La biometria è un’alternativa ergonomica ed efficace rispetto all’utilizzo di password spesso troppo lunghe da ricordare. Infatti, i dati biometrici consentono in qualsiasi momento l’identificazione della persona interessata sulla base di una realtà biologica, permanente nel tempo, e che è propria della persona. Proprio per queste ragioni il trattamento dei dati biometrici genera rischi significativi per i diritti e le libertà delle persone, nel caso in cui questi dati siano compromessi.
Il GDPR ha sancito la natura particolare dei dati biometrici come “sensibili”, alla stessa stregua dei dati riguardanti la salute, le opinioni politiche o le convinzioni religiose. Il trattamento di questi dati sensibili è in linea di principio vietato, tranne in alcuni casi.
L’autorità per la protezione dei dati francese, la CNIL, ha rilasciato il Regolamento denominato «biométrie sur les lieux de travail» dove vengono specificati gli obblighi dei datori di lavoro che desiderano utilizzare sistemi biometrici per controllare l’accesso a spazi, applicazioni e strumenti di lavoro dei propri dipendenti.
Il regolamento sulla biometria, che è stato pubblicato nella Gazzetta ufficiale del 28 marzo 2019, e basato su tre punti essenziali: la giustificazione e la proporzionalità dell’uso della biometria, la scelta del “Gabarit” e l’obbligo del datore di lavoro di documentare le sue scelte.
In pratica le aziende che desiderano utilizzare sistemi biometrici, come riconoscimento facciale, impronte digitali o scansioni di retina, dovranno, tra le altre cose:
- Dettagliare il contesto specifico che richiede un così alto livello di protezione e motivare, al CNIL, la scelta di impiegare tali dispositivi e sistemi al posto di altri più tradizionali e meno invasivi, come un badge per esempio, o a misure organizzative e altre tecniche di protezione.
- Quando si registra un utente in un dispositivo biometrico (“processo di registrazione”), il sistema esegue misurazioni di alcune delle caratteristiche biometriche della persona interessata. Queste misurazioni memorizzate sono chiamate “Gabarit” in francese (o “Template” in inglese).
Il regolamento ne definisce tre tipi che corrispondono a vari livelli di controllo che gli interessati hanno sui come i loro dati vengono elaborati dal datore di lavoro:
- Il “Tipo 1”, che è classificato come maggiormente sicuro per la protezione dei dati (ha un livello vulnerabilità minore), il profilo biometrico è memorizzato su un supporto ed è detenuto esclusivamente dalla persona interessata (ad esempio, token o badge).
- Il “Tipo 2”, che è sotto il controllo condiviso tra interessati e datore di lavoro, consiste in un database centralizzato che è crittografato e può essere attivato solo sotto il controllo dell’interessato in questione.
- Il “Tipo 3”, che è un database centralizzato solo sotto il controllo esclusivo del datore di lavoro e, sicuramente, è quello che ha maggiori rischi per la privacy individuale in caso di violazione dei dati.
Il principio è limitare il più possibile al solo uso dei dispositivi che rientrano nel Tipo 1 poiché l’utilizzo di questo tipo garantisce al meglio i diritti e le libertà delle persone interessate presentando un livello di rischio basso.
Il ricorso agli tipi (tipo 2 e 3) deve rimanere eccezionale e deve essere giustificato da considerazioni specifiche.
- Documentare tutto. Il datore di lavoro deve quindi documentare la necessità dell’elaborazione biometrica spiegando il perché ed il percome, motivando per esempio perché altre tecniche di protezione meno invasive non raggiungono il livello di sicurezza richiesto, deve descrivere il contesto specifico che necessita di tale livello di protezione. Motivare la scelta del tipo di biometria utilizzata.
Deve comunque essere effettuata una valutazione d’impatto ai sensi del GDPR, che deve essere eseguita e formalizzata prima che inizi il trattamento dei dati biometrici.
Il regolamento prevede l’utilizzo solo dell’autenticazione biometrica basata sulle caratteristiche morfologiche delle persone interessate, è vietata l’autenticazione biometrica basata sul campionamento biologico (ad es. Saliva o sangue).
Sono stabiliti anche i periodi di conservazione massimi per i dati biometrici. Ad esempio, i dati biometrici non elaborati (come una foto o una registrazione audio) non possono essere conservati più del necessario. Inoltre, qualsiasi modello biometrico risultante deve essere crittografato e infine eliminato una volta che il dipendente non lavora più nell’organizzazione.
Reference:
CNIL – Il regolamento sulla biometria
