La base giuridica del c.d. AFIS

La (presunta) base giuridica del casellario delle identità c.d. AFIS e gli effetti discriminatori nei confronti dei cittadini stranieri e naturalizzati italiani

di Michele Di Salvo

Il tribunale civile di Roma è chiamato a pronunciarsi nei prossimi mesi sulla discriminazione legata alla conservazione e al trattamento dei dati riguardanti i cittadini stranieri e relativi alle richieste di rinnovo e conversione del permesso di soggiorno come dati di polizia e come tali inseriti all’interno di una banca dati di polizia utilizzata per la repressione dei reati

Il casellario delle identità AFIS è un database nel quale sono raccolti i dati (impronte digitali e foto) di italiani e stranieri sottoposti a procedimenti penali (di cui la natura criminale e di polizia della banca dati) e dei soli cittadini stranieri i dati raccolti nell’ambito delle procedure di rinnovo e conversione del permesso di soggiorno (natura amministrativa e di controllo del territorio al pari del rilascio della carta di identità e del passaporto).

Quindi dati amministrativi vengono inseriti, confrontati e trattati come dati di polizia per il solo fatto di appartenere a cittadini stranieri, con l’ulteriore incongruenza del fatto che questi dati non vengono cancellati neanche quando il cittadino ottiene la cittadinanza italiana.

Di qui la contestazione di trattamento discriminatorio nei confronti dei cittadini stranieri i cui dati sono inseriti in una banca dati di polizia, con tutte le conseguenze che si vedranno.

Il ricorso è stato presentato da due associazioni e due cittadini stranieri, di cui uno naturalizzato italiano, che ritengono di subire un trattamento deteriore nella conservazione e utilizzo dei loro dati esclusivamente per la loro nazionalità.

A causa della classificazione arbitrariamente effettuata dal Ministero dei loro dati come dati di polizia e non come dati amministrativi, i cittadini stranieri non possono cancellare i loro dati se non dopo 20 anni dal loro inserimento anche se nel frattempo la loro condizione giuridica è mutata, i loro dati sono verificati e trattati con pochissime limitazioni e da un alto numero di autorità amministrative, sono confrontati sistematicamente con migliaia di altri dati senza motivazioni specifiche al fine di essere utilizzati per finalità di polizia ed indagine, i confronti in particolare delle foto sono esposti ad un alto tasso di errori a causa della mancanza di un algoritmo in grado di mettere a confronto immagini di cittadini con la pelle di colore scuro1.

Il Casellario centrale d’identità è il più consistente archivio di dati identificativi del Ministero dell’Interno, allocato presso il Servizio polizia scientifica della Direzione centrale anticrimine della Polizia di Stato, al quale pervengono i cartellini fotosegnaletici redatti dalla Polizia di Stato, dall’Arma dei carabinieri, dalla Guardia di finanza e, tramite i canali di cooperazione internazionale, dalle polizie straniere.

I cartelli fotosegnaletici sono i documenti contenenti le generalità, la foto e le impronte digitali di coloro che sono stati fotosegnalati nei modi e per le esigenze previste dalla legge.

Per la gestione dati il Casellario centrale d’identità si avvale del Sistema automatizzato di riconoscimento delle impronte digitali (Fingerprint Identification System), che consente di memorizzare le fotografie, le immagini delle impronte e i dati anagrafici e biometrici delle persone sottoposte a rilievi e di correlarle e confrontarle tra loro. Inoltre, possono essere raccolti e memorizzati i dati nei seguenti casi:

• Art. 4 T.U.L.P.S. “L’autorità di pubblica sicurezza ha facoltà di ordinare che le persone pericolose o sospette e coloro che non sono in grado o si rifiutano di provare la loro identità siano sottoposti a rilievi segnaletici. Ha facoltà, inoltre, di ordinare alle persone pericolose o sospette di munirsi, entro un dato termine, della carta di identità e di esibirla ad ogni richiesta degli ufficiali o degli agenti di pubblica sicurezza”;

• Art. 349 del c.p.p. “identificazione di persona nei cui confronti vengono svolte le indagini”.

• Art. 5, c. 2 bis, D.lgs. 286/98. “Lo straniero che richiede il permesso di soggiorno è sottoposto a rilievi fotodattiloscopici”.

• Art. 5, c. 4bis, D.lgs. 286/98. “Lo straniero che richiede il rinnovo del permesso di soggiorno è sottoposto a rilievi fotodattiloscopici”.

