Dati corporei e prova virtuale: regole sulla privacy e modelli di consenso
Gli strumenti di prova virtuale e di taglia raccolgono foto e misure. Che cosa richiedono il GDPR e l'Illinois BIPA, quando i dati corporei diventano categorie particolari e quali modelli di consenso funzionano.
IN SINTESI Sintesi della redazione
- Ai sensi dell'articolo 9 del GDPR, i dati biometrici costituiscono una categoria particolare solo quando sono trattati per identificare in modo univoco una persona: se uno strumento di prova o di misurazione fa scattare il regime più rigoroso dipende da ciò che fa con immagini e misure, quindi serve una consulenza legale per ciascuna funzione.
- Quando la base giuridica è il consenso esplicito, l'articolo 7 del GDPR richiede che il titolare possa dimostrarlo, che la richiesta sia chiaramente distinguibile dalle altre questioni e che la revoca sia facile quanto la prestazione del consenso.
- Minimizzazione dei dati e limitazione della conservazione ai sensi dell'articolo 5 favoriscono l'elaborazione sul dispositivo, la cancellazione delle immagini dopo la misurazione e la conservazione di ciò che serve alla finalità.
- L'Illinois Biometric Information Privacy Act richiede il consenso prima di raccogliere identificatori biometrici e prevede un'azione privata con risarcimenti di 1.000 dollari per violazione, o 5.000 dollari se intenzionale o per negligenza grave.
- Zalando ha dichiarato a Just Style nel 2023 che le foto usate dal suo strumento di misurazione corporea non lasciavano gli smartphone dei clienti e che i clienti controllavano la condivisione dei dati: un esempio di privacy by design che altri retailer possono adottare.
Gli strumenti di prova virtuale e di misurazione corporea possono ricadere in rigide norme sulla privacy perché trattano foto, misure del corpo e talvolta dati del volto. Se i dati rientrino tra le categorie particolari o tra i dati biometrici dipende da finalità e tecnologia: i retailer dovrebbero quindi stabilire la base giuridica per ciascuna funzione, raccogliere il minimo indispensabile e offrire ai clienti una scelta chiara e revocabile. Questo articolo è una panoramica editoriale, non una consulenza legale.
Perché i dati corporei sono un problema di privacy per i retailer di moda?
Gli strumenti di vestibilità e di prova richiedono input personali: altezza e peso, misure ricavate da foto o da un video dello smartphone, oppure una foto usata per mostrare i capi indosso al cliente. Lo strumento di misurazione di Zalando, per esempio, chiede ai clienti due foto di sé con indumenti aderenti, come ha riportato Just Style nel 2023. Questi input possono rivelare informazioni sulla salute, la conformazione fisica e, nel caso delle immagini del volto, l'identità. Anche quando un retailer vuole solo raccomandare una taglia, i dati possono essere sensibili se finiscono in mano ad attaccanti o in un contesto sbagliato.
Quando il GDPR tratta questi dati come categorie particolari?
L'articolo 9 del GDPR vieta il trattamento di categorie particolari di dati personali, tra cui dati genetici, dati relativi alla salute e dati biometrici trattati per identificare in modo univoco una persona fisica. L'articolo non definisce ulteriormente i dati biometrici. Uno strumento di misurazione che calcola soltanto le dimensioni per suggerire una taglia non identifica con evidenza nessuno, mentre una scansione del volto usata per riconoscere un cliente che ritorna lo farebbe. I dati sulla salute possono emergere quando le misure consentono inferenze sulla salute di una persona. Questi confini sono controversi e dipendono dai fatti: documentate quindi l'analisi per ciascuna funzione.
L'eccezione principale per il retail è il consenso esplicito ai sensi dell'articolo 9, paragrafo 2, lettera a), a meno che il diritto dell'UE o di uno Stato membro disponga che il divieto non possa essere revocato dall'interessato. L'articolo 9, paragrafo 4, consente inoltre agli Stati membri di mantenere o introdurre ulteriori condizioni per i dati genetici, biometrici o relativi alla salute, quindi le norme nazionali possono aggiungere requisiti.
| Funzione | Dati coinvolti | Questioni chiave sulla privacy |
|---|---|---|
| Raccomandazione di taglia dallo storico acquisti | Ordini e resi passati | La profilazione è trasparente e il cliente può rifiutarla? |
| Raccomandazione di taglia da foto o video | Immagini del corpo, misure derivate | Le immagini vengono cancellate dopo la misurazione e restano sul dispositivo? |
| Avatar o camerino virtuale 3D | Misure corporee, modello di avatar | Per quanto tempo viene conservato l'avatar e il cliente può cancellarlo? |
| Prova basata su foto (immagine del cliente) | Immagini del volto e del corpo | Si usa il riconoscimento facciale e l'immagine serve ad addestrare modelli? |
| Dataset aggregati di misure per le tabelle taglie | Misure corporee anonimizzate | I dati sono davvero anonimizzati ed è stato ottenuto il consenso per questo uso? |
Che aspetto ha un consenso valido?
L'articolo 7 stabilisce le condizioni. Il titolare deve poter dimostrare che la persona ha prestato il consenso. Una richiesta di consenso inserita in una dichiarazione più ampia deve essere chiaramente distinguibile dalle altre questioni, comprensibile, facilmente accessibile e redatta in un linguaggio semplice e chiaro. Le persone possono revocare il consenso in qualsiasi momento, devono esserne informate prima di prestarlo e la revoca deve essere facile quanto la prestazione. Per valutare se il consenso è libero, una questione chiave è se un servizio dipenda dal consenso a un trattamento non necessario per il servizio stesso.
