[doc. web n. 30947] Videosorveglianza - Raccolta di impronte digitali associate ad immagini per l’accesso a banche Viola il c.d. principio di proporzionalità, e va vietata, la rilevazione di impronte digitali associate ad immagini nei confronti di chiunque entri in una banca, giustificata da una generica esigenza di sicurezza e in mancanza di specifici elementi che evidenzino una concreta situazione di rischio. Ulteriori sistemi di controllo video devono essere oggetto di informativa. IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, con la partecipazione del prof. Giuseppe Santaniello, vice-presidente, che presiede la riunione, del prof. Ugo De Siervo e dell'ing. Claudio Manganelli, componenti e del dott. Giovanni Buttarelli, segretario generale; Viste le note della Banca Federata Unicredito Italiano S.p.a. del 3 ottobre 2000 e 26 febbraio 2001; VISTI gli atti d'ufficio; VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 adottato con deliberazione n. 15 del 28 giugno 2000 e pubblicato sulla Gazzetta Ufficiale della Repubblica Italiana n. 162 del 13 luglio 2000; Relatore il Prof. Giuseppe Santaniello; PREMESSO: Con nota del 3 ottobre 2000 la Banca Federata Unicredito Italiano S.p.a. ha informato questa Autorità che presso alcune agenzie di Lainate, Milano (Via Ricciarelli), Cesano Maderno e Nichelino dello stesso istituto sono stati adottati, in via sperimentale, alcuni dispositivi che registrano le impronte dei clienti che accedono alle suddette agenzie, mediante l’impiego di un lettore di impronte digitali. Questa Autorità ha quindi avviato i necessari accertamenti chiedendo in primo luogo alla predetta società di integrare le informazioni fornite e di esibire documenti sui dispositivi adottati comunicando, in particolare, se i dispositivi siano stati disattivati a seguito del provvedimento del Garante dell’11 dicembre 2000 adottato nei confronti dell’Istituto San Paolo Imi. OSSERVA: Il Garante ha richiamato più volte l'attenzione degli operatori sulla circostanza che la legge n. 675/1996 è applicabile anche al trattamento di particolari categorie di dati personali quali immagini, suoni ed impronte digitali, ed ha fornito diverse indicazioni sulle disposizioni di tale legge applicabili alla tematica della sorveglianza ee illustrate nel provvedimento del 29 novembre 2000 (pubblicato sul sito web del Garante www.garanteprivacy.it). In particolare, in relazione alla raccolta di dati svolta mediante rilevatori di impronte digitali, il Garante si è già pronunciato con il provvedimento dell’11 dicembre 2000, vietando tale tipo di trattamento. L’Istituto bancario destinatario del provvedimento citato, in adempimento di quanto indicato dall’Autorità, ha assicurato la disattivazione di tutti i dispositivi di rilevazione delle impronte, nonché la riformulazione dell’informativa relativa al sistema di controllo video. Nel caso di specie risultano invece installati sistemi di rilevazione dati tuttora attivi presso gli sportelli di Lainate, Milano (Via Ricciarelli), Cesano Maderno e Nichelino della Banca federata Credito Italiano S.p.a., consistenti in dispositivi di lettura delle impronte digitali associati a telecamere situate all'ingresso dei medesimi sportelli bancari. Il sistema di rilevazione delle impronte e di controllo video è annunciato da un cartello relativo alla "Sicurezza del personale e della clientela", recante la dicitura: "Il Credito Italiano Spa per garantire alla clientela e al proprio personale una sempre maggior sicurezza ha attivato presso questo sportello un sofisticato sistema di controllo accessi basato sulla rilevazione dell’immagine e dell’impronta digitale delle persone che accedono allo sportello. Le immagini registrate non sono comunicate a terzi, vengono cancellate dopo un periodo massimo di 7 giorni e conservate in relazione a illeciti che si siano verificati a disposizione esclusiva delle indagini delle Forze dell’Ordine. Titolare del trattamento ai sensi della legge 675/96 è la sottoscritta banca Credito Italiano Spa e Responsabile è il Responsabile della Direzione Operativa della banca. Per l’esercizio dei diritti di cui all’art. 13 della legge gli interessati possono rivolgersi al Responsabile dello sportello. Si ringrazia per la collaborazione. Dicembre 2000. Credito Italiano Spa". Per entrambi i sistemi, in particolare per gli apparecchi video, è fornita un’informativa ai sensi dell'art. 10 della legge n. 675/1996, che peraltro non fornisce indicazioni circa l’eventuale esistenza di ulteriori sistemi di controllo video all’interno delle agenzie, diversi da quelli che agiscono in associazione con i dispositivi di lettura delle impronte. Dal caso di specie emerge inoltre un aspetto più problematico che riguarda il rispetto del principio di proporzionalità tra uno dei mezzi impiegati (il sistema di rilevazione delle impronte, associate alle immagini) e le finalità perseguite, principio sancito dall'art. 9 della legge n. 675/1996. Come già affermato nel provvedimento dell’11 dicembre 2000, una tale attività indifferenziata di raccolta di dati significativi quali le impronte associate alle immagini, imposta a tutti coloro che entrano nella banca, clienti o meno, non può ritenersi di per sé legittimata da una esigenza generica di sicurezza, non essendo stata accompagnata da specifici elementi che evidenzino una concreta situazione di rischio. Quanto sopra si traduce quindi in un sacrificio sproporzionato della sfera di libertà delle persone interessate che possono legittimamente lamentare anche una considerazione non adeguata e un rilevante pregiudizio della propria dignità personale. Considerata la particolare natura dei dati trattati con il sistema di rilevazione delle impronte, delle modalità del loro trattamento e degli effetti che esso può determinare, vi è poi il rischio di un pregiudizio rilevante, oltre che per i clienti della banca, per ogni interessato che si rechi presso le citate agenzie. Allo stato, va quindi disposto il divieto di trattamento dei dati raccolti con i rilevatori di impronte digitali. Qualora siano in atto presso la banca sistemi di controllo video distinti da quelli associati alle impronte, resta ovviamente fermo l’obbligo dell’informativa di cui all’art. 10 della legge n. 675/1996, tenendo conto anche delle indicazioni fornite in proposito dal Garante con il citato provvedimento dell’11 dicembre 2000. TUTTO CIÓ PREMESSO IL GARANTE: a) ai sensi dell'art. 31, comma 1, lett. l), della legge n. 675/1996, vieta con effetto immediato alla Banca Federata Unicredito Italiano S.p.a. l'ulteriore utilizzazione dei dispositivi di rilevazione delle impronte digitali in particolare presso le agenzie di Lainate, Milano (Via Ricciarelli), Cesano Maderno e Nichelino; b) dispone che Banca Federata Unicredito Italiano S.p.a. dia conferma a questa Autorità, entro il 20 marzo 2001, dell'esatto adempimento di quanto indicato nel punto a) del presente dispositivo nonché dell’avvenuta cancellazione dei dati raccolti mediante i sistemi di rilevazione delle impronte digitali. Roma, 7 marzo 2001 IL PRESIDENTE Santaniello IL RELATORE Santaniello IL SEGRETARIO GENERALE Buttarelli