• Art. 6, co.3 e 4 D.lgs. 286/98. “Lo straniero che, a richiesta degli ufficiali e agenti di pubblica sicurezza, non ottempera, senza giustificato motivo, all’ordine di esibizione del passaporto o di altro documento di identificazione e del permesso di soggiorno o di altro documento attestante la regolare presenza nel territorio dello Stato è punito con l’arresto fino ad un anno e con l’ammenda fino ad euro 2.000. 4. Qualora vi sia motivo di dubitare della identità personale dello straniero, questi è sottoposto a rilievi fotodattiloscopici e segnaletici”.

• Regolamento (UE), n. 603/2013, del Parlamento europeo e del Consiglio, del 26 giugno 2013 in base al quale le impronte dei cittadini stranieri richiedenti asilo sono conservate e trasmesse tra i vari Stati membri dell’Unione Europea al fine dell’efficace applicazione del Regolamento Dublino sulla determinazione dello Stato competente alla valutazione della richiesta di protezione internazionale.

La finalità della banca dati è quella di facilitare lo svolgimento di attività di polizia e le autorità autorizzate all’accesso, alla consultazione, alla modifica e alla cancellazione dei dati inseriti sono le forze di polizia ed in particolare, i titolari del trattamento sono gli uffici della Polizia di Stato, dell’Arma dei Carabinieri e della Guardia di Finanza, nonché i preposti Organismi Informativi del Sistema di Informazione per la sicurezza della Repubblica.

I dati memorizzati all’interno del Casellario servono quindi alle autorità di polizia per svolgere attività di indagini penali, nell’ambito delle quali è essenziale l’identificazione personale. Il sistema consente di visualizzare le fotografie dei soggetti segnalati attraverso l’inserimento manuale da parte dell’operatore, di informazioni anagrafiche, di connotati e di contrassegni.

È quindi possibile affermare che il confronto è uno a molti, ossia è possibile confrontare un dato con tutti quelli presenti nel database per verificare la corrispondenza. I dati raccolti nel casellario rimangono conservati per un tempo pari a 20 anni come previsto per i dati relativi ai controlli di polizia.

Alla luce di quanto detto si può pertanto riassumere che il Casellario è una banca dati utilizzata per finalità di polizia (scopi di prevenzione e giudiziari) nella quale sono conservati e trattati dati che sono raccolti nei casi previsti dalla legge. La conservazione e l’inserimento di questi dati nella banca dati AFIS è invece prevista solo con regolamento, il quale prevede che i dati di cittadini italiani e stranieri raccolti nell’ambito di operazioni di polizia e giudiziarie confluiscano nello stesso registro dei dati raccolti ai cittadini stranieri nell’ambito di procedure amministrative di rilascio e rinnovo del permesso di soggiorno. Ed è quindi attraverso questo passaggio determinato amministrativamente che si consuma la discriminazione consistente nel diverso trattamento sfavorevole nei confronti dei cittadini stranieri e di origine straniera come si dirà in seguito.

Tra i soggetti inseriti nella Banca dati AFIS i cittadini stranieri i cui dati sono raccolti per ragioni amministrative costituiscono la netta maggioranza.

E infatti, la Direzione centrale anticrimine della Polizia di Stato che “il numero di cartellini fotosegnaletici acquisiti e conservati all’interno della banca dati del Casellario Centrale d’Identità del Servizio Polizia Scientifica (AFIS), corrispondenti a cittadini di paesi terzi , con specifica indicazione: Cartellini acquisiti a soggetti che hanno dichiarato nazionalità: A) di paese terzo dell’Unione Europea 13.516.259, B) di stato membro dell’Unione Europea (Italia esclusa) 1.654.917, C) italiana 3.289.196. I dati sono riferiti al 28 luglio 2022”.

Infatti i cittadini stranieri sono fotosegnalati al momento del loro arrivo sul territorio italiano, nei casi di rinnovo, rilascio, conversione del titolo di soggiorno e questi dati confluiscono nella banca dati del Casellario.

Pertanto, i dati dei cittadini stranieri raccolti in occasione del fotosegnalamento per il rinnovo/conversione/rilascio del titolo di soggiorno e quindi fuori dalle attività di polizia rappresentano la parte più consistente dei dati raccolti nel casellario; sono conservati e sono soggetti alla disciplina prevista per i dati raccolti per finalità di polizia, indagine, repressione dei reati. Questo trattamento non cambia neppure se il cittadino straniero è diventato italiano in quanto i suoi dati rimarranno comunque registrati sul database e quindi continuare ad essere utilizzati per finalità di polizia.

