Garante Privacy e attività ispettiva 2021: tra gennaio e giugno nel mirino i dati biometrici, videosorveglianza, food delivery e data breach

Il Garante Privacy ha definito il perimetro dell’attività ispettiva programmata per i primi sei mesi del 2021. Si tratta di n. 50 accertamenti che saranno condotti anche mediante delega alla Guardia di Finanza e che si concentreranno sulla verifica del rispetto della normativa privacy vigente relativa ai seguenti profili di interesse generale:

  1. trattamenti di dati biometrici per il riconoscimento facciale anche mediante sistemi di videosorveglianza;
  2. trattamenti di dati personali nel settore della c.d. “videosorveglianza domestica” e nel settore dei sistemi audio/video applicati ai giochi (c.d. giocattoli connessi);
  3. trattamenti di dati personali effettuati da "data broker”;
  4. trattamenti di dati personali effettuati dalle società che operano nel settore denominato “Food Delivery”;
  5. data breach.

Da tale elenco emergono due grandi novità: quest’anno, infatti, il Garante Privacy estenderà le proprie verifiche anche ai trattamenti di dati biometrici, nonché a quelli effettuati mediante sistemi di videosorveglianza. Due settori disciplinati non solo dal GDPR e dal Codice Privacy bensì anche da diverse linee guida ed altre norme di legge, oltre che da numerosa giurisprudenza.

Si pensi, solo per fare degli esempi, alle Linee Guida del Garante Privacy in materia di riconoscimento biometrico e firma grafometrica del 2014, al rinnovato art. 4 della L. 300/1970 e alla Circolare n. 5/2018 dell’Ispettorato nazionale del Lavoro, al Provvedimento del Garante Privacy in materia di videosorveglianza del 2010 ed alle recenti FAQ sulla videosorveglianza del 5 dicembre 2020, alla giurisprudenza nazionale e comunitaria in tema di controllo dei lavoratori e controlli cd. “difensivi”, al Parere n. 2/2017 dell’ex Gruppo di lavoro ex art. 29 (“Opinion 2/2017 on data processing at work”) nonché alle Linee Guida n. 3/2019 del Comitato Europeo (EDPB) sul trattamento dei dati attraverso dispositivi video.

Quanto appena detto induce a riflettere in merito alla corretta e non agevole operazione di individuazione degli adempimenti privacy cui sono chiamati i titolari e i responsabili del trattamento – i.e. gli operatori economici; infatti, soprattutto prima di intraprendere un’attività di trattamento di dati personali biometrici o mediante sistemi di videosorveglianza è necessario chiarire le circostanze del caso concreto (individuando le finalità del trattamento, le misure di sicurezza da adottare, il coinvolgimento di eventuali terzi provider, ecc.) al fine di poter predisporre correttamente la documentazione privacy  prevista dalle molteplici norme in materia (possibilmente con l’ausilio di professionisti specializzati).

Sarà quindi interessante analizzare gli esiti dell’attività ispettiva del Garante al fine di comprendere quale sarà, a distanza di tre anni dall’entrata in vigore del GDPR, il livello di compliance ritenuto “accettabile” dall’Autorità e quale sia quello realmente raggiunto dalle imprese che operano nel nostro Paese e che hanno a che fare con il trattamento di categorie particolari di dati personali e con sistemi di videosorveglianza.

Va da sé che gli adempimenti privacy in materia di trattamento di dati biometrici o mediante sistemi di videosorveglianza si sommano a quelli generalmente previsti per il trattamento dei dati personali; pertanto, al fine di raggiungere una piena compliance alla normativa privacy vigente occorre non solo regolamentare i particolari settori della propria attività di business (quali, ad esempio, la videosorveglianza o la biometria) bensì adottare (o meglio, aver già adottato) una solida struttura privacy interna che sia in grado di dimostrare alle autorità, in caso di eventuali ispezioni, che i trattamenti di dati personali effettuati rispettano pienamente quanto previsto dalla legge.

Proprio con particolare riferimento alla videosorveglianza, ricordiamo che il nostro Studio ha elaborato e pubblicato sul proprio sito web un rapido ed utile Vademecum per l’installazione di impianti videosorveglianza, aggiornato alle più recenti novità normative italiane ed europee. È possibile consultare il Vademecum qui.


