La Corte di Cassazione, Prima Sezione Civile, con sentenza n. 12967 del 13 maggio 2024 si è pronunciata in ordine ai principi che reggano un utilizzo lecito di sistemi di intelligenza artificiale che implichino trattamento di dati biometrici.
Nel caso di specie, un’università italiana aveva utilizzato un programma finalizzato ad accertare eventuali scorrettezze da parte degli studenti, nell’ambito dello svolgimento degli esami a distanza, catturando le immagini video e la schermata dello studente, contrassegnando i momenti in cui erano rilevati comportamenti insoliti o sospetti mediante registrazione video e istantanee scattate a intervalli casuali, al fine di tenere traccia di comportamenti anomali.
Questo il principio di diritto affermato dalla Cassazione:
In tema di trattamento dei dati personali, ai sensi dell’art. 9 del Regolamento (UE) 2016/679, ricorre un trattamento di dati biometrici, come definiti dall’art. 4, n.14 del Regolamento 2016/679, quando i dati personali sono ottenuti mediante un trattamento tecnico automatizzato specifico, realizzato con un software che, sulla base di riprese e analisi delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, le elabora, evidenziando comportamenti o elementi anomali, e che perviene a un esito conclusivo, costituito da una elaborato video/foto che consente (o che conferma) l’identificazione univoca della persona fisica, restando irrilevante la circostanza che l’esito finale del trattamento sia successivamente sottoposto alla verifica finale di una persona fisica.
La Cassazione ha stabilito in sostanza che, sebbene il trattamento di fotografie non costituisca, di per sé, un trattamento di categorie particolari di dati personali, si configura comunque un trattamento di dati biometrici quando le fotografie siano trattate attraverso un dispositivo tecnico specifico, che consenta l’identificazione univoca o l’autenticazione di una persona fisica.
Secondo la Corte, nel caso di specie, le riprese video e le foto realizzate non avevano solo la funzione di documentare la prova di esame, ma elaboravano e selezionavano il materiale raccolto, al fine di individuare e segnalare comportamenti anomali: l’attività realizzata dal programma integrava dunque un autonomo e articolato trattamento dei dati biometrici, acquisiti ed elaborati dallo stesso software, confermando inoltre l’identità della persona fisica esaminata; l’esito di detta elaborazione era infatti sottoposto solo in un secondo momento al docente per la sua valutazione in ordine alla regolarità della prova.
Come affermato nelle richiamate linee Guida dell’European Data Protection Board (EDPB) n. 3/2019, il ricorso a tecnologie biometriche deve avvenire nel rispetto dei principi di liceità, necessità, proporzionalità e minimizzazione dei dati personali: i titolari del trattamento dovrebbero sempre valutare preliminarmente l’impatto sui diritti e sulle libertà fondamentali, prediligendo mezzi meno intrusivi.