Biometria e sicurezza, la sottile linea della privacy.

di Biagino Costanzo, dirigente d’azienda e Responsabile dell’Osservatorio Security, Cyber, Safety, Ethic di AIDR

Ha fatto il giro del mondo, pochi giorni prima della folle invasione dell’Ucraina, la foto dove la distanza tra Putin e Macron sul tavolone bianco di rappresentanza testimoniava, plasticamente, non solo una voragine tra i due sul dossier Ucraina, appunto, ma il semplice motivo della necessità di mantenere il distanziamento sanitario, infatti, il presidente francese che aveva già fatto un tampone in partenza da Parigi, all’arrivo a Mosca è stato bloccato dalla propria intelligence nel rifare un test, voluto dai russi, dove chiaramente il rischio paventato era la sottrazione dei dati biometrici dei leader stranieri. Infatti, stesso consiglio i Servizi tedeschi hanno dato a Olaf Scholz al suo arrivo nella capitale russa, ma, comunque, per poter incontrare il presidente russo i due leader europei si sono sottoposti ad un cd Pcr eseguito però dai medici delle rispettive ambasciate e con apparecchiature portati dalle rispettive nazioni e il personale medico russo è stato invitato ad assistere alla prova.

È storia nota e antica quella per la quale tutti i servizi di intelligence del mondo siano interessati ai dati biometrici delle persone. Ma per quale motivo?

È risaputo anche che l’acquisizione del DNA umano è possibile ottenerlo anche prendendo il bicchiere usato o qualche capello lasciato su una sedia sul cuscino dell’hotel ospitante ma la leggibilità e la chiarezza dei dati è massima prelevando appunto da un test per il Covid, è tutto questo è merce preziosa, infatti, le tracce genetiche sono quelle più sensibili e personali.

Conoscere il DNA di un essere umano significa saper tutto di lui e quando le guerre non sono più quelle convenzionali ma si alimentano di quasi tutto quello che ormai ci circonda, l’informazione, la salute di un soggetto, e innanzitutto la cibernetica, avere una lista di DNA della maggior parte di individui che vanno dai leader a chi ricopre incarichi istituzionali o manager di industrie partecipate ma fino al semplice cittadino.

Ricordiamoci che dai diversi dati biometrici è ormai possibile dedurre l’origine etnica e razziale o anche lo stato di salute di un individuo e ulteriori dati di natura particolare

Negli ultimi anni il numero di dispositivi in grado di trattare dati biometrici è aumentato in modo vertiginoso. Dai semplici diffusissimi smartphone, ai wearable device, al mondo della videosorveglianza, da quella basica a quella intelligente con funzionalità di riconoscimento,  sempre più strumenti sono in grado di rilevare caratteristiche fisiche, fisiologiche o comportamentali che consentono l’identificazione univoca degli interessati.

Ed è qui che entra in gioco la normativa relativa al “famigerato “trattamento dei dati e alle implicazioni relative alla legittimità, alla compliance e ai principi del GDPR e agli interventi del Garante della privacy.

Mettendo per il momento da parte, nel nostro ragionamento, l’uso che gli apparati di sicurezza sono autorizzati a utilizzare ai fini della sicurezza nazionale, l’utilizzo dei sistemi di riconoscimento biometrico in un contesto lavorativo ha implicazioni relativamente alla legittimità del trattamento stesso.

Infatti, dinanzi alla rapida ascesa degli strumenti che trattano dati biometrici, il Garante ha sempre assunto un atteggiamento rigido al fine di garantire il rispetto della dignità della persona, dell’identità personale e dei semplici principi di finalità e proporzionalità.

La finalità di identificazione e di sorveglianza non può giustificare qualsiasi utilizzo del corpo umano che l’innovazione tecnologica può rendere possibile e giustificabile.

Prendiamo ad esempio il contesto lavorativo. Il titolare di una azienda o il Datore di Lavoro, in una ottica di un utilizzo di sistemi di riconoscimento biometrico per verificare l’effettivo svolgimento della prestazione lavorativa e permetterebbe di conoscere con assoluta certezza chi realmente stia svolgendo il proprio lavoro ma questo confligge in modo evidente con la protezione dell’identità e quindi con uno dei principi generali dettati dal GDPR.

Il titolare, quando parliamo di questa tipologia di trattamento, deve far fronte a diverse variabili; innanzitutto saper ponderare l’effettiva necessità e proporzionalità dello stesso, poi il saper individuare la giusta base giuridica di applicazione.

