Violazione Privacy Impronte Digitali

Usiamo tutti i giorni molti dispositivi che prevedono il trattamento dei dati biometrici (impronte digitali) come lo smartphone o al tornello della palestra, ma sei chi utilizza o gestisce tali dati, dovresti continuare a leggere per conoscere i diritti e soprattutto gli obblighi di trattamento, per evitare salate sanzioni.

Un sistema di riconoscimento biometrico ha lo scopo di identificare una persona in base ad una o più caratteristiche biologiche e/o comportamentali, confrontandole con altri dati precedentemente acquisiti e presenti nel database del sistema informatico.

L’Autorità Garante per la Protezione dei dati, nelle Linee Guida in materia di riconoscimento biometrico, ha definito i “dati biometrici” come dati ricavati da “proprietà biologiche, aspetti comportamentali, caratteristiche fisiologiche, tratti biologici o azioni ripetibili laddove tali caratteristiche o azioni sono tanto proprie di un certo individuo quanto misurabili, anche se i metodi usati nella pratica per misurarli tecnicamente comportano un certo grado di probabilità”.

Tale definizione consente di cogliere gli elementi essenziali di un dato biometrico: l’universalità, poiché presente in ogni individuo; l’esclusività, in quanto il dato biometrico è unico per ogni persona; la permanenza, in quanto il dato biometrico è immutabile nel tempo o si modifica lentamente (salvo il caso di traumi o lesioni).

Occorre tuttavia avvertire che nessun sistema biometrico risulta infallibile, come dimostrato anche da alcuni casi di cronaca. Si pensi alla vicenda di un avvocato musulmano dell’Oregon, ingiustamente accusato dall’FBI di aver partecipato agli attentati di Madrid del 2004, in quanto furono rinvenute impronte, inizialmente attribuite a costui, sui materiali utilizzati dai terroristi.

Il malcapitato fu costretto a trascorrere due settimane in prigione, prima che gli inquirenti si rendessero conto dell’errore, dato da impronte del tutto imprecise.

Il sistema biometrico presenta, quindi, un certo margine di fallibilità, tanto nel senso di “falso positivo”, consistente nella probabilità che il sistema identifichi in modo errato una persona, quanto nel senso di “falso negativo”, consistente nella eventualità che il sistema non identifichi una persona, che quindi non viene associata al modello.

Le caratteristiche biometriche: Impronte Digitali

Le Linee Guida sono incentrate sulle proprietà delle principali caratteristiche biometriche, evidenziandone modalità di rilevazione, possibilità di ricavarne dati sensibili e grado di stabilità nel tempo.

Il più noto e diffuso sistema di rilevazione biometrica è quello delle impronte digitali. Gli stessi lettori di impronte digitali sono ormai divenuti diffusissimi ed alla portata di tutti.

Si pensi a quanti smartphone o ingressi in palestra oggi si sbloccano grazie al lettore di impronte digitali per il controllo biometrico all’accesso.

Ebbene, un’impronta digitale è costituita da linee che scorrono in fasci paralleli, che formano un disegno cosiddetto ridge pattern. Dall’esame delle linee si possono scorgere delle aree note come “singolarità”, che assumono andamenti particolari: curvature accentuate, terminazioni e biforcazioni.

L’esame delle singolarità di un’impronta è essenziale per cogliere le cosiddette “minutiae”, fondamentali per la lettura delle impronte nei più diffusi sistemi di confronto automatico. Infatti, l’individuazione delle minutiae, ovvero dei dati biometrici dell’impronta, consente di estrarre un modello biometrico costituito da una rappresentazione matematica dell’impronta di partenza, con la quale è possibile realizzare algoritmi di confronto.

Il trattamento dei dati biometrici può riguardare anche dati sensibili: ad esempio, secondo gli esperti, lo studio dell’impronta digitale consente di risalire all’etnia del soggetto cui appartiene, dato sensibile ai sensi dell’art 4 del Codice della Privacy o Reg. europeo.

Ecco perché l’evoluzione tecnologica dei sistemi di autenticazione, pur essendo in costante crescita, deve sempre confrontarsi con la tutela della privacy.

Adempimenti per un corretto trattamento in Palestra e Centri Sportivi

La legittimità di un sistema biometrico passa, quindi, anche attraverso gli adempimenti richiesti dalla normativa sul trattamento dei dati personali. Tali adempimenti possono così riassumersi: Informativa, Notificazione, Verifica Preliminare.

