Una guida dell’autorità spagnola di protezione dei dati affronta il trattamento biometrico nei sistemi di controllo degli accessi fisici, ricostruendo il rapporto fra principio di proporzionalità, divieto dell’art. 9 GDPR e disciplina italiana.
Cosa ha deciso l’autorità spagnola
Nel settembre 2026 l’autorità spagnola di protezione dei dati ha diffuso una guida dichiaratamente orientativa sul trattamento biometrico nei sistemi di controllo degli accessi fisici. Il documento ricostruisce il rapporto fra principio di proporzionalità, categorie particolari di dati, base di liceità e gestione del rischio secondo il Regolamento (UE) 2016/679. La guida non introduce obblighi nuovi né modifica quelli già previsti dal GDPR, ma rappresenta un indicatore significativo delle aspettative di conformità di un’autorità dello Spazio economico europeo. Il documento gode di rilievo comparatistico perché poggia su disposizioni del GDPR — direttamente applicabile in Italia — e su nozioni tecniche comuni alla letteratura europea.
L’operazione più rilevante compiuta dalla guida è il tentativo di costruire un vocabolario tecnico stabile prima della qualificazione giuridica. I dati biometrici, secondo l’art. 4, n. 14, del GDPR, sono dati ottenuti da trattamento tecnico specifico relativi a caratteristiche fisiche, fisiologiche o comportamentali che consentono l’identificazione univoca. Un riferimento biometrico — la forma concreta in cui il dato viene creato, conservato e confrontato — opera come identificatore, e ciò vale indipendentemente dall’argomento spesso avanzato secondo cui il sistema conservi soltanto un codice matematico non reversibile. L’argomento non è idoneo a sottrarre il trattamento all’art. 9 GDPR.
Il test di proporzionalità come criterio ordinante
La guida costruisce l’intero ragionamento attorno al principio di proporzionalità, declinato secondo la tripartizione consolidata dalla giurisprudenza costituzionale spagnola: idoneità, necessità, proporzionalità in senso stretto. Perché il trattamento sia idoneo deve consentire il conseguimento della finalità con livelli di qualità adeguati, verificati mediante metriche obiettive sulle prestazioni. Il giudizio di necessità impone che la misura non sia più onerosa di altre, biometriche o meno, che raggiungano la stessa efficacia; la valutazione compete al titolare, che deve dimostrare l’inesistenza di un’alternativa meno intrusiva. La proporzionalità in senso stretto richiede che la misura non imponga un onere eccessivo ai diritti impattati rispetto al beneficio ottenuto.
La guida ribadisce che i dati biometrici sono categoria particolare quando trattati per identificare una persona, e che il test di proporzionalità incide retroattivamente anche sulla densità normativa richiesta alla base giuridica: non è possibile esigere la medesima precisione per un’identificazione massiva e automatizzata all’insaputa dell’interessato e per un’autenticazione puntuale e consentita, in cui l’interessato conserva controllo effettivo.
La rilevazione delle presenze in Italia: l’insufficienza della base normativa
Il documento assume la posizione più netta proprio sulla rilevazione biometrica delle presenze. Muovendo dall’art. 9, par. 2, lett. b), del GDPR, che rimuove il divieto per il trattamento necessario in materia di diritto del lavoro e sicurezza sociale autorizzato dalla norma nazionale, la guida conclude che nell’ordinamento spagnolo vigente non esiste un’autorizzazione sufficientemente specifica per ritenere necessario il trattamento biometrico a fini di rilevazione presenze, né per il personale dipendente né per quello in rapporto amministrativo. Per il lettore italiano la trasposizione richiede prudenza ma conduce a un esito analogo. L’art. 4 della legge 300/1970 e l’art. 114 del Codice in materia di protezione dei dati personali non contengono alcuna previsione che autorizzi specificamente il trattamento di caratteristiche biometriche per tale finalità. La circostanza che il comma 2 dell’art. 4 sottragga alla procedura autorizzativa gli strumenti di registrazione degli accessi e delle presenze non equivale a un’autorizzazione ai sensi dell’art. 9, par. 2, lett. b), GDPR, poiché quella disposizione disciplina il procedimento di installazione, non la qualità dei dati trattabili.
