Source: http://www.privacy.it/archivio/garantesanz200801236.html
Timestamp: 2018-02-25 15:20:59+00:00
Document Index: 86471719

Matched Legal Cases: ['art. 15', 'art. 4', 'art.18', 'art. 14', 'art. 3', 'art. 4', 'art. 17', 'art.13']

Prescrizioni e divieto del Garante: Avvocati, no all'uso delle impronte digitali nei corsi per praticanti
[v. Newsletter 12 febbraio 2008]
Provvedimento del 23gennaio 2008
NELLA riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componentie del dott. Giovanni Buttarelli, segretario generale;
VISTO il Codice in materia di protezionedei dati personali (d. lg. 30 giugno 2003, n. 196);
ESAMINATA la segnalazione pervenuta indata 10 ottobre 2007 avente a oggetto il trattamento di dati personalibiometrici effettuato a cura del Consiglio dell'Ordine degli avvocati di SantaMaria Capua Vetere al fine di verificare le presenze dei praticanti avvocati acorsi di formazione forense;
VISTA la documentazione acquisita aseguito delle richieste di informazioni rivolte dall'Autorit� al Consigliodell'Ordine e a Zucchetti S.p.A., societ� di produzione del sistema dirilevazione delle impronte digitali in questione;
VISTE le ulteriori note integrativepervenute dai segnalanti in ordine al trattamento dei dati personali;
VISTE le osservazioni dell'Ufficio,formulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;
Alcuni praticanti avvocati iscritti nelrelativo registro tenuto dal Consiglio dell'Ordine degli avvocati di S. MariaCapua Vetere hanno presentato a questa Autorit�, in data 10 ottobre 2007, unasegnalazione in merito alla predisposizione, da parte del Consiglio, di unsistema di rilevazione di dati personali biometrici mediante il prelievodell'impronta digitale, con finalit� di verifica della presenza dei praticantiavvocati alle lezioni tenute presso la Scuola di formazione forense.
Dalle risultanze acquisite dall'Autorit�emerge che il sistema denominato "GOT5EFR" raccoglie dati biometrici(c.d. enrollment) medianteapparecchiature elettroniche dotate di lettore di impronte digitali e diapposito software di decodifica.A seguito di tale raccolta il sistema trasforma l'immagine acquisita di unaporzione dell'impronta digitale degli interessati (nel caso di specie, ipraticanti avvocati) in un codice numerico (c.d. template), associandolo a ciascun iscritto alla Scuola conrelativa memorizzazione nel sistema informativo unico delle apparecchiatureinstallate. Il codice numerico �, poi, utilizzato quale termine diparagone con ciascuno dei codici numerici ricavati di volta in volta dallalettura delle impronte digitali degli interessati, rilevate, in occasione diogni ingresso nelle aule, attraverso lettori dislocati in diverse aree dellaScuola e connessi al sistema informativo centralizzato.
Secondo il Consiglio, il trattamento didati biometrici sarebbe giustificato dalla necessit� di disporre di uncontrollo degli accessi volto a evitare "assembramenti" e "intrusioni di estranei" verificatisi in occasione di "furti ed attivandalici con danno ai corsisti e danneggiamento delle strutture", nonch� di asseriti "abusivi scambi ditesserini" da parte dipraticanti, con conseguente minor aggravio delle spese di gestione. Alriguardo, il Consiglio dell'Ordine, con nota del 31 ottobre 2007, ha affermatoche il predetto trattamento dei dati biometrici permetterebbe un rivelamentodelle presenze "affidabile per la identificazione certa delcorsista, veloce per evitare pericolosi assembramenti e file, riduttivodei costi di personale" e che "leapparecchiature appena istallate non sono state ancora utilizzate esperimentate", avendo ancorabisogno di "preparazione e collaudo".
Successivamente, i segnalanti hannoriferito che sono state svolte ripetute attivit� di trattamento di datibiometrici da parte del Consiglio dell'Ordine mediante acquisizione delleimpronte digitali, in particolare nei giorni 8, 17 e 19 novembre 2007; taliattivit� sarebbero continuate nel mese di dicembre "con una certaintensit�", stante l'intenzioneche avrebbe manifestato il Consiglio di concludere le operazioni di raccolta edi memorizzazione delle impronte entro il mese di gennaio 2008, inibendosuccessivamente l'accesso alle aule a coloro che non abbiano fornito le proprieimpronte digitali.
CI� PREMESSO IL GARANTEOSSERVA
1. Princ�pi applicabili Il casosottoposto all'esame del Garante integra un trattamento di dati personali.
I dati biometrici rilevati (porzionedell'impronta digitale) sono informazioni ricavate dalle caratteristichefisiche di interessati che si vorrebbero identificare in modo univoco medianteun modello di riferimento (template).
Sia le impronte dattiloscopiche, ancorch�raccolte in modo parziale e solo ai fini del completamento della fase dell'enrollment, sia i codici numerici successivamente utilizzatiper le descritte operazioni di confronto, in quanto informazioni riferibili aisingoli praticanti, sono dati di carattere personale (art. 4, comma 1, lett.b), del Codice: v. Provv. 21 luglio 2005 e 23novembre 2005). Ne discendel'applicazione della disciplina contenuta nel Codice nella fase della raccolta(enrollment) e in relazione allesuccessive operazioni di confronto (con il correlato tracciamento degli oraridi ingresso alle aule).
Il sistema deve essere, pertanto, valutatosul piano della conformit� ai princ�pi di liceit�, necessit�, proporzionalit�,finalit� e correttezza (artt. 3 e 11 del Codice).
