Riconoscimento facciale in aeroporto: tanto rumore per (quasi) nulla?

1. Lo scorso 11 settembre, il Garante per la Protezione dei Dati Personali in Italia ha adottato il provvedimento n. 489 del 2025 con il quale ha ordinato alla Società per Azioni Esercizi Aeroportuali (di seguito, SEA) di sospendere l’utilizzo di sistemi di riconoscimento facciale per effettuare il c.d. face boarding. La notizia è stata presentata da alcuna stampa nazionale come un “divieto del riconoscimento facciale negli aeroporti italiani”, ma in realtà l’Autorità si è limitata a bloccare un sistema che presentava criticità specifiche, incompatibili con il Reg. (UE) 2016/679, di seguito GDPR. Tanto che, pochi giorni dopo, il 18 settembre, il Garante ha diffuso un comunicato stampa per chiarire che non vi è alcun bando generalizzato, ma una sospensione limitata al caso SEA. La pratica in questione consentiva un più rapido accesso ai controlli di sicurezza tramite il caricamento del volto e la successiva identificazione del passeggero, di fatto sostituendo la verifica del documento d’identità con la scansione facciale. Pertanto, sebbene vi fossero dei vantaggi in termini di efficienza, la mancanza delle garanzie necessarie per l’effettuazione del trattamento è stata la principale ragione posta dal Garante come motivazione del provvedimento.

2. Il provvedimento dell’Autorità si concentra, in primo luogo, sulla mancanza di un controllo effettivo dell’interessato sul trattamento: i template biometrici rimanevano nella disponibilità esclusiva del gestore aeroportuale, senza possibilità per il passeggero di gestire il proprio consenso o revocarlo in maniera significativa. In secondo luogo, l’informativa era incompleta e in alcuni passaggi inesatta, soprattutto riguardo ai tempi di conservazione: non veniva chiarito che i dati avrebbero potuto essere trattenuti fino a dodici mesi. Infine, sul piano della sicurezza, il sistema non prevedeva alcuna cifratura dei template, esponendo così i passeggeri a rischi di accesso non autorizzato e riutilizzo improprio.
Al parere dell’Autorità Garante, tali elementi determinano una violazione degli articoli 9, 13 e 32 GDPR e, più in generale, del principio di accountability. Pertanto, il provvedimento che ha riguardato la società SEA, oltre alle specifiche tecniche richiamate, si è soffermato sulla difficoltà per gli utenti di esercitare un controllo consapevole sui propri dati: un aspetto che, secondo l’Autorità, verrebbe meno in assenza di adeguate informazioni relative a modalità e tempi della conservazione del dato. Ebbene, l’informativa, oltre a essere carente, veicolava l’idea che i dati sarebbero stati conservati per un tempo limitato e in sicurezza. La realtà era opposta, recando la possibilità di estendere il trattamento fino a dodici mesi e totale assenza di cifratura, andando, dunque, a minare la consapevolezza degli interessati nel trattamento.
Nello specifico, il provvedimento si comprende rammentando che i sistemi di riconoscimento facciale trattano dati biometrici che sono considerati categorie speciali di dati personali, ai sensi dell’Art. 9 del GDPR: ossia, proprio perché consentono l’identificazione univoca della persona, sono sottoposti a un regime di divieto salvo eccezioni tassative (B. Sumer, N. Menéndez González, et al., 2024). Come è stato chiarito dal WP29, in un ormai storico parere sui dati biometrici, l’uso improprio di tali dati può avere effetti irreversibili sull’individuo, incidendo non solo sulla sua sfera privata, ma sulla sua stessa possibilità di autodeterminarsi.
