Privacy: dati biometrici e riconoscimento vocale

Con provvedimento del 28.02.08, il Garante per la Privacy ha riconosciuto l'ammissibilità di un sistema di riconoscimento biometrico basato sulle impronte vocali dei dipendenti di una multinazionale, utilizzato per gestire e modificare la password necessaria per accedere al sistema informatico della società.

Un recente provvedimento del Garante per la Protezione dei Dati Personali offre lo spunto per parlare di sistemi di rilevamento biometrici. Con tale espressione si intendono quei sistemi che permettono di verificare l'identità di una persona sulla base delle sue caratteristiche fisiche, necessariamente diverse da quelle di ogni altra, mettendole a confronto con un modello presente nel sistema stesso.

Gli esempi più diffusi sono quelli che utilizzano il raffronto delle impronte digitali, il colore o le dimensioni dell'iride, il timbro della voce.

E proprio un sistema di rilevamento biometrico fondato sulle caratteristiche vocali di una persona è stato recente oggetto di decisione da parte del Garante per la protezione dei dati personali.

Una famosa multinazionale aveva infatti richiesto a tale Ente di pronunciarsi circa la legittimità di un tale sistema basato sulle impronte vocali dei propri dipendenti, per consentire ai medesimi di gestire e modificare la parola chiave necessaria per accedere ai propri sistemi informatici.

Il sistema prevedeva una prima fase di c.d. addestramento, mediante la quale al dipendente era richiesto di pronunciare alcune parole e frasi a voce alta e di "parlare" con il sistema; ciò al fine di acquisire un vocabolario dell'utente, che consentisse poi in un secondo momento al sistema di riconoscere il timbro della voce della persona che aveva pronunciato quelle frasi. I dati così raccolti erano quindi trasmessi e conservati ad un server mediante una rete di dati protetta.

Acquisite così le informazioni relative alle caratteristiche vocali dei singoli dipendenti, queste venivano trasformate in un modello (c.d. template) da utilizzare come raffronto tutte le volte che la singola persona avesse richiesto al sistema di gestire o cambiare la propria password di accesso.

Nel caso in cui il sistema avesse riconosciuto infatti come identico il dato biometrico fornito dall'utente volta per volta (la propria voce) con quello contenuto nel modello, il sistema avrebbe provveduto automaticamente ad impostare la parola chiave, comunicandola al dipendente.

Il sistema non sarebbe stato inoltre utilizzato per altre finalità né i dati raccolti sarebbero stati comunicati a terzi.

Il Garante per la Privacy, chiamato quindi ad esprimersi sulla legittimità di tale sistema, ha innanzi tutto riconosciuto come lo stesso rientri sicuramente tra le ipotesi di trattamento dei dati personali, tali dovendosi considerare i dati biometrici di una persona, e dunque sottoposto alla disciplina del Codice Privacy (D. Lgs. 196/03).

I dati biometrici, tuttavia, stante il loro stretto legame con le caratteristiche più importanti di una persona, richiedono particolare attenzione per evitare abusi o danni.

In modo particolare, osserva il Garante, il caso sottoposto al suo esame rientra tra le ipotesi di trattamenti con strumenti elettronici, regolato dall'art. 34, comma1, lett. a) del Codice sopra indicato (autenticazione informatica).

Secondo tale articolo, il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate alcune misure minime, tra le quali appunto l'autenticazione informatica, nei modi particolarmente rigorosi previsti dal disciplinare tecnico contenuto nell'allegato B) del medesimo codice.

Rispettate tali regole base, e dunque riconosciuta la legittimità del trattamento, niente impedisce, secondo il Garante, che una società possa adottare misure di sicurezza più stringenti per le procedure di autenticazione, quali appunto sono quelle che utilizzano il rilevamento di dati biometrici dell'interessato.

Così, nel caso di cui ci occupiamo, il Garante ha ritenuto ammissibile un sistema del genere in quanto, le modalità specifiche e le misure di sicurezza adottate dalla multinazionale attraverso cui il dato biometrico viene acquisito (periodo di addestramento-template-riconoscimento vocale) non consentirebbero alcun utilizzo diverso da quello relativo alla gestione e modifica della password necessaria per accedere ai sistemi informatici.

In altre parole, quindi, l'impronta vocale così acquisita non potrebbe essere ricostruita altrimenti

e utilizzata per altri scopi.

Ciò nonostante, l'Autorità per la Privacy ha tenuto a sottolineare come la società, nell'utilizzo di tale sistema, sia comunque tenuta ad adottare i seguenti adempimenti previsti dal Codice Privacy:

1) designazione quale responsabile del trattamento della società incaricata dalla multinazionale di gestire il sistema di riconoscimento biometrico;

2) notificazione al Garante del trattamento dei dati biometrici prima del suo inizio;

3) attuazione di ogni misura di sicurezza prevista dal Codice.

Ai sensi dell'art. 17 del medesimo Codice, inoltre, la società sarà tenuta a:

a. mettere a disposizione di ciascun utente l'informativa prevista dall'art. 13 Codice Privacy e le istruzioni per gli utilizzatori;

b. porre in essere misure idonee per prevenire ogni rischio di abusivo utilizzo dei dati personali nella fase di addestramento;

c. provvedere alla tempestiva cancellazione dei dati personali raccolti successivamente alla cessazione del rapporto di lavoro o di collaborazione con il singolo utente.

Concludendo, il Garante per la Privacy ha riconosciuto l'ammissibilità dell'utilizzo, da parte di una società, di un sistema di riconoscimento biometrico basato sulle impronte vocali dei suoi dipendenti, nel rispetto di tutti gli adempimenti previsti dal Codice Privacy in materia di trattamento dei dati personali.