Il trattamento dei dati biometrici nei sistemi di controllo degli accessi — lettura ragionata della guida dell’autorità spagnola e implicazioni per il contesto italiano

Abstract

Una guida di settore diffusa nel settembre 2026 dall’autorità spagnola di protezione dei dati affronta in modo sistematico i criteri applicabili ai trattamenti biometrici nei sistemi di controllo degli accessi fisici, ricostruendo il rapporto fra principio di proporzionalità, divieto di trattamento delle categorie particolari di dati di cui all’art. 9 del Regolamento (UE) 2016/679, base di liceità ex art. 6, disciplina delle decisioni automatizzate dell’art. 22 e obblighi di gestione del rischio degli artt. 24, 25, 35 e 36. Il documento, di natura dichiaratamente orientativa, giunge a due approdi di rilievo: il carattere presuntivamente ad alto rischio della biometria negli accessi e l’insufficienza — nell’ordinamento spagnolo — di una base normativa specifica che autorizzi la biometria per la rilevazione delle presenze. Il presente contributo ne propone una lettura ragionata, ne verifica la trasponibilità nel contesto italiano alla luce dell’art. 2-septies del Codice, dell’art. 4 dello Statuto dei lavoratori e della prassi del Garante, e indica le implicazioni operative per titolari e DPO.

Premessa

In premessa va detto che la materia dei trattamenti biometrici non nasce oggi e che il perimetro di questa analisi è volutamente circoscritto. Il documento oggetto di esame — una guida dell’autorità spagnola di protezione dei dati sul trattamento nei sistemi biometrici di controllo degli accessi, datata settembre 2026 — non è una circolare né un atto generale, e il testo stesso lo dichiara con nettezza laddove precisa che si tratta di documento “informativo, orientativo e di supporto alla conformità”, che non introduce obblighi nuovi né modifica il contenuto di quelli già previsti dal Regolamento (UE) 2016/679 o dalla normativa nazionale spagnola. Trattasi, pertanto, di soft law: rilevante come ricostruzione interpretativa e come indicatore delle aspettative di vigilanza di un’autorità dello Spazio economico europeo, ma priva di efficacia precettiva diretta, tanto più fuori dai confini nazionali in cui è stata adottata.

Ciò premesso, l’interesse per il lettore italiano non è meramente comparatistico. Il nucleo dell’argomentazione poggia su disposizioni del GDPR — che è regolamento direttamente applicabile — e su nozioni tecniche (riferimento biometrico, irreversibilità, non collegabilità, revocabilità) che sono patrimonio comune della letteratura tecnico-normativa europea. Di conseguenza, l’esercizio utile non è chiedersi se la guida “valga” in Italia — non vale, in senso proprio — bensì verificare in quale misura le sue conclusioni siano compatibili con l’assetto italiano, che presenta una peculiarità marcata: l’art. 2-septies del decreto legislativo 196/2003, come modificato dal decreto legislativo 101/2018, subordina il trattamento dei dati biometrici al rispetto delle misure di garanzia adottate dal Garante, e l’art. 4 della legge 300/1970 introduce un filtro procedurale ulteriore quando lo strumento è impiegato nel rapporto di lavoro.

Il perimetro dell’analisi è dunque il controllo degli accessi fisici a luoghi o attività, con particolare attenzione al contesto lavorativo e alla rilevazione delle presenze; restano fuori l’identificazione biometrica remota nei luoghi accessibili al pubblico a fini di attività di contrasto, la biometria per finalità di sicurezza nazionale e i trattamenti disciplinati dalla direttiva (UE) 2016/680, che meriterebbero autonoma trattazione.

Le nozioni tecniche e la loro rilevanza giuridica

Un pregio del documento, che merita di essere segnalato, è il tentativo di costruire un vocabolario tecnico stabile prima di procedere alla qualificazione giuridica. L’operazione non è accademica: gran parte delle divergenze applicative in materia di biometria nasce dall’uso approssimativo di termini come “template”, “campione”, “impronta”, “modello”.

Il punto di partenza è l’art. 4, n. 14, del Regolamento (UE) 2016/679, che definisce i dati biometrici come i “dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”. La definizione, come noto, è a due condizioni cumulative: occorre un trattamento tecnico specifico e occorre che l’esito consenta o confermi l’identificazione univoca. Una fotografia, di per sé, non è dato biometrico; lo diventa quando sia sottoposta a elaborazione volta a estrarne una rappresentazione utilizzabile per il confronto automatizzato.

Su questa base la guida introduce la nozione di “riferimento biometrico”, cioè la forma concreta in cui il dato viene creato, conservato, consultato e confrontato. Il riferimento può consistere in un campione biometrico — l’immagine dell’impronta o del volto —, in un tratto biometrico — ad esempio una rappresentazione vettoriale del volto —, in un template inteso come insieme di tratti, in un modello memorizzato eventualmente basato su tecniche di intelligenza artificiale, o in una combinazione di questi elementi. In sostanza, il riferimento biometrico non è pensato per essere letto da un essere umano ma per essere elaborato da una macchina, in modo efficiente ed efficace, per una finalità determinata.

Da qui discende un corollario che appare allo scrivente il più rilevante sul piano giuridico: perché il sistema funzioni, i riferimenti generati da due individui diversi devono essere chiaramente distinguibili. Ne consegue che il riferimento biometrico opera come identificatore, individualizza la persona all’interno di un dominio e la distingue da tutti gli altri appartenenti a quel dominio. Di conseguenza — sostiene la guida — un riferimento biometrico che consenta l’identificazione o l’autenticazione è non soltanto dato personale, ma dato biometrico e identificatore, a prescindere dalla finalità del trattamento; e se la finalità è per l’appunto identificare o autenticare, esso ricade fra le categorie particolari di dati.

In termini più pragmatici: l’argomento talvolta speso nella prassi secondo cui “il sistema non conserva l’impronta ma solo un codice matematico non reversibile” non è, di per sé, idoneo a sottrarre il trattamento all’art. 9. Il documento lo afferma espressamente laddove precisa che i riferimenti biometrici, “compresi quelli irreversibili, non collegabili o revocabili, mantengono la loro condizione di dati biometrici finché consentono l’identificazione o l’autenticazione di una persona”. Si ritiene che questa precisazione, nella sua apparente ovvietà, valga a chiudere una linea difensiva frequentemente proposta nei procedimenti e nelle valutazioni d’impatto.

