Garante privacy: servizio di riconoscimento biometrico come sistema di autenticazione per l’accesso ai cedolini on-line
Il Garante per la protezione dei dati personali ha pubblicato la Newsletter n. 422 del 12 dicembre 2016, con la quale, tra le altre cose, ha fornito il via libera alla sperimentazione di un progetto pilota di autenticazione basato sul riconoscimento vocale e facciale per la consegna dei cedolini on line.
Il Consorzio per il Sistema Informativo (Csi) Piemonte potrà testare in un contesto “reale” e per un periodo di tempo limitato una app installata sugli smartphone di quei dipendenti che accetteranno di utilizzarla per accedere al servizio “cedolini on line”, in alternativa al sistema in uso basato su user id e password.
I “volontari”, tramite la app, potranno visualizzare e scaricare il cedolino mensile, il modello CU, la posizione assicurativa per chi aderisce al Fondo pensione. Il test consentirà al Consorzio di verificare l’accuratezza, la facilità d’uso e la sicurezza, anche sotto il profilo dei dati personali, del servizio di autenticazione biometrica.
Il progetto che è stato sottoposto a verifica preliminare dell’Autorità rientra nell’ambito del programma europeo PIDaaS (Private Identity as a Service) e ha solo finalità scientifiche. L’ok del Garante si riferisce esclusivamente alla fase sperimentale e non riguarda eventuali future applicazioni “a regime” del sistema che dovranno essere sottoposte a un nuovo vaglio dell’Autorità.
Per innalzare il livello di protezione dei dati dei partecipanti al test il Garante ha prescritto l’adozione di ulteriori misure rispetto a quelle già previste dal Csi. In primo luogo, il Consorzio dovrà fare in modo che la sperimentazione non coinvolga meccanismi e applicativi aziendali utilizzati nella gestione del rapporto di lavoro. Gli utenti che decideranno di aderire alla sperimentazione (dalla quale potranno recedere in qualsiasi momento) dovranno quindi accedere ad una installazione di test creata ad hoc, contenente solo i loro cedolini.
Il Consorzio, inoltre, dovrà fornire agli aderenti all’iniziativa apposite credenziali e un indirizzo di posta elettronica temporaneo per avere accesso alla sezione della intranet da cui si avvia la fase di registrazione per effettuare il login alla app. I dati biometrici poi, dovranno essere cancellati in modo irreversibile al termine della sperimentazione o su richiesta del partecipante.
Infine, poiché il progetto prevede la comunicazione di alcuni dati ad un partner spagnolo il Consorzio dovrà individuare i termini e le condizioni delle operazioni di comunicazione e del trattamento dei dati conferiti al partner, compresi gli aspetti relativi alla sicurezza. Eventuali incidenti informatici o di violazioni dei dati biometrici (data breach) dovranno essere comunicati tempestivamente al Garante, e, nei casi previsti, agli utenti.
Leggi il documento del garante
Fonte: Garante per la protezione dei dati personali
