Le telecamere con riconoscimento facciale si differenziano da altri sistemi di videosorveglianza, pure utilizzanti telecamere e basati sull’intelligenza artificiale, per il fatto di essere supportate dalla tecnologia biometrica, che consente di riconoscere l’identità delle persone riprese tramite, appunto, i loro dati biometrici.
Le modalità attraverso le quali può essere applicato il riconoscimento facciale sono diverse. Una di queste consiste nel tracciare e raccogliere dati biometrici, come la distanza tra le pupille, la grandezza del naso o altri dettagli del viso, analizzare i pixel del volto umano e infine paragonare i risultati con altre immagini presenti in un database.
In alternativa, si utilizzano tecniche di machine learning dell’AI. In questo caso il sistema di computer vision riconosce i volti delle persone a partire da migliaia di immagini diverse contenute in un database. Poiché i dati biometrici sono considerati dati sensibili, i sistemi di riconoscimento facciale sono soggetti a particolari regole e limitazioni d’uso.
Tuttavia, non tutte le fotografie e le riprese video rientrano nella categoria dei dati biometrici. Secondo il considerando 51 del GDPR è necessario che il trattamento sia effettuato attraverso un processo tecnico specifico che consenta l’identificazione univoca o l’autenticazione di una persona fisica.
Telecamere con riconoscimento facciale: la normativa europea
GDPR
I dati biometrici sono definiti dall’art. 4, par. 1, n. 14, del Regolamento europeo sulla protezione dei dati 2016/679 (GDPR), come quei “dati personali ottenuti da un trattamento tecnico specifico, relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica e che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”.
Quando questi dati sono “tesi a identificare in modo univoco una persona fisica” rientrano nelle “categorie particolari di dati” di cui all’art. 9 del GDPR e sono sottoposti a divieto di trattamento se non sia soddisfatta una delle seguenti condizioni:
- consenso dell’interessato;
- necessità di interesse pubblico (quando prevista per legge);
- necessità in ragione di obblighi o diritti in materia di diritto del lavoro e della sicurezza sociale e protezione sociale.
Nell’uso di telecamere per il riconoscimento facciale occorre tenere presente l’art. 35 del GDPR, che prevede quando l’uso di nuove tecnologie – considerati la natura, l’oggetto, il contesto e le finalità del trattamento – può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, la necessità di una valutazione d’impatto dei trattamenti previsti sulla protezione dei dati personali (Dpia).
Linee guida del Consiglio d’Europa e del Parlamento Europeo
All’inizio del 2021, il Consiglio d’Europa – che riunisce 47 paesi – ha emanato le sue “Guidelines on Facial Recognition” tramite il Comitato della Convenzione 108, linee “di indirizzo” per i governi, i legislatori, i fornitori e le imprese. Queste indicazioni sono state riprese nella Proposta di Regolamento europeo sull’AI, emanata dal Parlamento europeo ad aprile 2021.
Secondo tale Regolamento, il riconoscimento biometrico in tempo reale negli spazi pubblici da parte delle forze dell’ordine è proibito. Costituiscono eccezioni la ricerca di vittime di un reato o di bambini scomparsi, la prevenzione di minacce come gli attacchi terroristici, l’individuazione, la localizzazione, l’identificazione di un criminale o un sospettato (punibile con una pena di almeno 3 anni per reati previsti dall’articolo 2 della decisione 2002/584/JHA, tra i quali figurano terrorismo, pedopornografia o tratta di essere umani). Il riconoscimento facciale in tempo reale può essere usato solo dopo un’attenta valutazione della gravità della situazione e del rischio maggiore per l’incolumità nel caso in cui non venisse usato, nonché del rischio per i diritti fondamentali. Inoltre, esso dovrà essere usato in modo proporzionato, provvisorio e geograficamente limitato e previo autorizzazione del giudice (ma sono previsti casi di emergenza in cui l’autorizzazione potrà essere a posteriori).