Nella recente Legge 19 giugno 2019, n. 56 recante ‘Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell’assenteismo’ si prevede l’introduzione di sistemi di verifica biometrica dell’identità e di videosorveglianza degli accessi, in sostituzione dei diversi sistemi di rilevazione automatica, attualmente in uso. In attesa di verificare come detto provvedimento verrà effettivamente attuato dalle Pubbliche Amministrazioni e come nel contempo si sposerà con eventuali tematiche relative alla privacy.
Proviamo a fare il punto sulle tecnologie biometriche le cui applicazioni, come vedremo, non riguardano solamente il mondo della cosiddetta autenticazione e verifica dell’identità, e i suoi usi in ambito sicurezza, ma più ampiamente quelle biologiche. Ma partiamo quindi da una definizione. Il Treccani definisce la biometria come la “disciplina che studia le grandezze biofisiche allo scopo di identificarne i meccanismi di funzionamento, di misurarne il valore e di indurre un comportamento desiderato in specifici sistemi tecnologici”. È chiaro quindi che non si tratta di qualcosa che studia e misura.
Tratti da misurare
Ecco che per fare un primo passo sul tema della biometria in generale partiamo da un report realizzato per la Commissione Europea e intitolato ‘Biometrics technologies: a key enabler for future digital services’ nel quale viene sottolineato come queste tecnologie, se impiegate sull’uomo, riguardino diversi mercati. E nel quale viene spiegato come siano diversi i tratti che possono essere misurati e riconosciuti in modo unico, organizzandoli sostanzialmente in due categorie. Quelli fisici unici e universali come ad esempio le impronte digitali, l’iride, il volto, la mano e la retina. E altri elementi aggiuntivi relativi al comportamento unico di un utente, con riferimenti al riconoscimento vocale, ai pattern di digitazione su una tastiera, o al riconoscimento della firma autografa. Il tutto gestito attraverso una combinazione di hardware e software atti a raccogliere i dati e a verificarli rispetto a quelli di riferimento.
Tornando alla legge sulla ‘concretezza’, questa prevede dunque che anche per i dipendenti pubblici vengano introdotti metodi di riconoscimento biometrico in luogo del tradizionale cartellino. Metodi ai quali negli anni ci siamo di fatto abituati, se pensiamo ad applicazioni fronte consumer come quelle che su smartphone o computer permettono di autenticarsi tramite la verifica dell’impronta digitale, e fronte industriale consentono l’accesso ad esempio a luoghi particolarmente sensibili come possono essere le sale dei data center. Relativamente alla Pubblica Amministrazione il report spiega invece come oggi le applicazioni biometriche siano ormai presenti nei documenti di identificazione che, abbandonati i supporti prettamente cartacei, introducono al proprio interno dati univoci sui cittadini che consentono di avere certezza su chi ad esempio sta cercando di varcare i confini di un determinato Paese. Compresa anche la Carta di Identità Elettronica vigente nel nostro e che è stata oggetto proprio sulle pagine di Innovazione.Pa di un ampio approfondimento. Ma il suo utilizzo viene anche destinato alla prevenzione della sicurezza dei luoghi, ad esempio dedicandosi al riconoscimento facciale direttamente attraverso le riprese di telecamere avanzate di videosorveglianza. E ancora, ci si può affidare all’analisi vocale per rilevare eventuali tentativi di frode quando vengono eseguite trattative dirette.
Biometria e informatica
Ricolleghiamoci ora al tema dell’identificazione certa delle persone. A giugno la Secure Identity Alliance (SIA) ha pubblicato il report ‘Biometrics in identity: Building inclusive futures and protecting civil liberties’ allo scopo di supportare le politiche europee relativamente alla pianificazione e implementazione di programmi di identità che fanno uso delle tecnologie biometriche e dei relativi servizi. Il tutto percorrendo anche la storia di queste tecnologie, spiegando che i primi sistemi biometrici così come oggi li conosciamo sono apparsi nella tarda metà del Ventesimo secolo grazie ai moderni sistemi informatici, per poi via via espandersi e raggiungendo elevati livelli di integrazione e maggiori funzionalità e semplicità d’uso; diffondendosi principalmente a fini di applicazione delle leggi e controllo delle frontiere, con connessione diretta al documento presentato. E con la creazione di database che non servono lo scopo solo a livello nazionale ma anche continentale, ad esempio per l’identificazione dei richiedenti asilo, ancor più nel caso particolare dell’EURODAC (European Dactyloscopy System), il database europeo delle impronte digitali, attivo dal 2003.
