Il Garante per la protezione dei dati personali ha adottato un provvedimento nei confronti di SEA (Società per Azioni Esercizi Aeroportuali), disponendo la sospensione del sistema di faceboarding introdotto presso l’aeroporto di Milano Linate.

L’iniziativa, presentata come un passo decisivo verso la modernizzazione dei processi aeroportuali, prevedeva l’uso del riconoscimento facciale per sostituire le tradizionali verifiche documentali al momento dell’imbarco.

Il fatto: la sospensione del faceboarding a Linate

Gran parte della stampa ha rilanciato la notizia parlando di “blocco al riconoscimento facciale in Italia”, enfatizzando poi la notizia con toni anche più drammatici e parlando sostanzialmente di un Paese che direbbe “no al futuro”.

Questa rappresentazione ha contribuito a costruire l’ennesima narrazione del Garante come ostacolo alla modernità. Non è la prima volta che la stampa accompagna un intervento del Garante con toni che fanno pensare a un rifiuto del progresso: nel caso ChatGPT l’Autorità aveva imposto una limitazione provvisoria dei trattamenti nei confronti di OpenAI per violazioni del GDPR (tra cui la mancanza di filtro per i minorenni e di trasparenza dell’informativa); analogamente con DeepSeek, il Garante aveva ordinato il blocco dell’app e il ritiro dello store per carenze nella privacy policy e mancata chiarezza sui dati raccolti e basi giuridiche.

A ben vedere, in caso di mancato rispetto delle regole dovrebbe essere legittimo che il Garante intervenga, ma se lo fa, subisce inevitabilmente l’etichetta di “antiprogressista”.

Nel caso di Linate il comunicato ufficiale dell’Autorità è chiarissimo: non si è trattato di un divieto generalizzato, ma della sospensione di una specifica soluzione tecnica, giudicata incompatibile con il GDPR e con il parere del Comitato europeo per la protezione dei dati (EDPB, 23 maggio 2024, n.11).

SEA, già a dicembre 2024, era stata informata dell’incompatibilità e invitata a valutare soluzioni alternative, indicate dallo stesso EDPB come conformi. Nonostante ciò, la società ha proseguito senza esitazioni sul modello contestato, fino al provvedimento di sospensione.

Siamo dunque di fronte ad un “no” all’innovazione o a un “no” a una modalità di implementazione che non rispettava principi chiari e regole note? Eppure, il dibattito pubblico ha preferito insistere sull’immagine di un’Italia e del Garante “nemici del progresso”.

La narrazione tossica del progresso a ogni costo

Nel discorso mediatico la parola innovazione è stata trasformata in una clava retorica, brandita per silenziare qualsiasi obiezione. In questo scenario, chiunque provi a fissare limiti o introdurre strumenti di controllo viene bollato come “nemico del futuro”, condannato a rappresentare il lato oscuro della burocrazia.

La contrapposizione è semplice e seducente: da una parte le imprese, dipinte come visionarie, rapide, coraggiose; dall’altra le Autorità indipendenti, percepite come lente, pedanti, ostinate custodi del passato. Una narrazione tossica, perché falsa.

A frenare l’innovazione non sono le regole, che, al contrario, la rendono credibile, sostenibile e legittima. Senza regole, ciò che resta è azzardo.

La propaganda funziona perché gioca su una leva psicologica potentissima: la paura di restare indietro. Rispetto agli altri Paesi, rispetto alle grandi piattaforme tecnologiche, rispetto a un futuro che sembra correre ormai troppo veloce. Un frame che colpisce l’immaginario collettivo e che porta a percepire qualsiasi forma di cautela come un freno ingiustificato.

Il caso Linate lo dimostra: la sospensione è stata presentata come una vittoria della burocrazia sul futuro, anziché come il risultato di una scelta aziendale miope che ha ignorato per mesi indicazioni chiare e alternative possibili.

