Siamo sempre più “controllati”.

È questa una delle conseguenze più “gravi” del fenomeno dell’evoluzione tecnologica a cui stiamo assistendo, spesso inconsapevoli,  frutto dell’implementazione e sperimentazione di nuove tecnologie che stanno diventando parte della nostra vita quotidiana e di cui non possiamo più fare a meno.

Malgrado l’intensificazione dell’attenzione rivolta ai sistemi di AI applicata al riconoscimento biometrico e nei riguardi di, eventuali, successivi, processi di elaborazione, i rischi per i diritti e le libertà degli individui restano elevati, soprattutto quando la loro applicazione avviene oltre i confini Ue.

 

Il riconoscimento biometrico secondo l’attuale quadro normativo

Il riconoscimento biometrico[1] è una tecnica di trattamento applicata ad una particolare categoria di dati, quelli “biometrici” riconosciuti dal GDPR (art. 4 par. 1 n. 14) quali “dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici” e che meritano una specifica protezione e attenzione vista la loro sensibilità sotto il profilo dei diritti e delle libertà fondamentali, e che proprio per tale motivo sono soggetti a limitazioni.

L’art. 9 par.2 del GDPR infatti prevede il divieto generale di trattare dati biometrici che possano identificare in modo univoco un individuo, prevedendo però delle deroghe in tal senso qualora ad esempio l’interessato abbia espresso uno specifico consenso al trattamento (o in relazione a specifiche esigenze), quando necessario per assolvere gli obblighi in tema di diritto del lavoro e sicurezza sociale, sanità pubblica, o per motivi di interesse pubblico (…).

Stando alla previsione dell’art. 9 par.4 (secondo cui ogni Stato membro ha la possibilità di introdurre regole o condizioni più rigide relative al trattamento dei dati biometrici), il D.lgs 101/2018 ha introdotto nel nuovo Codice per la protezione dei dati personali (D.lgs 196/2003) l’art. 2- septies che prevede la possibilità per il Garante per la protezione dei dati personali di stabilire specifiche misure di garanzie per il trattamento dei dati biometrici .

 

Come avviene il rilevamento biometrico?

Innanzitutto è opportuno sapere che i trattamenti biometrici (secondo quanto stabilito dall’allegato A   al Provvedimento generale prescrittivo in tema di biometria – 12 novembre 2014), possono essere descritti come una sequenza di fasi di elaborazione a partire dal rilevamento, tramite sensori specializzati o dispositivi di uso generale, di una determinata caratteristica biometrica, biologica o comportamentale, di un individuo, al fine di creare un campione biometrico.

Per il rilevamento biometrico, possono essere utilizzati sia sensori biometrici specializzati (come ad esempio scanner per il rilevamento dell’impronta digitale o per la lettura dell’iride, tavolette grafometriche per l’acquisizione delle caratteristiche dinamiche delle firme autografe, ecc.) oppure sensori biometrici non specializzati (videocamere o microfoni con cui si possono acquisire immagini del volto di una persona o registrazioni della voce, da sottoporre poi a trattamento informatizzato; webcam e microfoni incorporati in dispositivi mobili o in computer portatili che, usualmente adibiti alla video comunicazione, possono fungere da sensori per il riconoscimento facciale e vocale, ecc.).

Una volta conclusa la fase di acquisizione biometrica, si ottiene il “campione”, che non è altro che un file (di dimensioni variabili a seconda del tipo di sistema biometrico e di sensore utilizzato e delle caratteristiche biometriche)  necessario per la creazione del modello biometrico, cioè di una descrizione informatica sintetica della caratteristica biometrica ottenuta estraendo dal campione soltanto gli elementi salienti predefiniti, modello che va poi conservato per le successive operazioni di confronto. Successiva è la costituzione di banche dati centralizzate di modelli biometrici, utili anche a risalire all’identità dell’interessato.

Il risultato del confronto (match) consente di identificare l’interessato e dunque di verificare se vi è corrispondenza fra il modello biometrico di riferimento, conservato in banca dati, e il modello biometrico ricavato dalla caratteristica presentata.