Oltre a ciò, nel nostro ordinamento opera il filtro ulteriore dell’art. 2-septies del decreto legislativo 196/2003, che subordina il trattamento dei dati biometrici al rispetto delle misure di garanzia adottate dal Garante. La convergenza fra l’approdo spagnolo e quello italiano è notevole, e rende l’analisi della guida particolarmente utile al lettore nazionale. Chi intenda impiegare la biometria per la rilevazione delle presenze si trova, allo stato, in una posizione di conformità difficilmente sostenibile.
Cosa devono fare le imprese
Sul piano operativo, il primo adempimento riguarda la mappatura dei sistemi esistenti e la riqualificazione nel registro dei trattamenti con indicazione espressa della categoria particolare di dati e della circostanza di rimozione del divieto invocata. Segue la verifica della base giuridica a doppio livello: occorre individuare tanto la circostanza che rimuove il divieto dell’art. 9 quanto la condizione di liceità dell’art. 6 GDPR, separatamente per ciascuna finalità. In ambito lavorativo, per la rilevazione delle presenze, si suggerisce di documentare espressamente perché non sia applicabile l’art. 9, par. 2, lett. b), in assenza di una previsione specifica nell’ordinamento italiano. La valutazione d’impatto va condotta con incorporazione esplicita del triplice test: idoneità con metriche di prestazione, necessità dando conto delle alternative esaminate incluse quelle non tecnologiche, proporzionalità in senso stretto stimando natura e contesto dell’interferenza.
Sul piano della progettazione, si suggerisce di privilegiare la conservazione del riferimento biometrico sotto il controllo esclusivo dell’interessato su dispositivo personale, con protezione mediante segreto e revocabilità, evitando archivi centralizzati. Occorre esigere dal fornitore evidenza documentale circa irreversibilità, non collegabilità e revocabilità. In presenza di decisioni automatizzate, va verificato se il sistema produca senza intervento umano decisioni con effetti giuridici o analogamente significativi, e vanno assicurati i diritti dell’interessato di cui all’art. 22 GDPR.
Il coordinamento con il Regolamento sull’intelligenza artificiale
Quando i sistemi biometrici incorporano tecniche di intelligenza artificiale, il Regolamento (UE) 2024/1689 entrato in vigore il 1° agosto 2024 stabilisce divieti, limitazioni e obblighi ulteriori in funzione del contesto d’uso. Numerosi sistemi di controllo accessi con riconoscimento del volto rientrano nella categoria di sistemi ad alto rischio individuati dal regolamento, con conseguenti obblighi documentali e di registrazione che si cumulano a quelli del GDPR. Non si ha evidenza, allo stato, di prassi consolidate di coordinamento fra valutazione d’impatto sulla protezione dei dati e adempimenti relativi ai diritti fondamentali previsti dal medesimo regolamento. Il coordinamento fra i due adempimenti costituisce un cantiere aperto che richiede chiarimento a livello europeo per evitare duplicazioni senza attenuare i presidi applicabili.
Questioni aperte e sviluppi attesi
Restano aperte alcune questioni specifiche di rilievo. La prima riguarda se l’auspicio di un quadro regolatorio che disciplini espressamente la biometria in ambito lavorativo — formulato dalla guida per l’ordinamento spagnolo — debba estendersi anche all’Italia, dove l’art. 2-septies del Codice offre uno strumento già predisposto per l’adozione di misure di garanzia ma dove non si ha evidenza, allo stato, di un aggiornamento organico del quadro prescrittivo del 2014. La seconda concerne la graduazione della densità normativa richiesta all’art. 9, par. 2, GDPR: si tratta di una costruzione potenzialmente feconda, ma che richiederebbe una presa di posizione europea per non tradursi in divergenze applicative fra Stati membri. La terza infine attiene alla prova dell’inesistenza di alternative equivalenti, che rischia di restare adempimento formale se non accompagnata da metriche condivise e da standardizzazione tecnica.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
