Sbloccare uno smartphone con il volto o usare un’impronta per entrare in ufficio sembra un gesto banale, ma dietro c’è un’informazione legata in modo molto stretto alla nostra identità. Un dato biometrico può offrire sicurezza e rapidità, però richiede cautele più severe rispetto a una semplice password. Qui chiarisco che cosa rientra nella categoria, quando il trattamento è lecito, quali rischi comporta e come dovrebbe muoversi un’azienda o un professionista in Italia.
La protezione dipende dall’uso, non solo dalla tecnologia
- Definizione: impronte, volto, iride, voce o caratteristiche comportamentali diventano dati biometrici quando sono elaborate per identificare una persona.
- GDPR: rientrano nelle categorie particolari di dati e il loro trattamento è in linea generale vietato, salvo specifiche eccezioni.
- Necessità: prima di adottare un sistema biometrico bisogna dimostrare che badge, PIN o altri strumenti siano insufficienti.
- Sicurezza: è preferibile conservare un modello matematico cifrato, non l’immagine grezza dell’impronta o del volto.
- Lavoro: usare la biometria per rilevare le presenze è una scelta ad alto rischio e spesso sproporzionata.
Che cosa rientra davvero nei dati biometrici
Il GDPR considera biometrico il dato personale ottenuto attraverso uno specifico trattamento tecnico di caratteristiche fisiche, fisiologiche o comportamentali, quando serve a identificare o confermare in modo univoco una persona. L’elemento decisivo, quindi, non è soltanto la parte del corpo rilevata, ma l’uso che viene fatto dell’informazione.
Un’immagine del volto salvata nella galleria non è automaticamente un dato biometrico. Lo diventa, per esempio, quando un software analizza i tratti facciali e li confronta con un archivio per stabilire chi sia la persona ritratta. Lo stesso ragionamento vale per una registrazione vocale, che può essere un normale contenuto audio oppure un identificatore biometrico se viene trasformata in un modello utilizzato per riconoscere l’utente.
| Caratteristica | Esempio di utilizzo | Attenzione principale |
|---|---|---|
| Impronta digitale | Sblocco, accesso a locali, autenticazione | Non può essere sostituita come una password dopo una violazione |
| Volto | Face unlock, controllo accessi, identificazione video | Rischi di sorveglianza, errori e identificazioni errate |
| Iride o retina | Accessi in ambienti ad alta sicurezza | Costi e invasività maggiori rispetto ad alternative comuni |
| Voce | Verifica dell’identità nei servizi telefonici | Influiscono rumore, malattie, accento e qualità della registrazione |
| Andatura o dinamica della firma | Analisi comportamentale e firma grafometrica | Serve valutare accuratezza, trasparenza e finalità effettiva |
La distinzione è importante perché evita due errori opposti. Da una parte si tende a considerare biometrica qualsiasi fotografia; dall’altra si sottovalutano sistemi che estraggono automaticamente una rappresentazione matematica del volto, della voce o dell’impronta senza conservare l’immagine originale.
Perché la legge li protegge in modo speciale
La biometria è delicata perché collega un’identità digitale a una caratteristica del corpo. Una password si cambia in pochi secondi, mentre un’impronta o il volto non possono essere rinnovati con la stessa facilità. Per questo l’articolo 9 del GDPR inserisce questi dati tra le categorie particolari, insieme, tra gli altri, ai dati sanitari e genetici.
La regola di partenza è il divieto di trattamento. Il divieto può venire meno solo quando esiste una specifica eccezione prevista dal GDPR o da una norma nazionale, oltre a una base giuridica valida per il trattamento ordinario dei dati personali. Il semplice fatto che una tecnologia sia precisa, comoda o già disponibile sul mercato non basta.
In pratica, chi vuole introdurre un sistema biometrico deve spiegare almeno quattro aspetti:
- qual è la finalità concreta del trattamento;
- perché il riconoscimento univoco è realmente necessario;
- perché una soluzione meno invasiva non offre un livello di sicurezza sufficiente;
- come saranno gestiti accessi, conservazione, cancellazione e incidenti.
Il consenso, inoltre, non è una scorciatoia universale. In un rapporto di lavoro può essere difficile considerarlo libero, perché il dipendente potrebbe percepire una pressione, anche implicita, ad accettare il sistema. Io guardo sempre prima alla proporzionalità: se un badge nominativo risolve lo stesso problema con meno rischi, la scelta biometrica diventa difficile da giustificare.
Dove viene usata e quali compromessi comporta
Autenticazione su smartphone e computer
Lo sblocco locale di un dispositivo è generalmente meno rischioso di un archivio centralizzato. Quando il modello biometrico resta sul telefono o sul computer e non viene inviato al fornitore del servizio, si riduce la quantità di dati esposta. Rimangono comunque importanti il PIN di riserva, gli aggiornamenti di sicurezza e la possibilità di usare un metodo alternativo.
Controllo degli accessi
In laboratori, infrastrutture critiche o aree con materiali pericolosi, la biometria può avere una motivazione più solida. Non significa però che sia automaticamente lecita: bisogna valutare il numero di persone coinvolte, il livello di rischio, la durata della conservazione e la possibilità di affiancare un badge personale con autenticazione a due fattori.
Rilevazione delle presenze
È uno degli impieghi più controversi. Nel febbraio 2026 il Garante Privacy ha ritenuto illecito il trattamento delle impronte digitali di sei dipendenti per rilevare la presenza in servizio, disponendo il divieto del trattamento e la cancellazione dei dati raccolti. Il caso mostra un punto pratico: controllare l’orario di ingresso non richiede normalmente un’identificazione biometrica, perché esistono strumenti meno invasivi.
