Controllo accessi biometrico: cosa consente il Garante privacy e cosa vieta

Usare il volto o l’impronta digitale per aprire una porta o registrare un ingresso è tecnicamente semplice, ma in Italia il controllo accessi biometrico resta uno dei trattamenti di dati personali più delicati. Il Garante privacy lo ha ribadito con una serie di sanzioni recenti: cinque società colpite nel 2024 per il riconoscimento facciale usato per le presenze, un istituto scolastico nel 2025 per le impronte digitali. La risposta breve è che la biometria non è vietata in sé, ma richiede una base giuridica precisa, una finalità che la giustifichi e misure di protezione documentate; per la rilevazione delle presenze dei dipendenti, secondo il Garante, oggi quella base manca.

L’articolo è pensato per security manager, responsabili di facility e DPO che valutano lettori biometrici per varchi, locali tecnici o postazioni. Mette in fila le regole del Codice privacy, cosa emerge dai provvedimenti del Garante, cosa cambia con il regolamento europeo sull’intelligenza artificiale e quali verifiche fare prima di installare un sistema.

Perché il controllo accessi biometrico è un trattamento speciale

Impronte, geometria della mano, volto e voce, quando servono a identificare una persona in modo univoco, sono dati biometrici: per il regolamento generale sulla protezione dei dati (GDPR) rientrano nelle categorie particolari dell’articolo 9, che ne vieta il trattamento salvo eccezioni. In Italia l’articolo 2-septies del Codice privacy aggiunge un livello: i dati biometrici possono essere trattati solo in presenza di una delle condizioni dell’articolo 9 e “in conformità alle misure di garanzia disposte dal Garante”, da adottare con un provvedimento almeno biennale.

Per chi si occupa di sicurezza il punto più rilevante è il comma 7 dello stesso articolo: con riferimento agli obblighi di sicurezza dell’articolo 32 del GDPR, è ammesso l’uso dei dati biometrici “con riguardo alle procedure di accesso fisico e logico ai dati da parte dei soggetti autorizzati”, sempre nel rispetto delle misure di garanzia. La norma apre quindi alla biometria come misura di protezione degli accessi ai dati e ai sistemi; non la estende in modo generale a qualunque varco o alla gestione del personale. Il comma 8 vieta la diffusione dei dati biometrici.

Presenze e riconoscimento facciale: le sanzioni del Garante

Il caso più ampio è quello comunicato nella newsletter del Garante del 28 marzo 2024. In un sito di smaltimento rifiuti cinque società usavano un sistema di riconoscimento facciale per controllare le presenze dei lavoratori. Le sanzioni ammontano a 103.000 euro in totale (70.000, 20.000, 6.000, 5.000 e 2.000 euro). Il Garante ha rilevato che nessuna norma consente di usare i dati biometrici per questa finalità, che tre società avevano condiviso lo stesso sistema per oltre un anno senza misure tecniche e di sicurezza adeguate, che il sistema era usato anche in altre nove sedi, che mancavano un’informativa chiara e la valutazione d’impatto. Oltre alle sanzioni ha ordinato la cancellazione dei dati e ha indicato strumenti meno invasivi, come il badge.

I singoli provvedimenti aggiungono dettagli utili. In quello da 20.000 euro (doc. web 9995762) il sistema riguardava 157 dipendenti in quattro sedi, dal luglio 2020 al gennaio 2023. L’azienda si basava sul consenso dei lavoratori: il Garante lo ha ritenuto non valido per lo squilibrio fra datore di lavoro e dipendente, e ha contestato la mancanza di una valutazione d’impatto documentata, obbligatoria per un trattamento di dati particolari con tecnologia innovativa. Ha inoltre ricordato che la deroga prevista per il rapporto di lavoro dall’articolo 9, paragrafo 2, lettera b) del GDPR opera solo se una norma la autorizza con garanzie adeguate. In un altro caso (doc. web 9995785) il dispositivo era stato installato “in prova” e poi dismesso, ma i dati biometrici non erano stati cancellati.

Nel 2025 il Garante ha sanzionato con 4.000 euro un istituto di istruzione superiore che usava lettori di impronte digitali, abbinati al badge, per il personale amministrativo, tecnico e ausiliario (doc. web 10138981). Il personale aveva dato il consenso e l’istituto non conservava le impronte ma i loro modelli matematici: per il Garante si tratta comunque di dati biometrici. Il provvedimento ricorda che la legge 56/2019, che aveva introdotto la rilevazione biometrica delle presenze nella pubblica amministrazione, è stata abrogata con la legge di bilancio 2021, e che già nel 2019 l’Autorità aveva giudicato sproporzionati i controlli biometrici sistematici e generalizzati.