25 Novembre - Giornata mondiale contro la violenza sulle donne

Era il 25 novembre 1960 quando le sorelle Mirabal persero la vita a Santo Domingo sotto la dittatura Trujillo. Il ricordo di quel tragico momento venne istituzionalizzato solo a partire dal 1981, quando il 25 novembre fu riconosciuto come data simbolo della lotta alla violenza contro le donne.

Oggi, esattamente 60 anni più tardi, la violenza sulle donne è perpetrata anche mediante l’utilizzo della tecnologia e di strumenti informatici; basti pensare ai dati pubblicati proprio in data odierna dalla Direzione Centrale della Polizia Criminale in base ai quali, solo in Lombardia, nel corso dell’ultimo anno sono stati registrati circa 718 casi di reati di revenge porn.

Il revenge porn è un reato di recente introduzione (Legge 69/2019 – art. 612-ter Codice Penale) che punisce chiunque, avendo ricevuto o comunque acquisito immagini o video a contenuto sessualmente esplicito, destinati a rimanere privati, li diffonde senza il consenso delle persone rappresentate al fine di recare loro nocumento.

Come far fronte a questo genere di condotte?

La risposta non è univoca ma certamente deve esistere alla base la consapevolezza e la conoscenza di due concetti, oggi ancora (purtroppo) sottovalutati, ovvero quello della “privacy” e della “riservatezza”, nonché degli strumenti che la normativa vigente mette a disposizione per proteggere i nostri dati personali da sottrazioni illecite.

Ad esempio, prestiamo sufficiente attenzione quando pubblichiamo immagini online che ci ritraggono o che ritraggono altre persone? E’ di qualche giorno fa l’infografica pubblicata dal Garante Privacy che fornisce al riguardo suggerimenti e consigli utili (disponibile al seguente link).

Abbiamo mai verificato, prima di iniziare una conversazione e/o di entrare in chat con un terzo tramite uno strumento informatico, se il fornitore del servizio di comunicazione abbia adottato idonei protocolli di sicurezza per la nostra conversazione? Per comprendere meglio di cosa si tratta, è possibile consultare la pagina esplicativa messa a disposizione da WhatsApp al seguente link.

E ancora, conosciamo quali sono le applicazioni o i dispositivi – ad esempio presenti presso la nostra abitazione o installati presso i luoghi che frequentiamo (come piscine, palestre, ecc.) - in grado di riprenderci e/o ascoltarci a nostra insaputa? Ed in quest’ultimo caso, sappiamo come esercitare i nostri diritti privacy?

Di fatto il mondo digitale apre nuovi orizzonti anche per quanto concerne la tutela delle donne contro la violenza ed in questo contesto la protezione dei nostri dati personali riveste un ruolo importantissimo.

Eliminare la violenza in tutte le sue forme è l’obiettivo comune; a tal fine consapevolezza e conoscenza sono indispensabili.


Facial Recognition e Mondo Digitale: tecnologia al servizio della praticità?

Quanti di noi sbloccano il proprio smartphone, effettuano un pagamento online, autorizzano il download di un’app e/o accedono ad un portale web semplicemente avvicinando il dispositivo mobile al volto? Con quale facilità “tagghiamo” i nostri amici nelle fotografie che ci ritraggono sui più comuni social network? E ancora: quanti e quali vantaggi è possibile ottenere conoscendo il numero di passanti che si fermano, anche per un istante, ad osservare un cartellone pubblicitario?

I numeri dimostrano che la tecnologia di facial recognition si pone al servizio di un mondo digitale che “corre” sempre più velocemente e ci costringe a rimanere al passo coi tempi. Ma a quale prezzo in termini di protezione dei nostri dati personali?

1. Introduzione

Tra social network, siti di e-commerce, riviste online, home banking e mobile app sono milioni i servizi digitali oggi presenti online di cui possiamo usufruire mediante la creazione di account personali.

Nella creazione dei profili, la tendenza più diffusa, specie tra i più giovani, è quella di affidarsi a password facili e intuitive (come la data di nascita o il nome di battesimo), poco sicure da un punto di vista informatico e spesso identiche per tutti i servizi utilizzati[1].