Leggi anche: Cookie e privacy - come gestire consenso e tracciamento
Videosorveglianza e riconoscimento facciale
Una telecamera che registra immagini non coincide sempre con un sistema di riconoscimento facciale. Quando però il software confronta i volti con una banca dati, il rischio cambia radicalmente e possono entrare in gioco anche le regole europee sull’intelligenza artificiale. Nei luoghi aperti al pubblico, l’identificazione biometrica remota da parte delle autorità è soggetta a divieti e condizioni molto rigorose, con eccezioni limitate.
Secondo me, il punto più spesso trascurato è la qualità dell’errore. Un sistema può funzionare bene in laboratorio e produrre risultati peggiori con poca luce, mascherine, cambiamenti fisici o gruppi di utenti diversi. Un falso rifiuto crea disagi; una falsa accettazione può permettere l’accesso alla persona sbagliata.
Come progettare un trattamento conforme
La conformità non si ottiene aggiungendo una frase generica all’informativa. Serve un progetto documentato, nel quale ogni scelta tecnica sia collegata a una finalità precisa e verificabile.
- Definire lo scopo. Scrivere con precisione se il sistema serve ad autenticare l’utente, autorizzare un accesso o identificare una persona.
- Confrontare le alternative. Valutare badge, PIN, token, chiavi fisiche o autenticazione multifattore. La biometria deve superare questo confronto con motivazioni concrete.
- Individuare la base giuridica. Per le categorie particolari occorre una condizione dell’articolo 9 del GDPR, non soltanto il legittimo interesse.
- Effettuare una DPIA. La valutazione d’impatto analizza rischi, probabilità, gravità e misure di riduzione prima dell’avvio.
- Limitare il dato. Raccogliere solo ciò che serve, evitando immagini grezze e archivi più ampi del necessario.
- Stabilire tempi chiari. Non esiste un termine universale valido per ogni trattamento. La cancellazione deve seguire la finalità e non una conservazione indefinita.
- Garantire un’alternativa. L’utente dovrebbe poter accedere al servizio anche con un metodo non biometrico, quando ciò è ragionevole.
La DPIA, cioè la valutazione d’impatto sulla protezione dei dati, non è un documento da compilare a posteriori. È lo strumento che permette di capire se il progetto regge davvero prima di acquistare hardware, integrare software e coinvolgere gli utenti.
Sul piano tecnico preferisco soluzioni in cui il confronto avviene localmente e il server riceve soltanto un esito autorizzativo. Se il modello deve essere centralizzato, servono almeno cifratura, controllo degli accessi, registri di audit, separazione degli ambienti e procedure di cancellazione. Anche il fornitore va scelto verificando dove tratta i dati, con quali subfornitori e per quanto tempo conserva i modelli.
Diritti, rischi e rimedi per le persone
Chi viene sottoposto a un trattamento biometrico deve ricevere un’informativa comprensibile. Deve sapere chi è il titolare, per quale scopo vengono raccolti i dati, quale tecnologia viene usata, quanto durano i tempi di conservazione, chi può accedere alle informazioni e come esercitare i propri diritti.
Tra i rischi più concreti ci sono furto del modello biometrico, accessi non autorizzati, sorveglianza eccessiva, discriminazioni statistiche e difficoltà nel contestare una decisione automatizzata. Un’azienda seria dovrebbe prevedere verifica manuale e canale di reclamo quando il sistema nega l’accesso o associa erroneamente un’identità.
La persona può chiedere informazioni sul trattamento e, nei casi previsti, esercitare diritti come accesso, cancellazione, limitazione o opposizione. La risposta dipende dalla base giuridica e dalla finalità, ma il titolare non può nascondersi dietro la complessità tecnica del fornitore.
In caso di violazione, il rischio non è paragonabile a quello di una password compromessa. Per questo la sicurezza deve essere progettata prima dell’incidente, con autenticazione forte degli amministratori, monitoraggio, backup protetti e un piano di gestione delle violazioni. Conservare il meno possibile resta la misura più efficace.
La checklist prima di adottare una soluzione biometrica
Prima di approvare un progetto, io cercherei risposte scritte a queste domande:
- La finalità è davvero identificazione oppure basta autenticare un dispositivo o un badge?
- Quale alternativa non biometrica è stata testata?
- Il trattamento coinvolge dipendenti, minori, pazienti o altre persone vulnerabili?
- Il sistema conserva immagini originali o solo template cifrati?
- Il fornitore può riutilizzare i dati per addestrare modelli o per proprie finalità?
- Esiste una procedura per correggere errori e gestire i falsi positivi?
- Quando vengono cancellati i dati e chi controlla che ciò avvenga?
- La valutazione d’impatto è stata completata prima dell’attivazione?
Se le risposte restano vaghe, il problema non è soltanto legale. È anche gestionale: un sistema poco trasparente può generare contestazioni, costi di sostituzione, blocchi operativi e danni reputazionali. La comodità iniziale rischia di costare molto più del previsto.
La scelta più sicura parte dalla necessità reale
La biometria ha senso quando aggiunge una protezione concreta che altri strumenti non riescono a offrire con efficacia comparabile. Per un normale controllo delle presenze o per un accesso ordinario, spesso badge e autenticazione multifattore sono più semplici, meno invasivi e più facili da sostituire.
La domanda corretta non è se il riconoscimento sia tecnicamente possibile, ma se sia necessario, proporzionato e governabile. Quando finalità, base giuridica, sicurezza e alternativa per l’utente sono definite con chiarezza, la tecnologia può essere utile senza trasformare una caratteristica del corpo in un archivio fuori controllo.