Misure di sicurezza dei trattamenti biometrici

La legge distingue tra misure idonee e misure minime di sicurezza. La distinzione rileva soprattutto in sede di valutazione delle responsabilità civili e penali. Infatti, la mancata adozione di misure minime di sicurezza fa sorgere in capo a “chiunque vi sia tenuto” le responsabilità penali di cui all’art 169 d.lgs. 169/2003, mentre l’omissione di misure idonee fa scaturire a “chiunque cagioni un danno” la responsabilità civile ex art 2050 c.c.

Le c.d. misure idonee non sono suscettibili di definizione, in quanto variano a seconda del progresso tecnologico (“anche in relazione alle conoscenze acquisite in base al progresso tecnologico”). Le misure devono comunque adeguarsi alla tipologia di dato, all’architettura del sistema, alla finalità perseguita ed al contesto ambientale di riferimento.

Le misure devono inoltre scongiurare il rischio di accesso da parte di terzi, di furto, sostituzione o compromissione dei dati. Smart card e dati biometrici devono inoltre essere leggibili solo dai lettori interessati.

Resta fermo che, una volta venuta meno la necessità di trattare i dati, questi devono essere eliminati in modo sicuro, anche nelle aree di memoria volatile, oltre che dai supporti di memorizzazione.

Violazione dei dati - Data Breach

Nel caso in cui si verifichino “incidenti” che coinvolgono il trattamento di dati personali, il titolare dovrà effettuare un ulteriore adempimento: infatti, ai sensi del Provvedimento del 12 novembre 2014, la violazione di dati e la verificazione di incidenti informatici deve essere comunicata all’Autorità Garante (es: accessi abusivi).

Il provvedimento precisa come tale obbligo sussista anche laddove l’incidente metta solo potenzialmente a rischio tali dati.

Entro 24 ore dalla conoscenza del fatto, i titolari devono comunicare all’Autorità tutte le violazioni e gli incidenti informatici che possano avere un impatto sui dati custoditi.

L’obbligo di comunicazione, da effettuarsi via pec all’Autorità, è oggi previsto anche per i fornitori di comunicazioni, in forza della disciplina comunitaria che impone l’obbligo di notifica all’Autorità ed, in alcuni casi, anche agli interessati vittime della violazione.

Il quadro normativo aggiornato: GDPR, Codice Privacy e il doppio livello di tutela

Il regime giuridico del trattamento delle impronte digitali poggia su un doppio livello normativo che si integra reciprocamente e che, dalla sola lettura del D.Lgs. 196/2003 previgente, si è radicalmente trasformato con il Regolamento (UE) 2016/679 (GDPR).

I dati biometrici rientrano nella nozione di «categorie particolari di dati» per le quali l'art. 9, par. 1, del GDPR pone un divieto generale di trattamento: «È vietato trattare dati personali che [...] rivelino [...] dati biometrici intesi a identificare in modo univoco una persona fisica». Il GDPR ha introdotto nell'ordinamento europeo la definizione di dati biometrici come «dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici» (art. 4, n. 14, GDPR).

Il divieto generale ex art. 9, par. 1, cede il passo soltanto in presenza di una delle deroghe tassativamente elencate al par. 2 della medesima disposizione. Un principio ermeneutico di straordinaria importanza pratica — elaborato dal Garante nel provvedimento Clearview del 10 febbraio 2022, n. 50, e consolidato dalla dottrina — è quello della doppia base giuridica cumulativa: il titolare del trattamento che processa dati biometrici non può mai invocare soltanto un fondamento ai sensi dell'art. 6 GDPR (liceità del trattamento generale), ma deve applicare in modo cumulativo anche le specifiche deroghe dell'art. 9 «al fine di garantirne il livello di tutela pertinente». Una base giuridica ex art. 6 senza la corrispondente deroga ex art. 9 non è sufficiente: il trattamento è illecito.

Il consenso non basta (in palestra, in ufficio e ovunque): la base giuridica imposta dalla legge

Il primo equivoco da sfatare — e quello che più spesso espone titolari del trattamento a sanzioni — è credere che il consenso dell'interessato (art. 9, par. 2, lett. a), GDPR) costituisca una base giuridica valida e sufficiente per il trattamento delle impronte digitali in qualsiasi contesto.

