Wortlaut

Alcuni media, riprendendo informazioni pubblicate dal sito americano "Buzzfeed", hanno reso noto che la polizia cantonale di San Gallo e la polizia comunale di Zurigo hanno testato l'alquanto controverso software di riconoscimento facciale "Clearview". Questo in tutta illegalità, dato che l'utilizzo del suddetto software non è autorizzato in Svizzera.

Mentre l'applicazione doveva, a quanto pare, essere accessibile soltanto ai professionisti, è stato dimostrato che decine se non addirittura centinaia di persone e imprese dispongono di accessi personali, usando "Clearview" a fini personali. Il ricorso a questo software ha destato scalpore in numerosi Paesi; in Svizzera occorre quindi che il Consiglio federale agisca in tutta urgenza per far rispettare il relativo divieto.

- Come il Consiglio federale spiega che corpi di polizia utilizzino software, di qualsiasi tipo, in tutta illegalità?

- Intende denunciare questi comportamenti e adottare le sanzioni del caso nei confronti degli autori?

- Quali misure intende adottare per proteggere in futuro la popolazione da questo tipo di pratiche?

Stellungnahme des Bundesrates

1 e 2. I Cantoni sono liberi, sul piano giuridico, di decidere i propri acquisti e nel farlo devono attenersi alle pertinenti disposizioni cantonali in materia di diritto sugli appalti pubblici e sulla protezione dei dati. La Confederazione non dispone di alcuna competenza decisionale in merito e non si esprime sugli acquisti delle polizie cantonali. Fatto salvo il diritto cantonale, le polizie cantonali dispongono di un margine di manovra per far ricorso al riconoscimento facciale. In tale contesto devono, tuttavia, tenere conto degli articoli 13 e 36 della Costituzione federale nonché, in relazione alla cooperazione nell'ambito di Schengen, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. Vanno inoltre rispettate le condizioni poste dalla Convenzione per la protezione delle persone in relazione all'elaborazione automatica dei dati a carattere personale (Convenzione 108+) e del suo protocollo di emendamento (STCE 223), che la Svizzera si appresta a ratificare.

Un riconoscimento facciale costituisce un trattamento di dati personali la cui esecuzione necessita di una chiara base legale e di garanzie adeguate (in particolare misure tecniche e organizzative volte a prevenire ogni distruzione, perdita, utilizzo non autorizzato, modifica ecc.). Quando un sistema di riconoscimento facciale permette di identificare la persona in modo univoco, si tratta di un trattamento di dati degni di particolare protezione che richiede condizioni e garanzie ancora più rilevanti. La sentenza del Tribunale federale DTF 146 I 11 precisa che, in assenza di una base legale sufficiente, il fatto che le autorità cantonali registrino dati identificativi ottenuti mediante le targhe d'immatricolazione nell'ambito di un sistema di monitoraggio del traffico e che confrontino tali dati nel giro di pochi secondi con altre banche dati costituisce una violazione dell'articolo 13 capoverso 2 della Costituzione federale. Nella sentenza, la base legale non è stata giudicata sufficiente.

Le esigenze formulate dal Tribunale federale e dalla Corte europea dei diritti dell'uomo si applicherebbero a fortiori se le autorità cantonali dovessero far ricorso a un sistema di sorveglianza e di identificazione mediante riconoscimento facciale.

La Confederazione non utilizza il software "Clearview".

3. Il Consiglio federale garantisce nel suo settore di competenza che i sistemi d'identificazione biometrica di persone sono utilizzati nel massimo rispetto delle basi legali vigenti. L'attuazione compete alle autorità federali interessate. Esse devono poter garantire che ogni loro azione sia eseguita in conformità alle basi legali.

La nuova legge federale sulla protezione dei dati (LPD; FF 2020 6695), che entrerà probabilmente in vigore il 1° settembre 2023, definisce i dati biometrici che identificano in modo univoco una persona fisica (art. 5 lett. c n. 4) come dati personali degni di particolare protezione. L'impiego di un software di riconoscimento facciale che serve espressamente a identificare persone fisiche in modo univoco va qualificato come trattamento di dati degni di particolare protezione ai sensi della nuova LPD. Gli organi federali dovranno disporre di una base legale formale per poter trattare dati degni di particolare protezione (art. 34 cpv. 2 lett. a nLPD).

Risposta del Consiglio federale.