Irreversibilità, non collegabilità, revocabilità

La guida dedica un passaggio specifico a tre proprietà di progettazione che non mutano la qualificazione del dato ma incidono in modo determinante sul livello di rischio. Un riferimento è “irreversibile” se dal medesimo non è possibile ricostruire il campione originario, ad esempio l’immagine del volto acquisita in fase di registrazione. Due o più riferimenti sono “non collegabili” quando non sia determinabile un’associazione fra di essi o con la persona da cui sono stati ottenuti; la proprietà opposta consentirebbe di correlare gli individui attraverso applicazioni e contesti diversi. Un riferimento è “revocabile” quando è possibile impedire che future operazioni di identificazione o autenticazione si basino su di esso, ed è “rinnovabile” quando è possibile generare per la stessa persona un identificatore nuovo e distinto.

La rilevanza giuridica di queste categorie è duplice. Sul piano dell’art. 25 del GDPR, esse costituiscono il contenuto concreto della progettazione conforme: la protezione dei dati fin dalla progettazione, in materia biometrica, si traduce prima di tutto nella scelta di architetture che assicurino irreversibilità, non collegabilità e revocabilità. Sul piano dell’art. 32 e della gestione delle violazioni, esse determinano la gravità dell’impatto: un riferimento irrevocabile esposto da una violazione non può essere sostituito, perché — come osserva il documento — le caratteristiche biometriche rappresentano “qualcosa che gli interessati sono” e non possono essere cambiate agevolmente come altri fattori di autenticazione. Appare chiaro allo scrivente che questa asimmetria strutturale rispetto alle credenziali tradizionali sia la ragione ultima della cautela con cui il legislatore europeo ha collocato la biometria identificativa fra le categorie particolari.

Registrazione, autenticazione, identificazione

Il documento distingue con nettezza tre momenti. La registrazione, o enrolment, è il presupposto necessario di qualunque controllo accessi: in tale fase l’identità della persona deve essere confermata in modo affidabile — tipicamente mediante un documento — perché, in difetto, l’intero trattamento successivo risulterebbe viziato. Alla registrazione segue l’associazione fra identificatori e attributi di autorizzazione, cioè le informazioni che stabiliscono che cosa quella persona può fare: accedere a una certa area, occupare un certo posto, non accedere a un’altra area.

Rispetto alla conservazione dei riferimenti generati in fase di registrazione, la guida individua tre assetti alternativi: la conservazione sotto il controllo esclusivo del titolare in una banca dati; la conservazione sotto il controllo dell’interessato, su una carta o un dispositivo personale, eventualmente cifrata con un segreto noto soltanto a quest’ultimo; la conservazione condivisa, che può realizzarsi distribuendo il riferimento in parti fra banca dati del titolare e dispositivo dell’interessato, oppure conservandolo presso il titolare ma cifrato con un segreto dell’interessato, oppure ancora combinando le due tecniche.

Nell’autenticazione l’interessato dichiara preliminarmente la propria identità — esibendo una tessera o un dispositivo — e il riferimento generato al varco viene confrontato uno a uno con quello registrato. Nell’identificazione l’interessato non dichiara alcuna identità: ciò implica necessariamente l’esistenza di una banca dati sotto il controllo del titolare contenente i riferimenti di tutti i soggetti registrati, e il confronto avviene uno a molti contro l’intero archivio.

Si ritiene che questa tripartizione debba costituire il primo snodo di ogni valutazione d’impatto in materia: non “usiamo il riconoscimento facciale”, ma “usiamo un’autenticazione uno a uno con riferimento conservato sul dispositivo dell’interessato” oppure “usiamo un’identificazione uno a molti contro archivio centralizzato”. Le due configurazioni condividono la qualificazione giuridica ma divergono radicalmente quanto a rischio inerente.

Il quadro normativo di riferimento

La disciplina europea

L’ossatura è nota e si compone di più strati. Il divieto generale di trattare categorie particolari di dati è posto dall’art. 9, par. 1, del Regolamento (UE) 2016/679, che include fra tali categorie i dati biometrici “intesi a identificare in modo univoco una persona fisica”. Il divieto è superabile soltanto al ricorrere di una delle circostanze tassativamente elencate al par. 2. La guida sottolinea — e la sottolineatura merita di essere ripresa — che fra tali circostanze non figurano né il legittimo interesse, né l’esecuzione di un contratto, né le misure precontrattuali. Ne consegue che l’argomento, talora avanzato, secondo cui la biometria sarebbe giustificata dall’interesse dell’impresa alla sicurezza dei propri locali non può operare sul piano dell’art. 9, ancorché possa astrattamente rilevare, come vedremo, su quello dell’art. 6.

Il superamento del divieto non esaurisce però l’analisi: occorre altresì una condizione di liceità ai sensi dell’art. 6, par. 1. La guida osserva, con formulazione condivisibile, che la rimozione del divieto e la ricerca della base di legittimità sono “molto probabilmente azioni congiunte e indistinguibili”, nel senso che la medesima situazione di fatto — il consenso esplicito, la previsione di legge — tende a fondare entrambe. Nei casi delle lettere c) ed e) dell’art. 6, par. 1, la base normativa richiesta dall’art. 6, par. 3, deve coincidere con quella invocata; quando si invoca la lettera f) occorre il bilanciamento fra interessi legittimi del titolare e diritti e libertà fondamentali dell’interessato, con attenzione rafforzata ove quest’ultimo sia un minore.

Segue il presidio dell’art. 22, che circoscrive le decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo. Il par. 4 dello stesso articolo vieta che tali decisioni si fondino su categorie particolari di dati, salvo che ricorra il consenso esplicito ai sensi dell’art. 9, par. 2, lett. a), oppure l’autorizzazione per motivi di interesse pubblico rilevante ai sensi della lett. g), e salvo che siano state adottate misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato.

Vi è poi il blocco della gestione del rischio: l’art. 24, par. 1, sulla responsabilizzazione e sulle misure adeguate; l’art. 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita; l’art. 35 sulla valutazione d’impatto, con il par. 7, lett. b), che impone espressamente la valutazione della necessità e proporzionalità dei trattamenti rispetto alle finalità; l’art. 36 sulla consultazione preventiva quando il rischio residuo resti elevato nonostante le misure previste, letto alla luce del considerando 94.

Infine, per il contesto lavorativo, l’art. 88 riconosce agli Stati membri la facoltà di prevedere norme più specifiche, anche mediante contratti collettivi, per garantire la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti.