In ambito lavorativo la regola è categorica: il Garante Privacy ha ripetutamente chiarito che «il consenso del lavoratore non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, indipendentemente dalla natura pubblica o privata del datore di lavoro, ciò alla luce della asimmetria tra le rispettive parti del rapporto di lavoro e la conseguente, eventuale, necessità di accertare di volta in volta e in concreto l'effettiva libertà della manifestazione di volontà del dipendente». In altre parole, il lavoratore è un soggetto vulnerabile nel rapporto con il datore di lavoro: il consenso prestato in tale contesto è strutturalmente privo della libertà che il GDPR richiede.

Il trattamento di dati biometrici in ambito lavorativo è consentito soltanto se: (a) è necessario per adempiere agli obblighi ed esercitare i diritti del datore di lavoro; e (b) è autorizzato da una specifica disposizione normativa dell'Unione Europea o dello Stato membro, con adeguate garanzie per i diritti fondamentali degli interessati. Questo significa che — allo stato attuale dell'ordinamento italiano, in assenza di una norma di legge che lo autorizzi espressamente — la rilevazione delle presenze tramite impronta digitale per la semplice timbratura ordinaria è sempre illecita, indipendentemente dal fatto che i lavoratori abbiano firmato un consenso.

La stessa logica si applica alle palestre e ai centri sportivi nei confronti dei propri soci: il consenso firmato all'ingresso, se non è accompagnato da una base giuridica alternativa prevista dalla legge, non ha «valenza giuridica idonea» a legittimare il trattamento. Il Garante ha sanzionato una società sportiva per 20.000 euro rilevando che l'informativa consegnata ai dipendenti — contenente una clausola di consenso al trattamento biometrico — era «del tutto inidonea a rappresentare le caratteristiche del trattamento» e, soprattutto, assente di «alcun riferimento alla possibilità di utilizzare, in alternativa al sistema biometrico, il sistema tradizionale basato sul badge».

La casistica della Cassazione: dalla società sportiva all'Università Bocconi

La giurisprudenza della Cassazione ha affrontato il trattamento biometrico delle impronte digitali in tre filoni distinti, producendo principi di portata generale.

Il filone della rilevazione presenze: Cass. civ., Sez. lavoro, ord. 19 maggio 2023, n. 13873 ha confermato la declaratoria di «non conformità a legge» del trattamento biometrico effettuato da una società datrice di lavoro, sulla base del Provvedimento del Garante n. 4 del 10 gennaio 2013. La Corte ha ribadito che il consenso «si riferisce in via astratta e generale al trattamento dei dati effettuato anche con l'ausilio di mezzi elettronici ed automatizzati, ma non già all'utilizzazione dello strumento» biometrico, in quanto privo del carattere di specificità richiesto. Il principio è netto: anche un sistema che non registra il dato biometrico «grezzo» ma lo trasforma in un modello numerico — archiviato su badge nella disponibilità del dipendente — costituisce «trattamento di dati biometrici» soggetto alla disciplina del GDPR, in quanto già «la mera raccolta ed elaborazione temporanea» del dato biometrico integra trattamento rilevante.

Il filone della responsabilità del titolare: Cass. civ., Sez. I, ord. 6 marzo 2023, n. 6642 ha respinto il tentativo di una società di invocare l'errore scusabile e l'esimente della buona fede ex art. 3, L. 689/1981, sostenendo di non essere stata adeguatamente informata dal proprio fornitore delle apparecchiature biometriche. La Cassazione ha confermato che la responsabilità del titolare del trattamento è fondata sul concetto di «colpa di organizzazione»: il rimprovero deriva dall'inosservanza dell'obbligo di adottare «le cautele, organizzative e gestionali, necessarie a prevenire la commissione degli illeciti». Il datore di lavoro, in quanto titolare del trattamento, è tenuto a verificare autonomamente la conformità del trattamento biometrico agli adempimenti normativi prima di attivare il sistema, senza poter delegare tale verifica al fornitore.