È infatti certo che i processi di autenticazione all’accesso basati sulle password hanno il 100% di meticolosità, ricordiamo che la password inserita da un user specifico può essere corretta, e l’accesso consentito, oppure non corretta, e l’accesso quindi negato ma se parliamo di dati biomedici questo non vale, infatti questi possono presentare anche se residualmente dei falsi positivi.

Di fatto la raccolta di tali dati, per la loro peculiare natura, richiede l’adozione di elevate cautele per prevenire possibili pregiudizi a danno degli interessati.

È quindi necessario esser coscienti che l’uso di dati biometrici deve esser sempre esser giustificato e solo in casi particolari, tenuto conto delle finalità e del contesto in cui essi sono trattati e, in relazione appunto ai luoghi di lavoro, per presidiare accessi ad “aree riservate e/o sensibili”, definitive tali considerando la natura delle attività in esse svolte.

Pensiamo, ad esempio, in aree dove si svolge attività e processi produttivi pericolosi o a quelle sottoposte alla custodia di infrastrutture, progetti, documentazione, apparecchiature HW e SW o beni classificati “segreti” o riservati che ai fini di legge debbono essere presidiate e controllate H24.

Bisogna ricordare che in Industria 4.0 sono presenti numerose tecnologie che riguardano il trattamento di dati biometrici e nell’ambiente industriale con progresso tecnologico avanzato questi dati sono ampiamente utilizzati.

Di cosa parliamo quando si cita “progresso tecnologico avanzato”?

Parliamo di categorie non futuristiche ma soluzioni che riguardano già oggi la robotica cd indossabile, quindi tute speciali realizzate grazie alle scansioni del corpo dei lavoratori, oppure le postazioni di lavoro auto adattive, ovvero costruite in base alle caratteristiche proprie di chi deve occuparle o gli esoscheletri per applicazioni industriali volti ad aumentare le capacità operative dei lavoratori che svolgono attività o manuali o di movimentazione.

Insomma, quando si utilizzano tecnologie sempre più avanzate ed invasive che coinvolgono sempre più la “persona” considerando inoltre che parliamo di lavoratori, è assolutamente necessario saper bilanciare gli interessi in gioco per valutare la necessita e la proporzionalità del trattamento dei dati biometrici e attribuire il giusto peso alla valutazione del rischio inerente al trattamento stesso. Questo sta a significare, prevedere soluzioni che devono portare al rendere anonimi i dati tracciati o la limitazione temporale della conservazione degli stessi.

Il rischio aumenta esponenzialmente quando si acquisiscono tutte queste informazioni se non viene mitigato dalla garanzia di un controllo severo. Infatti è bene tener a mente che le conseguenze di un data breach di dati biometrici sarebbero davvero, potenzialmente molto gravi, bisogna infatti considerare che al contrario delle password tradizionali, un dato biometrico non può essere modificato né cancellato.

Ecco perché nel GDPR, alla sezione riguardante il trattamento dei biometrici, è previsto un divieto generale e una tutela rafforzata proprio la natura particolare del tema, per dove vi è la possibilità di derogare solo in presenza di specifiche eccezioni.

Parliamo, ad esempio e innanzitutto del consenso da parte dell’interessato, dell’assolvimento degli obblighi e l’esercizio dei diritti del titolare o dell’interessato in materia di diritto del lavoro, ed infine i motivi di interesse pubblico rilevante, quali per esempio la Sicurezza Nazionale degli Stati membri dell’Unione.

In conclusione non possiamo non constatare che con l’aumento dei rischi dovuti agli attacchi terroristici e, in generale, da una criminalità organizzata sempre più sofisticata, è contemporaneamente aumentata l’esigenza di garantire la sicurezza dei cittadini soprattutto quando si devono proteggere luoghi pubblici cd “ad alto rischio” quali stazioni ferroviarie, aeroporti, porti, etc ,etc ed è naturale, direi, che anche l’utilizzo della biometria costituisce un alleato più che valido per poter individuare soggetti potenzialmente pericolosi per la collettività, con la possibilità di poter misurare con metodologie statistiche e matematiche, tutte le possibili variabili fisiologiche e comportamentali proprie delle persone.

Ma tutto questo deve esser svolto in un contesto di massima serietà professionale, deontologica, rispettando la legge e al tempo stesso esser coscienti che una materia così delicata come questa deve essere gestita da veri professionisti in possesso, direi, anche di un alto dato valoriale ed etico. Solo così si riuscirà a coniugare, con successo, progresso, diritti, lavoro, business e sicurezza.