A questo impianto si aggiunge il Regolamento (UE) 2024/1689 sull’intelligenza artificiale, entrato in vigore il 1° agosto 2024 e applicabile in modo scaglionato. La guida vi accenna in termini prudenti ma corretti: quando i sistemi biometrici incorporano tecniche di intelligenza artificiale, la relativa disciplina europea va presa in considerazione perché può stabilire divieti, limitazioni e obblighi ulteriori in funzione delle caratteristiche, della finalità e del contesto d’uso del sistema, e la sua applicazione si intende comunque “senza pregiudizio del pieno rispetto del GDPR”. Si ritiene che il punto meriti attenzione operativa crescente: numerosi sistemi di controllo accessi con riconoscimento del volto rientrano nella nozione di sistema di identificazione biometrica remota o comunque nelle categorie di sistemi ad alto rischio individuate dal regolamento, con conseguenti obblighi documentali, di gestione della qualità e di registrazione che si cumulano — e non si sostituiscono — a quelli del GDPR. Non si ha evidenza, allo stato, di prassi consolidate di coordinamento fra valutazione d’impatto sulla protezione dei dati e valutazione d’impatto sui diritti fondamentali prevista dal medesimo regolamento per taluni deployer; il coordinamento fra i due adempimenti costituisce, allo stato, un cantiere aperto.

La disciplina nazionale spagnola richiamata dal documento

La guida si muove entro un contesto normativo proprio, che è utile riassumere per comprenderne gli approdi. Sul piano del lavoro vengono in rilievo l’art. 20.3 del testo consolidato dello Statuto dei lavoratori, approvato con Real Decreto Legislativo 2/2015, che riconosce al datore la facoltà di adottare le misure di vigilanza e controllo ritenute più opportune per verificare l’adempimento degli obblighi del lavoratore, nel rispetto della sua dignità; l’art. 34.9 del medesimo testo, introdotto dal Real Decreto-ley 8/2019, che impone la registrazione giornaliera dell’orario con indicazione dell’ora di inizio e fine della prestazione, la conservazione dei registri per quattro anni e la loro disponibilità per lavoratori, rappresentanti e ispettorato; l’art. 54.2 del testo consolidato dello Statuto di base dell’impiego pubblico, approvato con Real Decreto Legislativo 5/2015, per il personale in regime di rapporto amministrativo. Sul piano della protezione dei dati rilevano la legge organica spagnola in materia — richiamata con la sigla corrente LOPDGDD — e in particolare il suo art. 91 sulle garanzie che i contratti collettivi possono stabilire.

Va detto che questo impianto non è sovrapponibile a quello italiano, e la circostanza va tenuta presente quando si valuti la trasponibilità delle conclusioni.

Il quadro italiano

Nel nostro ordinamento il trattamento dei dati biometrici incontra un presidio ulteriore rispetto al solo GDPR. L’art. 2-septies del decreto legislativo 196/2003 stabilisce che i dati genetici, biometrici e relativi alla salute possono essere oggetto di trattamento in presenza di una delle condizioni di cui all’art. 9, par. 2, del Regolamento e in conformità alle misure di garanzia disposte dal Garante, adottate con cadenza almeno biennale e tenendo conto, fra l’altro, dell’evoluzione scientifica e tecnologica e dell’interesse alla libera circolazione dei dati. Il medesimo articolo prevede che tali misure possano individuare ulteriori condizioni sulla cui base il trattamento è consentito, comprese misure di sicurezza, obblighi di valutazione d’impatto e limiti alla conservazione. Si tratta di un rinvio che, per quanto di stretto interesse in questa sede, colloca l’autorità nazionale in una posizione di regolatore tecnico e non soltanto di vigilante.

Vi è poi la disciplina lavoristica. L’art. 4 della legge 300/1970, come riscritto dal decreto legislativo 151/2015, subordina l’impiego di impianti audiovisivi e altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori all’accordo con le rappresentanze sindacali o, in difetto, all’autorizzazione dell’ispettorato del lavoro, e ciò soltanto ove ricorrano esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale; il comma 2 esclude da tale procedura gli strumenti utilizzati dal lavoratore per rendere la prestazione e quelli di registrazione degli accessi e delle presenze, mentre il comma 3 subordina in ogni caso l’utilizzabilità delle informazioni raccolte all’adeguata informazione sulle modalità d’uso e di effettuazione dei controlli e al rispetto della disciplina di protezione dei dati. L’esclusione del comma 2 riguarda gli strumenti di registrazione degli accessi e delle presenze in quanto tali, e la prassi applicativa ha chiarito che essa non vale a legittimare qualunque tecnologia impiegata per quella finalità: la scelta di realizzare la rilevazione mediante caratteristiche biometriche resta soggetta al vaglio di proporzionalità e alla disciplina di protezione dei dati, che opera autonomamente. Infine l’art. 114 del Codice conferma l’art. 4 dello Statuto quale condizione di liceità.

Il Garante, per parte sua, è intervenuto in materia con un provvedimento generale prescrittivo in tema di biometria adottato il 12 novembre 2014, corredato di linee guida, che già allora distingueva le tipologie di trattamento consentite in funzione del rapporto fra finalità e grado di invasività, ammettendo con particolare rigore l’uso della biometria per il controllo degli accessi ad aree a rischio e mostrandosi assai restrittivo rispetto all’impiego per la mera rilevazione delle presenze. Nella prassi successiva all’applicazione del Regolamento l’Autorità ha ribadito in più occasioni, in sede di procedimenti sanzionatori, che l’utilizzo di dati biometrici per la rilevazione delle presenze del personale non trova nell’ordinamento italiano una previsione normativa sufficientemente specifica ai sensi dell’art. 9, par. 2, lett. b), del GDPR e che il consenso del lavoratore non può di regola considerarsi liberamente prestato.

La convergenza fra l’approdo spagnolo e quello italiano è, su questo specifico punto, notevole; e proprio tale convergenza rende l’analisi del documento particolarmente utile al lettore nazionale.

Il test di proporzionalità come architrave dell’analisi

La guida costruisce l’intero ragionamento attorno al principio di proporzionalità, richiamato quale principio generale del diritto dell’Unione e declinato secondo la triplice scansione — idoneità, necessità, proporzionalità in senso stretto — che la giurisprudenza costituzionale spagnola ha consolidato e che il documento riporta citando la sentenza della Corte Costituzionale Spagnola 14/2003 del 28 gennaio, secondo cui occorre verificare “se la misura è idonea a conseguire l’obiettivo proposto (giudizio di idoneità); se, inoltre, è necessaria, nel senso che non esista altra misura più moderata per il conseguimento di tale scopo con uguale efficacia (giudizio di necessità); e, infine, se è ponderata o proporzionata, in quanto ne derivino più benefici o vantaggi per l’interesse generale che pregiudizi ad altri beni o valori in conflitto (giudizio di proporzionalità in senso stretto)”.

