La rilevazione biometrica utilizza caratteristiche fisiche, fisiologiche o comportamentali di una persona per consentirne o confermarne l’identificazione attraverso sistemi tecnologici.
Impronte digitali, caratteristiche del volto, iride e altri elementi biometrici possono essere acquisiti mediante specifici sensori e successivamente elaborati da software e algoritmi di riconoscimento.
Le applicazioni possibili sono numerose: autenticazione digitale, controllo degli accessi, sicurezza informatica e identificazione personale. L’utilizzo della biometria richiede però particolare attenzione perché, quando vengono trattati per identificare univocamente una persona, i dati biometrici appartengono alle categorie particolari di dati personali disciplinate dal GDPR.
Per un’azienda è quindi fondamentale distinguere ciò che una tecnologia può tecnicamente fare da ciò che può essere legittimamente utilizzato per una determinata finalità.
Che cos’è la rilevazione biometrica
Un sistema biometrico riconosce una persona attraverso caratteristiche direttamente associate al soggetto, anziché mediante una credenziale esterna come una password, un PIN o un badge.
Il GDPR definisce i dati biometrici come dati personali ottenuti mediante uno specifico trattamento tecnico relativo a caratteristiche fisiche, fisiologiche o comportamentali che consentono o confermano l’identificazione univoca di una persona. Tra gli esempi espressamente indicati rientrano l’immagine facciale e i dati dattiloscopici.
Un processo biometrico può essere rappresentato in modo semplificato così:
acquisizione → elaborazione → estrazione delle caratteristiche → modello biometrico → confronto → esito
La rilevazione biometrica comprende quindi più elementi: sensori di acquisizione, sistemi di identificazione, algoritmi biometrici, software e procedure di sicurezza.
Come funziona un sistema di riconoscimento biometrico
Il primo passaggio è generalmente la registrazione dell’utente, spesso indicata come enrollment.
Un sensore acquisisce la caratteristica biometrica scelta, ad esempio l’impronta digitale o il volto. Il sistema elabora successivamente l’informazione per ricavarne gli elementi utili al riconoscimento.
Questi elementi vengono trasformati in una rappresentazione digitale che potrà essere confrontata con una nuova acquisizione quando l’utente utilizzerà nuovamente il sistema.
Il Garante Privacy precisa che il trattamento biometrico avviene sia durante la fase iniziale di enrollment sia nella successiva fase di riconoscimento.
Questo significa che non è necessario conservare semplicemente una fotografia del volto o un’immagine dell’impronta perché si possa parlare di trattamento biometrico: ciò che conta è l’elaborazione tecnica utilizzata per identificare univocamente la persona.
Quali tecnologie biometriche esistono
La biometria comprende tecnologie differenti, ciascuna basata sull’acquisizione di specifiche caratteristiche.
Impronta digitale
I sensori per impronte digitali analizzano caratteristiche specifiche del dito e le trasformano in informazioni utilizzabili dal sistema di riconoscimento.
È una delle tecnologie biometriche più conosciute e viene utilizzata in differenti sistemi di autenticazione e identificazione.
Riconoscimento facciale
Il riconoscimento facciale acquisisce caratteristiche del volto attraverso una fotocamera e le analizza mediante algoritmi biometrici.
Va distinto dalla semplice acquisizione di un’immagine: è l’elaborazione finalizzata al riconoscimento univoco della persona che assume rilevanza sotto il profilo biometrico.
Scansione dell’iride
La scansione dell’iride utilizza le caratteristiche dell’occhio per riconoscere l’utente e richiede specifici strumenti di acquisizione.
Altre caratteristiche biometriche
Possono essere utilizzate anche geometria della mano, caratteristiche vocali e differenti parametri comportamentali.
Esistono, ad esempio, tecnologie capaci di analizzare caratteristiche della digitazione o altre modalità con cui una persona interagisce con un dispositivo.
La disponibilità tecnica di una determinata soluzione non significa però che il suo utilizzo sia automaticamente appropriato o consentito per qualsiasi finalità.
Identificazione e autenticazione biometrica
Identificazione biometrica e autenticazione biometrica sono concetti collegati, ma non perfettamente equivalenti.
Nell’autenticazione il sistema verifica generalmente se la caratteristica acquisita corrisponde alla persona che dichiara una determinata identità.
Nell’identificazione, invece, il sistema può confrontare la caratteristica acquisita con più profili per determinare a chi appartiene.
Questa distinzione influenza l’architettura del sistema, il tipo di confronto effettuato e il trattamento dei dati.
Quando le informazioni biometriche vengono utilizzate per identificare univocamente una persona, trova applicazione la disciplina prevista per le categorie particolari di dati personali.
Applicazioni e utilizzi dei dati biometrici
La biometria viene utilizzata in contesti molto diversi.
Una delle applicazioni più diffuse è l’autenticazione biometrica sui dispositivi personali, dove impronta digitale o volto possono essere utilizzati per verificare l’identità dell’utente.
