Riconoscimento facciale, il decreto del Governo tarda: c’è il nodo dei dati senza autorizzazione

L’articolo 8 disciplina i «Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati».

Le Forze di polizia possono utilizzare il riconoscimento biometrico in tempo reale nei luoghi pubblici per prevenire minacce specifiche e cercare persone scomparse oppure vittime di sequestro, tratta e sfruttamento sessuale. Il confronto può avvenire esclusivamente attraverso una banca dati costruita «appositamente per ciascun utilizzo».

La richiesta può essere presentata dal questore, dai comandanti provinciali dei carabinieri e della Guardia di finanza oppure dai responsabili dei servizi centrali. La decisione spetta al procuratore della Repubblica del capoluogo di distretto.

L’autorizzazione deve riguardare uno specifico evento oppure il tempo strettamente necessario. Può durare al massimo quindici giorni ed essere prorogata, con decreto motivato, per altri quindici. Deve inoltre delimitare l’area interessata e indicare le persone ricercate.

Se queste condizioni non vengono rispettate o l’autorizzazione non arriva, il sistema deve essere bloccato. I dati devono essere cancellati e i risultati «non possono essere utilizzati».

La previsione, però, contiene l’eccezione degli elementi «acquisiti legittimamente sotto altra base giuridica». Ed è proprio qui che il meccanismo perde chiarezza. La norma non precisa quali siano queste basi giuridiche né stabilisce in quali circostanze le immagini possano essere conservate nonostante la mancanza dell’autorizzazione richiesta per l’identificazione biometrica in tempo reale.

Il rischio è che una garanzia formulata in termini rigorosi - stop immediato del sistema, cancellazione dei dati e inutilizzabilità dei risultati - venga indebolita da una clausola dai confini ancora incerti.

È stato il Garante della privacy a sollevare formalmente il problema. Nel parere n. 531 del 14 luglio (relatrice la vicepresidente Ginevra Cerrina Feroni), favorevole allo schema ma con condizioni, ha rilevato che «permangono tuttavia margini di incertezza circa le deroghe previste in relazione alla cancellazione dei dati acquisiti illegittimamente» e ha avvertito che va evitata la conservazione dei dati in presenza di un’«altra base giuridica» genericamente individuata, con «sostanziale depotenziamento delle tutele previste dal decreto legislativo 18 maggio 2018, n. 51». Da qui la condizione: circoscrivere le deroghe «alla ricorrenza dei soli presupposti di liceità individuati dalla norma», con i requisiti per conservare i dati «da tipizzare normativamente».

Il governo, tuttavia, non ha indicato nello schema i singoli casi nei quali la conservazione sarebbe consentita. Il testo contiene soltanto il rinvio al decreto legislativo 51 del 2018, lo stesso di cui il Garante vedeva depotenziate le tutele, lasciando irrisolta la questione centrale: quando possono rimanere disponibili immagini e informazioni biometriche raccolte in assenza dell’autorizzazione?

Il nodo sarebbe tra quelli che stanno ritardando la pubblicazione del provvedimento in Gazzetta ufficiale. Nei giorni scorsi il presidente del Garante, Pasquale Stanzione, ha fissato il confine: «il riconoscimento facciale ha una rilevante utilità investigativa se utilizzato in maniera circoscritta e con ogni garanzia. Non deve trasformarsi, però, in uno strumento di sorveglianza massiva e indiscriminata».