A differenza di quanto previsto per i cittadini stranieri e i cittadini stranieri naturalizzati italiani, i dati dei cittadini italiani rilasciati in occasione della loro identificazione sono conservati in registri appositi e non confluiscono nella banca dati del Casellario Infatti, anche nel caso del rilascio della carta di identità o del passaporto vi è un obbligo di identificazione del cittadino italiano, il quale rilascia anche le proprie impronte digitali, ma questo non determina il confluire dei suoi dati all’interno del casellario.

La banca dati passaporti è stata istituita con art. 7 comma 1 del Decreto Ministero affari esteri 23 giugno 2009 ed ha lo scopo di verificare l’esistenza di precedenti passaporti rilasciati alla medesima persona, ovvero dei dati del passaporto in caso di denuncia di furto o smarrimento del documento, nonché per consentire le necessarie verifiche in caso di malfunzionamento del chip. Per quanto riguarda i dati biometrici quali l’impronta del dito indice di entrambe le mani non sono conservati e archiviati in banca dati quindi all’atto del rilascio del passaporto sono automaticamente cancellati dal sistema e non più consultabili (Art. 7, c. 5, Decreto Ministero affari esteri 23 giugno 2009 – Disposizioni relative al modello e alle caratteristiche di sicurezza del passaporto ordinario elettronico). I dati biometrici sono rilevati e conservati nel supporto di memorizzazione del passaporto (chip), e usati solo al fine di verificare: a) l’autenticità del passaporto o documento di viaggi; b) l’identità del titolare attraverso elementi comparativi direttamente disponibili allorquando la legge prevede che sia necessario il passaporto o un documento di viaggio (Art. 4, par. 3, Reg. CE/444/2009).

La normativa è simile anche per le carte di identità, la cui banca dati è prevista dal decreto del Ministero dell’Interno del 23 dicembre 2015.

Il cartellino elettronico, conservato da SSCE (il sistema di servizi del CNSD per il circuito di emissione della CIE), contiene le informazioni anagrafiche, la fotografia, la scansione della firma autografa, il numero di protocollo della pratica, le informazioni relative al processo di rilascio e il numero univoco nazionale della CIE conservati da SSCE (art. 8, del decreto del Ministero dell’Interno del 23 dicembre 2015) L’immagine delle impronte digitali è memorizzata esclusivamente sul microprocessore ai soli fini della verifica dell’identità del titolare della CIE secondo le vigenti disposizioni di legge. (art. 8, del decreto del Ministero dell’Interno del 23 dicembre 2015)

Ai sensi dell’art. 3, gli elementi biometrici primari (immagine del volto) e secondari (immagini impronte digitali) memorizzati nel microprocessore sono utilizzati esclusivamente per verificare l’autenticità della CIE e l’identità del titolare attraverso elementi comparativi direttamente disponibili ed escludendo confronti in modalità “uno a molti” a fini di identificazione.

Il diverso trattamento previsto per cittadini e stranieri è discriminatorio in quanto i dati dei cittadini stranieri riguardanti il rilascio e il rinnovo del titolo di soggiorno sono dati amministrativi, ma sono inseriti in una banca dati di polizia, a differenza di quanto accade per i dati raccolti per finalità amministrative dei cittadini italiani. Al contrario i dati amministrativi e i dati di polizia dovrebbero essere trattati separatamente, così non accade per i cittadini stranieri.

I dati raccolti nel casellario riguardano i dati personali del cittadino straniero raccolti in occasione della richiesta e di rilascio del permesso di soggiorno e forniscono quindi informazioni sulla sua regolare presenza sul territorio italiano. Tali informazioni sono pertanto necessarie al fine di monitorare il diritto al soggiorno e conseguentemente lo status del cittadino straniero sul territorio italiano, mentre non vi è una diretta correlazione con l’esercizio dei compiti di polizia o di prevenzione. Una correlazione, se esiste, è senz’altro indiretta e semmai in un rapporto di strumentalità.

Peraltro, il Garante, con il parere n. 74 del 23 febbraio 2017, aveva espresso dubbi sulla attrazione dei dati personali alla materia di polizia per il solo fatto di essere conservati in banche dati di polizia. Precisamente “3.4. Sistema A.F.I.S.(Automated Fingerprint Identification System)- Scheda n. 19: […] Nel corso di alcuni incontri preliminari, il Garante aveva espresso perplessità – esplicitate anche per iscritto in una nota inviata al Ministero dell´Interno il 27 novembre 2015 – in merito alla riconducibilità di alcune funzioni indicate dal Ministero dell´interno alla nozione di trattamento effettuato per finalità di polizia, poiché le medesime apparivano piuttosto parte di procedimenti amministrativi per la concessione di autorizzazioni o nulla osta o altri atti di assenso afferenti allo svolgimento di attività, oppure attenevano a compiti di vigilanza sull´osservanza delle disposizioni attinenti alla circolazione stradale, e aveva chiesto al Ministero dell´Interno una verifica puntuale ed una attenta riflessione in merito agli stessi.”