Altri scenari riguardano sistemi di identificazione digitale, sicurezza informatica e controllo degli accessi fisici.
In determinati ecosistemi tecnologici la biometria può essere utilizzata anche come elemento di autenticazione per operazioni o servizi digitali, compresi sistemi che richiedono una verifica particolarmente forte dell’identità.
Nel contesto aziendale è però necessario distinguere questi utilizzi dalle forme di sorveglianza biometrica o di monitoraggio sistematico delle persone: finalità, scala del trattamento e impatto sui diritti degli interessati possono cambiare radicalmente.
Per questo motivo la domanda non dovrebbe essere soltanto “questa tecnologia funziona?”, ma anche “per quale finalità viene utilizzata e quali dati vengono realmente trattati?”.
Rilevazione biometrica e controllo accessi
Una delle applicazioni aziendali più conosciute riguarda il controllo accessi.
In questo scenario il sistema deve verificare se una determinata persona è autorizzata a entrare in un edificio, un reparto o un’area riservata.
La biometria può costituire una delle possibili tecnologie di identificazione all’interno di un’infrastruttura più ampia composta da lettori, centraline, software e dispositivi di apertura.
Cotini dedica una soluzione specifica ai sistemi di controllo accessi, nei quali possono essere integrate differenti tecnologie di identificazione.
Per gli aspetti più strettamente hardware è inoltre disponibile l’approfondimento sul lettore biometrico, che analizza sensori, terminali e criteri di scelta.
Il controllo accessi deve però essere distinto dalla rilevazione delle presenze lavorative: sono finalità differenti e non è corretto presumere che una tecnologia utilizzabile per l’una possa essere automaticamente impiegata anche per l’altra.
Rilevazione biometrica delle presenze dei dipendenti
Da un punto di vista puramente tecnico, un sistema biometrico può riconoscere un lavoratore e associare il riconoscimento a un determinato momento.
Questo non significa, però, che possa essere utilizzato liberamente per effettuare le timbrature.
Nel provvedimento del 29 aprile 2026, il Garante Privacy ha ribadito che l’ordinamento vigente non consente il trattamento dei dati biometrici dei dipendenti per la finalità di rilevazione della presenza in servizio. L’Autorità ha inoltre evidenziato che gli stessi obiettivi possono essere raggiunti con strumenti meno invasivi.
Consulta il provvedimento del Garante del 29 aprile 2026
Nel caso esaminato veniva utilizzato il riconoscimento facciale per registrare le presenze dei lavoratori. Il Garante ha ritenuto il trattamento privo di un’idonea base giuridica e non conforme anche ai principi di minimizzazione e proporzionalità.
La disponibilità commerciale di dispositivi biometrici non deve quindi essere confusa con la possibilità di utilizzarli per la registrazione dell’orario di lavoro.
Dati biometrici, GDPR e articolo 9
Il quadro europeo attribuisce ai dati biometrici una tutela particolarmente elevata.
L’articolo 9 del GDPR stabilisce come regola generale il divieto di trattamento delle categorie particolari di dati personali, compresi i dati biometrici utilizzati per identificare in modo univoco una persona, salvo che ricorra una delle specifiche condizioni previste dal Regolamento.
Consulta il testo ufficiale del GDPR su EUR-Lex
In ambito lavorativo il GDPR contempla condizioni specifiche, ma il trattamento deve anche essere autorizzato dal diritto applicabile e accompagnato dalle necessarie garanzie.
Nel quadro italiano intervengono inoltre il Codice Privacy e le misure di garanzia relative ai dati biometrici. Il Garante richiama espressamente questa combinazione di fonti nel provvedimento del 2026.
Non è quindi sufficiente che un produttore dichiari un dispositivo “conforme al GDPR”: bisogna verificare se quella specifica finalità, in quello specifico contesto, dispone di una base giuridica adeguata.
Privacy biometrica e protezione dei dati
I dati biometrici presentano caratteristiche particolari anche dal punto di vista della sicurezza.
Una password compromessa può essere sostituita. Una caratteristica fisica personale non può essere modificata con la stessa facilità.
Per questo la privacy biometrica richiede di considerare attentamente l’intero ciclo di vita dei dati:
- finalità del trattamento;
- necessità del ricorso alla biometria;
- quantità di informazioni raccolte;
- modalità di conservazione;
- durata della conservazione;
- accesso ai dati;
- misure di sicurezza;
- procedure di cancellazione;
- informativa agli interessati;
- eventuale valutazione d’impatto.
Nel caso deciso nel 2026 il Garante ha contestato, oltre alla mancanza di una base giuridica idonea, anche criticità relative all’informativa, alla valutazione d’impatto, alla sicurezza e ai tempi di conservazione.
La protezione dei dati biometrici non riguarda quindi soltanto il sensore utilizzato, ma l’intero sistema organizzativo e tecnologico che acquisisce, elabora, conserva e utilizza l’informazione.
Sicurezza e implicazioni dei sistemi biometrici
I sistemi biometrici possono aumentare la capacità di verificare l’identità di una persona, ma introducono anche rischi specifici.