 

Il maggiore rischio delle tecniche di riconoscimento facciale

I rischi aumentano con l’impiego di tecniche per il riconoscimento facciale: questo particolare trattamento può esporre gli individui a specifiche implicazioni non riscontrabili in altri casi (per esempio, impronte digitali o scansione dell’iride). Tra questi, i più rilevanti sono:

• la geo localizzazione dell’interessato: se il riconoscimento facciale è associato ad un sistema di videosorveglianza diffuso (quale può essere quello impiegato dalla Polizia Locale di un Comune) è possibile che siano tracciati e memorizzati gli spostamenti che l’interessato sviluppa nell’ambito cittadino; in altre parole siamo in presenza di un trattamento ulteriore, che può presentare un’elevata soglia di rischio;
• la profilazione dell’interessato: se il riconoscimento facciale è effettuato nell’ambito di un negozio, può essere possibile tracciare le reazioni facciali dell’interessato rispetto a specifici prodotti anche al fine di fornirgli pubblicità personalizzata tramite i monitor disseminati nel negozio stesso.

Questi maggiori rischi sono dovuti alla circostanza che i tratti del volto sono facilmente accessibili (da qualsiasi smartphone) ed analizzabili (da appositi software oggi disponibili a chiunque) diversamente da altri dati biometrici: per esempio, difficilmente potremmo accedere alle impronte digitali di un soggetto o alle caratteristiche grafometriche della firma.

 

L’uso dei dati biometrici, oggi

Al giorno d’oggi è molto facile imbattersi in applicazioni o software che sfruttano l’uso dei dati biometrici per diverse finalità, basti pensare al recente caso di Megaface (un database creato dall’Università di Washington nel 2015)  che grazie ad una falla di sicurezza del sistema , ha recuperato circa 4 milioni di foto dal sito di photosharing Flickr, senza il consenso delle circa 672 mila persone ritratte –– il tutto a beneficio dei colossi hi-tech che hanno scaricato il database e utilizzato le foto per addestrare e perfezionare le tecnologie di riconoscimento facciale.

O ancora, si pensi alle procedure di imbarco aereoportuali effettuate tramite la tecnologia biometrica del riconoscimento facciale (ricordiamo il caso dell’aeroporto di Miami, tra i primi terminal a sperimentare l’adozione di questa tecnica).

Non ultimo, la lotta all’assenteismo nella PA si avvale proprio dell’impiego di tecnologie basate sull’uso di dati biometrici, come previsto dalla recente Legge 56/2019 “Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell’assenteismo” e in particolare dall’art.2, che introduce sistemi di verifica biometrica dell’identità e di videosorveglianza per il monitoraggio  degli accessi.

È evidente che la continua evoluzione di tale fenomeno nasconde da un lato l’evidente potenziamento e sperimentazione di nuove tecnologie con i vantaggi che ne derivano, mentre dall’altra faccia della medaglia ci sono da considerare i rischi ad essi connessi che sfruttano le vulnerabilità dei sistemi provocando seri rischi soprattutto per la privacy. Gli esempi di mercificazione dei nostri dati personali sono infatti all’ordine del giorno e spesso sono gli stessi interessati che spensieratamente prestano il loro consenso a dei trattamenti utili all’esecuzione di molteplici servizi.

Attenzione: il “prezzo” di questi servizi apparentemente gratuiti, sono proprio i nostri dati, il nuovo “petrolio” e merce di scambio preziosissima nel mondo della società dell’informazione.

 

[1] Per riconoscimento biometrico si intende il riconoscimento di individui basato su loro caratteristiche biologiche o comportamentali, includendo in tale accezione le nozioni di verifica biometrica e di identificazione biometrica (dall’allegato A al Provvedimento generale prescrittivo in tema di biometria – 12 novembre 2014).

[Immagine di copertina: Andy Warhol, Marilyn Monroe, 1967 – fonte: Rael Garcia Arnes, Flickr]