Source: https://www.privacyitalia.eu/gdpr-riconoscimento-facciale-e-dati-biometrici-il-caso-svedese/11525/
Timestamp: 2020-07-16 17:27:40+00:00
Document Index: 2317121

Matched Legal Cases: ['art. 9', 'art. 2', 'art. 6', 'art. 6', 'art. 9', 'art. 9', 'art. 9']

Home | GDPR, riconoscimento facciale e dati biometrici. Il caso svedese
Un caso curioso arriva dalla Svezia dove il Garante Privacy ha sanzionato per circa 20mila euro una scuola svedese. Il motivo? L’istituto aveva implementato un sistema di riconoscimento facciale al fine di monitorare la presenza degli alunni durante le lezioni.
L’autorità di controllo per la protezione dei dati personali svedese ha emesso un provvedimento con il quale ha sanzionato una scuola con il pagamento di circa 20.000,00 euro. Il provvedimento è attualmente disponibile soltanto in lingua svedese; di seguito, pertanto, si propone una lettura della notizia con un sintetico commento privo di approfondimenti.
Come è noto, il Regolamento (UE) 2016/79 (GDPR) al considerando (51) afferma, fra l’altro: “Il trattamento di fotografie non dovrebbe costituire sistematicamente un trattamento di categorie particolari di dati personali, poiché esse rientrano nella definizione di dati biometrici soltanto quando saranno trattate attraverso un dispositivo tecnico specifico che consente l’identificazione univoca o l’autenticazione di una persona fisica”.
6(1)(c)“il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”; deve sussistere un obbligo di legge.
6(1)(e)“il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”. Le scuole eseguono un compito di interesse pubblico; questa condizione va coordinata con quanto disposto dall’art. 9(2)(g) e precisamente “il trattamento è necessario per motivi di interesse pubblico rilevante”. Il codice privacy italiano, così come modificato dal D. Lgs. 101/2018, menziona all’art. 2-sexies (Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante) la seguente ipotesi che costituisce motivo di interesse pubblico rilevante: “bb) istruzione e formazione in ambito scolastico, professionale, superiore o universitario”.
Non sembra facile, invece, collocare il trattamento dei dati personali per finalità di verifica delle frequenze scolastiche nell’ipotesi prevista dall’art. 6(1)(f)secondo la quale “il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore”. La condizione di liceità prevista dal citato art. 6(1)(f) – il legittimo interesse del titolare del trattamento meriterebbe particolare approfondimento sia in relazione al considerando (47) sia riguardo alla produzione del Comitato europeo per la protezione dei dati personali (EDPS, già Art. 29WP).
art. 9(2)(e)“il trattamento riguarda dati personali resi manifestamente pubblici dall’interes-sato”, sempre che si sia in grado di dimostrare tutto ciò.
art. 9(2)(f)“il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali”, ma in questo caso la finalità del trattamento non potrà essere quella della verifica della frequenza scolastica, ma probabilmente la tutela del patrimonio (es. installazione di sistemi di video-sorveglianza).
art. 9(2)(g)“il trattamento è necessario per motivi di interesse pubblico rilevante” si ri-manda a quanto precedentemente evidenziato.
Fonte: Key4biz.it | di Nicola Fabiano, Studio Legale Fabiano