Violano il GDPR le carte per accedere ai servizi pubblici che utilizzano i dati biometrici dei cittadini
Il Dipartimento per la protezione sociale del Governo irlandese è stato multato per 550.000 euro dopo che l’autorità per la protezione dei dati (Data Protection Commission) aveva riscontrato “una serie di carenze” nel rispetto delle norme europee sulla privacy relativamente all’uso delle scansioni facciali nell’emissione di carte dei servizi pubblici, strumenti molto diffusi, dato che nel 2021 il dipartimento governativo irlandese era in possesso di dati biometrici di circa il 70% della popolazione.
Al Dipartimento governativo è stato inoltre ordinato di trovare una valida base giuridica per l'uso di scansioni facciali e software di corrispondenza facciale per la registrazione di carte dei servizi pubblici entro 9 mesi, o altrimenti di cessare di usare i dati biometrici dei cittadini irlandesi.
L’autorità ha stabilito che il processo utilizzato “Safe 2” non rispetta le soglie legali necessarie per l'elaborazione dei dati delle categorie particolari di dati ai sensi dell’art.9 del GDPR, rilevando inoltre che la conservazione dei dati biometrici viola il Regolamento UE, e che l’organismo governativo non aveva neanche operato con un’adeguata trasparenza nei confronti degli interessati.
Inoltre, la valutazione d'impatto sulla protezione dei dati del dipartimento è stata giudicata carente in quanto mancava di dettagli critici sulla natura e sulla portata del trattamento dei dati coinvolti.
La decisione è il risultato di un'indagine che la Commissione per la protezione dei dati è iniziata nel luglio 2021, esaminando l'elaborazione da parte del dipartimento dei modelli facciali biometrici e l'uso di tecnologie di corrispondenza facciale come parte del processo di registrazione per la carta dei servizi pubblici.
Il dipartimento utilizza la registrazione Safe 2 per verificare l'identità quando si accede ai servizi pubblici. Il processo prevede una foto del richiedente, che viene quindi eseguita attraverso il software per verificare le immagini utilizzate in altre registrazioni con Safe 2.
Se il Dipartimento per la protezione sociale non sarà in grado di stabilire un quadro giuridicamente valido entro i primi del 2026, sarà legalmente obbligato a cessare l'elaborazione dei dati biometrici relativi all'emissione di carte dei servizi pubblici, sollevando in tale eventualità diversi interrogativi sul futuro delle alternative da adottare alla carta che utilizza i dati biometrici come gateway di accesso per i servizi sociali in Irlanda.