- Chiedete il consenso nel momento dell'uso, con una breve spiegazione di che cosa viene acquisito, perché, per quanto tempo e chi lo vede.
- Usate una scelta separata e non preselezionata per ciascuna finalità e non abbinate il consenso alla prova a marketing o condizioni di servizio.
- Offrite un percorso equivalente senza dati corporei, come una guida taglie manuale, così il rifiuto non blocca l'acquisto.
- Fornite un controllo visibile per consultare, esportare e cancellare il profilo conservato e rendete la revoca possibile con un solo tocco.
- Registrate versione, data e ambito del consenso, per poterlo dimostrare in seguito.
Come influenzano il design la minimizzazione dei dati e i limiti di conservazione?
L'articolo 5 richiede che i dati personali siano limitati a quanto necessario per la finalità, conservati in forma identificabile non oltre il necessario, usati per finalità determinate e mantenuti esatti. Nel design della prova ciò si traduce in scelte concrete: elaborare le immagini sul dispositivo, estrarre solo le misure necessarie, cancellare subito le immagini, far scadere i profili inattivi ed evitare di riutilizzare le immagini dei clienti per addestrare modelli, salvo un consenso separato e specifico. Zalando ha dichiarato a Just Style che le foto nel suo strumento di misurazione corporea non lasciano gli smartphone dei clienti e che i clienti controllano le proprie preferenze di condivisione dei dati. È una dichiarazione del retailer stesso, ma illustra il modello.
Usare dati corporei aggregati per migliorare le tabelle taglie può essere prezioso, ma l'anonimizzazione deve essere reale e, per il principio di limitazione della finalità, consenso o altra base giuridica devono coprire anche questo secondo uso.
Che cosa aggiunge l'Illinois BIPA per i retailer che vendono negli Stati Uniti?
L'Illinois Biometric Information Privacy Act, firmato il 3 ottobre 2008, impone ai soggetti privati di ottenere il consenso prima di raccogliere o divulgare identificatori biometrici, di conservarli in modo sicuro e di distruggerli tempestivamente. Riconosce agli individui un'azione privata, con risarcimenti di 1.000 dollari per violazione e 5.000 dollari se la violazione è intenzionale o per negligenza grave. Nel 2019 la Corte suprema dell'Illinois ha stabilito in Rosenbach v. Six Flags che i ricorrenti non devono provare un danno effettivo e nel 2021 è stato approvato un accordo da 650 milioni di dollari nel contenzioso biometrico contro Facebook. Se una determinata funzione di prova raccolga identificatori biometrici, come la geometria del volto, dipende dalle definizioni della legge: verificate ogni funzione prima del lancio in Illinois. Altri Stati americani hanno norme proprie.
Che cosa dovrebbe fare un retailer prima del lancio?
- Mappate ogni flusso di dati: che cosa viene acquisito, dove viene elaborato, chi è il responsabile del trattamento, dove viene conservato e quando viene cancellato.
- Eseguite una valutazione d'impatto sulla protezione dei dati quando il trattamento può presentare un rischio elevato e registrate la base giuridica per ciascuna funzione.
- Verificate nei contratti con i fornitori eventuali limiti all'uso delle immagini dei vostri clienti per addestrare i modelli del fornitore.
- Testate con utenti reali la chiarezza del flusso di consenso e misurate i tassi di rifiuto come metrica di prodotto.
- Preparate un piano di gestione degli incidenti, perché immagini e misure del corpo, se diffuse, danneggiano i clienti più di un tipico storico ordini.
Domande frequenti
I dati della prova virtuale sono dati biometrici ai sensi del GDPR?
Non automaticamente. L'articolo 9 riguarda i dati biometrici trattati per identificare in modo univoco una persona. Uno strumento che ricava soltanto misure per suggerire una taglia può restarne fuori, mentre uno che usa il riconoscimento facciale vi rientrerebbe. L'analisi dipende dai fatti e dalla legge locale, quindi rivolgetevi a un consulente legale.
I retailer hanno bisogno del consenso esplicito per gli strumenti di misurazione corporea?
Quando i dati sono di categoria particolare, il consenso esplicito è la principale base disponibile per i retailer. Anche quando non lo sono, una scelta di consenso chiara e revocabile è buona prassi. Ai sensi dell'articolo 7, il consenso deve essere dimostrabile, distinguibile dalle altre questioni e facile da revocare quanto da prestare.
I retailer possono usare le foto di prova dei clienti per addestrare modelli di IA?
Solo con una base giuridica che copra quella finalità distinta, che per immagini sensibili significa di norma un consenso specifico. La limitazione della finalità dell'articolo 5 restringe il riutilizzo oltre lo scopo originario e i contratti con i fornitori dovrebbero precisare se le immagini vengono usate per l'addestramento.
Che cos'è l'Illinois Biometric Information Privacy Act?
Una legge statale, firmata il 3 ottobre 2008, che richiede il consenso prima della raccolta di identificatori biometrici, la conservazione sicura e la distruzione tempestiva. Consente azioni legali private con risarcimenti di 1.000 dollari per violazione, o 5.000 dollari se la violazione è intenzionale o per negligenza grave.
Un'edizione ogni giorno feriale. Si legge in cinque minuti. Gratuita per i professionisti del settore.