Idoneità

Perché il trattamento sia idoneo — o “adeguato”, nel lessico del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), del GDPR — deve consentire il conseguimento della finalità con livelli di qualità adeguati, tenendo conto che nessun trattamento è esente da errori o frodi. Occorre pertanto un nesso logico e diretto fra trattamento e obiettivo, e occorre determinare l’efficacia reale mediante evidenze oggettive.

Il documento raccomanda la definizione di metriche sugli obiettivi necessari e un’analisi oggettiva dell’adeguatezza delle diverse opzioni tecniche, biometria inclusa. In particolare, richiede di verificare se possa sussistere una carenza di accuratezza dei dati ottenuti, per mancato adattamento al tipo umano medio assunto a riferimento dal titolare: carenza che può concretizzarsi in distorsioni nella profilazione, identificazioni errate, furti d’identità, discriminazioni in segmenti di popolazione — sono menzionati anziani, persone con disabilità, tipologie razziali, persone malate — o diniego di accesso a servizi per errori di acquisizione.

Vi è, in questo passaggio, un profilo che appare allo scrivente sottovalutato nella prassi italiana: l’idoneità non è un requisito puramente formale, ma impone al titolare di procurarsi evidenze — tassi di falsa accettazione e falso rigetto, prestazioni differenziali su gruppi demografici, condizioni ambientali di funzionamento — che raramente il fornitore mette spontaneamente a disposizione. Si ritiene che la richiesta documentale al fornitore su tali metriche debba divenire parte ordinaria del processo di acquisto.

Simmetricamente, il documento osserva che un trattamento basato su dati non biometrici può risultare inidoneo a seconda della sua utilità rispetto alla finalità specifica: affidarsi soltanto a tessere — qualcosa che si possiede — o a codici — qualcosa che si conosce — può essere inadeguato quando tali fattori possano essere facilmente condivisi o utilizzati da terzi in modo incompatibile con la finalità. È un’annotazione di equilibrio, che impedisce di trasformare il test di necessità in un divieto implicito e assoluto della biometria.

Necessità

Il giudizio di necessità impone che la misura non sia più onerosa di altre, biometriche o meno, che raggiungano la finalità con uguale efficacia. Il documento àncora il requisito all’art. 5, par. 1, lett. c), del Regolamento, secondo cui i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, e al considerando 39, che precisa come i dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi.

Due precisazioni meritano di essere valorizzate. La prima: il principio di proporzionalità non esclude l’uso di sistemi biometrici per la mera esistenza di altri possibili mezzi di identificazione o autenticazione; l’alternativa meno intrusiva deve consentire di soddisfare le esigenze che giustificano il trattamento in modo “ugualmente efficace”, non semplicemente essere astrattamente praticabile. La seconda: la valutazione compete al titolare, che conosce il contesto, le finalità specifiche, i mezzi disponibili e le alternative tecnicamente e organizzativamente praticabili, e che in forza del principio di responsabilizzazione deve essere in grado di giustificare tanto il livello di efficacia richiesto in quel contesto quanto l’inesistenza di un’alternativa meno intrusiva capace di raggiungerlo in misura equivalente.

Il documento estende poi il test alla multibiometria: quando si trattino più caratteristiche congiuntamente — volto e palmo della mano, oppure entrambe le iridi — non basta giustificare il ricorso alla biometria, ma occorre dimostrare che il trattamento di un numero inferiore di caratteristiche non sarebbe ugualmente efficace. Inoltre i titolari devono valutare se precisione, dettaglio o frequenza di raccolta eccedano le esigenze specifiche: e qui il testo formula un criterio che si ritiene di particolare utilità operativa, secondo cui il trattamento non può considerarsi limitato al necessario se i dati biometrici rivelano informazioni ulteriori sulla persona, quali l’origine razziale o etnica, le emozioni o attributi relativi alla salute. In termini più concreti: un sistema che, per identificare, acquisisca e conservi anche indicatori emotivi o fisiologici non pertinenti eccede il necessario a prescindere dall’uso che di tali indicatori si faccia.

Infine, e non è dettaglio marginale, il documento invita a esplorare anche alternative non tecnologiche, quale l’impiego di risorse umane. Nella prassi di audit accade di rado che tale opzione sia stata documentalmente considerata.

Proporzionalità in senso stretto

Il terzo giudizio richiede che la misura non imponga un onere eccessivo ai diritti incisi rispetto al beneficio ottenuto. Vanno stimati la natura dell’interferenza — cioè in che modo diritti e libertà sono limitati o posti a rischio —, l’ampiezza del trattamento, il contesto di applicazione e la natura dell’attività assoggettata alla misura; vanno inoltre analizzate le possibili interferenze con la sfera di persone diverse dall’interessato, ad esempio la captazione di dati biometrici di soggetti che si trovino nelle vicinanze del varco.

La conclusione del documento è che il trattamento biometrico nel controllo accessi può considerarsi sproporzionato quando comporti un rischio elevato per i diritti e le libertà in presenza di alternative ugualmente efficaci a rischio minore, oppure quando non sia possibile applicare garanzie e misure di mitigazione idonee a ridurre il rischio residuo a un livello accettabile. È, in sostanza, il punto di saldatura fra test costituzionale di proporzionalità e approccio basato sul rischio del GDPR: due linguaggi distinti che convergono sul medesimo esito.

La qualificazione come categoria particolare e i due percorsi per rimuovere il divieto

Il documento ribadisce che i dati biometrici sono categoria particolare quando trattati al fine di identificare univocamente una persona fisica, e che tale è il caso della registrazione biometrica e dei trattamenti di controllo accessi. Precisa inoltre che ciò vale indipendentemente dal fatto che il confronto sia uno a uno o uno a molti, che si miri ad accertare l’esistenza o l’inesistenza di un riferimento in banca dati, che siano o meno recuperati riferimenti identitari associati.

Vi è però un passaggio di notevole finezza, che introduce una graduazione. Pur riconoscendo che da un punto di vista formale i predetti usi rientrano nell’art. 9, il documento osserva che “l’impatto reale sui diritti e l’intensità delle misure di protezione richieste possono variare sostanzialmente” e vanno valutati caso per caso in funzione del contesto, della scala, della tecnologia utilizzata e del controllo effettivo che l’interessato conserva sui propri dati biometrici. Questa graduazione si riflette, secondo il testo, anche sui requisiti per la rimozione del divieto e sulla densità normativa richiesta: il principio di legalità impone non soltanto una base legale astratta, ma un grado sufficiente di precisione e prevedibilità proporzionato al rischio e all’impatto, sicché non è possibile esigere la medesima densità normativa per un’identificazione massiva e automatizzata all’insaputa dell’interessato e per un’autenticazione puntuale, localizzata e consentita, in cui l’interessato conserva il controllo effettivo sui propri dati.

