g-docweb-display Portlet

Sistema per l'accesso della clientela. Verifica preliminare presentata dalla Cassa Raiffeisen Castelrotto Soc. coop. - 18 ottobre 2012

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2212554]

Sistema per l´accesso della clientela. Verifica preliminare presentata dalla Cassa Raiffeisen Castelrotto Soc. coop. - 18 ottobre 2012

Registro dei provvedimenti
n. 298 del 18 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro Presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Esaminata la richiesta di verifica preliminare presentata dalla Cassa Raiffeisen Castelrotto Soc. coop. ai sensi dell´art. 17 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), relativa all´installazione di un sistema di rilevamento biometrico per l´accesso della clientela alle cassette di sicurezza;

Visti gli atti d´ufficio;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. L´istanza della Banca e le modalità di funzionamento del sistema.

1.1. In data 7 settembre 2011, la Cassa Raiffeisen di Castelrotto Soc. coop. ha presentato una richiesta di verifica preliminare ai sensi dell´art. 17 del Codice in vista dell´attivazione, "presso la propria filiale di via Oswald von Wolkenstein", di prossima apertura, "di un sistema per l´accesso della clientela – in modalità self service, 24 ore su 24 – alla propria cassetta di sicurezza, con trattamento di dati biometrici". La finalità del trattamento, secondo quanto dichiarato dalla Banca, sarebbe quella di "aumentare la sicurezza per la clientela durante l´accesso in modalità self service alle cassette di sicurezza, che possono contenere documenti riservati, oggetti di valore o denaro e quindi possono rappresentare un concreto obiettivo di furti o rapine".

Dall´esame della richiesta e della documentazione ad essa allegata (in particolare, le informazioni provenienti dalla Gunnebo Italia S.p.a.., che fornisce il sistema), emerge che il cliente che intendesse  utilizzare il sistema con riconoscimento biometrico verrebbe invitato ad appoggiare un dito della mano su un apposito lettore che genererebbe un algoritmo matematico univoco ed irripetibile, il quale sarebbe memorizzato su un unico esemplare di smart card posto nell´esclusiva disponibilità del cliente; il relativo P.I.N., "definito dal cliente in fase di registrazione", verrebbe modificato in occasione del primo accesso al servizio (vedi nota della Banca datata 18 agosto 2011).

Al momento dell´accesso al servizio relativo alle cassette di sicurezza, "l´autenticazione del cliente" avverrebbe "attraverso tre strumenti: codice PIN di quattro cifre, smart card e impronta digitale". In particolare, il sistema prevede che il cliente inserisca la propria smart card, digiti il PIN e proceda al rilevamento della propria impronta biometrica, che successivamente verrebbe confrontata con il template memorizzato nella smart card.

Per i clienti che non intendessero avvalersi del sistema, sarebbero comunque previste modalità alternative di registrazione e di accesso al servizio di cassette di sicurezza "tramite inserimento della carta magnetica e digitazione del codice personale" (cfr. il documento della Gunnebo S.p.a., in atti).

Inoltre, è prevista anche l´installazione di una webcam, "montata sulla sommità dell´unità di uscita delle cassette", che registrerebbe alcuni fotogrammi, ai quali verrebbe "associato il nominativo del cliente che ha effettuato l´accesso al dispositivo e l´orario dell´operazione" (cfr. documento della Gunnebo S.p.a., pag. 2, allegato alla nota del 7 settembre 2011). Le immagini registrate nel database del sistema verrebbero cancellate automaticamente dopo sette giorni.

Infine, è stabilito che l´accesso al Sistema Safestore Auto (che, comunque, non conterrà i dati biometrici dei clienti) sarà consentito solo al personale incaricato provvisto di apposita password (costituita da un codice numerico di riconoscimento a 8 cifre), la quale avrà un periodo di validità non superiore a 150 giorni, allo scadere del quale il codice dovrà essere aggiornato. Inoltre, ai dipendenti incaricati di accedere alla zona delle cassette di sicurezza, verrà rilasciata un´apposita tessera denominata Mastercard.

2. I presupposti di liceità del trattamento.

La raccolta e la registrazione di impronte digitali e dei dati biometrici, ricavati e successivamente utilizzati per verifiche e raffronti nelle procedure di autenticazione o di identificazione, sono operazioni di trattamento di dati personali riconducibili ai singoli interessati (art. 4, comma 1, lett. b) del Codice), rispetto alle quali trova applicazione la normativa contenuta nel Codice (in merito v. anche i documenti di lavoro sulla biometria del "Gruppo art. 29" della direttiva 95/46/Ce: Wp 80 del 1° agosto 2003 e WP 193 del 27 aprile 2012 ).

