Violazione Privacy Impronte Digitali

Usiamo tutti i giorni molti dispositivi che prevedono il trattamento dei dati biometrici (impronte digitali) come lo smartphone o al tornello della palestra, ma sei chi utilizza o gestisce tali dati, dovresti continuare a leggere per conoscere i diritti e soprattutto gli obblighi di trattamento, per evitare salate sanzioni.

Un sistema di riconoscimento biometrico ha lo scopo di identificare una persona in base ad una o più caratteristiche biologiche e/o comportamentali, confrontandole con altri dati precedentemente acquisiti e presenti nel database del sistema informatico.

L’Autorità Garante per la Protezione dei dati, nelle Linee Guida in materia di riconoscimento biometrico, ha definito i “dati biometrici” come dati ricavati da “proprietà biologiche, aspetti comportamentali, caratteristiche fisiologiche, tratti biologici o azioni ripetibili laddove tali caratteristiche o azioni sono tanto proprie di un certo individuo quanto misurabili, anche se i metodi usati nella pratica per misurarli tecnicamente comportano un certo grado di probabilità”.

Tale definizione consente di cogliere gli elementi essenziali di un dato biometrico: l’universalità, poiché presente in ogni individuo; l’esclusività, in quanto il dato biometrico è unico per ogni persona; la permanenza, in quanto il dato biometrico è immutabile nel tempo o si modifica lentamente (salvo il caso di traumi o lesioni).

Occorre tuttavia avvertire che nessun sistema biometrico risulta infallibile, come dimostrato anche da alcuni casi di cronaca. Si pensi alla vicenda di un avvocato musulmano dell’Oregon, ingiustamente accusato dall’FBI di aver partecipato agli attentati di Madrid del 2004, in quanto furono rinvenute impronte, inizialmente attribuite a costui, sui materiali utilizzati dai terroristi.

Il malcapitato fu costretto a trascorrere due settimane in prigione, prima che gli inquirenti si rendessero conto dell’errore, dato da impronte del tutto imprecise.

Il sistema biometrico presenta, quindi, un certo margine di fallibilità, tanto nel senso di “falso positivo”, consistente nella probabilità che il sistema identifichi in modo errato una persona, quanto nel senso di “falso negativo”, consistente nella eventualità che il sistema non identifichi una persona, che quindi non viene associata al modello.

Le caratteristiche biometriche: Impronte Digitali

Le Linee Guida sono incentrate sulle proprietà delle principali caratteristiche biometriche, evidenziandone modalità di rilevazione, possibilità di ricavarne dati sensibili e grado di stabilità nel tempo.

Il più noto e diffuso sistema di rilevazione biometrica è quello delle impronte digitali. Gli stessi lettori di impronte digitali sono ormai divenuti diffusissimi ed alla portata di tutti.

Si pensi a quanti smartphone o ingressi in palestra oggi si sbloccano grazie al lettore di impronte digitali per il controllo biometrico all’accesso.

Ebbene, un’impronta digitale è costituita da linee che scorrono in fasci paralleli, che formano un disegno cosiddetto ridge pattern. Dall’esame delle linee si possono scorgere delle aree note come “singolarità”, che assumono andamenti particolari: curvature accentuate, terminazioni e biforcazioni.

L’esame delle singolarità di un’impronta è essenziale per cogliere le cosiddette “minutiae”, fondamentali per la lettura delle impronte nei più diffusi sistemi di confronto automatico. Infatti, l’individuazione delle minutiae, ovvero dei dati biometrici dell’impronta, consente di estrarre un modello biometrico costituito da una rappresentazione matematica dell’impronta di partenza, con la quale è possibile realizzare algoritmi di confronto.

Il trattamento dei dati biometrici può riguardare anche dati sensibili: ad esempio, secondo gli esperti, lo studio dell’impronta digitale consente di risalire all’etnia del soggetto cui appartiene, dato sensibile ai sensi dell’art 4 del Codice della Privacy o Reg. europeo.

Ecco perché l’evoluzione tecnologica dei sistemi di autenticazione, pur essendo in costante crescita, deve sempre confrontarsi con la tutela della privacy.

Adempimenti per un corretto trattamento in Palestra e Centri Sportivi

La legittimità di un sistema biometrico passa, quindi, anche attraverso gli adempimenti richiesti dalla normativa sul trattamento dei dati personali. Tali adempimenti possono così riassumersi: Informativa, Notificazione, Verifica Preliminare.

Misure di sicurezza dei trattamenti biometrici

La legge distingue tra misure idonee e misure minime di sicurezza. La distinzione rileva soprattutto in sede di valutazione delle responsabilità civili e penali. Infatti, la mancata adozione di misure minime di sicurezza fa sorgere in capo a “chiunque vi sia tenuto” le responsabilità penali di cui all’art 169 d.lgs. 169/2003, mentre l’omissione di misure idonee fa scaturire a “chiunque cagioni un danno” la responsabilità civile ex art 2050 c.c.

Le c.d. misure idonee non sono suscettibili di definizione, in quanto variano a seconda del progresso tecnologico (“anche in relazione alle conoscenze acquisite in base al progresso tecnologico”). Le misure devono comunque adeguarsi alla tipologia di dato, all’architettura del sistema, alla finalità perseguita ed al contesto ambientale di riferimento.

Le misure devono inoltre scongiurare il rischio di accesso da parte di terzi, di furto, sostituzione o compromissione dei dati. Smart card e dati biometrici devono inoltre essere leggibili solo dai lettori interessati.

Resta fermo che, una volta venuta meno la necessità di trattare i dati, questi devono essere eliminati in modo sicuro, anche nelle aree di memoria volatile, oltre che dai supporti di memorizzazione.

Violazione dei dati - Data Breach

Nel caso in cui si verifichino “incidenti” che coinvolgono il trattamento di dati personali, il titolare dovrà effettuare un ulteriore adempimento: infatti, ai sensi del Provvedimento del 12 novembre 2014, la violazione di dati e la verificazione di incidenti informatici deve essere comunicata all’Autorità Garante (es: accessi abusivi).

Il provvedimento precisa come tale obbligo sussista anche laddove l’incidente metta solo potenzialmente a rischio tali dati.

Entro 24 ore dalla conoscenza del fatto, i titolari devono comunicare all’Autorità tutte le violazioni e gli incidenti informatici che possano avere un impatto sui dati custoditi.

L’obbligo di comunicazione, da effettuarsi via pec all’Autorità, è oggi previsto anche per i fornitori di comunicazioni, in forza della disciplina comunitaria che impone l’obbligo di notifica all’Autorità ed, in alcuni casi, anche agli interessati vittime della violazione.