Riconoscimento facciale, il decreto del Governo tarda: c’è il nodo dei dati senza autorizzazione

Lo schemda di decreto che attua l’Ai Act, approvato ad agosto dal Cdm, impone di eliminare immagini e risultati raccolti senza autorizzazione. Ma introduce un’eccezione senza definire con precisione i confini. Il teso attende di essere pubblicato in Gazzetta ufficiale

Il sistema di riconoscimento facciale è acceso in un luogo pubblico. Inquadra i volti, li acquisisce, li confronta. Ma il procuratore della Repubblica non ha autorizzato l’operazione oppure i termini previsti non sono stati rispettati. La regola, nello schema di decreto sull’intelligenza artificiale nelle attività di polizia, sembra netta: l’uso è «immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati».

Sembra. Perché subito dopo la norma apre una porta: «fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica». Quale? E in quali casi le immagini raccolte senza l’autorizzazione prevista possono essere conservate? Lo schema, salvo un riferimento al decreto legislativo 51 del 2018 sul trattamento dei dati personali in attività di polizia, non lo chiarisce. Ed è qui che emerge il rischio di un buco normativo sulla gestione dei dati biometrici.

Il punto è contenuto nell’articolo 8, comma 8, dello schema approvato il 4 agosto dal Consiglio dei ministri. È il decreto legislativo chiamato ad adeguare l’ordinamento italiano al Regolamento Ue 2024/1689, il cosiddetto Ai Act, disciplinando anche l’impiego dell’intelligenza artificiale nelle attività di polizia.

Il riconoscimento biometrico in tempo reale viene ammesso, ma entro limiti rigorosi. La formulazione adottata dal governo, tuttavia, lascia aperto un passaggio decisivo: il destino dei dati che non devono essere cancellati perché «acquisiti legittimamente sotto altra base giuridica».

Lo schema non individua espressamente i casi. Richiama soltanto il decreto legislativo 51 del 2018, che regola il trattamento dei dati personali da parte delle autorità competenti per finalità di prevenzione, indagine, accertamento e perseguimento dei reati. Il perimetro concreto dell’eccezione, però, resta da definire.

L’articolo 8 disciplina i «Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati».

Le Forze di polizia possono utilizzare il riconoscimento biometrico in tempo reale nei luoghi pubblici per prevenire minacce specifiche e cercare persone scomparse oppure vittime di sequestro, tratta e sfruttamento sessuale. Il confronto può avvenire esclusivamente attraverso una banca dati costruita «appositamente per ciascun utilizzo».

La richiesta può essere presentata dal questore, dai comandanti provinciali dei carabinieri e della Guardia di finanza oppure dai responsabili dei servizi centrali. La decisione spetta al procuratore della Repubblica del capoluogo di distretto.

L’autorizzazione deve riguardare uno specifico evento oppure il tempo strettamente necessario. Può durare al massimo quindici giorni ed essere prorogata, con decreto motivato, per altri quindici. Deve inoltre delimitare l’area interessata e indicare le persone ricercate.

Se queste condizioni non vengono rispettate o l’autorizzazione non arriva, il sistema deve essere bloccato. I dati devono essere cancellati e i risultati «non possono essere utilizzati».

La previsione, però, contiene l’eccezione degli elementi «acquisiti legittimamente sotto altra base giuridica». Ed è proprio qui che il meccanismo perde chiarezza. La norma non precisa quali siano queste basi giuridiche né stabilisce in quali circostanze le immagini possano essere conservate nonostante la mancanza dell’autorizzazione richiesta per l’identificazione biometrica in tempo reale.

Il rischio è che una garanzia formulata in termini rigorosi – stop immediato del sistema, cancellazione dei dati e inutilizzabilità dei risultati – venga indebolita da una clausola dai confini ancora incerti.

È stato il Garante della privacy a sollevare formalmente il problema. Nel parere n. 531 del 14 luglio (relatrice la vicepresidente Ginevra Cerrina Feroni), favorevole allo schema ma con condizioni, ha rilevato che «permangono tuttavia margini di incertezza circa le deroghe previste in relazione alla cancellazione dei dati acquisiti illegittimamente» e ha avvertito che va evitata la conservazione dei dati in presenza di un’«altra base giuridica» genericamente individuata, con «sostanziale depotenziamento delle tutele previste dal decreto legislativo 18 maggio 2018, n. 51». Da qui la condizione: circoscrivere le deroghe «alla ricorrenza dei soli presupposti di liceità individuati dalla norma», con i requisiti per conservare i dati «da tipizzare normativamente».

Il governo, tuttavia, non ha indicato nello schema i singoli casi nei quali la conservazione sarebbe consentita. Il testo contiene soltanto il rinvio al decreto legislativo 51 del 2018, lo stesso di cui il Garante vedeva depotenziate le tutele, lasciando irrisolta la questione centrale: quando possono rimanere disponibili immagini e informazioni biometriche raccolte in assenza dell’autorizzazione?

Il nodo sarebbe tra quelli che stanno ritardando la pubblicazione del provvedimento in Gazzetta ufficiale. Nei giorni scorsi il presidente del Garante, Pasquale Stanzione, ha fissato il confine: «il riconoscimento facciale ha una rilevante utilità investigativa se utilizzato in maniera circoscritta e con ogni garanzia. Non deve trasformarsi, però, in uno strumento di sorveglianza massiva e indiscriminata».