Clearview: vederci chiaro anche in tema di diritti e libertà individuali

di Domenico Battaglia - Avvocato, titolare di studio legale in Bolzano, D.P.O. dell’Ordine degli avvocati di Bolzano, Delegato provinciale di Federprivacy

È stato indicato che nel 2030 l’AI potrebbe contribuire fino a 15.700 miliardi di dollari all’economia globale, ossia una somma superiore al valore economico della produzione di Cina e India messe insieme. Se queste cifre si dimostreranno vere, lo stabilirà il futuro. Una cosa è certa: urge più che mai disciplinarne l’ambito. A dimostrarlo è il caso Clearview AI, società nata nel 2017 ma che negli Stati Uniti sta raggiungendo livelli di fatturato da record grazie all’utilizzo dei sistemi di AI. 

L’Autorità Garante ha imposto una sanzione di 20 milioni di euro alla società americana, per aver messo in atto un vero e proprio monitoraggio biometrico di massa, anche di persone che si trovano nel territorio italiano. Pare che la società possieda un database di oltre 10 miliardi di immagini di volti di persone di tutto il mondo, ottenute tramite web scraping (da fonti pubbliche), offrendo un servizio che, grazie a sistemi di intelligenza artificiale, consente di tracciare i profili dei singoli interessati. Grazie a due segnalazioni da parte di altrettante organizzazioni impegnate nella difesa della privacy e dei diritti fondamentali delle persone, è emerso che Clearview AI consentiva il tracciamento anche di cittadini italiani e di persone collocate in Italia. 

La difesa

La società si è difesa sostanzialmente cercando di dimostrare che nessun’attività di trattamento dati avveniva nei confronti di interessati ubicati in Italia e, inoltre, che in realtà non si debba parlare di archivio e/o monitoraggio bensì di una ricerca istantanea, simile a quella effettuata da Google Search.   

Il Garante

L’Autorità, dopo aver accertato che il trattamento di dati concerneva anche dati di interessati ubicati in Italia ed, altresì, che trattavasi di monitoraggio e non di una ricerca istantanea, rivelava che il trattamento risultava illecito, in mancanza di base giuridica, considerando che non poteva considerarsi tale il legittimo interesse della società americana. Queste ed altre violazioni inducevano il Garante ad irrogare una maxi-sanzione pari a 20 milioni di euro. L’Autorità ha, inoltre, ordinato alla società di cancellare i dati relativi a persone che si trovano in Italia e ne ha vietato l’ulteriore raccolta e trattamento attraverso il suo sistema di riconoscimento facciale. Il Garante ha infine imposto a Clearview AI di designare un rappresentante nel territorio dell’Unione europea che funga da interlocutore, in aggiunta al o in sostituzione del titolare del trattamento dei dati con sede negli Stati Uniti, al fine di agevolare l’esercizio dei diritti degli interessati.

Occhio al web scraping

L’ordinanza costituisce certamente un precedente interessante anche in tema di web scraping, arrivando a concludere che la raccolta di dati personali liberamente disponibili in Internet costituisce un trattamento di dati personali che deve trovare legittimazione in una delle basi giuridiche previste dall’art. 6 del Regolamento (nel caso di specie, inoltre, la società americana dava luogo ad altre operazioni di trattamento).

Il riferimento

Peraltro, l’Autorità si è espressamente riferita all’approvazione, in data 6 ottobre 2021, da parte del Parlamento europeo, di una risoluzione in tema di intelligenza artificiale nel diritto penale e il suo utilizzo da parte delle autorità di polizia e giudiziarie in ambito penale. Con tale risoluzione è stato proposto alla Commissione europea un divieto permanente di utilizzo dei sistemi di analisi e/o riconoscimento automatici negli spazi pubblici non solo del volto, ma anche di altre caratteristiche umane quali l’andatura, le impronte digitali, il DNA, la voce e altri segnali biometrici e comportamentali. Inoltre, preso atto dei diversi tipi di utilizzo del riconoscimento facciale, il Parlamento europeo ha chiesto che “la diffusione dei sistemi di riconoscimento facciale da parte delle autorità di contrasto venga limitata a finalità chiaramente giustificate nel pieno rispetto dei principi di proporzionalità e di necessità e della legge vigente”. 

Sulla scorta di tale raccomandazione, in Italia, è stata disposta una moratoria dei sistemi biometrici di riconoscimento facciale in luoghi pubblici o aperti al pubblico fino al 31 dicembre 2023, ad eccezione, tuttavia, dei trattamenti effettuati dalle autorità competenti a fini di prevenzione e repressione dei reati o di esecuzione di sanzioni penali di cui al d.lgs. 51/2018.