Per far fronte a queste cattive abitudini - che non fanno altro che alimentare il numero, già peraltro elevato, di data breach – è oggi comunemente utilizzata la tecnologia cd. di “facial recognition” (in italiano, “riconoscimento facciale”): si tratta di un particolare procedimento informatico in grado di associare ai connotati del volto di una persona un’immagine digitale e di memorizzare tale immagine all’interno di un dispositivo elettronico per poi riutilizzarla non solo per finalità di identificazione ma anche di autenticazione, di verifica e/o di profilazione degli individui.

Ma è davvero sempre sicuro affidarsi alla facial recognition? Un sistema biometrico garantisce sempre una sufficiente protezione dei nostri dati personali?

2. I più comuni utilizzi della facial recognition

Come noto, le diverse tecniche biometriche si prestano ad essere utilizzate soprattutto nel contesto informatico (ad esempio, per finalità di autenticazione ad un dispositivo) e la tendenza delle principali società high-tech è quella di investire sempre di più in questo settore.

Tuttavia, la facial recognition è presente anche al di fuori del mondo digitale: si pensi all’uso di sistemi biometrici per il controllo dell’accesso fisico ad aree riservate, per l’apertura di varchi o per l’uso di apparati e macchinari pericolosi.

Ma non solo. Le tecniche di ricoscimento facciale sono in grado di porsi anche al servizio delle pubbliche autorità e persino della ricerca. La polizia di Nuova Delhi ha infatti sperimentato la facial recognition per identificare quasi 3.000 bambini scomparsi; alcuni ricercatori per diagnosticare una rara malattia genetica riscontrata in soggetti di provenienza africana, asiatica e latinoamericana[2].

Di fronte ad un così ampio numero di utilizzi della facial recognition preoccupa che nel nostro Paese non sia ancora stata adottata un’apposita normativa nazionale in materia. Difatti, acconsentire alla rilevazione ed alla raccolta delle caratteristiche del nostro volto da parte di un titolare significa condividere con quest’ultimo un’ampia gamma di dati personali ed esporsi agli utilizzi degli stessi che  il titolare decida di farne.

Pensiamo ad un semplice “selfie” con lo smartphone: in questi casi il nostro dispositivo raccoglie la nostra immagine personale e la trattiene in memoria. O al transito davanti a cartelloni pubblicitari che rilevano la nostra presenza, alla misurazione della nostra temperatura corporea mediante termometri video-digitali o ai sistemi di imbarco con video-riconoscimento che si stanno insediando nei più grandi aeroporti del mondo.

3. Un rapido vademecum per il trattamento dei dati biometrici

Le caratteristiche biometriche del volto in grado di consentire l’identificazione univoca di una persona fisica rientrano nella nozione di “dati personali biometrici” prevista dal Regolamento Europeo 679/2016 (“GDPR”)[3]. I dati biometrici infatti sono definiti dal GDPR come dati “ottenuti da un trattamento tecnico specifico e relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca[4]. Ciò significa che un’immagine / una fotografia non è sempre qualificabile come dato biometrico se non è trattata attraverso un dispositivo tecnico che consente l'identificazione univoca o l'autenticazione di una persona fisica[5].

I dati biometrici inoltre rientrano nelle “categorie particolari di dati personali” ex art. 9 GDPR (richiamate dall’art. 2-septies del D.lgs. 196/2003 – “Codice Privacy”) e possono essere trattati solo laddove il titolare rispetti determinati obblighi di legge. Proviamo ad elencarne alcuni qui di seguito:

A. Il rispetto dei principi essenziali del trattamento. In un mondo sempre più digitale assumono un ruolo predominante i principi di “privacy by design” (protezione dei dati fin dalla progettazione) e “privacy by default” (protezione dei dati per impostazione predefinita) sanciti dall’art. 25 GDPR[6]. Per conformarsi a questi principi, i titolari che utilizzano la facial recognition per il trattamento dei dati personali devono prevedere, fin dalla fase della progettazione e definizione degli strumenti del trattamento, misure di sicurezza adeguate per garantire la tutela dei diritti e delle libertà fondamentali delle persone fisiche ed il rispetto dei principi previsti dall’art. 5 del GDPR.