Pertanto, la liceità del sistema in questione deve essere valutata alla luce dei principi di necessità, proporzionalità, finalità e correttezza del trattamento (artt. 3 e 11 del Codice), considerando, in particolare, il contesto in cui tali dati sono trattati.
Nel caso di specie, si rileva che la finalità perseguita dalla Banca (che assume la veste di titolare del trattamento) è quella di coniugare l´esigenza di tutela dei beni custoditi nelle cassette di sicurezza con l´utilità garantire alla clientela un servizio continuato di custodia, attraverso l´implementazione di un sistema che, "per le modalità con le quali è configurato", possa "scongiurare l´accesso fraudolento alle cassette di sicurezza" (in tal senso, v. anche Provv. 15 aprile 2010, doc. web n. 1719879). Tale finalità risulta lecita.

Inoltre, il trattamento posto in essere dalla Banca può anche considerarsi proporzionato, in quanto, nel caso specifico, non è prevista una conservazione dei dati biometrici raccolti in archivi centralizzati, ma il dato criptato dell´impronta digitale verrà memorizzato esclusivamente sulla smart card, che resterà nell´esclusiva disponibilità del cliente che avrà aderito al servizio. Tale modalità di memorizzazione risulta idonea a garantire un adeguato livello di accuratezza in ordine all´accertamento dell´identità del detentore della smart card e, nello stesso tempo, ad evitare il rischio di eventuali utilizzi impropri o possibili abusi che, invece, potrebbero derivare dalla raccolta di tali informazioni, particolarmente delicate, in un sistema centralizzato.

3. Ulteriori adempimenti.

La Banca ha altresì dichiarato che "all´atto della sottoscrizione del contratto al Cliente verranno proposte due distinte modalità di accesso alle cassette di sicurezza (con parametro biometrico oppure con modalità tradizionali: solamente smart card e PIN)" e che "si impegna a fornire agli interessati idonea e specifica informativa ai sensi dell´art. 13 del Codice in materia di protezione dei dati personali" (vedi nota del 7 settembre 2011).

Al riguardo, si deve richiamare l´attenzione della Banca sulla necessità che sia fornita ai clienti che si avvalgono di tale sistema una informativa che contenga tutti gli elementi previsti dall´art. 13 del Codice con specifico riferimento al trattamento dei dati biometrici degli interessati, con l´espressa avvertenza, per coloro che non vogliano o non possano, anche in ragione di proprie caratteristiche fisiche, avvalersi del sistema di riconoscimento biometrico, di utilizzare modalità alternative per avvalersi comunque del servizio relativo alle cassette di sicurezza.

E´ evidente, poi, che l´utilizzo dei dati biometrici, per risultare lecito, non potrà prescindere dal previo rilascio di un apposito consenso da parte degli interessati (art. 23 del Codice).

Riguardo alle misure di sicurezza, esse risultano adeguate, anche per quanto concerne gli accorgimenti che, al fine di prevenire accessi indebiti, saranno tenuti ad osservare i dipendenti che gestiranno il Sistema "Safestore Auto Maxi" (nome utente e password) e quelli che dovranno accedere, nello svolgimento della propria attività lavorativa, all´area delle cassette di sicurezza (tessera Mastercard). In attuazione dell´obbligo di adottare ogni necessaria misura di sicurezza, anche minima (art. 31 ss. e all. B) al Codice), la Banca dovrà comunque conservare una descrizione scritta dell´intervento effettuato dall´installatore, che attesti anche la conformità del Sistema alle disposizioni del disciplinare tecnico (regola n. 25 dell´all. B) al Codice).

Infine, resta inteso che la Banca non solo dovrà procedere alla designazione per iscritto degli incaricati del trattamento, impartendo loro idonee istruzioni alle quali attenersi (artt. 4, comma 1, lett. h) e 30 del Codice), ma dovrà altresì effettuare la notifica obbligatoria al Garante, prima che abbiano inizio le operazioni di trattamento dei dati biometrici (art. 37, comma 1, lett. a) del Codice).

TUTTO CIÒ PREMESSO IL GARANTE

a conclusione della verifica preliminare relativa al sistema "Safestore Auto Maxi" che la Cassa Raiffeisen di Castelrotto Soc. coop. intende installare per consentire, senza l´intervento del personale, l´accesso continuato dei propri clienti al servizio relativo alle cassette di sicurezza, prende atto del trattamento oggetto delle dichiarazioni rese e della documentazione prodotta, fermo restando, quali prescrizioni ai sensi degli artt. 17 e 154, comma 1, lett. c) del Codice, che la Banca dovrà:

1. indicare chiaramente nell´informativa la possibilità per gli interessati di avvalersi del servizio relativo alle cassette di sicurezza con modalità alternative rispetto alla rilevazione dei loro dati biometrici;

2. conservare una descrizione scritta dell´intervento effettuato dall´installatore, che attesti anche la conformità del Sistema alle disposizioni del disciplinare tecnico (regola n. 25 dell´all. B al Codice);

3. designare per iscritto gli incaricati del trattamento, impartendo loro idonee istruzioni alle quali attenersi (artt. 4, comma 1, lett. h) e 30 del Codice);

4. notificare al Garante il trattamento dei dati biometrici prima che abbiano inizio le operazioni di trattamento (art. 37, comma 1, lett. a) del Codice).

Roma, 18 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia