Il Suo volto è un dato particolare. Che cosa significa per Lei l'articolo 9 del GDPR

La maggior parte dei dati personali ai sensi del GDPR (il Suo nome, l'e-mail, l'indirizzo, la cronologia di navigazione) è soggetta a regole generali. I dati biometrici sono diversi. L'articolo 9 li classifica come «categorie particolari» di dati, insieme alle informazioni sulla salute, alle opinioni politiche e alle convinzioni religiose. Le tutele sono molto più forti e gli obblighi per le aziende che li trattano sono altrettanto più severi.

Che cosa sono i dati biometrici

L'articolo 9 tutela espressamente i «dati biometrici intesi a identificare in modo univoco una persona fisica». Ne fanno parte le impronte facciali, le impronte vocali, le impronte digitali, le scansioni dell'iride e qualsiasi trattamento tecnico che trasformi caratteristiche fisiche in un identificativo univoco.

Attenzione alla precisazione: «intesi a identificare in modo univoco». Una foto qualsiasi sui social non è un dato biometrico ai sensi dell'articolo 9. La stessa foto elaborata con il riconoscimento facciale per creare un identificativo lo è.

I Suoi diritti

• Diritto al consenso esplicito. Le aziende non possono trattare i Suoi dati biometrici sulla base del legittimo interesse. Serve il Suo consenso esplicito, specifico e informato, che può revocare in qualsiasi momento.
• Diritto alla cancellazione. Può pretendere la cancellazione dei Suoi dati biometrici e le aziende devono provvedere senza ingiustificato ritardo (di norma entro 30 giorni).
• Diritto di accesso. Può chiedere una copia di tutti i dati biometrici che un'azienda conserva su di Lei.
• Diritto alla portabilità. Può chiedere i Suoi dati in un formato strutturato e leggibile da dispositivo automatico.
• Diritto di limitazione. Può pretendere che un'azienda sospenda il trattamento dei Suoi dati mentre una controversia viene risolta.

Che cosa devono fare le aziende

Le aziende che trattano dati biometrici hanno obblighi rafforzati: una valutazione d'impatto sulla protezione dei dati (DPIA) prima di iniziare il trattamento, la nomina di un responsabile della protezione dei dati (DPO) nella maggior parte dei casi, misure di sicurezza più rigorose e la notifica delle violazioni entro 72 ore alle autorità e alle persone interessate.

Il luogo di conservazione conta. Un trattamento nell'UE mantiene i Suoi dati sotto le tutele più forti del GDPR. Il trasferimento verso Paesi extra UE richiede garanzie specifiche (clausole contrattuali tipo, decisioni di adeguatezza) ed è stato oggetto di ripetute contestazioni in tribunale (Schrems I, Schrems II).

Come esercitare i Suoi diritti

Qualsiasi azienda che tratti i Suoi dati biometrici deve offrirLe un modo chiaro per esercitare questi diritti, di solito un indirizzo privacy@ o un'area dedicata del Suo account. Se non risponde entro 30 giorni, può proporre reclamo all'autorità nazionale di protezione dei dati. In Italia è il Garante per la protezione dei dati personali. In Romania, l'ANSPDCP. In Francia, la CNIL. In Germania, l'autorità per la protezione dei dati del Suo Land.

In sintesi

Il Suo volto non è solo un dato. Nel diritto europeo è tutelato con la stessa serietà della Sua storia clinica. Le aziende che lo trattano con leggerezza violano la legge, e Lei ha diritti specifici e azionabili per farle smettere.