GDPR e innovazione: un falso conflitto

Il Regolamento generale sulla protezione dei dati (GDPR), a quasi dieci anni dalla sua entrata in vigore, continua a essere oggetto di attacchi: lo si dipinge come una zavorra che rallenta la digitalizzazione, un impianto normativo “vecchio” che non riesce a reggere il passo della tecnologia, in una visione tanto diffusa quanto superficiale.

Il GDPR ha in realtà consolidato l’Europa come riferimento globale nella governance dei dati. Stati Uniti, Brasile, Giappone, India e persino numerosi Paesi africani hanno introdotto leggi ispirate ai medesimi principi, dimostrando che ciò che in Europa viene talvolta percepito come un ostacolo è, altrove, considerato un modello.

Il punto non è se le regole siano in grado di “correre” alla stessa velocità della tecnologia, perché il diritto non deve rincorrere ogni applicazione, ma fissare principi generali che orientino l’uso delle innovazioni. Proporzionalità, minimizzazione, trasparenza, accountability: sono categorie che valgono indipendentemente dalla tecnologia, sia essa big data, riconoscimento facciale, intelligenza artificiale generativa.

Tabella. Cosa dice il GDPR sui dati biometrici.

Il sistema di faceboarding di Linate non rispettava pienamente queste condizioni; pertanto, la sospensione era un esito presumibile e quasi inevitabile, e non un atto ideologico, come invece ci viene rappresentato.

Perché lo stop di Linate non è un cavillo

È importante chiarire che il provvedimento del Garante si fonda su violazioni sostanziali dei principi cardine della disciplina europea e non è un’interpretazione “formalistica” delle norme. L’incompatibilità della soluzione adottata da SEA riguarda infatti aspetti concreti e rilevanti:

1. Trasparenza dell’informativa: i passeggeri non ricevevano un’informazione adeguata e comprensibile circa le modalità di trattamento dei propri dati biometrici, né sulle conseguenze di un eventuale rifiuto al conferimento.
2. Base giuridica inadeguata: il trattamento dei dati biometrici non era fondato su una solida base legale, come richiesto dall’art. 6 e dall’art. 9 GDPR: non è infatti sufficiente il consenso generico o la finalità di semplificazione delle procedure, ma occorre dimostrare la necessità e la proporzionalità del trattamento.
3. Minimizzazione assente: la tecnologia scelta prevedeva una raccolta e un’elaborazione dei dati più ampia di quanto strettamente necessario all’imbarco, violando il principio di minimizzazione.
4. Consenso non effettivamente libero: non erano previsti meccanismi robusti per garantire un consenso libero e informato, come la possibilità di alternative equivalenti all’imbarco tradizionale, senza che il passeggero percepisse penalizzazioni o discriminazioni.

Tabella: Le non conformità di SEA in un box.

Biometria e cyber security: dati che non si possono cambiare

C’è un aspetto spesso trascurato nel dibattito pubblico: i sistemi di riconoscimento facciale pongono criticità di sicurezza informatica oltre che di conformità normativa, in quanto i dati biometrici (volti, impronte, iride) sono per loro natura immutabili: a differenza di una password compromessa o di una carta di credito clonata, non possiamo “cambiare volto” in caso di violazione.

Questo significa che un eventuale data breach non produce soltanto un danno immediato, ma genera un rischio permanente, con conseguenze difficilmente reversibili per gli interessati. Non a caso l’ENISA (Agenzia dell’Unione Europea per la Cybersicurezza) ha più volte sottolineato come i dataset biometrici rappresentino un obiettivo ad altissimo valore per attaccanti e criminalità informatica.

Inoltre, i sistemi biometrici introducono ulteriori superfici di attacco e cioè:

1. i database centrali dove i dati vengono archiviati, spesso in cloud;
2. i dispositivi di acquisizione (scanner facciali, telecamere) che possono essere manipolati o compromessi;
3. gli algoritmi di matching, che possono essere ingannati da tecniche di spoofing (fotografie, maschere, deepfake).

