Garante Privacy: Provvedimento del 23 gennaio 2008

Divieto al trattamento in qualunque forma, di dati personali biometrici dei praticanti avvocati

Provvedimento del 23 gennaio 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196);
ESAMINATA la segnalazione pervenuta in data 10 ottobre 2007 avente a oggetto il trattamento di dati personali biometrici effettuato a cura del Consiglio dell'Ordine degli avvocati di Santa Maria Capua Vetere al fine di verificare le presenze dei praticanti avvocati a corsi di formazione forense;
VISTA la documentazione acquisita a seguito delle richieste di informazioni rivolte dall'Autorità al Consiglio dell'Ordine e a Zucchetti S.p.A., società di produzione del sistema di rilevazione delle impronte digitali in questione;
VISTE le ulteriori note integrative pervenute dai segnalanti in ordine al trattamento dei dati personali;
VISTA la documentazione in atti;
VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Mauro Paissan;

PREMESSO

Alcuni praticanti avvocati iscritti nel relativo registro tenuto dal Consiglio dell'Ordine degli avvocati di S. Maria Capua Vetere hanno presentato a questa Autorità, in data 10 ottobre 2007, una segnalazione in merito alla predisposizione, da parte del Consiglio, di un sistema di rilevazione di dati personali biometrici mediante il prelievo dell'impronta digitale, con finalità di verifica della presenza dei praticanti avvocati alle lezioni tenute presso la Scuola di formazione forense.

Dalle risultanze acquisite dall'Autorità emerge che il sistema denominato "GOT5EFR" raccoglie dati biometrici (c.d. enrollment) mediante apparecchiature elettroniche dotate di lettore di impronte digitali e di apposito software di decodifica. A seguito di tale raccolta il sistema trasforma l'immagine acquisita di una porzione dell'impronta digitale degli interessati (nel caso di specie, i praticanti avvocati) in un codice numerico (c.d. template), associandolo a ciascun iscritto alla Scuola con relativa memorizzazione nel sistema informativo unico delle apparecchiature installate.  Il codice numerico è, poi, utilizzato quale termine di paragone con ciascuno dei codici numerici ricavati di volta in volta dalla lettura delle impronte digitali degli interessati, rilevate, in occasione di ogni ingresso nelle aule, attraverso lettori dislocati in diverse aree della Scuola e connessi al sistema informativo centralizzato.

Secondo il Consiglio, il trattamento di dati biometrici sarebbe giustificato dalla necessità di disporre di un controllo degli accessi volto a evitare "assembramenti" e "intrusioni di estranei" verificatisi in occasione di "furti ed atti vandalici con danno ai corsisti e danneggiamento delle strutture", nonché di asseriti "abusivi scambi di tesserini" da parte di praticanti, con conseguente minor aggravio delle spese di gestione. Al riguardo, il Consiglio dell'Ordine, con nota del 31 ottobre 2007, ha affermato che il predetto trattamento dei dati biometrici permetterebbe un rivelamento delle presenze "affidabile per la identificazione certa del corsista,  veloce per evitare pericolosi assembramenti e file, riduttivo dei costi di personale" e che "le apparecchiature appena istallate non sono state ancora utilizzate e sperimentate", avendo ancora bisogno di "preparazione e collaudo".

Successivamente, i segnalanti hanno riferito che sono state svolte ripetute attività di trattamento di dati biometrici da parte del Consiglio dell'Ordine mediante acquisizione delle impronte digitali, in particolare nei giorni 8, 17 e 19 novembre 2007; tali attività sarebbero continuate nel mese di dicembre "con una certa intensità", stante l'intenzione che avrebbe manifestato il Consiglio di concludere le operazioni di raccolta e di memorizzazione delle impronte entro il mese di gennaio 2008, inibendo successivamente l'accesso alle aule a coloro che non abbiano fornito le proprie impronte digitali.

CIÒ PREMESSO IL GARANTE OSSERVA

1. Princìpi applicabili
Il caso sottoposto all'esame del Garante integra un trattamento di dati personali.

I dati biometrici rilevati (porzione dell'impronta digitale) sono informazioni ricavate dalle caratteristiche fisiche di interessati che si vorrebbero identificare in modo univoco mediante un modello di riferimento (template).

Sia le impronte dattiloscopiche, ancorché raccolte in modo parziale e solo ai fini del completamento della fase dell'enrollment, sia i codici numerici successivamente utilizzati per le descritte operazioni di confronto, in quanto informazioni riferibili ai singoli praticanti, sono dati di carattere personale (art. 4, comma 1, lett. b), del Codice: v. Provv. 19 novembre 1999, in www.garanteprivacy.it, doc. web n. 42058; 21 luglio 2005, doc. web n. 1150679 e 23 novembre 2005, doc. web n. 1202254).  Ne discende l'applicazione della disciplina contenuta nel Codice nella fase della raccolta (enrollment) e in relazione alle successive operazioni di confronto (con il correlato tracciamento degli orari di ingresso alle aule).

Il sistema deve essere, pertanto, valutato sul piano della conformità ai princìpi di liceità, necessità, proporzionalità, finalità e correttezza (artt. 3 e 11 del Codice).

