Il fatto che la voce registrata (come campionamento, traccia audio o quant’altro) venga qualificata come un dato personale comporta l’applicazione di tutte le tutele previste dalla normativa in materia di protezione dei dati personali. E dunque è bene avere chiarezza a riguardo per comprendere se e in che modo rientra nel campo di applicazione del GDPR. Bisogna infatti fare riferimento al parere WP136 4/2007 per chiarire il concetto di dati personali, da cui si conferma l’ampiezza della definizione fornita dalla Direttiva 95/46/CE che resta valida anche per il GDPR: qualsiasi informazione concernente una persona fisica identificata o identificabile.
E la voce rientra dunque fra i cosiddetti identificatori, ovverosia quella categoria di informazioni che hanno un rapporto stretto e privilegiato con la persona identificata.
“i dati in forma di suoni e immagini costituirebbero dati personali in quanto possono rappresentare informazioni su una persona.” ( Opinion 4/2007 on the concept of personal data – WP136 )
Dopodiché, questa può avere una capacità identificativa più o meno forte a seconda del contesto e delle circostanze che ricorrono nel caso specifico. Di conseguenza il fattore rilevante da valutare sta nella ragionevole probabilità che si possa identificare la persona fisica tenendo conto dello stato dell’arte e delle ulteriori informazioni che è possibile combinare. Si può arrivare anche al punto estremo per cui diventa addirittura possibile escludere la natura di dato personale qualora l’interessato sia irriconoscibile o indistinguibile.
L’importante è dunque qualificare in modo corretto il dato, evitando di incorrere in alcuni “inciampi” quali possono essere ritenere la voce aprioristicamente o un dato biometrico o un dato comunque non di categorie particolari.
La voce come dato personale biometrico
La voce, di per sé, non è un dato personale biometrico, dal momento che non riscontra la definizione fornita dal GDPR a riguardo.
«dati biometrici»: i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici; (art. 4.1 n. 14) GDPR)
E dunque, così come avviene per le immagini o le videoriprese, il dato può essere di tipo biometrico se ricorrono alcuni criteri specifici. Questi consistono nella natura del dato, che deve essere riferito a una caratteristica fisica, fisiologica o comportamentale di una persona, e ai mezzi e finalità del trattamento svolto che devono devono consistere in un trattamento tecnico con scopo di identificazione univoca.
In questo caso, pertanto, sarà necessario non solo verificare la sussistenza di una base giuridica ai sensi dell’art. 6 GDPR ma anche di una delle condizioni indicate dall’art. 9.2 GDPR. Condizione necessaria anche nell’ipotesi in cui la voce possa rientrare nel novero delle categorie particolari di dati.
La voce come dato sensibile
Se infatti la registrazione vocale rivela, non solo per il contenuto ma anche indirettamente e per l’effetto della combinazione con ulteriori informazioni, alcuno dei dati di cui all’art. 9.1 GDPR, allora deve essere trattata come un dato di categorie particolari. Alcuni esempi di registrazione? Quella di un fedele, idonea a rivelarne le convinzioni filosofiche e religiose. O di un paziente da cui può esserne rivelato lo stato di salute. O quella in cui l’interessato rivela il proprio orientamento sessuale.
Bisogna infine considerare che qualora siano rivelate o deducibili informazioni di impatto comunque elevato nei confronti della vita privata dell’interessato, la registrazione vocale è considerata come un dato sensibile e incide sul rischio dei trattamenti.