È necessario considerare possibili accessi non autorizzati ai dati, errori di riconoscimento, modalità con cui vengono protetti i modelli biometrici e conseguenze derivanti da un’eventuale compromissione.
Anche l’estensione progressiva della finalità originaria merita attenzione. Una tecnologia introdotta per autenticare l’accesso a un servizio non dovrebbe trasformarsi automaticamente in uno strumento per tracciare gli spostamenti o monitorare sistematicamente il comportamento delle persone.
Per questo sicurezza tecnica, protezione dati e proporzionalità del trattamento devono essere progettate insieme.
Riconoscimento facciale e rilevamento delle persone
Il riconoscimento facciale merita particolare attenzione perché una fotocamera può acquisire immagini anche in contesti nei quali molte persone sono presenti contemporaneamente.
La semplice presenza di una persona in un’immagine non coincide necessariamente con un trattamento biometrico: è l’elaborazione tecnica finalizzata all’identificazione univoca a determinare la natura biometrica del trattamento.
Questo distingue, ad esempio, una normale acquisizione video da un sistema nel quale algoritmi di riconoscimento analizzano il volto per stabilire l’identità dell’utente.
In contesti aziendali, l’introduzione di sistemi di questo tipo richiede quindi una valutazione molto più ampia rispetto alla semplice installazione di una videocamera o di un terminale.
Quali alternative utilizzare per rilevare le presenze
Per la normale rilevazione delle presenze esistono sistemi che non richiedono il trattamento di dati biometrici.
Badge RFID e NFC
Un badge può identificare il lavoratore tramite una credenziale elettronica e un lettore compatibile.
Cotini utilizza sistemi di questo tipo nelle proprie soluzioni per la rilevazione delle presenze.
App e portali web
Per personale mobile o distribuito tra più sedi può essere utilizzata la timbratura tramite smartphone o browser.
Il funzionamento è approfondito nella guida sull’app timbratura cartellino.
QR Code e credenziali digitali
In funzione dell’infrastruttura utilizzata possono essere adottati anche QR Code e altre credenziali digitali, purché rispondano alle esigenze del processo.
Software per la gestione delle presenze
La credenziale genera il dato, mentre il software lo organizza.
Un software gestione presenze può centralizzare le timbrature provenienti da sistemi differenti e supportare le successive attività amministrative.
Queste alternative sono particolarmente rilevanti perché, nel caso della rilevazione delle presenze, il Garante ha espressamente richiamato la possibilità di perseguire lo stesso obiettivo attraverso strumenti meno invasivi rispetto alla biometria.
Come valutare una tecnologia biometrica in azienda
Prima di introdurre un sistema biometrico è utile partire dalla finalità e non dal dispositivo.
La prima domanda dovrebbe essere: quale problema deve risolvere?
Autenticare l’accesso a un servizio, proteggere un’area riservata e registrare l’orario di lavoro sono finalità differenti.
Bisogna quindi verificare se l’utilizzo di dati biometrici è realmente necessario, se esistono alternative meno invasive e quale disciplina si applica al caso concreto.
Una valutazione corretta dovrebbe seguire una sequenza come:
finalità → necessità → alternative → tecnologia → base giuridica → sicurezza → gestione dei dati
Il sistema più avanzato non è necessariamente quello più adatto.
La soluzione migliore è quella che raggiunge l’obiettivo aziendale con un livello di complessità e invasività proporzionato alle reali esigenze.
Domande frequenti sulla rilevazione biometrica
Che cos’è la rilevazione biometrica?
È l’utilizzo di caratteristiche fisiche, fisiologiche o comportamentali attraverso specifiche tecnologie per consentire o confermare l’identificazione di una persona.
Quali sono le principali tecnologie biometriche?
Tra le più conosciute rientrano impronta digitale, riconoscimento facciale e scansione dell’iride. Esistono inoltre sistemi che utilizzano caratteristiche vocali, geometriche o comportamentali.
I dati biometrici sono dati personali?
Sì. Quando vengono ottenuti attraverso un trattamento tecnico specifico e utilizzati per identificare univocamente una persona, il GDPR li considera dati biometrici appartenenti alle categorie particolari di dati personali.
La biometria può essere usata per registrare le presenze dei dipendenti?
Nel quadro normativo italiano vigente, il Garante ha ribadito che non è consentito trattare dati biometrici dei lavoratori per la finalità di rilevare la presenza in servizio.
Biometria e controllo accessi sono la stessa cosa?
No. La biometria è una tecnologia di identificazione o autenticazione; il controllo accessi è una possibile finalità del sistema. Ogni utilizzo deve essere valutato rispetto alla finalità concreta e alle regole applicabili.
Esistono alternative non biometriche per la rilevazione delle presenze?
Sì. Badge RFID o NFC, app, portali web, QR Code e altri sistemi digitali possono consentire di registrare le presenze senza trattare caratteristiche biometriche.