Alla luce di questi rischi, le cautele del Garante, anziché “freni burocratici”, appaiono piuttosto misure di prevenzione a tutela non solo dei diritti, ma anche della resilienza complessiva dei sistemi.

Regolare significa, in questo caso, anche rafforzare la sicurezza, proteggere asset strategici e prevenire scenari in cui una falla biometrica possa tradursi in danni diffusi, difficilmente contenibili.

Tabella. Biometria in Italia: breve cronologia degli interventi del Garante.

Altri casi europei: l’Italia non è sola

La retorica che dipinge l’Italia come un Paese “arretrato” ignora ciò che avviene nel resto d’Europa, dal momento che i garanti europei hanno adottato provvedimenti analoghi, senza essere per questo necessariamente tacciati come anti-progresso:

• In Francia: la CNIL ha limitato l’uso del riconoscimento facciale in scuole e stadi, imponendo valutazioni d’impatto severe e piena trasparenza.
• In Svezia: l’Autorità ha sanzionato un istituto scolastico per l’uso di sistemi biometrici destinati a monitorare la presenza degli studenti.
• In Spagna: l’AEPD ha richiesto modifiche a sistemi di controllo accessi basati su riconoscimento facciale in ambito lavorativo.
• Nell’Unione Europea: l’AI Act, approvato nel 2024, vieta o limita l’uso del riconoscimento biometrico in tempo reale negli spazi pubblici, salvo eccezioni specifiche per motivi di sicurezza.

L’Italia non è quindi eccezione isolata, ma parte di un percorso europeo che bilancia innovazione e diritti fondamentali.

Il problema culturale: la compliance come fastidio

Il vero problema è culturale più che giuridico. Nella maggior parte delle imprese italiane la compliance è ancora percepita come un fardello, un vincolo da “gestire” dopo l’implementazione tecnologica (molto spesso anche dagli stessi professionisti del settore) e non viene concepita come parte integrante del processo di innovazione.

Questo approccio “reattivo” produce un paradosso perché, anziché ridurre i costi, li aumenta: le aziende finiscono spesso per dover modificare o sospendere progetti già avviati, con danni economici e reputazionali ben maggiori di quelli che avrebbero sostenuto adottando un approccio di privacy by design.

SEA, nel caso Linate, era stata avvisata dell’incompatibilità già a dicembre 2024 e ha avuto mesi per intervenire. Non lo ha fatto, e quando è arrivato lo “stop”, la narrazione pubblica ha preferito trasformare il Garante nel capro espiatorio. Un copione che abbiamo già visto molte volte.

La retorica dei “limiti impossibili”

Ancora più preoccupante è il fatto che persino alcuni professionisti del diritto e della compliance alimentino la retorica secondo cui regolamentare l’innovazione sarebbe impossibile. L’argomento è noto: la tecnologia evolve troppo velocemente, le regole arrivano sempre dopo, quindi è inutile tentare di normarla.

Si tratta di una posizione che equivale a una resa culturale, perché significa accettare un’innovazione selvaggia, guidata esclusivamente dagli interessi economici di breve periodo, mentre la storia ci insegna che i mercati senza regole generano crisi profonde: dalla finanza deregolamentata degli anni ’90 alla bolla dei subprime del 2008.

Nel digitale i rischi non sono meno gravi: sorveglianza di massa, discriminazioni algoritmiche, manipolazione dell’opinione pubblica. Non regolamentare significa non governare e un’innovazione non governata significa caos.

La provocazione necessaria: chi frena davvero l’innovazione?

È necessario ribaltare il paradigma e ammettere che molto spesso sono proprio le imprese, con scelte miopi, a rallentare la possibilità di sviluppare tecnologie sostenibili.

Se SEA avesse adottato da subito le soluzioni alternative indicate dal Comitato europeo, oggi il sistema di face boarding sarebbe attivo e funzionante; l’ostinazione a insistere su un modello non conforme ha portato all’inevitabile sospensione.

