il parallelo

Privacy biometrica: l’approccio Usa (e la lezione per l’Europa)

Un caso relativo alla violazione del Biometric Information Privacy Act (BIPA), che negli Usa tutela le informazioni biometriche da abusi legati a uso e conservazione, potrebbe insegnare qualcosa anche al legislatore europeo, fermo restando i differenti approcci alla materia tra Ue e Usa

Pubblicato il 27 Mar 2019

Riccardo Berti

Avvocato e DPO in Verona

disney-biometrics-fingerprint-scanner-800x450

Una importante sentenza della Corte Suprema dell’Illinois ha chiarito definitivamente la portata di una essenziale normativa dello Stato sulla tutela delle informazioni biometriche, il Biometric Information Privacy Act (BIPA) (740 ILCS 14/1) del 2008 e ci permette di rilevare, oltre alle ben note e profonde differenze esistenti fra il sistema statunitense e quello comunitario, anche alcuni spunti interessanti per il legislatore europeo.

Il Biometric Information Privacy Act

Questa legge impone numerose restrizioni sull’utilizzo, la conservazione, l’informazione e l’eliminazione relativa ad identificatori biometrici, tra i quali la legge menziona le scansioni dell’iride o della retina, le impronte digitali, le impronte vocali, le impronte della mano o della geometria del volto nonché ulteriori informazioni biometriche.

Con riguardo agli obblighi in capo ai soggetti che trattano dati biometrici, il Biometric Privacy Information Act dispone che nessuno può raccogliere, acquistare o comunque acquisire i dati biometrici di una persona se non dopo averla informata per iscritto del trattamento del dato, dello scopo del trattamento e della durata dello stesso e dopo aver ricevuto il consenso scritto da parte dell’interessato medesimo.

L’esecuzione ed attuazione di questa disposizione sono lasciate al cosiddetto “private right of action”. La normativa non prevede quindi sanzioni ma piuttosto abdica la potestà punitiva all’iniziativa del singolo soggetto danneggiato.

L’art. 20 del cosiddetto “BIPA” dispone infatti che ogni persona danneggiata (“aggrieved”) dalla violazione delle disposizioni di cui alla normativa ha diritto di agire nei confronti di colui che l’ha violata e al risarcimento del danno patito, comprensivo di un’ingiunzione di fare o non fare, se necessaria, ed oltre alle spese.

Danno subito e meccanismo di risarcimento

Con riguardo al danno subito è interessante il meccanismo del risarcimento che, stante la difficoltà di fornire una esatta quantificazione del danno patito, prescrive una liquidazione minima di $ 1.000 per violazioni colpose e di $ 5.000 per le violazioni volontarie (qui è chiaro l’intento punitivo, più che compensativo, della misura).

È interessante notare come l’emanazione della normativa BIPA nel 2008 sia stata accompagnata da accorte osservazioni parlamentari, richiamate anche nella sentenza della Suprema Corte, secondo le quali “gli identificativi biometrici sono diversi dagli altri identificativi unici che utilizziamo per accedere alle nostre finanze o ad altre informazioni sensibili. Per esempio, il numero di social security, quando compromesso, può essere cambiato.  Le biometriche, invece, sono biologicamente uniche per ogni individuo; quindi, una volta compromesse, l’individuo non ha rimedi, ha un elevato rischio di subire un furto di identità, e probabilmente smetterà di servirsi di transazioni facilitate da dati biometrici”.

Il caso all’esame della Corte dell’Illinois

Venendo al caso specifico all’esame della Corte, si tratta di un parco divertimenti che per rilasciare pass stagionali chiedeva di registrare le impronte digitali dei clienti, così da regolare gli accessi attraverso dei tornelli muniti di scanner di impronte.

Nella primavera del 2014 la ricorrente acquistava online, per il figlio che di lì a poco avrebbe visitato il parco per in gita scolastica, un pass stagionale.

Recatosi al parco il quattordicenne convertiva l’acquisto online nel pass e accedeva al parco. Tornato a casa la madre gli chiedeva la documentazione rilasciata dal parco per l’acquisto del pass al che il figlio rispondeva “fanno tutto con la tua impronta ora”.

Nessuna informazione era stata fornita alla madre o al figlio prima di allora, tantomeno erano presenti informative scritte in proposito sul sito aziendale e, infine, nessun consenso all’acquisizione del dato era stato legittimamente prestato dagli interessati.