2. Il trattamento di dati biometrici nelcaso di specie Il trattamento di dati personali da parte di un ordineprofessionale, quale il predetto Consiglio, ricade nell'ambito delle previsionidi legge relative al trattamento effettuato da soggetti pubblici, i qualipossono trattare dati personali "soltanto per lo svolgimento dellefunzioni istituzionali" (art.18, comma 2, del Codice).
Tra le funzioni che l'ordinamentoattribuisce ai consigli dell'ordine rilevano, tra l'altro, quella dellavigilanza sull'esercizio della pratica forense e quelle connesse al poteredisciplinare nei confronti degli iscritti nei registri dei praticanti (art. 14,comma 1, lett. a) e c), r.d.l. 27 novembre 1933, n. 1578, recantel'"Ordinamento delle professioni di avvocato e procuratore"). Inparticolare, il regolamento relativo alla pratica forense per l'ammissioneall'esame di procuratore legale (d.P.R. 10 aprile 1990, n. 101) prevede che "iconsigli dell'Ordine possono istituire scuole di formazione professionale lacui frequenza integra la pratica forense" (art. 3, comma 1) e che �, altres�, "compitodei consigli dell'Ordine vigilare sull'effettivo svolgimento del tirocinio daparte dei praticanti procuratori nei modi previsti dal regolamento, e con imezzi ritenuti pi� opportuni"(art. 4, comma 3).
Pu� pertanto ritenersi che tra i compitidel Consiglio dell'Ordine rientri anche quello di sovraintendere al regolareespletamento dei corsi di formazione dei praticanti iscritti, verificando laloro effettiva partecipazione alle lezioni della Scuola.
Pur riguardando una funzione istituzionale,il trattamento in esame non risulta per� conforme ai princ�pi di necessit� e diproporzionalit� (artt. 3 e 11 del Codice).
L'utilizzo di dati particolarmentesignificativi quali quelli relativi alle impronte digitali pu� essere infattigiustificato per soddisfare specifiche esigenze relative alla sicurezza di benie di persone, laddove si evidenzi, sulla base di obiettive e documentatecircostanze, una situazione di elevato rischio (cfr. Provv. 15 giugno 2006, Verifica preliminare in pari data; e Provv. 27ottobre 2005).
Non pu� invece ritenersi lecito l'uso deidati biometrici per generiche esigenze di sicurezza e di mero ausilio alrispetto delle regole scolastiche e deontologiche, specie laddove esso riguardila raccolta di dati particolari, come le impronte digitali, per i quali occorreperaltro individuare specifici accorgimenti volti a prevenire eventualiutilizzi impropri e possibili abusi (art. 17 del Codice).
Anche in queste ipotesi, il titolare deltrattamento deve rispettare i princ�pi di necessit� e di proporzionalit� (artt.3 e 11), restando impregiudicata la facolt� di adottare altri sistemi dicontrollo degli accessi che escludano l'utilizzo di dati biometrici, in gradodi consentire parimenti un'efficace attivit� di verifica dell'identit�personale degli interessati ma, al tempo stesso pi� rispettosi della sferapersonale degli individui (quali, ad esempio, l'utilizzo di tesserini magneticie l'effettuazione di controlli "a vista" dei partecipanti).
Il trattamento in esame non risultaproporzionato anche in considerazione delle specifiche modalit� tecnicheprefigurate (centralizzazione dei codici identificativi derivati dall'esame deldato biometrico), in luogo di altri accorgimenti meno invasivi quale, adesempio, la memorizzazione del codice identificativo su un supporto che restinell'esclusiva disponibilit� dell'interessato.
3. Adempimenti in capo al titolare deltrattamento Dalle informazioni acquisite non risulta, altres�, che si siapredisposta un'idonea informativa, la quale non pu� limitarsi a delineareesclusivamente le finalit� del trattamento (come indicato dal Consigliodell'Ordine), dovendo includere anche gli altri elementi prescritti dall'art.13 del Codice.
Parimenti, non risulta dagli atticomprovata la predisposizione di tecniche alternative per la rilevazione dellepresenze, per tutte le ipotesi in cui l'interessato non possa, per le propriecaratteristiche fisiche, o non intenda acconsentire alla rilevazione biometricain questione.
Per di pi�, allo stato delladocumentazione disponibile, non � possibile ricavare con certezza se sianoadeguate le misure di sicurezza predisposte, soprattutto in termini di affidabilit�del sistema che si intende installare, di utilizzo di tecniche di cifratura deidati, di sicurezza della rete di comunicazione elettronica sulla quale i datibiometrici sono trasmessi al sistema centralizzato di acquisizione dati.
Infine, � necessario osservare che ilConsiglio dell'Ordine non ha provveduto a notificare preventivamente al Garanteil trattamento dei dati biometrici cos� come previsto dalla legge (artt. 37,comma 1, lettera a), e 38 del Codice).
Al riguardo, questa Autorit� si riserva diverificare, con autonomo procedimento, i presupposti per contestare leviolazioni amministrative concernenti l'informativa e la notificazione alGarante (artt. 13 e 161; artt. 37, 38 e 163 del Codice).
TUTTO CI� PREMESSO, ILGARANTE
a) vieta, ai sensi degli artt. 143,comma 1, lett. c) e 154, comma 1, lett. d), al Consiglio dell'Ordine degliAvvocati di Santa Maria Capua Vetere, in qualit� di titolare deltrattamento, il trattamento in qualunque forma, di dati personali biometricidei praticanti avvocati.