GDPR e biometria: cosa dice la legge europea
Diritti dei cittadini secondo il Regolamento Europeo sulla protezione dei dati. Quando è legale raccogliere dati biometrici e quali sono i vostri diritti.
Cos'è il GDPR e perché riguarda la biometria
Il Regolamento Generale sulla Protezione dei Dati — conosciuto come GDPR — è entrato in vigore nel 2018 e ha cambiato completamente il modo in cui le aziende e le istituzioni pubbliche trattano i vostri dati personali. Non è solo una normativa italiana: è una legge europea che protegge i diritti di chiunque viva nell'Unione Europea.
La biometria — il riconoscimento facciale, le impronte digitali, i dati dell'iride — rappresenta una categoria speciale di dati secondo il GDPR. Questi dati sono talmente sensibili che la legge li tratta con regole ancora più stringenti rispetto ai dati personali ordinari. Capire cosa dice la legge è essenziale per proteggere la vostra privacy.
In questo articolo esaminiamo quando è legale raccogliere dati biometrici, quali sono i vostri diritti e cosa possono fare le aziende — e soprattutto cosa non possono fare.
Punto chiave
Il GDPR considera i dati biometrici "dati personali sensibili". Ciò significa che raccoglierli richiede il vostro consenso esplicito e chiaro, non basta un semplice "accetto i termini".
Quando è legale raccogliere dati biometrici secondo il GDPR
Non potete semplicemente raccogliere il vostro volto o le vostre impronte. Ci sono situazioni specifiche in cui è permesso. Il GDPR definisce chiaramente i casi in cui un'azienda o un'istituzione pubblica può processare dati biometrici legalmente.
Il vostro consenso esplicito
Questa è la situazione più comune. Voi dovete dare il vostro consenso in modo consapevole e informato. Non significa cliccare "accetto" su una casella piccola. Deve essere chiaro, specifico e revocabile in qualsiasi momento. Se cambiate idea, potete dire no.
Obbligo di legge
In alcuni casi, la legge obbliga a raccogliere dati biometrici. Per esempio, i passaporti biometrici richiedono i vostri dati facciali per motivi di sicurezza nazionale. Negli aeroporti europei, il riconoscimento facciale per i controlli di frontiera è legale se fatto secondo le regole.
Ma anche quando c'è un obbligo legale, devono comunque seguire le regole del GDPR. Non possono usare i vostri dati per scopi diversi da quello originale senza dirvi e chiedervi il permesso.
Nota informativa
Questo articolo è a scopo informativo e educativo. Non costituisce consulenza legale. Le leggi sulla protezione dei dati possono variare e vengono aggiornate regolarmente. Se avete domande specifiche sulla vostra situazione, vi consigliamo di consultare un professionista legale specializzato in diritto della privacy o di contattare l'autorità garante della vostra nazione.
I vostri diritti sotto il GDPR
Il GDPR non vi dà soltanto il diritto di dire no. Vi dà una serie completa di diritti che potete esercitare in qualsiasi momento. Questi diritti sono piuttosto potenti se sapete come usarli.
Diritto di accesso
Potete chiedere a un'azienda quali dati biometrici ha raccolto su di voi. Devono mostrarvi i vostri dati e dirvi come li stanno usando. Hanno 30 giorni per rispondere. Se non vi piace quello che trovate, almeno sapete cosa succede.
Diritto all'oblio
Potete chiedere che i vostri dati biometrici vengano cancellati. Non sempre è garantito — se c'è un obbligo legale di conservarli, non possono eliminarli — ma potete sempre chiedere. È il vostro diritto.
Articoli correlati
Cosa non possono fare le aziende con i vostri dati biometrici
Il GDPR non dice solo cosa potete fare. Dice anche chiaramente cosa le aziende non possono fare. Queste limitazioni sono importanti e spesso non sono rispettate.
Non possono usare i vostri dati per uno scopo diverso
Se un'azienda vi chiede il riconoscimento facciale per il check-in in albergo, non può poi usare quel vostro volto per fare pubblicità mirata su Internet. Non può venderlo a terzi. Non può aggiungere i vostri dati a un database di ricerca senza chiedervi il permesso in anticipo. Ogni uso deve essere specificato e autorizzato separatamente.
Non possono conservarli indefinitamente
Devono dire quanto tempo conserveranno i vostri dati. Non è "per sempre". Quando il servizio finisce o il vostro consenso scade, devono cancellare i vostri dati biometrici. Se non lo fanno e voi lo scoprite, potete farli multare dalle autorità. E le multe del GDPR sono serie — fino al 4% del fatturato globale annuale.
Cosa ricordare sul GDPR e la biometria
Il GDPR vi protegge. Non è una legge complicata — è una legge che difende i vostri diritti più fondamentali: il diritto a sapere cosa fanno con i vostri dati, il diritto di dire no, il diritto di chiedere che siano cancellati.
1
Il vostro consenso deve essere esplicito. Non è abbastanza un "accetto i termini" nascosto. Deve essere chiaro cosa state autorizzando.
2
Potete chiedere quali dati biometrici hanno raccolto su di voi. È il vostro diritto di accesso. Devono rispondere entro 30 giorni.
3
Potete chiedere che i vostri dati siano cancellati. È il diritto all'oblio. Se l'azienda rifiuta senza una buona ragione legale, potete fare reclamo.
La biometria non scomparirà. I sistemi di riconoscimento facciale continueranno a crescere. Ma sapendo quali sono i vostri diritti, potete proteggere la vostra privacy e assicurarvi che le aziende rispettino le regole.