L’iter giudiziale

La madre agiva quindi avanti alla Corte Distrettuale di Lake County per far valere i propri diritti in forza del Biometric Information Privacy Act e per chiedere che il parco divertimenti venisse sanzionato.

Di fatto, la questione giudiziale si è concentrata sulla qualifica di “aggrieved party” (parte lesa/danneggiata/afflitta) in capo alla madre del ragazzo che ha conferito il dato biometrico, sebbene questa non abbia allegato un vero e proprio danno in capo al figlio, ma semplicemente una violazione formale.

La Corte Distrettuale negava però alla ricorrente la legittimazione ad agire, non avendo la stessa allegato un danno e non rivestendo quindi la qualifica di “aggrieved party”.

La questione viene a questo punto riproposta avanti alla Suprema Corte dell’Illinois, in un procedimento assimilabile a quello della nostra Suprema Corte di Cassazione -con finalità nomofilattiche- con il quale la Corte è chiamata a pronunciarsi sulla legittimazione ad agire di un ricorrente che lamenti una violazione del BIPA che lo riguarda direttamente, ma non allega un danno.

La Suprema Corte, nella sentenza 2019 IL 123186 del 25.01.2019, risolve la questione riconoscendo la legittimazione della ricorrente, sulla base di un articolato ed interessante ragionamento.

La Corte infatti richiama innanzitutto gli intenti della normativa, evidenziando i rischi connessi con la circolazione di informazioni biometriche insostituibili e il fatto che, ad oggi, non conosciamo appieno i meccanismi ed i pericoli di queste modalità di autenticazione.

A questo punto i Giudici sottolineano la chiara violazione della disciplina di cui al Biometric Information Privacy Act da parte del parco divertimenti, che ha omesso di informare per iscritto l’interessato del fatto che lo stesso avrebbe trattato e conservato i suoi dati biometrici e non ne ha raccolto il consenso.

Quanto all’esame della legittimazione della ricorrente pur in assenza della prova di un danno, la Corte esamina a fondo la normativa e segnala che l’impianto sanzionatorio è creato per essere attivabile solamente su istanza di parte e consente solamente la liquidazione dei danni nella misura vista sopra.

Di fatto quindi la normativa poggia sul “private right of action” e deve quindi incoraggiare l’azione degli interessati anche prima del verificarsi di un danno economicamente valutabile.

L’interpretazione di “parte lesa”

Del resto, ricorda la Corte, l’interpretazione di “parte lesa” (“aggrieved party”) è stata in altre pronunce estesa così da legittimare l’azione anche in assenza di danno economicamente valutabile, intendendosi con questa dicitura solamente limitare la possibilità di ricorso solamente a quei soggetti che abbiano vissuto in prima persona la violazione, escludendo denunce per sentito dire.

Il Biometric Information Privacy Act esce quindi rafforzato dalla pronuncia della Suprema Corte dell’Illinois, riconoscendo, di fatto, tutela preventiva per situazioni potenzialmente molto pericolose che non dovranno attendere il verificarsi di un danno per essere censurate.

Un parallelo Ue-Usa

Facendo un parallelo con la normativa europea ci accorgiamo delle profonde differenze esistenti fra il sistema statunitense e quello comunitario.

Considerando gli aspetti che più da vicino riguardano il caso in esame balza all’occhio in primo luogo che negli Stati Uniti non esiste ad oggi una disciplina federale armonizzata relativamente all’obbligo di informativa in tema di trattamento dati biometrici. La disciplina è lasciata ai singoli stati con profonde differenza fra l’uno e l’altro.

In secondo luogo, la legge emanata in Illinois evidenzia la tendenza statunitense a “privatizzare” il diritto alla privacy, onerando i singoli all’azione in caso di violazione e premiandoli con il corrispettivo delle “sanzioni” comminate in caso di azione vittoriosa.

L’approccio americano, sebbene parziale e suscettibile di applicazioni distorsive, può comunque insegnare qualcosa anche al legislatore europeo. Con questa tipologia di disciplina si spingono infatti gli interessati ad agire anche prima di subire un danno, così censurando e facendo emergere comportamenti contrari alla normativa privacy prima che gli stessi causino un danno agli interessati.

Si tratta di un sistema di controllo diffuso che contempera il monopolio pubblico della sanzione con l’iniziativa privata e che potrebbe, entro certi limiti, essere un interessante esperimento anche per la privacy europea.

Valuta la qualità di questo articolo

La tua opinione è importante per noi!

EU Stories - La coesione innova l'Italia

Tutti
Iniziative
Social
Analisi
Video
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia

Articoli correlati