L’installazione e l’utilizzo di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico dotati di riconoscimento o identificazione biometrica, in particolar modo facciale, è stata formalmente vietata dal 2021 fino al 31 dicembre 2023 con il Decreto-Legge recante “Disposizioni urgenti per l’accesso alle attività culturali, sportive e ricreative, nonché per l’organizzazione di pubbliche amministrazioni e in materia di protezione dei dati personali”.
Di tale divieto è stata effettuata esplicita proroga al 31 dicembre 2025 con la Legge di conversione del Decreto-Legge recante “Disposizioni urgenti in materia di amministrazione di enti pubblici, di termini legislativi e di iniziative di solidarietà sociale”[1]. Al giorno in cui si scrive non vi è alcuna ulteriore proroga, pertanto ope legis dovrebbero considerarsi legittimi.
Le “Linee guida 05/2022 sull’uso della tecnologia di riconoscimento facciale nel settore delle attività di contrasto” dell’European Data Protecion Board definiscono il Facial Recognition Tecnology (F.R.T.) come “una tecnologia probabilistica che può riconoscere automaticamente le persone in base al loro volto al fine di autenticarle o identificarle”. Tale tecnologia rientra nell’ambito dell’utilizzo dei dati particolari ai sensi dell’art. 9 Reg. (UE) n. 2016/679 e dell’art. 7 del D.lgs. n. 51/2018 e, spesso, si basa sull’intelligenza artificiale[2].
Il quadro normativo, considerato il richiamo esplicito all’art. 52 della Carta dei Diritti Fondamentali dell’Unione Europea e la prossima entrata in vigore di alcune delle disposizioni previste dall’Artificial Intelligence Act – Reg. (UE) n. 2024/1689, è in mutamento costante.
L’art. 5 dell’I.A. Act, in vigore dal 5 febbraio 2025, identifica una serie di impieghi di sistemi di intelligenza artificiale vietati per finalità specifiche, tra le quali figura «l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di categorizzazione biometrica che classificano individualmente le persone fisiche sulla base dei loro dati biometrici per trarre deduzioni o inferenze in merito a razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale; tale divieto non riguarda l’etichettatura o il filtraggio di set di dati biometrici acquisiti legalmente, come le immagini, sulla base di dati biometrici o della categorizzazione di dati biometrici nel settore delle attività di contrasto», nonché « l’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto».
Lo stesso articolo citato, alla lettera h), pone tre eccezioni all’uso di sistemi di identificazione biometrica remota “in tempo reale” per finalità di contrasto: la ricerca mirata di vittime oggetto di tratta di esseri umani o di sfruttamento sessuale di esseri umani; la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l’incolumità fisica delle persone fisiche o la minaccia attuale di un attacco terroristico; la localizzazione o l’identificazione di una persona sospettata di aver commesso un reato, con ulteriori specifiche.
Le premesse del Regolamento I.A. Act comunque richiamano che l’identificazione biometrica attraverso sistemi di I.A. per finalità di “contrasto” devono rispettare tanto i requisiti dell’art. 10 della Dir. (UE) 2016/680 – cd. Law Enforcement Directive – e, conseguentemente, dall’art. 7 del Decreto Legislativo di recepimento, il D.lgs. n. 51/2018[3].
Questo nuovo divieto in vigore appare circostanziato ai sistemi di videosorveglianza o dispositivi in genere che utilizzino sistemi di Intelligenza Artificiale. I citati “algoritmi” di cui spesso sono dotati i software gestionali di videosorveglianza o i dispositivi intelligenti, grazie ai quali sarebbe possibile l’identificazione biometrica in raffronto ad una banca dati di partenza, possono appartenere a pieno titolo alla definizione di “sistema di IA” del Regolamento citato.
Infatti, per sistema di IA si deve intendere «un sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali».
È chiaro, invece, che laddove gli “algoritmi” o i “sistemi di intelligenza artificiale” siano utilizzati semplicemente per riconoscere la presenza di persone fisiche ed eventualmente procedere ad oscuramenti automatizzati, essi potrebbero ricadere tra i Sistemi di IA a rischio limitato o nullo, i quali si contraddistinguono per una potenziale dannosità limitata o con un impatto limitato sugli interessi pubblici e diritti fondamentali.