Il filone del riconoscimento biometrico remoto: Cass. civ., Sez. I, ord. 13 maggio 2024, n. 12967 (Garante c. Università Commerciale Luigi Bocconi) ha statuito che «ricorre un trattamento di dati biometrici [...] quando i dati personali sono ottenuti mediante un trattamento tecnico automatizzato specifico, realizzato con un software che, sulla base di riprese e analisi delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, le elabora, evidenziando comportamenti o elementi anomali, e che perviene a un esito conclusivo che consente o conferma l'identificazione univoca della persona fisica, restando irrilevante la circostanza che l'esito finale del trattamento sia successivamente sottoposto alla verifica finale di una persona fisica». Questo principio è di portata rivoluzionaria: anche il software di sorveglianza degli esami online (remote proctoring) che analizza i movimenti e i comportamenti degli studenti tramite webcam integra un trattamento di dati biometrici soggetto all'art. 9 GDPR. Con il Provvedimento n. 35 del 29 gennaio 2026, il Garante ha successivamente sanzionato un Ateneo per aver trattato dati biometrici di «400/500 studenti per aula» senza aver effettuato la DPIA preventivamente obbligatoria.

La DPIA: l'adempimento preventivo che la maggior parte dei titolari ignora

La Valutazione d'Impatto sulla Protezione dei Dati (DPIA — Data Protection Impact Assessment) è l'adempimento che più frequentemente risulta assente nei procedimenti sanzionatori in materia di dati biometrici. Eppure la sua esecuzione è obbligatoria per legge prima di avviare qualsiasi trattamento biometrico su larga scala.

L'art. 35, par. 3, lett. b), del GDPR impone la DPIA per «il trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9, paragrafo 1». Il Garante ha chiarito, nel Provvedimento del 29 gennaio 2026, n. 35, che tra i criteri che rendono la DPIA obbligatoria rientra «il trattamento di "dati sensibili", tra i quali sono compresi i dati biometrici», nonché «l'uso innovativo o l'applicazione di nuove soluzioni tecnologiche od organizzative». Il Comitato europeo per la protezione dei dati (EDPB) ha ulteriormente «ricordato che l'uso dei dati biometrici e in particolare della tecnologia di riconoscimento facciale comporta maggiori rischi per i diritti e le libertà degli interessati», con la conseguenza che «prima di utilizzare tali tecnologie [...] i titolari del trattamento dovrebbero valutare l'impatto sui diritti e sulle libertà fondamentali degli interessati e considerare se mezzi meno invasivi possano raggiungere la finalità legittima del rispettivo trattamento».

La DPIA deve contenere: (i) una descrizione generale dei trattamenti previsti; (ii) una valutazione dei rischi per i diritti e le libertà degli interessati; (iii) le misure previste per affrontare tali rischi; (iv) le garanzie e i meccanismi per garantire la protezione dei dati. Un foglio elettronico privo di data certa e di sottoscrizione — come quello prodotto dall'Ateneo sanzionato nel 2026 — «non è idoneo a soddisfare i requisiti della DPIA» ai sensi dell'art. 35 GDPR. L'obbligo vale anche per la palestra con poche decine di dipendenti, se il sistema biometrico coinvolge un numero significativo di interessati.

Il Provvedimento generale prescrittivo in tema di biometria del Garante del 12 novembre 2014 (Provv. n. 513/2014) resta un punto di riferimento fondamentale: prevede, oltre alla DPIA, l'obbligo di notificare al Garante qualsiasi violazione dei dati biometrici («data breach») entro ventiquattro ore dalla conoscenza del fatto. Con l'entrata in vigore del GDPR, questo termine di 24 ore specifico per la biometria si cumula con il termine generale di 72 ore previsto dall'art. 33 GDPR per la notifica di qualsiasi violazione di dati personali: per i dati biometrici il termine applicabile è il più breve tra i due.

Il regime sanzionatorio: fino a 20 milioni di euro o al 4% del fatturato mondiale

Il trattamento illecito di dati biometrici espone il titolare alle sanzioni più elevate previste dal sistema GDPR. Per le violazioni degli artt. 5, 6 e 9 del GDPR — che sono quelle tipicamente contestate nei casi di trattamento biometrico senza base giuridica — si applica l'art. 83, par. 5, del GDPR, che fissa il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell'esercizio precedente, se superiore. La sanzione deve essere «in ogni caso effettiva, proporzionata e dissuasiva» (art. 83, par. 1, GDPR).

Nella determinazione concreta della sanzione, il Garante valuta una pluralità di circostanze ai sensi dell'art. 83, par. 2, GDPR, tra le quali: la natura, gravità e durata della violazione; il carattere doloso o colposo della condotta; le misure adottate per attenuare il danno; la cooperazione con l'Autorità; le categorie di dati interessati; nonché i precedenti specifici a carico del titolare. In presenza di violazioni plurime e contestuali, il massimale applicabile è quello della violazione più grave.