Si ritiene che si tratti di una delle affermazioni più significative dell’intero documento, e insieme della più delicata. Significativa perché razionalizza una prassi altrimenti binaria; delicata perché introduce un criterio di proporzionalità “a monte”, sul piano della base giuridica, che non trova un appiglio testuale esplicito nell’art. 9 e che potrebbe prestarsi a letture eccessivamente elastiche. Secondo il parere di chi scrive l’impostazione è condivisibile se intesa come criterio di modulazione dell’onere probatorio e dell’intensità delle garanzie, e non come attenuazione del requisito della base normativa laddove esso è richiesto.

Il consenso

Il consenso può rimuovere il divieto e legittimare il trattamento, ma — trattandosi di dati specialmente protetti — devono ricorrere tutte le garanzie proprie del consenso, con richiamo espresso alle Linee guida 5/2020 del Comitato europeo per la protezione dei dati. Il consenso deve essere libero, specifico, informato e inequivocabile, e per i dati dell’art. 9 esplicito.

Il titolare deve essere in grado di dimostrare che il consenso è stato prestato liberamente, senza pressioni o indebite influenze, e che esiste un’alternativa reale e certa. Ciò si traduce nella predisposizione di un metodo alternativo ragionevole, che può comportare la coesistenza di due meccanismi di controllo accessi “evidentemente non uguali”; tuttavia tale metodo alternativo non deve imporre un onere, una penalizzazione o un pregiudizio evidente o voluto, né rappresentare un trattamento chiaramente gravoso, quali tempi di attesa più lunghi o costi aggiuntivi.

Il documento non esclude che il consenso possa essere prestato in contesti caratterizzati da squilibrio di potere — autorità e cittadini, datori e lavoratori, istituzioni educative e studenti — ma richiede in tali ipotesi un esame particolarmente rigoroso. Va detto che, sul punto, l’orientamento del Garante italiano appare tradizionalmente più cauto, essendo ricorrente l’affermazione secondo cui nel rapporto di lavoro il consenso non costituisce di regola idonea base giuridica proprio per l’asimmetria strutturale fra le parti. Non si tratta, a ben vedere, di una divergenza radicale: anche la guida esige che l’alternativa sia reale ed effettiva e che il rifiuto non produca conseguenze pregiudizievoli, il che nella pratica riduce assai lo spazio del consenso in ambito lavorativo.

L’autorizzazione normativa

Il secondo percorso passa per le lettere b), g) e i) dell’art. 9, par. 2: la normativa in materia di diritto del lavoro e sicurezza sociale, i motivi di interesse pubblico rilevante, la sanità pubblica. L’autorizzazione può derivare dal diritto dell’Unione o dello Stato membro e, in ambito lavoristico, anche da un contratto collettivo ai sensi del diritto nazionale. La normativa abilitante deve far derivare con chiarezza la finalità del trattamento, può specificare tipologie di dati, limitazioni di finalità, soggetti interessati e altre condizioni, deve essere proporzionata all’obiettivo perseguito e stabilire garanzie adeguate per i diritti fondamentali e gli interessi dell’interessato.

Il nodo della rilevazione delle presenze

È qui che il documento assume la posizione più netta, e vale la pena di riportarne il percorso argomentativo.

Muovendo dall’art. 9, par. 2, lett. b), del GDPR, che rimuove il divieto quando il trattamento è necessario per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro e sicurezza sociale “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”, il documento richiama il parere 2/2022 dell’autorità catalana di protezione dei dati, secondo cui “l’incidenza sul diritto alla protezione dei dati derivante dalla previsione deve essere prevedibile” e “una previsione non può considerarsi prevedibile se non specifica la possibilità di utilizzare dati biometrici a fini di rilevazione delle presenze”.

Da questa premessa discende un esito di rilievo istituzionale: il documento dichiara espressamente che ciò obbliga a riconsiderare l’interpretazione resa dalla stessa autorità nella sezione dedicata ai dati biometrici del capitolo 4.6 della guida “Protezione dei dati nei rapporti di lavoro” del maggio 2021. Richiamando altresì il parere 1/2023 del Consiglio andaluso per la trasparenza e la protezione dei dati, conclude che nell’ordinamento spagnolo vigente non esiste un’autorizzazione sufficientemente specifica per ritenere necessario il trattamento di dati biometrici a fini di rilevazione delle presenze: né per il personale dipendente, non contenendo tale autorizzazione gli artt. 20.3 e 34.9 dello Statuto dei lavoratori; né per il personale in rapporto amministrativo, non costituendo autorizzazione necessaria la previsione sull’osservanza dell’orario di cui all’art. 54.2 dello Statuto di base dell’impiego pubblico. Il documento auspica pertanto un quadro regolatorio che disciplini specificamente, con garanzie adeguate, il possibile trattamento di dati biometrici in ambito lavorativo.

Quanto alla base di liceità, la guida osserva che la rilevazione oraria è obbligo di legge gravante sul datore e che pertanto il trattamento di registrazione dell’orario trova fondamento nell’art. 6, par. 1, lett. c), del GDPR. Ma — ed è il punto decisivo — l’esistenza della base di liceità per la rilevazione delle presenze non dice nulla circa la legittimità di realizzarla mediante biometria: l’obbligo legale riguarda il “che cosa” registrare, non il “come” acquisire il dato. Il salto logico fra i due piani è, nella prassi, uno degli errori più frequenti.

Il documento non esclude in radice il ricorso al consenso esplicito ai sensi dell’art. 9, par. 2, lett. a), purché ricorrano tutti i requisiti di validità e in particolare esista una possibilità reale di optare per mezzi alternativi di controllo accessi o di rilevazione presenze che non implichino trattamento biometrico; il titolare deve poter provare che la scelta è reale ed effettiva e che l’alternativa non comporta oneri, costi, penalizzazioni, svantaggi o riduzioni, e la revoca o il rifiuto del consenso non può avere conseguenze pregiudizievoli per il lavoratore.

Per il lettore italiano la trasposizione richiede prudenza ma conduce a un esito analogo. L’art. 4 della legge 300/1970 e l’art. 114 del Codice non contengono alcuna previsione che autorizzi specificamente il trattamento di caratteristiche biometriche per la rilevazione delle presenze; la circostanza che il comma 2 dell’art. 4 sottragga alla procedura autorizzativa gli strumenti di registrazione degli accessi e delle presenze non equivale a un’autorizzazione ai sensi dell’art. 9, par. 2, lett. b), del Regolamento, poiché quella disposizione disciplina il procedimento di installazione e non la qualità dei dati trattabili. Vi è inoltre, nel nostro ordinamento, il filtro ulteriore dell’art. 2-septies del Codice. Si ritiene pertanto che l’approdo spagnolo sia sostanzialmente coerente con l’orientamento maturato in Italia, e che chi intenda impiegare la biometria per la rilevazione delle presenze si trovi, allo stato, in una posizione di conformità difficilmente sostenibile.