Se si considerano tali dati come dati di natura amministrativa e quindi fuori dalle attività e dalle funzioni di polizia, allora la disciplina applicabile è quella prevista dal GDPR già citato che all’art. 9 e dall’art. 2 sexies del D.Lgs 196/2003 come modificato con l’emanazione del Regolamento 2016/679 che ha previsto “1. I trattamenti delle categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, del Regolamento, necessari per motivi di interesse pubblico rilevante ai sensi del paragrafo 2, lettera g), del medesimo articolo, sono ammessi qualora siano previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o … di regolamento o da atti amministrativi generali che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché’ le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.

E nel caso del Casellario delle identità il trattamento di tali dati come dati di polizia tramite l’inserimento nella banca dati del Casellario deriva automaticamente (ed arbitrariamente) dall’inserimento previsto dal Decreto del Ministero dell’Interno 24 maggio 2017 all’interno di una banca dati di polizia senza peraltro dettare le “misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” come previsto dalla legge.

Quindi, se i dati biometrici raccolti ai cittadini stranieri nell’ambito delle procedure amministrative di rilascio e rinnovo dei permessi di soggiorno sono da considerare dati raccolti per finalità amministrative, allora la normativa applicabile è quella di cui al Regolamento UE 2016/679 e al D.lgs. 196/2003 che prevede che i dati particolari di cui all’art. 9 possono essere trattati per motivi di interesse pubblico. Il loro trattamento però deve avvenire nelle modalità previste per legge o con regolamento che indichino le misure per tutelare i diritti fondamentali e gli interessi del cittadino.

Così non è accaduto nel caso in esame, tanto che il Ministero dell’Interno, con il decreto 24 maggio 2017, ha previsto solo l’inserimento di questi dati all’interno di un database di polizia, così determinando la lesione di interessi e diritti fondamentali del cittadino straniero al trattamento dei suoi dati, inevitabilmente degradati in automatico a dati di polizia.

Ciò ha di conseguenza determinato che i dati particolari di cui all’art. 9, se raccolti a cittadini stranieri, sono trattati in modo deteriore rispetto a quelli raccolti e trattati dei cittadini italiani nei confronti dei quali, invece, la conservazione avviene con le modalità previste dalla legge e in modo da tutelare i diritti dell’interessato.

Se ciò è evidente nei confronti del cittadino straniero, lo è ancor più nei confronti del cittadino italiano (ancorché naturalizzato) il quale per il solo fatto di essere stato un tempo cittadino straniero deve ancora subire un trattamento discriminatorio e nonostante la conservazione dei suoi dati abbia anche perso qualsiasi finalità in relazione ai motivi di interesse pubblico per i quali sono stati raccolti (art. 9 Regolamento 679/2016 e art. 2 sexies D.Lgs. 196/2003).

Se, al contrario, si volesse aderire alla tesi del Ministero dell’Interno che ritiene che i dati in esame (si ribadisce: raccolti in occasione delle pratiche di rilascio e rinnovo del permesso di soggiorno, quindi senza alcuna connessione con attività illecite) siano raccolti nell’ambito di attività di polizia ed in particolare di prevenzione, allora la normativa applicabile sarebbe quella prevista dalla Direttiva UE 2016/680 che reca disposizioni relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali.

Il dettato normativo euro-unitario richiede dunque che anche il trattamento dei dati raccolti per finalità di polizia, prevenzione ecc sia disciplinato con una precisa disposizione normativa e che questa individui le modalità di conservazione e trattamento dei dati di modo che siano conservati e tutelati i diritti dei singoli.

Sul punto è intervenuta in maniera determinante la recente decisione della Corte di Giustizia dell’Unione Europea del 26 gennaio 2023 resa nella causa C – 205/21 con la quale la Corte, nell’interpretare l’art. 10 della direttiva UE 2016/680 ha previsto che “il trattamento di dati biometrici e genetici da parte delle autorità di polizia per le loro attività di ricerca, a fini di lotta contro la criminalità e di tutela dell’ordine pubblico, è autorizzato dal diritto dello Stato membro, ai sensi dell’articolo 10, lettera a), di tale direttiva, se il diritto di tale Stato membro contiene una base giuridica sufficientemente chiara e precisa per autorizzare detto trattamento” e che contrasta con tale disciplina una normativa nazionale che invece “preveda la raccolta sistematica di dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall’altro, che tali obiettivi non possono essere raggiunti mediante misure che costituiscono un’ingerenza meno grave nei diritti e nelle libertà della persona interessata.”