In particolare, dovrebbe essere posta particolare attenzione al principio di “minimizzazione dei dati” che impone al titolare di configurare un sistema di riconoscimento biometrico in modo da raccogliere e trattare solo un numero circoscritto di informazioni, escludendo l’acquisizione di quei dati ultronei rispetto alla finalità perseguita nel caso concreto (ad esempio, se la finalità del trattamento fosse quella dell’autenticazione informatica, i dati biometrici non dovrebbero essere trattati in modo da poter desumere anche eventuali informazioni di natura sensibile dell’interessato tra cui, ad esempio, malattie della pelle chiaramente visibili).

B. L’informativa privacy. I titolari devono consegnare agli interessati una informativa privacy conforme all’art. 13 del GDPR, che indichi in maniera chiara e trasparente le finalità del trattamento, le misure di sicurezza adottate, l’eventuale centralizzazione dei dati biometrici raccolti, i tempi di conservazione degli stessi. A tal riguardo, è opportuno segnalare che, come chiarito dal Garante Privacy[7], tale informativa deve essere consegnata prima della cd. fase di “enrolment”, ossia prima della creazione di un campione biometrico[8].

C. La base giuridica. Il titolare deve chiedere il preventivo consenso degli interessati al trattamento dei loro dati biometrici, ovvero verificare la possibilità di effettuare il trattamento in presenza di un’altra base giuridica di cui all’art. 9 del GDPR (tra cui, ad esempio, la sussistenza di motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero).

D. La DPIA. Come previsto dall’art. 35 del GDPR e dall’Allegato 1 al Provvedimento n. 467/2018 del Garante Privacy, il titolare deve valutare l’impatto del trattamento dei dati biometrici e nello specifico valutare i rischi che tale trattamento può comportare per i diritti e le libertà delle persone fisiche e, contestualmente, individuare le misure di sicurezza adottate e da adottare per far fronte a tali rischi.

E. La nomina del responsabile. Laddove il titolare si avvalga di un terzo soggetto per il trattamento di dati biometrici, quest’ultimo deve essere nominato “responsabile del trattamento” ai sensi dell’art. 28 del GDPR, previa verifica del possesso, da parte del fornitore, di garanzie idonee per la tutela dei diritti degli interessati i cui dati biometrici sono trattati.

F. L’implementazione di sistemi alternativi. Il titolare del trattamento deve offrire soluzioni alternative che non comportino il trattamento di dati biometrici, senza imporre restrizioni o costi aggiuntivi all’interessato. Tali soluzioni alternative sono necessarie soprattutto per coloro che non sono in grado di rispettare i vincoli imposti da un dispositivo biometrico (si pensi ad un disabile che non è in grado di raggiungere, con il volto, l’altezza di un termoscanner) e nel caso in cui tale dispositivo risulti indisponibile per problemi tecnici (ad esempio, in caso di malfunzionamento).

4. Conclusioni

Le normative applicabili in materia di protezione dei dati personali non sono e non dovrebbero mai essere considerate come un ostacolo allo sviluppo di nuove tecnologie applicate all’industria informatica e digitale. Al contrario, il rispetto della legislazione vigente dovrebbe costituire un incentivo alla creazione di soluzioni pratiche in maniera rispettosa della riservatezza delle nostre informazioni.

E così dovrebbe avvenire anche per la tecnologia di facial recognition, in relazione alla quale è importante diffondere negli utenti consapevolezza in merito alla sicurezza del trattamento dei loro dati personali. Anche perché generare consapevolezza significa ottenere fiducia da parte dei consumatori, che è il primo passo per una corretta strategia di marketing.

Proprio come ha fatto Apple, che con il recente aggiornamento ad “iOS 14” consente ai possessori di un dispositivo mobile di ultima generazione di sapere - tramite indicatori di diversi colori (verde e arancione) che appaiono sulla barra di stato ­del dispositivo – se un’app installata sta utilizzando la fotocamera e quindi rilevando l’immagine dell’utente.