Non tutti i sistemi che usano dati biometrici possono essere qualificati come riconoscimento facciale (G. Formici, 2019). In special modo, la semplice face detection, ossia l’individuazione della presenza di un volto in un’immagine senza creazione di template, non costituisce trattamento di dati biometrici. Il riconoscimento vero e proprio, invece, può avere diverse declinazioni: identificazione uno-a-molti, verifica uno-a-uno, categorizzazione in gruppi. In ogni modo, ciascuna comporta rischi e conseguenze differenti, ma tutte ricadono sotto l’art. 9 GDPR quando implicano l’uso di template biometrici. Il sistema SEA non era un mero strumento di detection, bensì un meccanismo di verifica e autenticazione, quindi soggetto alle regole più severe.

3. La distinzione richiamata ha delle implicazioni giuridiche del tutto diverse. Se, da un lato, l’identificazione biometrica remota tipicamente usata a fini di polizia, ossia sistemi 1:n, che confrontano il volto di una persona con un’intera banca dati, sono soggette a restrizioni, all’altro, diverso discorso è da fare in merito alle procedure di verifica biometrica uno-a-uno, come quelle impiegate in ambito aeroportuale per agevolare l’imbarco.
Lo scopo di quest’ultime è semplicemente confermare che una persona sia chi dichiara di essere, come da Art. 3 (36) del Reg. (UE) 2024/1689, di seguito AI Act. Pertanto, la semplice verifica dell’identità, pur ricadendo nell’applicazione del GDPR, è, invece, esclusa dall’AI Act. Sebbene, come si è avuto modo di spiegare in un altro post, all’interno dello stesso Regolamento sia stata prevista una lex specialis dedicata all’uso dei sistemi di riconoscimento facciale, tuttavia, come esplicitato dall’Art. 1(a) dell’Allegato III dell’AI Act, “sono esclusi i sistemi di IA destinati ad essere utilizzati per la verifica biometrica il cui unico scopo è confermare che una determinata persona fisica è quella che dichiara di essere”. Il face boarding rientra in questa categoria: il passeggero fornisce i propri dati biometrici in fase di enrolment e, al momento dell’imbarco, il sistema verifica la corrispondenza.
Il Regolamento, invece, si concentra principalmente sui sistemi real time remote biometric identification il cui impiego è ammesso solo da parte delle forze dell’ordine, in spazi accessibili al pubblico e solamente per alcuni reati individuati dall’Allegato II dell’AI Act. In secondo luogo, per tutti gli usi di polizia e non solo, il riconoscimento facciale ricade tendenzialmente nel regime “alto rischio” (conformità ex Titolo III), salvo rientrare in altre ipotesi di divieto: ad esempio, biometric categorisation per inferire dati sensibili, o ancora l’untargeted scraping di immagini facciali per costruire banche dati, che pure sono vietati. Più chiaramente, “real-time” significa cattura, confronto e identificazione senza ritardo significativo; l’interpretazione evita artifici di aggiramento mediante post-remote e ribadisce che la distinzione è temporale, non tecnologica. Come, difatti, ribadito dall’EDPB e dall’EDPS nella Joint Opinion n. 5/2021 sulla proposta di Regolamento per l’Intelligenza Artificiale, la distinzione non rileva sul piano tecnologico, giacché sul piano pratico comporta le stesse conseguenze per la sorveglianza degli individui. In particolare, il sistema biometrico è lo stesso, addestrato con un set di dati biometrici, e viene utilizzato in due modalità: ad esempio, in tempo reale mentre il reato è “in corso” o a posteriori. Sostanzialmente, gli stessi dispositivi possono operare in real-time o post-remote, e l’applicazione del divieto dipende dal contesto spazio-funzionale, non dal marchio dell’apparato.
D’altro canto, le linee guida che la Commissione europea ha pubblicato nel febbraio 2025 per chiarire aspetti relativi alle pratiche vietate dall’AI specificano che la qualificazione giuridica dipende anche dalla natura dello spazio in cui i sistemi di identificazione biometrica, come il riconoscimento facciale, vengono utilizzati. Alcuni luoghi, come gli aeroporti, hanno una funzione “duale”: le aree comuni sono considerate spazi pubblici, mentre le zone dedicate ai controlli di frontiera, in cui si effettuano verifiche documentali ai sensi del Codice frontiere Schengen (Regolamento (UE) 2016/399), non rientrano nella nozione di spazio accessibile al pubblico. Da ciò discende che l’eccezione dell’articolo 5 riguarderebbe solo gli usi di polizia in tempo reale nelle aree pubbliche dell’aeroporto, non quelli nei punti di frontiera, e certamente non i sistemi gestiti da operatori privati per finalità di efficientamento.
