Il Garante privacy ha autorizzato unamultinazionale ad utilizzare un sistema di riconoscimento biometrico
basato sul rilevamento delle impronte vocali dei propri dipendenti per
gestire in maniera sicura e reimpostare automaticamente la password
necessaria per accedere ai sistemi informatici.
La società in questione dovrà
informare i dipendenti sul trattamento dei dati biometrici e acquisirne
il consenso, oltre a garantire sistemi alternativi per cambiare
le password.
Il
sistema di rilevamento biometrico, sottoposto alla verifica preliminare
dell’Autorità, si basa sull’identificazione dell’utente attraverso
l’elaborazione dell’impronta vocale, registrata e memorizzata su un
server. Per la trasmissione dei dati è previsto l’uso di una rete
protetta.
Gli
utenti, durante la c.d. fase di addestramento, dialogano per via telefonica con il sistema pronunciando per quattro volte tre coppie di
parole in modo da rendere possibile la registrazione della voce. Le
informazioni vocali così raccolte vengono trasformate in un modello di
riferimento digitale ("template") che il sistema confronta con le
parole pronunciate dall’utente che intende cambiare password. Una volta
accertata l’identità dell’utente, il sistema procede automaticamente ad
impostare la parola chiave comunicandola al dipendente.
Nell’ambito della verifica preliminare, il Garante per la protezione dei dati personali, con provvedimento del 28 febbraio 2008, ha ritenuto che il sistema sottoposto alla
sua attenzione sia in grado di garantire, per il rinnovo delle password
d’accesso dei dipendenti ai servizi informatici, un elevato livello
tecnologico di sicurezza, tenuto anche conto che l’impronta vocale,
acquisita e codificata secondo il processo descritto, sarebbe
impossibile da "ricostruire" e, quindi, inutilizzabile per altri scopi.
La società dovrà comunque predisporre adeguate misure organizzative
per prevenire eventuali rischi di utilizzo abusivo dei dati personali
raccolti nella fase di addestramento. Infine, in caso di cessazione
del rapporto di lavoro devono essere tempestivamente cancellati tutti i
dati del dipendente.
