Recensiamo la sentenza della Cassazione Civile in tema di trattamento dati biometrici con riferimento a un software utilizzato per il controllo di esami .
La Corte di Cassazione si pronuncia su un ricorso del Garante privacy con cui ha impugnato una sentenza del Tribunale di Milano che aveva parzialmente annullato il provvedimento adottato dal Garante all’esito di una attività di controllo.
L’attività ispettiva era stata svolta a seguito del reclamo di uno studente concernente l’impiego di un sistema di supervisione “proctoring”, nell’ambito dello svolgimento delle prove scritte d’esame degli studenti, al fine di identificare questi ultimi e/o di verificarne il corretto comportamento durante lo svolgimento della prova d’esame in video conferenza anche in tema di trattamento dati biometrici .
*
Il sistema era stato acquistato dall’Università, nell’aprile 2020, stante la necessità – a seguito dell’emergenza pandemica – di svolgere gli esami speciali con il sistema della video conferenza ed era finalizzato a verificare la genuinità della prova e limitando al massimo i rischi di alterazione della medesima.
Un software del cui utilizzo gli studenti erano stati informati attraverso comunicazioni relative alle nuove modalità di svolgimento delle prove d’esame.
Il sistema viene così descritto:
«cattura le immagini video e lo schermo dello studente identificando e contrassegnando con un flag i momenti in cui sono rilevati comportamenti insoliti e/o sospetti mediante registrazione video e istantanee scattate a intervalli casuali per tenere traccia di comportamenti anomali… Al termine della prova, il sistema elabora il video, inserendo segnali di allerta in merito a possibili indici di comportamenti scorretti …affinché il docente … possa poi valutare se effettivamente sia stata commessa un’azione non consentita nel corso della prova».
Il Garante aveva contestato una serie di violazioni tra cui quelle inerenti a un trattamento dati biometrico e quindi la necessità che si applicasse l’articolo 9 del GDPR.
*
Il Tribunale aveva escluso che, nella fattispecie in esame, potesse trovare applicazione l’art.9 del regolamento 679/2016 (GDPR), in tema di trattamento dati biometrici, come invece ritenuto dal Garante, osservando:
. che il regime ivi delineato è applicabile unicamente al trattamento di dati biometrici «intesi a identificare in modo univoco una persona fisica»;
. che il trattamento di dati biometrici per finalità identificative si riferisce al riconoscimento automatico di persone fisiche basato su una rappresentazione analogica o digitale di una caratteristica biometrica ottenuta al termine di un processo di acquisizione;
. che non ricorreva un trattamento di dati biometrici secondo il ciclo di vita dei dati biometrici, costituito dalla sequenza in quattro fasi —secondo la Descrizione accreditata dal Garante per la protezione dei dati personali, Linee Guida in materia di riconoscimento biometrico e firma grafometrica, 12 novembre 2014.
In particolare, le suddette linee guida individuavano le seguenti fasi:
. Prima fase o rilevamento tramite sensori specializzati (ad es. scanner per il rilevamento dell’impronta digitale) o dispositivi di uso generale (ad es. videocamera) di caratteristiche biometriche (ad es. viso dell’individuo);
. Seconda fase, secondo cui, a seguito del rilevamento si acquisisce un campione biometrico (ad es. immagine del viso);
. Terza fase, quella per cui dal campione biometrico vengono estratti tratti biometrici (ad es. specifici punti del viso) idonei a costituire il modello biometrico che sarà conservato in una banca dati;
. Quarta fase, cd. del confronto (o di match), ove il modello biometrico viene confrontato con le effettive caratteristiche dell’individuo e il confronto in parola consente la identificazione univoca della persona fisica.
*
In particolare, il Tribunale ha affermato che la mera acquisizione di una foto (o di una registrazione video) non configura un trattamento dati biometrici, bensì di dati comuni.
Di contro, il trattamento in parola implica ricavare – da una foto o da un video – caratteristiche biologiche per derivarne un modello matematico del volto del soggetto ritratto, a fini di riconoscimento dello stesso e che, nel caso in esame, non era configurabile il trattamento di dati biometrici perché tale finalità non era contemplata nel meccanismo attuato dal software, giacché ogni eventuale valutazione era lasciata al docente e non vi era alcuna dimostrazione che la quarta fase, precedentemente indicata (cd. del confronto o del match), fosse stata concretamente attuata.
Ha, quindi, ritenuto applicabile la disciplina prevista per i dati personali comuni, ex art. 6 del reg. 679/2016, e proceduto alla disamina della fattispecie in relazione ad esso.
*
La Cassazione ha accolto il ricorso del Garante ed ha annullato la sentenza affermando il seguente principio di diritto:
«In tema di trattamento dei dati personali, ai sensi dell’art.9 del Reg (UE) 2016/679, ricorre un trattamento di dati biometrici, come definiti dall’art. 4, n.14 del Regolamento 2016/679, quando i dati personali sono ottenuti mediante un trattamento tecnico automatizzato specifico, realizzato con un software che, sulla base di riprese e analisi delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, le elabora, evidenziando comportamenti o elementi anomali, e che perviene a un esito conclusivo, costituito da una elaborato video/foto che consente (o che conferma) l’identificazione univoca della persona fisica, restando irrilevante la circostanza che l’esito finale del trattamento sia successivamente sottoposto alla verifica finale di una persona fisica».
Cassazione Civile 12967 del 13.05.2024
3 giugno 2024
