L’EDPB esamina l’uso della tecnologia di riconoscimento facciale negli aeroporti

Durante la sua ultima plenaria, il Comitato Europeo per la Protezione dei Dati – European Data Protection Board (EDPB) ha adottato un Parere sull’uso delle tecnologie di riconoscimento facciale da parte degli operatori aeroportuali e delle compagnie aeree per snellire il flusso di passeggeri negli aeroporti. Questo Parere, ai sensi dell’Articolo 64(2), è stato emesso su richiesta dell’Autorità Francese per la Protezione dei Dati e riguarda una questione di applicazione generale che produce effetti in più di uno Stato membro.

Il Presidente dell’EDPB, Anu Talus, ha dichiarato: “Sempre più operatori aeroportuali e compagnie aeree in tutto il mondo stanno sperimentando sistemi di riconoscimento facciale che consentono ai passeggeri di passare più facilmente attraverso i vari punti di controllo. È importante essere consapevoli che i dati biometrici sono particolarmente sensibili e che il loro trattamento può creare rischi significativi per gli individui. La tecnologia di riconoscimento facciale può portare a falsi negativi, bias e discriminazioni. L’uso improprio dei dati biometrici può avere gravi conseguenze, come frodi d’identità o impersonificazioni. Pertanto, esortiamo le compagnie aeree e gli operatori aeroportuali a optare per metodi meno invasivi per snellire il flusso di passeggeri, quando possibile. Secondo l’EDPB, gli individui dovrebbero avere il massimo controllo sui propri dati biometrici.”

Il Parere analizza la compatibilità del trattamento con il principio di limitazione della conservazione (Articolo 5(1)(e) del GDPR), il principio di integrità e riservatezza (Articolo 5(1)(f) del GDPR), la protezione dei dati fin dalla progettazione e per impostazione predefinita (Articolo 25 del GDPR) e la sicurezza del trattamento (Articolo 32 del GDPR). La conformità ad altre disposizioni del GDPR, inclusa la liceità del trattamento, non è oggetto di questo Parere.

Non esiste un requisito legale uniforme nell’UE per gli operatori aeroportuali e le compagnie aeree di verificare che il nome sul passaporto del passeggero corrisponda al nome sul documento d’identità. Questo può essere soggetto alle leggi nazionali. Pertanto, laddove non sia richiesta la verifica dell’identità del passeggero con un documento d’identità ufficiale, non dovrebbe essere eseguita alcuna verifica con l’uso di dati biometrici, in quanto ciò comporterebbe un trattamento eccessivo dei dati.

Nel suo Parere, l’EDPB ha considerato la conformità del trattamento dei dati biometrici dei passeggeri con quattro diverse soluzioni di archiviazione, da quelle che memorizzano i dati biometrici solo nelle mani dell’individuo a quelle che si basano su un’architettura di archiviazione centralizzata con diverse modalità. In tutti i casi, solo i dati biometrici dei passeggeri che si iscrivono attivamente e acconsentono a partecipare devono essere trattati.

L’EDPB ha rilevato che le uniche soluzioni di archiviazione compatibili con i principi di integrità e riservatezza, protezione dei dati fin dalla progettazione e sicurezza del trattamento, sono quelle in cui i dati biometrici sono memorizzati nelle mani dell’individuo o in un database centrale ma con la chiave di crittografia esclusivamente nelle loro mani. Queste soluzioni di archiviazione, se implementate con una lista di garanzie minime raccomandate, sono le uniche modalità che bilanciano adeguatamente l’intrusività del trattamento offrendo agli individui il massimo controllo.

L’EDPB ha rilevato che le soluzioni basate sull’archiviazione in un database centralizzato, sia all’interno dell’aeroporto che nel cloud, senza le chiavi di crittografia nelle mani dell’individuo, non possono essere compatibili con i requisiti di protezione dei dati fin dalla progettazione e, se il titolare del trattamento si limita alle misure descritte negli scenari analizzati, non rispetterebbero i requisiti di sicurezza del trattamento.

Per quanto riguarda il principio di limitazione della conservazione, i titolari del trattamento devono assicurarsi di avere una giustificazione sufficiente per il periodo di conservazione previsto e limitarlo a quanto necessario per lo scopo proposto.