Ma la biometria, approfondisce il report di SIA, porta anche la sua diffusione su dispositivi consumer come gli smartphone e dispositivi indossabili già citati in precedenza (e non solo per sbloccarne l’utilizzo), e la fruizione di servizi finanziari – come quelli erogati presso i bancomat – attraverso tali tecnologie, in alternativa ai codici PIN da immettere sui tastierini fisici o virtuali. Infine esiste anche la misurazione dei comportamenti delle persone. Di fatto, si spiega nelle pagine, può essere fatto impiego dell’intelligenza artificiale e del machine learning per il riconoscimento dei pattern comportamentali, ad esempio per rilevare tentativi di frode scoprendo quei comportamenti che si allontanano dai tratti tipici di un particolare utente autorizzato. Ci si riferisce quindi, ad esempio, alla velocità con cui questi digita su una tastiera, il modo in cui utilizza un’interfaccia touch, e altro ancora. Ecco che, riepilogando, nel report SIA vengono elencati diversi benefici chiave dell’applicazione delle tecnologie biometriche. Vediamoli insieme.
Il primo vantaggio della biometria, e probabilmente quello più comunemente noto, è la dimostrazione di un’identità. In particolare viene affermato che “L’utilizzo di un sistema biometrico sicuro e accurato, rigorosamente verificato rispetto al possessore di un passaporto o di una carta di identità, può introdurre una garanzia importante rispetto a un’identità, in aggiunta a ogni altro controllo rispetto all’autenticità del documento stesso. La biometria, quindi, gioca un ruolo importante nella prevenzione del furto di identità e frodi”. Quindi si passa al potenziamento della sicurezza laddove viene spiegato come “l’autenticazione biometrica offre un livello superiore di sicurezza rispetto ad altri metodi di identificazione online. Tra account di social media, email, applicazioni e servizi, l’individuo medio potrebbe avere fino a 20 identità differenti. Provare a tenere traccia dei nostri vari login, password e PIN risulta un’operazione pressoché impossibile, che costringe le persone a usare la stessa password/PIN per molteplici utilizzi il che le rende vulnerabili a violazioni. La biometria rende l’esigenza di memorizzare più password una cosa del passato”.
Una terza area di vantaggio è quella del miglioramento della Customer Experience vissuta dagli utenti. Ecco che SIA spiega come “consumatori e cittadini desiderano un’esperienza migliorata. Tutti noi vogliamo metodi amichevoli e altamente sicuri per svolgere le nostre attività quotidiane, tuttavia le forme tradizionali di autenticazione possono apparire rudimentali e sconvenienti. La biometria può fare molto per eliminare la complessità e il tempo richiesto a un imbarco sicuro su un aeroplano o una nave da crociera, attraversare le frontiere, pagare per prodotti e servizi, e altro ancora.”
Successivamente viene affrontato un tema che potrebbe sembrare apparentemente lontano dalle tecnologie, e cioè quello della cosiddetta inclusione finanziaria. Con la biometria che può supportarne la prossima ondata. “Globalmente, ci sono circa 1,7 miliardi di adulti che rimangono ‘unbanked’, ossia privi di un conto aperto presso un’istituzione finanziaria o attraverso un money provider. Spesso questo accade come risultato della mancanza di una documentazione appropriata per dimostrare la propria identità, con la biometria che offre un potenziale significativo per indirizzare queste popolazioni. Un valido esempio in tal senso è rappresentato dal sistema Aadhaar del governo indiano”.