L’appalto e la somministrazione

Un paragrafo specifico affronta l’ipotesi in cui il personale operi presso un committente. La distribuzione delle responsabilità fra committente e appaltatore è determinata dalle funzioni effettivamente svolte, a prescindere dal nome che le parti attribuiscono al rapporto contrattuale: occorre stabilire quale soggetto decida finalità e mezzi essenziali del trattamento biometrico e se le entità agiscano come titolari autonomi, contitolari o, rispetto a operazioni determinate, come titolare e responsabile.

Il documento ricorda poi l’obbligo del responsabile, ai sensi dell’art. 28, par. 3, del GDPR, di informare immediatamente il titolare qualora ritenga che un’istruzione violi il Regolamento o altre disposizioni in materia; e ne trae la conclusione che, quando le condizioni del Regolamento non siano soddisfatte, l’entità appaltatrice non potrà legittimamente implementare la rilevazione delle presenze o il controllo accessi con tecniche biometriche per il solo fatto che tale uso le sia stato contrattualmente imposto dalla committente. Si tratta, a ben vedere, dell’applicazione di un principio elementare — il contratto non deroga alla norma imperativa — che tuttavia nella prassi degli appalti viene frequentemente disatteso.

La gestione del rischio e i fattori di rischio elevato

Il documento chiarisce che la rimozione del divieto e l’individuazione della base di liceità non esauriscono i requisiti: prima di qualunque decisione di implementazione occorre una gestione del rischio ai sensi dell’art. 24, par. 1, e, in conseguenza di essa, misure di protezione fin dalla progettazione e per impostazione predefinita ai sensi dell’art. 25, nonché misure tecniche e organizzative adeguate. Quando sia probabile che il trattamento presenti un rischio elevato, occorre una valutazione d’impatto prima dell’avvio, che documenti identificazione e valutazione dei rischi, misure previste e rischio residuo, e che valuti necessità e proporzionalità ai sensi dell’art. 35, par. 7, lett. b), dando conto del superamento del triplice test.

Particolarmente utile è l’elencazione degli elementi di progettazione che i titolari devono valutare per determinare se il trattamento possa presentare un rischio inerente elevato: dati biometrici sotto il controllo esclusivo del titolare; riferimenti reversibili, collegabili o irrevocabili; registrazione biometrica remota o non supervisionata; carattere massivo del trattamento; coinvolgimento di terzi.

La ratio di ciascuno è esplicitata. I sistemi in cui i dati sono sotto il controllo esclusivo del titolare presentano un rischio inerente maggiore per tutte le persone registrate, poiché — indipendentemente dalla destinazione a verifica o identificazione — le relative banche dati potrebbero essere utilizzate per identificare tali persone senza la loro partecipazione attiva, o per finalità diverse da quelle originariamente previste o consentite; il rischio si attenua con il controllo condiviso e si evita quando il dato è sotto il controllo esclusivo dell’interessato, protetto mediante segreto e revocabile. I riferimenti reversibili comportano maggior rischio di furto d’identità o altre forme di uso improprio. I riferimenti collegabili consentono di correlare gli interessati fra applicazioni diverse nella medesima banca dati o fra più banche dati. I riferimenti irrevocabili accrescono il rischio in caso di violazione e rendono impossibile stabilire periodi di validità o politiche di scadenza. La registrazione remota o non supervisionata aumenta il rischio di furto d’identità, frode o violazione durante la trasmissione, per la maggiore complessità di una verifica affidabile dell’identità. Il coinvolgimento di terzi accresce in misura significativa i rischi inerenti, inclusi accessi non autorizzati e violazioni.

Il documento aggiunge un’annotazione realistica: nella pratica le tecnologie biometriche offrono gradi diversi di irreversibilità, non collegabilità e revocabilità, che possono dar luogo a rischi residui non mitigabili a un livello accettabile. È l’ipotesi, non teorica, in cui la valutazione d’impatto conduce a un esito negativo e impone la consultazione preventiva o l’abbandono del progetto.

Si segnala inoltre la distinzione fra operazione biometrica e sua implementazione concreta: la scelta di sensori, protocolli di comunicazione, librerie di codice, dispositivi ospitanti, modalità di archiviazione anche in cloud introduce gradi diversi di qualità, certificazione, verificabilità, sicurezza e coinvolgimento di terzi, e può far emergere rischi ulteriori o situazioni di non conformità, quali trasferimenti internazionali privi di garanzie adeguate; situazioni che possono riemergere in occasione di rinnovi o aggiornamenti di componenti dopo la messa in produzione. Da qui la raccomandazione di riesaminare periodicamente il rischio, o comunque al verificarsi di modifiche significative di ordine giuridico, tecnico od organizzativo.

Quanto alle violazioni di dati personali, il documento invita a considerare almeno gli scenari di esfiltrazione o perdita dei pattern biometrici, uso malevolo dei pattern conservati, intrusione nel sistema di analisi e nei suoi risultati, intercettazione delle comunicazioni fra sistemi, attacchi di negazione del servizio, discontinuità di servizi propri o di terzi; e sottolinea la necessità di conoscere quali violazioni stiano effettivamente verificandosi nel contesto, poiché esse possono determinare l’inadeguatezza sopravvenuta di una specifica tecnica biometrica, della biometria in generale o delle garanzie implementate.

Profili critici

Un primo profilo attiene alla natura dell’atto. Il documento si autoqualifica come non vincolante e precisa che i riferimenti interpretativi in esso contenuti non sostituiscono l’analisi giuridica del caso concreto né predeterminano l’esercizio dei poteri di indagine, vigilanza e correzione dell’autorità. Va tuttavia osservato che un atto siffatto, pur privo di efficacia normativa, orienta in misura significativa le aspettative di conformità e, di fatto, il contenuto delle valutazioni d’impatto. Il rischio — segnalato con misura — è quello di una progressiva stratificazione di soft law nazionali non perfettamente allineate fra loro, con effetti di frammentazione in un mercato interno che il Regolamento intendeva unificare. Si suggerisce che il tema meriti un intervento di armonizzazione a livello di Comitato europeo per la protezione dei dati, che pure in passato si è occupato di biometria in ambiti contigui.

Un secondo profilo riguarda la già segnalata “scalabilità” della densità normativa. L’idea che il grado di precisione richiesto alla norma abilitante debba essere proporzionato al rischio è dogmaticamente sostenibile alla luce della giurisprudenza sulla qualità della legge in materia di limitazioni ai diritti fondamentali, ma la sua applicazione richiede cautela: si ritiene che essa non possa condurre ad ammettere che una previsione generica — quale quella sul potere direttivo e di controllo del datore — basti a fondare trattamenti biometrici puntuali, poiché il requisito minimo di prevedibilità resta comunque quello indicato dal parere dell’autorità catalana richiamato dal documento stesso.

Un terzo profilo, di ordine pratico, concerne la dimostrazione dell’inesistenza di alternative “ugualmente efficaci”. Si tratta di una prova negativa, notoriamente difficile, che il documento colloca interamente sul titolare. La prassi di audit mostra che essa viene affrontata, quando lo è, con documenti generici e postumi. Appare chiaro allo scrivente che, per reggere a un controllo, la valutazione debba essere contemporanea alla decisione di acquisto, fondata su metriche verificabili e conservata insieme alla documentazione di gara o di selezione del fornitore.

Un quarto profilo riguarda il coordinamento con il Regolamento (UE) 2024/1689. Il documento vi accenna in modo corretto ma sintetico. Non si ha evidenza, nel testo esaminato, di indicazioni operative sul rapporto fra ruoli del GDPR e ruoli del regolamento sull’intelligenza artificiale, né sulla possibile integrazione documentale fra valutazione d’impatto sulla protezione dei dati e adempimenti richiesti al deployer di sistemi ad alto rischio. Si tratta, allo stato, di una lacuna comune a gran parte della prassi europea.

Un quinto profilo, infine, riguarda l’accessibilità. Il documento menziona la necessità di metodi alternativi quando gli interessati non possano utilizzare il sistema per disabilità temporanea o permanente, o in caso di guasto, interruzione o malfunzionamento, o di incidenti nell’interazione fra utente e sistema. Va segnalato che tale esigenza non è soltanto di protezione dei dati ma anche di non discriminazione, e che nel contesto italiano essa si intreccia con la normativa sull’accessibilità e con gli obblighi di adattamento ragionevole.

Che cosa devono fare, in concreto, titolari e DPO

Sul piano operativo, il primo adempimento riguarda la mappatura dei sistemi esistenti: prima di ogni valutazione occorre censire quali varchi, terminali, tornelli, chioschi e applicazioni mobili trattino caratteristiche fisiche, fisiologiche o comportamentali, distinguendo con precisione se l’operazione sia di autenticazione uno a uno o di identificazione uno a molti e dove risieda il riferimento biometrico, se presso il titolare, presso l’interessato o in forma condivisa; l’esperienza applicativa dei sistemi di gestione mostra che questa ricognizione, apparentemente banale, rivela spesso funzionalità biometriche attivate di default su dispositivi acquistati per altra finalità. Da tale censimento discende immediatamente la riqualificazione delle attività nel registro dei trattamenti, con indicazione espressa della categoria particolare di dati e della circostanza invocata ai sensi dell’art. 9, par. 2.

Segue l’adempimento più delicato, cioè la verifica della base giuridica a doppio livello: occorre individuare tanto la circostanza che rimuove il divieto quanto la condizione di liceità dell’art. 6, e occorre farlo separatamente per ciascuna finalità, poiché — come il documento avverte — qualunque uso dei dati biometrici per finalità aggiuntive rispetto al controllo accessi deve disporre di proprie circostanze di rimozione del divieto e di proprie condizioni di legittimazione. In ambito lavorativo, e in particolare per la rilevazione delle presenze, si suggerisce di documentare espressamente perché non si ritenga applicabile l’art. 9, par. 2, lett. b), in assenza nell’ordinamento italiano di una previsione specifica che autorizzi la biometria a tal fine, e di valutare con estremo rigore l’eventuale ricorso al consenso, che presuppone un’alternativa non biometrica realmente equivalente e priva di aggravi.

In parallelo va condotta la valutazione d’impatto, che in questa materia non è opzione ma regola, e che deve incorporare esplicitamente il triplice test: la sezione sull’idoneità deve contenere metriche di prestazione e dati sulle prestazioni differenziali per gruppi demografici; la sezione sulla necessità deve dare conto delle alternative esaminate, incluse quelle non tecnologiche, e delle ragioni per cui non raggiungono un’efficacia equivalente; la sezione sulla proporzionalità in senso stretto deve stimare natura, ampiezza e contesto dell’interferenza, comprese le possibili interferenze sulla sfera di terzi presenti nei pressi del varco. Ove il rischio residuo resti elevato, si impone la consultazione preventiva dell’autorità ai sensi dell’art. 36.

Sul piano della progettazione, l’adempimento centrale è la scelta architetturale: si suggerisce di privilegiare, ove tecnicamente praticabile, la conservazione del riferimento sotto il controllo esclusivo dell’interessato su dispositivo o supporto personale, con protezione mediante segreto noto soltanto a quest’ultimo, evitando archivi centralizzati; e di esigere dal fornitore evidenza documentale circa irreversibilità, non collegabilità e revocabilità dei riferimenti generati. A ciò si collega la separazione degli identificatori, che impone di conservare distintamente riferimenti identitari e riferimenti biometrici, di prevedere la possibilità di revocare il collegamento fra i due e di adottare formati o tecnologie che ostacolino l’interconnessione fra banche dati biometriche e la divulgazione non autorizzata.

Quanto alle misure di sicurezza, vengono in rilievo la cifratura dei dati biometrici sia in conservazione sia in trasmissione, quale presidio complementare alla protezione basata sul segreto a livello di singolo riferimento; il ricorso a dispositivi dedicati e certificati, dei quali va garantita integrità e configurazione, con attivazione di allerte agli amministratori in caso di operazioni non autorizzate o tentativi di manomissione, e con conservazione dei dati su dispositivi personali entro enclave sicure e loro elaborazione in ambienti di esecuzione affidabili; la preferenza per il confronto locale, eseguito sul dispositivo personale o sul terminale dedicato, così da minimizzare la trasmissione verso sistemi remoti; e la collocazione dei chioschi accessibili al pubblico in luoghi che offrano adeguata riservatezza e sicurezza, non connessi a Internet, con accesso alle funzioni amministrative e di configurazione riservato al personale autorizzato.