Il face boarding, dunque, sebbene non sia una pratica né proibita né particolarmente interessata dall’AI Act, rimanendo fuori dal catalogo delle pratiche vietate e da quello dei sistemi ad alto rischio, non è libero da vincoli, come dimostra il provvedimento in esame. Il parere 11/2024 dell’EDPB, ampiamente citato dall’Autorità Garante nel provvedimento in commento, si concentra sui sistemi gestiti da aeroporti e compagnie aeree con finalità di fluidificazione dei flussi e non di law enforcement. Qui il Comitato, muovendosi sul terreno del GDPR, valuta la compatibilità del trattamento di dati biometrici ai sensi dell’articolo 9, evidenziando criticità sul piano della proporzionalità e del consenso. Per l’EDPB, il fatto che un sistema sia “volontario” non elimina l’asimmetria strutturale tra passeggero e gestore, né neutralizza il rischio di sorveglianza sistemica. Inoltre, il parere mette in discussione la stessa proporzionalità dell’uso del riconoscimento facciale per finalità di mera efficienza, richiamando il rischio che anche sistemi presentati come “volontari” si traducano in forme di sorveglianza sistematica e producano un chilling effect sulla libertà di circolazione. La linea interpretativa è chiara: soltanto architetture che garantiscano all’interessato il controllo effettivo sul proprio template, con cifratura robusta, segregazione delle chiavi e retention dimostrata e limitata, possono aspirare a essere compatibili con il GDPR. Non da ultimo, qualora l’implementazione del face boarding ecceda la mera funzione di verifica, ad esempio attraverso conservazioni prolungate, interoperabilità tra database o utilizzo dei template per finalità ulteriori, allora il sistema perderebbe la neutralità della semplice verification e ricadrebbe nelle categorie ad alto rischio o persino nelle pratiche vietate dell’AI Act, sopra richiamate.

4. Il caso qui commentato non insegna semplicemente che il face boarding non è vietato dall’AI Act e che resta soggetto al GDPR. Mostra, piuttosto, la difficoltà di far convivere due modelli regolatori differenti. Da un lato, il modello del GDPR, rafforzato dall’interpretazione restrittiva dell’EDPB, che impone un giudizio di proporzionalità in concreto e guarda con sospetto agli usi della biometria motivati solo dall’efficienza. Dall’altro, il modello dell’AI Act, che colloca la tecnologia entro categorie astratte di rischio, esclude formalmente la semplice verification dal perimetro degli obblighi più severi, e rimette alle pratiche di compliance il compito di prevenire abusi.
Tuttavia, la sospensione imposta dal Garante dimostra che, se l’AI Act sembra lasciare aperta la porta a forme di face boarding, sarà compito delle autorità nazionali tracciare i confini sostanziali della liceità. È su questo punto che deve concentrarsi la continuità tra i due strumenti: non in un’identità di soluzioni, ma nel fatto che entrambi convergono nell’idea che la biometria non sia mai un trattamento neutro e che la sua giustificazione debba essere osservata con rigore, anche quando non ricade nei divieti o tra i sistemi ad alto rischio.
Essenzialmente, non è l’uso del riconoscimento facciale in sé a essere escluso, ma è il modo in cui viene implementato che deve dimostrare, passo dopo passo, di non intaccare il nucleo della dignità e dell’autonomia individuale. È in questo senso che il “tanto rumore per nulla” si rivela fuorviante: la posta in gioco non è il divieto o meno di una tecnologia, ma la capacità del diritto europeo di regolare la soglia in cui l’innovazione si misura direttamente con i diritti fondamentali, senza intaccare l’una il piano degli altri.