La Corte quindi – interpretando la disposizione anche in combinato con l’art. 12 della Carta – ritiene che le misure e le modalità del trattamento debbano essere previste da un atto normativo in modo chiaro e preciso.

Nel caso in esame, al contrario è solo previsto per legge che i cittadini stranieri si sottopongono a fotosegnalamento e nulla si dice sul trattamento o sulla conservazione dei dati. Solo la Direttiva del Ministero dell’interno assimila tali dati a dati di polizia facendoli confluire (senza alcuna motivazione) in una banca dati di polizia.

Infine, occorre specificare che anche se si volesse ritenere una disposizione di tipo regolamentare volta a disciplinare modi e contenuti del trattamento, questo neppure è avvenuto nel caso in esame, tanto che il Ministero dell’Interno ha operato una assimilazione ingiustificata dei dati dei cittadini stranieri ai dati di polizia.

Tale mancanza di una base giuridica completa, chiara e motivata, determina una lesione diretta del diritto UE.

In primo luogo occorre osservare che ai dati conservati in una banca dati di polizia sono applicate le norme sulla conservazione ed il trattamento dei dati raccolti nell’ambito di attività delittuose o criminali e quindi nell’ambito di attività che hanno esposto la comunità ad un rischio. Per tale ragione i dati sono sottoposti a regimi giuridici che rispondono alle finalità perseguite dalla banca dati e che quindi informano tutto il sistema del trattamento dei dati conservati. Pertanto, i dati raccolti in una banca dati di polizia possono essere utilizzati e visionati da un numero molto alto di Autorità che svolgono attività di controllo e repressione e possono essere utilizzati nel confronto uno a molti, ossia una foto o una impronta digitale possono essere confrontati con tutte le foto e le impronte conservate nella banca dati, il controllo può essere scarsamente motivato e le finalità genericamente legate a quelle di polizia.

Diversamente nel caso dei dati conservati nella banca dati dei passaporti o delle carte di identità, non è consentito l’accesso alle forze di polizia, è vietato il confronto uno a molti e l’accesso è consentito solo per motivazioni estremamente precise e comunque mai relative ad un controllo generalizzato.

L mancanza di una normativa sul trattamento dei dati dei cittadini stranieri in AFIS determina anche l’impossibilità di chiedere la loro cancellazione o modifica o rettifica quando non vi sia più alcuna ragione legata alla finalità perseguita dalla loro conservazione. I dati raccolti in occasione del rinnovo e del permesso di soggiorno vengono cancellati dopo 20 anni equiparandoli infatti, per i dati relativi ai controlli di polizia.

La lunghezza di tale termine (esorbitante rispetto a quello previsto per la conservazione dei dati per finalità amministrative) si spiega facilmente osservandolo dal punto di vista degli scopi di polizia e quindi della attività di prevenzione e di esecuzione dei provvedimenti giudiziari. Al contrario, quando i dati sono raccolti per finalità amministrative la lunghezza del termine appare sproporzionato, ed essa stessa sintomo di un trattamento illegittimo. Si osservi proprio il caso del cittadino naturalizzato italiano il quale a fronte di una evidente conclusione delle finalità per cui i dati sono conservati non può chiederne la cancellazione neppure con l’acquisizione della cittadinanza italiana.

In terzo luogo, a ciò si aggiunge un potenziale effetto discriminatorio nell’utilizzo di questi dati durante le attività di indagine effettuate dalle forze di polizia. E’ infatti possibile che, essendo la banca dati cd AFIS un sistema automatizzato di Intelligenza Artificiale, possa incorrere facilmente in errore determinando una potenziale discriminazione “algoritmica.”

Secondo il rapporto pubblicato dalla FRA Agency i sistemi algoritmici utilizzati per il prelievo di dati possono incorrere in errore e portare a forme di discriminazione quando si tratta di cittadini con la pelle scura. Una discriminazione c.d. “algoritmica” viene appunto generata dall’algoritmo che, sbagliando poiché non è sempre in grado di profilare attendibilmente per via di dati incompleti o obsoleti o di errori nella costruzione dello stesso algoritmo, produce di fatto una discriminazione.

Tali sistemi sono spesso usati per ricercare delle corrispondenze nelle banche dati di polizia e tra queste per ricercare corrispondenze tra le immagini di persone sospettate di un reato e le immagini conservate nella banca dati principalmente formata da cittadini stranieri (e tra questi molti di origine africana) che potrebbero essere ingiustamente accusati o indagati di un reato a causa di errori molto frequenti causati da questa tecnologia nel confronto uno a molti.