Introduzione
L’identificazione biometrica è oggi uno dei temi più complessi per gli operatori del diritto, poiché incrocia esigenze investigative, tutela dei diritti fondamentali e innovazione tecnologica. Il quadro normativo europeo e italiano ha conosciuto evoluzioni significative, dando luogo a un articolato sistema di bilanciamento degli interessi che richiede un’analisi attenta e aggiornata.
I dati biometrici nel GDPR: una categoria di dati “particolari”
Il Regolamento (UE) 2016/679 (GDPR) qualifica i dati biometrici come dati personali “particolari”, soggetti a tutela rafforzata ai sensi dell’art. 9. La definizione è contenuta nell’art. 4, n. 14, che li individua come «i dati personali ottenuti da un trattamento tecnico specifico, relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca».
Sul punto, la giurisprudenza ha chiarito che la conservazione di campioni biologici — quali vetrini contenenti informazioni identificative — trova giustificazione esclusivamente nelle finalità istituzionali dell’ente pubblico, «come nel caso di impiego giudiziario dei dati biologici» (cfr. Cass. n. 8459/2020, in La Responsabilità del Medico e della Struttura Sanitaria, p. 886). La consegna dei vetrini da parte delle aziende ospedaliere deve pertanto essere qualificata come adempimento alle prescrizioni contenute nel provvedimento giudiziario che ha conferito incarico al CTU ai sensi dell’art. 194 c.p.c.
Il divieto di identificazione biometrica remota: l’AI Act
Il Regolamento (UE) 2024/1689 (AI Act) introduce, all’art. 5, il divieto di identificazione biometrica remota in tempo reale in spazi pubblici da parte delle forze dell’ordine, salvo limitate eccezioni (ricerca di persone scomparse, prevenzione di minacce terroristiche, individuazione di reati gravi). Si tratta di una scelta normativa che riflette le preoccupazioni espresse da numerose associazioni per i diritti civili.
Tale divieto segna un punto di svolta nella protezione dei diritti fondamentali, collocando l’Italia — e l’Unione Europea — all’avanguardia nella regolamentazione dell’intelligenza artificiale.
Il nuovo art. 359-ter c.p.p.: l’uso investigativo dell’IA
Il decreto attuativo italiano del giugno 2026 ha introdotto nel codice di procedura penale l’art. 359-ter c.p.p., che disciplina il trattamento dei dati biometrici nell’ambito delle indagini preliminari. La norma stabilisce:
- Presupposti e garanzie procedimentali per l’utilizzo di sistemi di IA;
- Limiti temporali alla conservazione dei dati;
- Obblighi di informazione nei confronti dell’interessato;
- Soggetti competenti all’autorizzazione (pubblico ministero, giudice per le indagini preliminari).
L’Unione delle Camere Penali Italiane (UCPI) ha espresso critiche di rilievo, evidenziando:
«Il rischio di derive autoritarie nell’utilizzo di tecnologie di riconoscimento, con particolare riferimento all’assenza di adeguati presidi a tutela del diritto di difesa e del principio di proporzionalità».
L’ambito lavorativo: i provvedimenti del Garante per la privacy
Nel contesto lavorativo, il Garante per la protezione dei dati personali è intervenuto con due provvedimenti di particolare rilievo:
- Provvedimento n. 338/2024: ha vietato il trattamento di dati biometrici per il controllo degli accessi dei dipendenti in assenza di un’adeguata base giuridica e della valutazione d’impatto;
- Provvedimento n. 167/2025: ha ulteriormente precisato i requisiti per l’impiego di sistemi biometrici nei luoghi di lavoro, ribadendo il divieto di utilizzo occulto e l’obbligo di informativa preventiva.
Tali interventi confermano l’orientamento del Garante, che legittima il trattamento dei dati personali «nei limiti in cui» siano rispettate le garanzie previste dalla normativa privacy (cfr. fonti, p. 886).
Profili di illiceità penale
L’inosservanza delle disposizioni in materia di identificazione biometrica può configurare:
- Art. 167 Codice Privacy: trattamento illecito di dati personali;
- Art. 604-bis c.p.: discriminazione attraverso l’uso indebito di dati biometrici;
- Art. 491-bis c.p.: falsità informatiche;
- Nuovi reati introdotti dal decreto attuativo 2026: specifiche fattispecie sanzionatorie per l’utilizzo illegittimo di sistemi di IA in ambito investigativo.
Conclusioni pratiche
Per gli operatori del diritto — avvocati penalisti, consulenti privacy, responsabili di strutture sanitarie e datoriali — emergono tre indicazioni operative:
- Verificare sempre la base giuridica del trattamento biometrico, distinguendo tra finalità istituzionali e impieghi impropri;
- Curare l’informativa all’interessato, pena l’illiceità dell’intero trattamento;
- Documentare ogni passaggio procedimentale, specialmente nelle indagini che coinvolgono l’IA.
L’identificazione biometrica rappresenta dunque un ambito in cui innovazione tecnologica e tutela dei diritti fondamentali devono trovare un equilibrio difficile ma necessario. La competenza professionale del penalista diventa, in questo contesto, uno strumento insostituibile di garanzia.