Dall’altro lato, la protezione dei nostri dati personali non deve mai essere sacrificata. E per fare ciò, ad avviso di chi scrive è fondamentale che il nostro Paese inizi ad adottare normative che disciplinino questa tecnologia. I valori aggiunti che il riconoscimento facciale è in grado di dare alla nostra economia sono infatti sotto gli occhi di tutti già da molto tempo ma se non si agisce a livello normativo nel breve termine il rischio è di trovarsi tra qualche anno di fronte ad uno sviluppo incontrollato (se non abuso) di queste soluzioni tecniche, con la conseguenza di dover impiegare tempo e risorse economiche per risolvere molteplici problemi piuttosto che realizzare nuovi vantaggi.

 

[1] Lo conferma un interessante (e a tratti preoccupante) studio pubblicato in occasione del “Safer Internet Day”, secondo cui più della metà dei millennial italiani (il 55%) utilizza la stessa password per accedere a servizi differenti e il 19% una password estremamente semplice come una sequenza di numeri.

[2] Degno di nota è anche il nuovo progetto “Telefi” finanziato dalla Commissione Europea e denominato "Verso lo scambio a livello europeo di Immagini del viso" (TELEFI). Si tratta di uno studio in merito ai vantaggi che l’utilizzo del riconoscimento facciale può fornire alle indagini sulla criminalità negli Stati membri dell'UE ed allo scambio dei dati raccolti nell’ambito del sistema “Prüm”, mediante il quale DNA, impronte digitali e dati di immatricolazione dei veicoli sono scambiati tra gli stati UE per combattere la criminalità transfrontaliera, il terrorismo e la migrazione illegale.

[3] Classici esempi di dati biometrici, oltre alle caratteristiche del volto, sono: l’impronta digitale, la dinamica apposizione della firma autografa, la struttura vascolare della retina, la forma dell’iride, le caratteristiche dell’emissione vocale.

[4] Si veda, per maggiori dettagli, il Parere del Gruppo di Lavoro ex art. 29 (oggi sostituito dal Comitato Europeo per la protezione dei dati personali – “European Data Protection Board”) n. 2/2012 - https://www.pdpjournals.com/docs/87997.pdf.

[5] Cfr. Considerando n. 51 al GDPR.

[6] Cfr. “Guidelines 4/2019 on Article 25 Data Protection by Design and by Default” - Version 2.0 Adopted on 20 October 2020.

[7] Cfr. sul punto “Linee Guida in materia di riconoscimento biometrico e firma grafometrica” del Garante Privacy del 12 novembre 2014.

[8] Con il termine “enrolment” si intende il processo attraverso cui un soggetto si accredita al sistema biometrico, attraverso la acquisizione di una sua caratteristica biometrica. Per consentire il riconoscimento biometrico è infatti necessario acquisire la caratteristica biometrica con una procedura che garantisca la correttezza dell’accreditamento nel sistema biometrico (biometric enrolment), il legame con il soggetto che si sottopone all’enrolment e la qualità del campione biometrico risultante. Generalmente, dal campione biometrico facciale tramite algoritmi, talvolta basati sulle c.d. “reti neurali”, vengono estratti un certo numero di tratti, quali la posizione degli occhi, del naso, delle narici, del mento, delle orecchie, al fine di costruire un modello biometrico.


Insight dà il benvenuto a Carmine!

Il nostro team continua a crescere… siamo felici di annunciare che l’avvocato Carmine Antonio Perri si è unito al nostro team come Associate. Il focus della sua practice sarà la proprietà intellettuale e Privacy / Data Protection.

Dopo aver lavorato nel team di IP & Technology di vari studi legali internazionali sia in Italia che all’estero, Carmine ha scelto di entrare a far parte di Insight Studio Legale dove rafforzerà il nostro team di IP e di Privacy.

Nella sua esperienza professionale, Carmine ha assistito diverse società italiane e internazionali nella tutela dei loro diritti di privativa industriale, nonché in relazione alla gestione del portafoglio di marchi e design sia nella fase di deposito e registrazione che nelle procedure di rinnovo, opposizione e nullità dinanzi agli uffici di proprietà intellettuale europei ed italiani.

Carmine ha inoltre un’estesa esperienza nella consulenza in materia di protezione dei dati personali e, nello specifico, nella predisposizione di documenti e la gestione degli adempimenti privacy, nello svolgimento di attività di assessment e compliance al regolamento UE 679/2016 (“GDPR”) e codice privacy.

Per vedere il suo profilo completo clicca qui.

Benvenuto a bordo Carmine!