Unendo i documenti programmatici già emanati con Comunicazione della Commissione europea e le Linee Guida per l’adozione di I.A. nella Pubblica Amministrazione[4], emergono specifici obblighi e ambiti di applicazione preferenziali inquadrati, che si possono riassumere nell’impiego di I.A. per: migliorare l’efficienza operativa, supportare le decisioni, ottimizzare l’allocazione delle risorse, migliorare la gestione documentale o il supporto giuridico; ulteriori ambiti sono il miglioramento dei servizi ai cittadini e alle imprese, nonché la sicurezza e la protezione dei dati, identificando potenziali minacce e garantendo una protezione avanzata.[5]
Infine, la Legge del 23 settembre 2025 recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”[6], oltre a dettare linee e principi generali sull’impiego di I.A., introduce una deroga generale al divieto di cui all’art. 9 del Reg. (UE) 2016/679 cd. “General Data Protection Regulation – G.D.P.R.”, per «finalità di ricerca e sperimentazione anche tramite sistemi di intelligenza artificiale e machine learning, inclusi la costituzione e l’utilizzo di spazi speciali di sperimentazione a fini di ricerca, anche mediante l’uso secondario dei dati personali», fermo restando che tale deroga deve essere disciplinata con apposito decreto del Ministro della Salute. È, inoltre, escluso dall’ambito di applicazione della Legge citata la materia della sicurezza e difesa nazionale, coerentemente con l’esclusione operata dall’art. 2 dell’I.A. Act.
Cercando di riassumere, da un quadro giuridico non propriamente definito e in corso di implementazione, si evidenzia come il divieto categorico di trattare dati personali biometrici su larga scala in spazi pubblici, venuto meno il 31 dicembre 2025, sia sostituito allo stato attuale da diverse disposizioni specifiche con eccezioni circa: l’ambito di applicazione, essendo infatti esclusi dal divieto i trattamenti che ricadono nelle finalità della Law Enforcement Directive, nonché la finalità di ricerca e correzione delle distorsioni, come riportato dalla Legge italiana e ulteriormente dettagliato dall’art. 10 § 5 del Reg. (UE) n. 2024/1689 – I.A. Act.
L’eventuale impiego di sistemi di rilevazione biometrica, siano essi di pura autenticazione o di identificazione, oltre a soggiacere alle specifiche normative di settore e agli obblighi sanciti dal G.D.P.R., devono, in caso di impiego di sistemi di I.A., rispettare anche i doveri e gli obblighi di trasparenza sanciti dall’art. 50 dell’I.A. Act.
Nel caso in cui tali sistemi ricadano nella classificazione di cui all’Allegato III dell’I.A. Act e dell’art. 6 nei sistemi di Intelligenza Artificiale classificati ad Alto Rischio saranno soggetti agli ulteriori obblighi di documentazione tecnica, conservazione delle registrazioni, trasparenza e sorveglianza umana, accuratezza robustezza e cibersicurezza di cui alla Sez. 2 del Capo III dell’I.A. Act e ss.
L’attività provvedimentale dell’Autorità Garante per la Protezione dei Dati Personali ha comunque posto molti interrogativi e dubbi nel tempo circa la proporzionalità e la necessità di trattamenti di identificazione biometrica su larga scala o in specifiche situazioni che possano presentare squilibri tra l’utilizzatore del F.R.T. e l’interessato[7].
Utilmente si cita l’emblematico Parere sull’impiego del sistema Sari Real Time del 25 marzo 2021[8] con il quale il Garante ha esplicitato che l’impiego di “[…] tecnologie di riconoscimento facciale per finalità di prevenzione e repressione di reati è oggetto di grande attenzione, […] che segnalano l’intrusività che esso comporta per il diritto alla vita privata e alla dignità delle persone, unitamente al rischio di ripercussioni negative su altri diritti umani e sulle libertà fondamentali”; continua “[…] [i]l sistema SARI Real-Time, in quanto finalizzato all’effettuazione di un trattamento di dati personali per finalità di prevenzione di reati e minacce alla sicurezza pubblica e, anche su delega dell’Autorità Giudiziaria, di indagine, accertamento e perseguimento di reati, rientra nel campo di applicazione del Decreto [n. 51/2018]”.
Nel fornire parere negativoil Garante evidenzia sempre la necessaria ricerca di una base giuridica idonea ai sensi dell’art. 7 del D.lgs. n. 51/2018 che deroghi al divieto di cui all’art. 9 del G.D.P.R., nonché idonei meccanismi di sicurezza atti a garantire un adeguato sistema di addestramento e di protezione “nei confronti di appartenenti a minoranze etniche”, dei diritti e delle libertà fondamentali e ad evitare eventuali BIAS.
In conclusione, oltre agli obblighi già esistenti in merito all’impiego di sistemi di videosorveglianza, specialmente nel caso di utilizzo di intelligenza artificiale o di impieghi di algoritmi decisionali automatizzati ai sensi dell’art. 22 del G.D.P.R. e art. 8 del D.lgs. n. 51/2018, il Titolare del Trattamento dei dati personali, anche qualificabile quale “Deployer” ai sensi dell’A.I. Act, dovrà verificare l’esistenza di una corretta base giuridica per il trattamento su larga scala che permetta l’identificazione o autenticazione biometrica, anche nel caso di Law Enforcement Authorities, ma dovrà altresì procedere alla Valutazione di Impatto sulla protezione dei dati personali ex art. 35 G.D.P.R.[9] ovvero ex art. 23 del D.lgs. n. 51/2018 ed, eventualmente, integrare i requisiti della Valutazione d’impatto sui diritti fondamentali per i sistemi di I.A. ad alto rischio ai sensi dell’art. 27 dell’A.I. Act.
