Dati biometrici: cosa sono e come trattarli

I dati biometrici sono dati personali relativi alle caratteristiche fisiche, fisiologiche o comportamentali di un individuo, tramite i quali ne è possibile l’identificazione univoca, come ad esempio l’immagine facciale o i dati dattiloscopici.

Oggigiorno numerose tecnologie si fondano sul trattamento di dati biometrici: basi pensare ad alcuni sofisticati sistemi di sorveglianza che effettuano la scansione della retina o, più nella quotidianità, la lettura dell’impronta digitale per sbloccare uno smartphone.

Anche nel contesto lavorativo, i dati biometrici possono essere utilizzati per diverse ragioni, come la registrazione delle presenze o l’autenticazione per l’accesso ai sistemi informatici.

I dati biometrici, però, non sono come gli altri dati personali e le conseguenze del loro uso illegittimo possono essere considerevoli.

Secondo il Reg. UE n. 679/2016 (c.d. “RGPD”), il dato biometrico rientra nelle cosiddette “categorie particolari di dati”, disciplinate dall’art. 9 RGPD, che ne vieta il trattamento a causa dell’elevato rischio di pregiudizi ai diritti e alle libertà delle persone fisiche. Ciononostante, lo stesso co. 2 dell’art. 9 del RGPD prevede alcune deroghe tassative al divieto di trattamento che vanno dal consenso espresso dell’interessato, alla sussistenza di un interesse vitale di quest’ultimo o di un’altra persona fisica o per esigenze di pubblico interesse.

Inoltre, il trattamento dei dati biometrici può definirsi legittimo solo in casi necessari e specifici ove non sussistano altre modalità ugualmente efficaci e meno invasive per raggiungere lo scopo e solo quando il trattamento stesso venga effettuato nel pieno rispetto dei diritti e delle libertà fondamentali.

L’art. 35 RGPD stabilisce poi che, quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, come quello in analisi, il Titolare del trattamento è chiamato ad effettuare prima del trattamento una valutazione dell’impatto. In particolare, occorrerà prevedere in anticipo quali possano essere in astratto le conseguenze del trattamento sui diritti e libertà delle persone fisiche interessate e, di conseguenza, adottare adeguate misure dirette alla riduzione del rischio.

Ulteriore requisito è poi la presenza di una informativa all’interessato chiara, precisa e soprattutto completa.

Non bisogna infine dimenticare il principio di accountability (e dunque il fatto che ciascun titolare non deve solo adeguarsi alle norme del RGPD, ma anche essere in grado di dimostrarlo), la regolare tenuta del Registro delle attività di trattamento ai sensi dell’art. 30 RGPD e il fatto che trattamento stesso deve sempre essere supportato misure di sicurezza tecniche e organizzative adeguate al rischio. In conclusione, il trattamento di dati biometrici può, in molti contesti, essere utile e migliorare il livello di efficienza e sicurezza di alcune attività e processi. Tuttavia, il trattamento di tali dati deve essere sempre essere bilanciato con le esigenze di tutela descritte dalla normativa