Accesso ad aree sensibili: il precedente del 2014

Prima del GDPR il Garante aveva disciplinato la biometria con un provvedimento generale del 12 novembre 2014, illustrato nel comunicato del 26 novembre 2014. Allora alcuni usi erano esonerati dalla verifica preliminare dell’Autorità perché considerati a rischio più basso: l’autenticazione informatica, il controllo dell’accesso fisico ad aree “sensibili” e all’uso di macchinari pericolosi riservati a personale qualificato, la firma grafometrica e alcuni usi facilitativi con consenso e con un’alternativa per chi rifiuta. Le condizioni comprendevano l’informativa, la minimizzazione, la cifratura del riferimento biometrico; gli archivi biometrici centralizzati restavano esclusi dal regime semplificato.

Il meccanismo della verifica preliminare è stato superato dal GDPR, e il provvedimento va letto come riferimento storico. La distinzione che tracciava resta però coerente con l’articolo 2-septies: la biometria per proteggere l’accesso a dati, sistemi e locali critici da parte di persone autorizzate è un’ipotesi diversa dal controllo generalizzato delle presenze, su cui il Garante continua a esprimersi in senso negativo.

Cosa cambia con l’AI Act

Il regolamento (UE) 2024/1689 sull’intelligenza artificiale interviene su un piano diverso dal GDPR e si somma a esso. Due previsioni toccano direttamente i sistemi di accesso:

• Divieto di riconoscimento delle emozioni sul lavoro. Dal 2 febbraio 2025 l’articolo 5 vieta l’immissione sul mercato e l’uso di sistemi di IA per inferire le emozioni delle persone nel luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza. Alcuni sistemi di videoanalisi e di controllo accessi propongono funzioni di questo tipo: vanno disattivate o escluse in fase di acquisto.
• Verifica e identificazione. L’allegato III classifica come ad alto rischio i sistemi di identificazione biometrica remota, ma esclude espressamente quelli “la cui unica finalità è confermare che una determinata persona fisica è la persona che dice di essere”. Un lettore che confronta il volto o l’impronta con il modello associato al badge del titolare (verifica uno a uno) si colloca quindi in una posizione diversa da un sistema che riconosce chiunque passi davanti a una telecamera.

La classificazione nell’AI Act non rende lecito un trattamento sul piano della protezione dei dati: i due regolamenti vanno rispettati insieme. Il tema della videoanalisi con tecniche che riducono l’esposizione dei dati è approfondito nell’articolo sulle telecamere intelligenti privacy-preserving.

Biometria, badge e sistemi integrati

Le decisioni del Garante indicano il badge come alternativa meno invasiva per le presenze. Per l’accesso a locali e sistemi critici, invece, la combinazione di più fattori resta una scelta frequente nei progetti di sicurezza, e le soluzioni di controllo accessi integrato permettono di limitare la biometria ai soli varchi che la giustificano. Per i soggetti NIS, la protezione dell’accesso fisico ai sistemi rilevanti è un requisito esplicito delle misure di base dell’Agenzia per la cybersicurezza nazionale, come descritto nell’articolo su NIS2 e sicurezza fisica: la scelta della tecnologia, biometrica o no, va comunque motivata dalla valutazione del rischio.

Le verifiche prima di installare un lettore biometrico

1. Definire la finalità per iscritto: protezione dell’accesso a dati, sistemi o locali critici da parte di soggetti autorizzati, oppure rilevazione delle presenze. Nel secondo caso i provvedimenti del Garante indicano che manca oggi una base giuridica.
2. Individuare la condizione dell’articolo 9 del GDPR e verificare le misure di garanzia richieste dall’articolo 2-septies del Codice privacy; non fondare il trattamento sul consenso dei dipendenti.
3. Valutare alternative meno invasive (badge, codici, doppio fattore senza biometria) e documentare perché non bastano.
4. Svolgere e documentare la valutazione d’impatto prima dell’avvio, coinvolgendo il responsabile della protezione dei dati.
5. Preferire architetture di verifica uno a uno, con modello biometrico cifrato e senza archivi centralizzati, e stabilire tempi e modalità di cancellazione, anche per i dispositivi dismessi o installati in prova.
6. Regolare con contratto il ruolo del fornitore o installatore che accede ai dati (articolo 28 del GDPR).
7. Escludere funzioni di riconoscimento delle emozioni, vietate sul luogo di lavoro dall’AI Act, e verificare la classificazione del sistema nell’allegato III.
8. Fornire un’informativa chiara e completa: la sua mancanza è una delle violazioni contestate nei casi del 2024.