2. Il trattamento di dati biometrici nel caso di specie
Il trattamento di dati personali da parte di un ordine professionale, quale il predetto Consiglio, ricade nell'ambito delle previsioni di legge relative al trattamento effettuato da soggetti pubblici, i quali possono trattare dati personali "soltanto per lo svolgimento delle funzioni istituzionali" (art. 18, comma 2, del Codice).

Tra le funzioni che l'ordinamento attribuisce ai consigli dell'ordine rilevano, tra l'altro, quella della vigilanza sull'esercizio della pratica forense e quelle connesse al potere disciplinare nei confronti degli iscritti nei registri dei praticanti (art. 14, comma 1, lett. a) e c), r.d.l. 27 novembre 1933, n. 1578, recante l'"Ordinamento delle professioni di avvocato e procuratore"). In particolare, il regolamento relativo alla pratica forense per l'ammissione all'esame di procuratore legale (d.P.R. 10 aprile 1990, n. 101) prevede che "i consigli dell'Ordine possono istituire scuole di formazione professionale la cui frequenza integra la pratica forense" (art. 3, comma 1) e che è, altresì, "compito dei consigli dell'Ordine vigilare sull'effettivo svolgimento del tirocinio da parte dei praticanti procuratori nei modi previsti dal regolamento, e con i mezzi ritenuti più opportuni" (art. 4, comma 3).

Può pertanto ritenersi che tra i compiti del Consiglio dell'Ordine rientri anche quello di sovraintendere al regolare espletamento dei corsi di formazione dei praticanti iscritti, verificando la loro effettiva partecipazione alle lezioni della Scuola.

Pur riguardando una funzione istituzionale, il trattamento in esame non risulta però conforme ai princìpi di necessità e di proporzionalità (artt. 3 e 11 del Codice).

L'utilizzo di dati particolarmente significativi quali quelli relativi alle impronte digitali può essere infatti giustificato per soddisfare specifiche esigenze relative alla sicurezza di beni e di persone, laddove si evidenzi, sulla base di obiettive e documentate circostanze, una situazione di elevato rischio (cfr. Provv. 15 giugno 2006, doc web n. 1306551, e doc. web n. 1306530; Provv. 27 ottobre 2005, doc. web n. 1246675).

Non può invece ritenersi lecito l'uso dei dati biometrici per generiche esigenze di sicurezza e di mero ausilio al rispetto delle regole scolastiche e deontologiche, specie laddove esso riguardi la raccolta di dati particolari, come le impronte digitali, per i quali occorre peraltro individuare specifici accorgimenti volti a prevenire eventuali utilizzi impropri e possibili abusi (art. 17 del Codice).

Anche in queste ipotesi, il titolare del trattamento deve rispettare i princìpi di necessità e di proporzionalità (artt. 3 e 11), restando impregiudicata la facoltà di adottare altri sistemi di controllo degli accessi che escludano l'utilizzo di dati biometrici, in grado di consentire parimenti un'efficace attività di verifica dell'identità personale degli interessati ma, al tempo stesso più rispettosi della sfera personale degli individui (quali, ad esempio, l'utilizzo di tesserini magnetici e l'effettuazione di controlli "a vista" dei partecipanti).

Il trattamento in esame non risulta proporzionato anche in considerazione delle specifiche modalità tecniche prefigurate (centralizzazione dei codici identificativi derivati dall'esame del dato biometrico), in luogo di altri accorgimenti meno invasivi quale, ad esempio, la memorizzazione del codice identificativo su un supporto che resti nell'esclusiva disponibilità dell'interessato.

3. Adempimenti in capo al titolare del trattamento
Dalle informazioni acquisite non risulta, altresì, che si sia predisposta un'idonea informativa, la quale non può limitarsi a delineare esclusivamente le finalità del trattamento (come indicato dal Consiglio dell'Ordine), dovendo includere anche gli altri elementi prescritti dall'art. 13 del Codice.

Parimenti, non risulta dagli atti comprovata la predisposizione di tecniche alternative per la rilevazione delle presenze, per tutte le ipotesi in cui l'interessato non possa, per le proprie caratteristiche fisiche, o non intenda acconsentire alla rilevazione biometrica in questione.

Per di più, allo stato della documentazione disponibile, non è possibile ricavare con certezza se siano adeguate le misure di sicurezza predisposte, soprattutto in termini di affidabilità del sistema che si intende installare, di utilizzo di tecniche di cifratura dei dati, di sicurezza della rete di comunicazione elettronica sulla quale i dati biometrici sono trasmessi al sistema centralizzato di acquisizione dati.

Infine, è necessario osservare che il Consiglio dell'Ordine non ha provveduto a notificare preventivamente al Garante il trattamento dei dati biometrici così come previsto dalla legge (artt. 37, comma 1, lettera a), e 38 del Codice).

Al riguardo, questa Autorità si riserva di verificare, con autonomo procedimento, i presupposti per contestare le violazioni amministrative concernenti l'informativa e la notificazione al Garante (artt. 13 e 161; artt. 37, 38 e 163 del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE

a) vieta, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), al Consiglio dell'Ordine degli Avvocati di Santa Maria Capua Vetere,  in qualità di titolare del trattamento, il trattamento in qualunque forma, di dati personali biometrici dei praticanti avvocati.

Roma, 23 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli