Al termine di una lunga e complessa vicenda, indicativa di una gestione quantomeno pasticciata degli esami online, il Garante ha vietato all’Università Bocconi l’utilizzo di un software di riconoscimento facciale per gli studenti.
Come premesso, il Provvedimento del Garante è lunghissimo e, in questa sede, non è utile riassumerlo per intero. Auguriamo buona lettura a chi fosse interessato.
Sta di fatto che l’Università Bocconi aveva fatto ricorso a un software prodotto da un’azienda americana, utile a verificare l’identità degli studenti durante il compimento degli esami online, attraverso la rilevazione del volto e la profilazione del comportamento degli studenti durante l’esame. Il tutto, su server posizionati in USA.
Tra l’altro, nel corso del contraddittorio con il Garante, l’Università è giunta a rivedere la sua posizione, negando che si trattasse di dati biometrici, ma l’Autorità ha stabilito che “…è possibile affermare che il software … effettua un trattamento tecnico specifico di una caratteristica fisica degli interessati per confermare la presenza e la coincidenza dell’interessato per tutta la durata della prova. Seppur il sistema non comporta l’identificazione del candidato … e non confronti l’immagine del volto con altre immagini … il sistema effettua comunque un trattamento di dati biometrici che consiste nella raccolta, elaborazione e analisi del video prodotto dal software tramite un algoritmo di intelligenza artificiale…”.
Si tratta di una affermazione che, forse, avrebbe richiesto una più specifica indicazione degli aspetti tecnici dell’Autorità, tanto più che, in passato (Relazione 2012 del Garante, pagg. 198-99), il collegio, in tema di sistemi anticamuffamento all’accesso nelle banche, ha sostenuto “che il sistema … sembrerebbe rilevare solo eventuali situazioni di camuffamento, senza procedere ad operazioni di riconoscimento del volto basate sul confronto con immagini contenute in banche dati fotografiche. … pertanto… la raccolta dell’immagine dell’interessato non aggiunge nulla di ulteriore rispetto a quanto avviene con l’impiego di un normale sistema di videosorveglianza“.
Pure essendo la situazione differente e la valutazione effettuata prima del GDPR (ma la definizione di dati biometrici è rimasta sostanzialmente identica), è difficile comprendere come l’esistenza di un sistema che si limiti a notare l’assenza parziale o totale di un volto non possa essere paragonata all’anticamuffamento.
Ma il Garante ha elevato all’Università Bocconi numerose contestazioni, tutte ben motivate, a partire dall’utilizzo di basi giuridiche del trattamento non applicabili al caso in specie, all’effettuazione di informative inadeguate (inclusi delicati aspetti di profilazione dell’interessato), al trasferimento dei dati all’estero (prima con il Privacy Shield e, successivamente, con l’impiego di Clausole Contrattuali Tipo totalmente inadeguate), al mancato controllo dell’azienda responsabile del trattamento, per poi finire con il non avere effettuato la Valutazione di impatto.
Totale della sanzione: € 200.000,00.