Sul versante della conservazione, si impone la definizione dei tempi in funzione della natura del trattamento, della frequenza delle operazioni di accesso e dei requisiti di sicurezza applicabili, con cancellazione sicura dei riferimenti registrati una volta scaduti, revocati o non più necessari; i riferimenti generati durante le operazioni di verifica o identificazione devono essere utilizzati per il tempo minimo strettamente necessario a completare il confronto e quindi cancellati in modo sicuro, e altrettanto vale per i campioni acquisiti in fase di creazione del riferimento. In ogni caso i dati biometrici vanno cancellati quando non siano più collegati alla finalità che ne ha motivato il trattamento.

Sul piano organizzativo, occorre garantire la disponibilità di metodi alternativi di controllo accessi, non soltanto quando il trattamento si fondi sul consenso — ipotesi in cui l’alternativa è connaturata all’opzionalità — ma anche quando esso sia autorizzato da una norma, per i casi di disabilità temporanea o permanente, guasto, interruzione, malfunzionamento o incidenti nell’interazione fra utente e sistema. Occorre inoltre assicurare la delimitazione del perimetro di captazione, affinché i sistemi non acquisiscano dati biometrici di persone non sottoposte al controllo accessi, se necessario mediante punti di controllo chiaramente segnalati e fisicamente separati.

L’informazione agli interessati merita un adempimento autonomo e rafforzato: il documento richiama il considerando 39 del Regolamento, secondo cui le persone fisiche dovrebbero essere sensibilizzate circa i rischi connessi al trattamento, e raccomanda che la raccolta avvenga in modo consapevole, eventualmente subordinata a un’azione positiva dell’interessato che presuppone informazione preventiva e sufficiente, con particolare riguardo ai soggetti in condizione di vulnerabilità. Nel contesto italiano tale informazione va coordinata con quella richiesta dall’art. 4, comma 3, della legge 300/1970 sulle modalità d’uso degli strumenti e di effettuazione dei controlli.

In presenza di decisioni automatizzate, si impone la verifica ai sensi dell’art. 22: occorre stabilire se il sistema produca, senza intervento umano, decisioni con effetti giuridici o analogamente significativi — il documento porta gli esempi del diniego di accesso per ragioni tecniche con conseguenze su retribuzione od occupazione, dell’impedimento all’accesso a un’attività o servizio previamente contrattato, della limitazione della libertà di movimento — e occorre ricordare che un intervento umano meramente formale non basta a escludere la qualificazione, dovendo esso essere svolto da persona dotata di autorità e competenza per valutare gli elementi rilevanti e modificare o annullare la decisione. Ove ricorrano le condizioni, vanno assicurati il diritto di ottenere l’intervento umano, quello di esprimere la propria opinione e quello di contestare la decisione.

Nei rapporti con la filiera, occorre la qualificazione dei ruoli fra committente, appaltatore e fornitore tecnologico sulla base delle funzioni effettivamente esercitate, e va presidiato l’obbligo del responsabile di segnalare senza indugio le istruzioni che ritenga contrarie al Regolamento; si suggerisce di inserire nei contratti di appalto clausole che escludano espressamente l’imposizione di soluzioni biometriche non supportate da valutazione d’impatto favorevole.

Da ultimo, si richiede la revisione periodica: le misure adottate vanno riesaminate e, se necessario, aggiornate a cadenza definita o al verificarsi di modifiche significative di ordine normativo, tecnico od organizzativo che incidano sul trattamento, sulle sue finalità, natura, ambito o contesto; e va mantenuto un monitoraggio delle violazioni effettivamente occorse nel contesto tecnologico, poiché esse possono determinare l’inadeguatezza sopravvenuta della tecnica prescelta.

Conclusioni

Il documento esaminato non innova il diritto e non pretende di farlo. Il suo valore sta nell’aver ricomposto in un percorso unitario elementi che la prassi tende a trattare separatamente: la definizione tecnica del riferimento biometrico, il triplice test di proporzionalità, il doppio binario degli artt. 6 e 9, il presidio dell’art. 22 e la gestione del rischio degli artt. 24, 25, 35 e 36. La scelta di collocare il test costituzionale di proporzionalità dentro la valutazione d’impatto, quale contenuto necessario dell’analisi richiesta dall’art. 35, par. 7, lett. b), appare metodologicamente solida e utilmente esportabile.

Restano aperte alcune questioni specifiche. La prima è se l’auspicio di un quadro regolatorio che disciplini espressamente la biometria in ambito lavorativo — formulato dal documento per l’ordinamento spagnolo — debba estendersi anche all’Italia, dove l’art. 2-septies del Codice offre uno strumento già predisposto per l’adozione di misure di garanzia ma dove non si ha evidenza, allo stato, di un aggiornamento organico del quadro prescrittivo del 2014 alla luce delle tecnologie oggi disponibili. La seconda è il coordinamento fra GDPR e Regolamento (UE) 2024/1689: la piena applicazione degli obblighi relativi ai sistemi ad alto rischio imporrà di chiarire se e come gli adempimenti documentali possano essere integrati con la valutazione d’impatto sulla protezione dei dati, evitando duplicazioni senza attenuare i presidi. La terza attiene alla graduazione della densità normativa richiesta all’art. 9, par. 2: si tratta di una costruzione che potrebbe risultare feconda, ma che richiederebbe una presa di posizione a livello europeo per non tradursi in divergenze applicative fra Stati membri. La quarta, infine, concerne la prova dell’inesistenza di alternative equivalenti, che rischia di restare un adempimento formale se non accompagnata da metriche condivise: un intervento di standardizzazione tecnica, anche per il tramite dell’Agenzia dell’Unione europea per la cibersicurezza, contribuirebbe a rendere il test verificabile.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2016/680
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori)
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 14 settembre 2015, n. 151
• Decreto legislativo 10 agosto 2018, n. 101
• Real Decreto Legislativo 2/2015 (testo consolidato dello Statuto dei lavoratori, Spagna)
• Real Decreto Legislativo 5/2015 (testo consolidato dello Statuto di base dell’impiego pubblico, Spagna)
• Real Decreto-ley 8/2019 (Spagna)
• Ley Orgánica 3/2018 di protezione dei dati personali e garanzia dei diritti digitali (LOPDGDD, Spagna)
• Provvedimento del Garante per la protezione dei dati personali del 12 novembre 2014 in materia di biometria, con le allegate linee guida
• Linee guida 5/2020 del Comitato europeo per la protezione dei dati sul consenso
• Istruzione 1/2021 dell’Agencia Española de Protección de Datos
• Parere 2/2022 dell’Autoritat Catalana de Protecció de Dades
• Parere 1/2023 del Consejo de Transparencia y Protección de Datos de Andalucía
• Sentenza del Tribunal Constitucional (Spagna) 14/2003 del 28 gennaio