Costruire sistemi che generino fiducia sociale, trasparenza e rispetto dei diritti fondamentali, costituisce la vera innovazione, mentre delegittimare il Garante significa minare lo stesso governo democratico del digitale.

Fiducia come capitale dell’innovazione

Nel contesto digitale contemporaneo la fiducia rappresenta il vero capitale che determina la possibilità di successo o fallimento di un’innovazione. Senza fiducia, le tecnologie (per quanto sofisticate e promettenti) faticano a trovare accettazione sociale e ad affermarsi su larga scala. È la fiducia degli utenti a rendere un sistema non solo utilizzabile, ma anche socialmente legittimo.

Le regole, lungi dall’essere catene, sono i meccanismi attraverso cui tale fiducia viene generata e consolidata. Sapere che un sistema di riconoscimento facciale, una app di intelligenza artificiale o una piattaforma digitale è conforme al GDPR e agli standard europei, è la condizione che consente alle persone di sentirsi tutelate, di avere la percezione che i propri dati non saranno utilizzati in modo arbitrario, di confidare che eventuali abusi possano essere sanzionati.

In questo senso la compliance diventa un asset reputazionale, una forma di garanzia implicita che aumenta la propensione all’uso della tecnologia.

Al contrario, la non conformità è un fattore che mina la stessa sostenibilità del progetto tecnologico, perché ogni stop imposto “a valle”, quando una tecnologia è già stata lanciata o quando un’infrastruttura è già operativa, si traduce in costi esponenzialmente maggiori rispetto a quelli che si sarebbero sostenuti adottando un approccio di compliance by design.

Oltre alle sanzioni economiche, c’è la perdita di credibilità agli occhi del mercato e degli utenti: una tecnologia percepita come “non sicura” o “non rispettosa” faticherà infatti a riacquistare fiducia, anche se successivamente adeguata.

La fiducia è la vera moneta del digitale perché non si costruisce con slogan o campagne di marketing, ma con trasparenza, rispetto delle regole e responsabilità nel disegno dei sistemi. Chi considera la compliance un vincolo da aggirare commette un errore strategico perché espone sé stesso a blocchi e sanzioni e, soprattutto, compromette la possibilità di generare fiducia, e dunque di creare valore duraturo.

Innovare non è correre senza direzione

Lo stop al faceboarding di Linate non è un “no” all’innovazione, ma un “no” a un’innovazione progettata male e la dimostrazione che il progresso si misura con la capacità di integrare tutela dei diritti e sviluppo tecnologico.

La prossima volta che sentiremo dire che il Garante “blocca l’innovazione”, dovremmo chiederci chi beneficia di questa narrazione e chi, invece, rischia di pagare il prezzo di un’innovazione senza regole.

Il “no” del Garante non è rifiuto sterile, ma atto di responsabilità, un po’ come accade in una famiglia: ogni genitore sa che dire “no” a un figlio non significa ostacolarne la crescita, ma tutelarne lo sviluppo, evitando che scelte immature o rischiose ne compromettano il futuro.

Le regole, in una società civile, come in famiglia, insegnano a esercitare la libertà con consapevolezza, a fornire i confini entro i quali ciascuno può crescere in sicurezza e autonomia.

Allo stesso modo, nel mondo digitale, i limiti posti da un’Autorità sono strumenti educativi e protettivi, e non delle catene: insegnano agli attori tecnologici che innovare significa assumersi responsabilità, rispettare i diritti altrui, progettare soluzioni che possano vivere e prosperare in un ecosistema di fiducia.

Come un genitore che prepara un figlio alla vita adulta, le regole mirano a “formare”, cioè a costruire la possibilità di una libertà matura e solida.

Così dire “no” quando serve è un investimento che rende possibile un futuro digitale credibile, equo e realmente innovativo, proprio perché fondato su basi di responsabilità condivisa.