree fisiche in ambito pubblico (es. biblioteche) o privato (es. aree aeroportuali riservate). Anche in questo caso l'utilizzo è consentito solo con il consenso degli interessati. Dovranno comunque essere previste modalità alternative per l'erogazione del servizio per chi rifiuta di far utilizzare i propri dati biometrici.

L'Autorità ricorda anche che ogni sistema di rilevazione dovrà essere configurato in modo tale da raccogliere un numero limitato di informazioni (principio di minimizzazione), escludendo l'acquisizione di dati ulteriori rispetto a quelli necessari per il conseguimento della finalità perseguita. Ad esempio, in caso di autenticazione informatica, i dati biometrici non dovranno essere trattati in modo da poter desumere anche informazioni di natura sensibile dell'interessato. Tra le tante misure di sicurezza che il Garante ha individuato, vi è quella che obbliga a cifrare il riferimento biometrico con tecniche crittografiche, con una lunghezza delle chiavi adeguata alla dimensione e al ciclo di vita dei dati. Attenzione particolare è rivolta alla messa in sicurezza dei dispositivi mobili (come tablet o pc) che potrebbero più facilmente essere compromessi o smarriti.

Tutte le violazioni dei dati o gli incidenti informatici, "data breaches", che possano avere un impatto significativo sui sistemi biometrici o sui dati personali custoditi, dovranno essere comunicati da chi detiene i dati al Garante entro 24 ore dalla scoperta, così da consentire di adottare opportuni interventi a tutela delle persone interessate. E sul sito del Garante è stato predisposto un modulo che consente di semplificare la procedura.