A cura di Dott. Eucalipto Edoardo
[1] Cfr. Decreto-Legge 8 ottobre 2021, n. 139, Decreto-Legge convertito con modificazioni dalla L. 3 dicembre 2021, n. 205, in G.U. 7/12/2021, n. 291, in https://www.normattiva.it; Decreto-Legge 10 maggio 2023, n. 51, convertito con modificazioni dalla L. 3 luglio 2023, n. 87 in G.U. 05/07/2023, n. 155, in https://www.normattiva.it/.
[2] Cfr. «La FRT si basa sul trattamento dei dati biometrici e prevede dunque il trattamento di categorie particolari di dati personali. Spesso si avvale di componenti di intelligenza artificiale (IA) o di apprendimento automatico (ML). Se da un lato ciò consente di trattare dati su vasta scala, dall’altro comporta anche il rischio di discriminazione e di risultati falsi. La FRT può essere utilizzata in situazioni controllate di tipo 1:1, ma si applica anche a folle enormi e importanti nodi di trasporto. La tecnologia di riconoscimento facciale è uno strumento sensibile per le LEA, che sono autorità esecutive e hanno poteri sovrani. La FRT tende a interferire con i diritti fondamentali (anche al di là del diritto alla protezione dei dati personali) e può incidere sulla nostra stabilità politica sociale e democratica», Linee guida 05/2022 sull’uso della tecnologia di riconoscimento facciale nel settore delle attività di contrasto, European Data Protection Board, Versione 2.0, adottate il 26 aprile 2023, in https://www.edpb.europa.eu/.
[3] Cfr. «Qualsiasi trattamento di dati biometrici e di altri dati personali interessati dall’uso di sistemi di IA a fini di identificazione biometrica, diverso da quello connesso all’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto disciplinato dal presente regolamento, dovrebbe continuare a soddisfare tutti i requisiti derivanti dall’articolo 10 della direttiva (UE) 2016/680. Per fini diversi dalle attività di contrasto, l’articolo 9, paragrafo 1, del regolamento (UE) 2016/679 e l’articolo 10, paragrafo 1, del regolamento (UE) 2018/1725 vietano il trattamento di dati biometrici fatte salve limitate eccezioni previste da tali articoli. Nell‘applicazione dell’articolo 9, paragrafo 1, del regolamento (UE) 2016/679, l’uso dell’identificazione biometrica remota a fini diversi dalle attività di contrasto è già stato oggetto di decisioni di divieto da parte delle autorità nazionali per la protezione dei dati», Considerando 39, Reg. (UE) 2024/1689, in G.U.E. Serie L 12 luglio 2024, in https://eur-lex.europa.eu/.
[4] Cfr. Determinazione Agenzia per l’Italia Digitale – Ag.I.D. n. 17, 17 febbraio 2025, in https://trasparenza.agid.gov.it/; Bozza di linee guida per l’adozione di IA nella pubblica amministrazione, Versione 1.0 del 14.02.2025, in https://www.agid.gov.it/.
[5] Non sono considerati ad Alto Rischio i sistemi di I.A. che non presentino un “rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale”, specialmente laddove siano soddisfatte una delle seguenti condizioni dettate dall’art. 6 § 3: «[…] a) il sistema di IA è destinato ad un compito procedurale limitato; b) il sistema di IA è destinato a migliorare il risultato di un’attività umana precedentemente completata; c) il sistema di IA è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana; d) il sistema di IA è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III […]», Art. 6 § 3, Reg. (UE) n. 2024/1689, in https://eur-lex.europa.eu/.
[6] Cfr. Legge 23 settembre 2025, n. 132, “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, G.U. n. 223 del 25 settembre 2025, in https://www.normattiva.it/,
[7] Cfr. Ex Multis l’impiego di autenticatori biometrici, basati sul riconoscimento facciali, impiegati sul luogo di lavoro dal Datore di Lavoro, Provvedimento del 22 febbraio 2024, Reg. n. 105 del 22 febbraio 2024, doc. web n. 9995680; Provvedimento del 6 giugno 2024, Reg. n. 338 del 06 giugno 2024, doc. web n. 10029500.
[8] Parere sul sistema Sari Real Time – 25 marzo 2021, Reg. n. 127 del 25 marzo 2021, doc. web n. 9575877.
[9] Come peraltro indicato dal § 10 Valutazione d’impatto sulla Protezione dei Dati delle Linee Guida dell’E.D.P.B., “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, versione 2.0, adottate il 29 gennaio 2020, in https://www.edpb.europa.eu/; cfr. anche “Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679”, WP 248 rev.01 del Gruppo di Lavoro articolo 29, adottate il 4 aprile 2017 e ss.mm.ii, in https://www.garanteprivacy.it/.
