Pagare con la faccia: quello che cambia quando la chiave sei tu

La tentazione è leggerla come una notizia di prodotto. Non lo è. Un volto usato per riconoscere una persona specifica non è una fotografia: è un dato biometrico destinato a identificare univocamente un individuo, e il GDPR lo colloca fra le categorie particolari dell'art. 9, par. 1. La conseguenza pratica è che non basta una base dell'art. 6: ne serve una anche fra le condizioni dell'art. 9, par. 2, e nel commercio al dettaglio quella realisticamente disponibile è una sola, il consenso esplicito della lett. a).

Qui si apre la domanda vera, che non riguarda Revolut ma chiunque voglia copiare il modello. Il consenso vale se è libero, e libero vuol dire che chi dice di no non perde niente. Finché accanto alla cassa biometrica c'è la cassa normale, la condizione regge. Nel momento in cui il volto diventa l'unico modo di pagare, o il modo che salta la coda mentre l'altro no, il consenso smette di essere la base giuridica e diventa una formalità raccolta sotto pressione.

• Un identificatore compromesso non si cambia. Una carta si blocca, una password si riscrive, un volto no. È la ragione per cui l'art. 9 tratta questi dati diversamente, e non un eccesso di prudenza.
• La valutazione d'impatto non è facoltativa: trattamento su larga scala di categorie particolari, art. 35, par. 3, lett. b).
• Revocare deve essere facile quanto aderire, e la revoca deve produrre un effetto verificabile, non solo una spunta che cambia stato.
• Serve sempre un'alternativa effettiva allo stesso prezzo e con la stessa comodità, altrimenti il consenso non è libero.

Per il DPO di un esercizio commerciale che si veda proporre un sistema del genere, la domanda da fare al fornitore prima di ogni altra è chi decide cosa. Se il fornitore stabilisce finalità e mezzi e il negozio si limita a ospitare il terminale, il negozio non è titolare di quel trattamento; ma resta titolare della scelta di installarlo nei propri locali, e deve informare chi entra, garantire l'alternativa e sapere dove finiscono le immagini. «Il dato non lo conserviamo noi» è una risposta sul dove, non sul chi, e le due cose vengono confuse di continuo.

Sul fronte europeo il quadro si somma, non si sostituisce. Il regolamento sull'intelligenza artificiale non vieta la verifica uno-a-uno fatta col consenso dell'interessato — il divieto riguarda l'identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico a fini di attività di contrasto — ma colloca comunque i sistemi biometrici fra quelli regolati, con obblighi propri che si aggiungono al GDPR e non lo assorbono. Esperimenti simili in Unione europea ci sono già stati: Mastercard e PayEye avevano provato il pagamento biometrico in cinque negozi Empik in Polonia nel giugno 2024.

Che cosa portarsi via, in concreto. Se un cliente chiede un parere su una cassa che riconosce i volti, le cose da mettere per iscritto prima di tutto il resto sono quattro: la condizione dell'art. 9, par. 2, su cui ci si appoggia; la valutazione d'impatto, fatta prima e non dopo l'installazione; i termini di conservazione distinti del modello biometrico e di qualunque immagine conservata come riscontro; e l'alternativa non biometrica, descritta in modo che si veda che nessuno è svantaggiato scegliendola. Senza queste quattro, l'informativa più bella del mondo descrive un trattamento che non ha una base solida.