Infine SIA, ed è poi questo uno dei focus fondamentali del suo report che invitiamo a leggere, parla dell’applicazione della biometria per gestire gli spostamenti dei popoli. “La biometria offre una vera opportunità trasformativa per rispondere alle sfide dell’odierna crescita delle migrazioni, non semplicemente per monitorare gli spostamenti delle popolazioni per esercitare il controllo delle frontiere e finalità di sicurezza, ma per fornire a migranti in precedenza privi di documenti un’identità per accedere a servizi di assistenza.”
Biometria e blockchain
Un recente studiopubblicato da Frost & Sullivan intitolato ‘North American Biometrics Market Forecast to 2023’ ci offre una vista su quanto sta accadendo sul tema biometria oltreoceano, segnalando che il controllo delle frontiere è una degli scenari che offrono maggiori opportunità di crescita elevata per le tecnologie biometriche. Ma non solo. In particolare viene spiegato che la proliferazione di dispositivi a livello dell’edge della rete e la crescita del’Internet of Things (IoT) stanno creando una maggiore necessità di avere una cybersecurity potenziata. Ecco che chi si occupa di biometria sta stringendo nuove collaborazioni con chi invece fornisce tecnologie blockchain per l’offerta di soluzioni per la gestione delle identità. Nel contempo è attesa una crescita del modello Biometric-as-a-Service sia fronte pubblico che privato.
Ram Ravi, Industry Analyst, for Industrial di Frost & Sullivan, commenta: “La biometria comportamentale è sul punto di godere un elevata crescita, in special modo nell’ambito dell’autenticazione multi fattore. L’intelligenza artificiale e il machine learning verranno sempre più utilizzati a complemento della biometria e per aumentare la sicurezza. A parte questo, con dispositivi smart connessi che passano dall’essere i preferiti del mondo consumer a diventare canali commerciali alternativi, gli operatori del mercato biometrico stanno stabilendo una strategia blockchain per potenziare le rispettive offerte”.
La biometria nei pagamenti
In un report intitolato ‘Breaking down barriers with high value payments’ la Smart Payment Association ha affrontato il tema dell’applicazione delle tecnologie biometriche nel mondo dei pagamenti, descrivendo sia la parte funzionale che quella operativa. Quindi dalla cosiddetta fase di enrollment, attraverso la quale vengono catturati, elaborati ed associati i dati biometrici di un individuo, per poi essere memorizzati su una carta di pagamento a lui rilasciata. Quindi al momento del pagamento vengono riacquisiti i dati biometrici e confrontati con quelli presenti sulla carta (fase di matching), per arrivare al via libera alla transazione. SPA commenta nel report che “l’introduzione dei sensori biometrici sulle carte di pagamento rappresenterebbe un importante passo avanti per l’industria finanziaria, aprendo la strada all’eliminazione delle frodi per gli emittenti e gli intestatari delle carte, riducendo i costi e fornendo quel livello di sicurezza aggiuntivo e verifica delle identità richiesto per supportare transazioni remote o cross-border. Dal nostro punto di vista una soluzione di autenticazione biometrica sensor-on-card – usando un’impronta digitale in combinazione con una smart bank card – soddisferà le nuove richieste di sicurezza proteggendo nel contempo la privacy dell’individuo. Inoltre la funzionalità sensor-on-card lega la carta a una persona specifica, rimuovendo la possibilità di frodi contactless, o il trasferimento o delega dell’uso della carta; rendendo la carta realmente personale e sicura”.
Cosa dice il GDPR
All’interno del regolamento europeo sulla protezione dei dati, il GDPR (General Data Privacy Regulation), per ‘dati biometrici’ si intendono quei “dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”. Ecco nell’Articolo 9 paragrafo 1 si specifica che “è vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.
Al paragrafo 2 viene quindi detto che il paragrafo 1 non si applica se si verifica uno dei seguenti casi:
a) l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1;
b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato;
c) il trattamento è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;
d) il trattamento è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l’associazione o l’organismo a motivo delle sue finalità e che i dati personali non siano comunicati all’esterno senza il consenso dell’interessato;
e) il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato;
f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;
g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato;
h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3;
i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale;
j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l’essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.
Al Paragrafo 3 si specifica invece che “i dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch’essa soggetta all’obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti. Infine al Paragrafo 4 si afferma che “gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute”.