Il quadro sanzionatorio concreto emerso dalla casistica mostra come le sanzioni si collochino su scale molto diverse a seconda della dimensione del titolare: 20.000 euro per la piccola società sportiva; 200.000 euro per l'Università Bocconi (ridotti dal Tribunale di Milano a 190.000 euro); importi di gran lunga superiori per le realtà imprenditoriali di maggiori dimensioni. L'impossibilità di invocare l'errore scusabile è un ulteriore elemento di rischio: la Cassazione ha chiarito che l'esimente della buona fede non opera quando l'affidamento sulla liceità della condotta «dipende proprio dalla colpa consistita nella mancata verifica degli adempimenti richiesti in qualità di datore di lavoro titolare del trattamento».

Il risarcimento del danno: materiale e immateriale, ma non automatico

Accanto alla sanzione amministrativa irrogata dal Garante, il soggetto che ha subito il trattamento illecito dei propri dati biometrici ha diritto al risarcimento del danno ai sensi dell'art. 82 del GDPR, che lo riconosce «a chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento». Il risarcimento deve essere «pieno ed effettivo» e tale da «compensare integralmente il danno concretamente subito».

La Corte di Giustizia UE, con la sentenza del 4 maggio 2023 (causa C-300/21), ha definitivamente escluso che il danno sia in re ipsa: la mera violazione del GDPR non è di per sé sufficiente a fondare il diritto al risarcimento, poiché il legislatore europeo «menziona in modo distinto un "danno" e una "violazione"», considerandoli elementi separati. L'interessato deve dimostrare: (i) la violazione del GDPR da parte del titolare; (ii) l'esistenza di un danno materiale o immateriale effettivamente subito; (iii) il nesso causale tra la violazione e il danno.

Per quanto riguarda il danno immateriale da trattamento biometrico illecito, la Corte di Giustizia ha successivamente precisato (causa C-340/21, 14 dicembre 2023) che «il timore di un potenziale utilizzo abusivo dei dati personali da parte di terzi [...] può, di per sé, costituire un "danno immateriale" risarcibile», purché il giudice nazionale verifichi che «tale timore possa essere considerato fondato, nelle circostanze specifiche di cui trattasi». Nelle controversie italiane, la Cassazione ha mantenuto il filtro della gravità della lesione e della serietà del danno — derivante dalle Sezioni Unite del 2008 —, attenuando però la distanza rispetto alla CGUE su un piano empirico-fenomenologico. Il titolare che ha trattato illecitamente impronte digitali risponde del danno subito dagli interessati «salvo che dimostri che l'evento dannoso non gli è in alcun modo imputabile»: si tratta di un regime di responsabilità con inversione dell'onere della prova a carico del titolare.

Il nuovo terzo livello normativo: l'AI Act e i divieti assoluti di identificazione biometrica

Il panorama normativo in materia di dati biometrici si è arricchito di un terzo livello, che si aggiunge al GDPR e al Codice Privacy: il Regolamento (UE) 2024/1689 del 13 giugno 2024 (AI Act), la prima disciplina organica europea sull'intelligenza artificiale.

L'AI Act adotta un approccio fondato sul rischio, distinguendo tra sistemi di IA a rischio inaccettabile (vietati), alto rischio, rischio limitato e rischio minimo. Tra le pratiche di IA a rischio inaccettabile — soggette a divieto assoluto in vigore dal 2 febbraio 2025 — rientrano direttamente tre categorie di sistemi biometrici:

• L'identificazione biometrica remota in tempo reale in spazi pubblici a fini di attività di contrasto, salvo specifiche eccezioni autorizzate da giudice o autorità indipendente;
• I sistemi di categorizzazione biometrica che classificano individualmente le persone per trarre deduzioni su razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale;
• I sistemi di IA che creano o ampliano banche dati di riconoscimento facciale tramite scraping non mirato di immagini da internet o da CCTV.

Il divieto è strutturato come una proibizione assoluta, «indipendente da qualsiasi valutazione in concreto del rischio da parte dei fornitori o degli utilizzatori» e dalla quale «non è consentito scostarsi nemmeno con il consenso degli stessi destinatari del risultato finale». A livello nazionale, la Legge 23 settembre 2025, n. 132 ha recepito i principi dell'AI Act declinandoli in chiave antropocentrica, con applicazione specifica ai settori della sanità, del lavoro, delle professioni e della pubblica amministrazione. L'AI Act si affianca al GDPR senza sostituirlo: le sanzioni previste per le violazioni dei divieti assoluti possono raggiungere il 7% del fatturato mondiale annuo e si cumulano con quelle del GDPR.

Il furto del dato biometrico: perché è diverso da qualsiasi altra violazione di privacy

L'articolo originale accenna alla fallibilità dei sistemi biometrici. Occorre però approfondire un aspetto che i lettori più attenti ricercano: perché il furto o la compromissione di un dato biometrico è irreparabile, a differenza di qualsiasi altro dato personale.

I dati biometrici presentano tre caratteristiche strutturali che li rendono unici:

• Universalità: ogni individuo possiede le caratteristiche biometriche oggetto di rilevazione;
• Esclusività: il dato biometrico è unico per ogni persona;
• Permanenza: il dato è tendenzialmente immutabile nel tempo o si modifica lentamente.

È precisamente la permanenza a rendere il data breach biometrico catastrofico: una password compromessa si cambia; un numero di conto bancario si sostituisce; un'impronta digitale non si può mai cambiare. Se il template biometrico di un lavoratore — estratto dall'impronta e trasformato in un modello matematico — viene sottratto da un attacco informatico o da un accesso abusivo, quella persona è esposta per il resto della sua vita al rischio di identificazione fraudolenta, impersonificazione e, come dimostra il caso dell'avvocato dell'Oregon citato nell'articolo originale, di attribuzione erronea di fatti penalmente rilevanti. Il Garante, già nel Provvedimento del 12 novembre 2014, ha qualificato i dati biometrici come dati che «denotano la profonda relazione tra corpo, comportamento e identità della persona, richiedendo particolari cautele». Per questo motivo la violazione dei dati biometrici deve essere comunicata all'Autorità in via prioritaria, entro ventiquattro ore, e agli interessati ogniqualvolta il rischio per i loro diritti e libertà sia elevato ai sensi dell'art. 34 GDPR.

Cosa fare se si è vittima di una violazione biometrica: la guida pratica

Chi ha subito il trattamento illecito delle proprie impronte digitali — in palestra, al lavoro, in università o in qualunque altro contesto — dispone di un articolato sistema di tutele che operano su piani paralleli e cumulabili.

Segnalazione al Garante Privacy: chiunque ritiene che il trattamento dei propri dati biometrici violi il GDPR può presentare un reclamo al Garante per la protezione dei dati personali ai sensi dell'art. 77 del GDPR, oppure una segnalazione, anche in forma anonima. Il Garante ha il potere di: irrogare sanzioni amministrative (art. 83 GDPR); disporre il blocco o la cancellazione dei dati; prescrivere misure di conformità; pubblicare il provvedimento sul proprio sito, con grave danno reputazionale per il titolare.

Azione civile di risarcimento: contestualmente o in via autonoma, l'interessato può agire in giudizio per il risarcimento del danno materiale e immateriale ai sensi dell'art. 82 del GDPR e dell'art. 15 del D.Lgs. 196/2003. Il giudizio si instaura davanti al Tribunale ordinario, in composizione monocratica per i danni di minor entità. L'onere della prova è distribuito favorevolmente: spetta al titolare del trattamento dimostrare che l'evento dannoso non gli è imputabile.

Tutela d'urgenza: nei casi più gravi — come quelli in cui il trattamento biometrico illecito è in corso e causa pregiudizi continuativi — è proponibile il ricorso ex art. 700 c.p.c. al Tribunale civile per ottenere in via cautelare urgente l'immediata cessazione del trattamento, la cancellazione dei dati e, se del caso, il divieto di ulteriore raccolta. La giurisprudenza di merito ha ammesso questo rimedio in materia di dati personali, qualificando il diritto alla protezione dei dati come diritto fondamentale la cui lesione continuata integra il periculum in mora.

Esercizio dei diritti dell'interessato: prima di adire il Garante o il Tribunale, l'interessato può esercitare — tramite semplice comunicazione scritta al titolare — il diritto di accesso (art. 15 GDPR), il diritto alla cancellazione (art. 17 GDPR) e il diritto di opposizione (art. 21 GDPR). Il titolare deve rispondere entro trenta giorni dalla richiesta; in caso di inottemperanza, la mancata risposta è essa stessa comunicabile al Garante come violazione autonoma.