I visori raccolgono dati biometrici e di movimento: quali categorie coinvolgono, quale base giuridica richiedono e che cosa cambia rispetto a un’app comune.
Un visore commerciale registra, in una sessione di dieci minuti, diverse migliaia di misurazioni sulla posizione della testa, decine di migliaia di campioni sul movimento degli occhi e, nei modelli più recenti, i micro movimenti muscolari del viso usati per animare l’avatar. Nessuno di questi dati compare in una schermata visibile all’utente. Tutti finiscono, in un modo o nell’altro, in un flusso che qualcuno elabora.
La discussione pubblica sui visori si concentra quasi sempre sui contenuti che mostrano. Quello che raccolgono mentre li si indossa riceve molta meno attenzione, ed è invece il punto in cui il diritto alla protezione dei dati personali si applica con la massima intensità, perché buona parte di quei dati rientra nelle categorie che il regolamento europeo tratta con le regole più severe.
Questo testo descrive quali dati raccoglie un visore, a quali categorie giuridiche appartengono e quali basi giuridiche servono per trattarli legittimamente. Riguarda la meccanica normativa applicata a un dispositivo specifico, non un giudizio sull’opportunità di usarlo.
Le categorie di dati coinvolte, in breve
- Dati di movimento. Posizione e orientamento della testa e delle mani, decine di volte al secondo.
- Dati di tracciamento oculare. Direzione dello sguardo, dilatazione della pupilla, durata delle fissazioni.
- Dati biometrici in senso stretto. Misurazioni che, se elaborate per identificare univocamente una persona, ricadono in una categoria particolare di dati.
- Inferenze derivate. Stati emotivi, livello di attenzione e reazioni stimate a partire dai dati grezzi.
- Il nodo giuridico. Alcune di queste categorie richiedono una base giuridica più solida del semplice consenso a un contratto.
Perché un visore raccoglie più dati di un telefono
Un telefono raccoglie posizione, tocchi sullo schermo e, se autorizzato, immagini della fotocamera. Un visore aggiunge un livello di intimità diverso: per funzionare, deve conoscere in tempo reale dove guarda l’utente, come muove la testa e, in molti modelli, come si muove il suo viso sotto la maschera, perché questi dati servono a costruire la rappresentazione dell’avatar e a regolare la resa grafica in base a dove è diretto lo sguardo.
Questa necessità tecnica, chiamata resa condizionata dallo sguardo, non è un accessorio opzionale: è il meccanismo che permette al dispositivo di funzionare con una potenza di calcolo contenuta, concentrando il dettaglio grafico dove l’occhio guarda davvero. Il suo effetto collaterale è che il tracciamento oculare non è disattivabile senza compromettere le prestazioni del dispositivo, il che complica qualunque discussione sul consenso inteso come scelta libera e informata.
A questo si aggiungono i sensori inerziali distribuiti fra il visore e i controller, che registrano accelerazione e rotazione con una frequenza molto più alta di quella di un telefono tenuto in mano, perché un ritardo percepibile fra il movimento reale e quello mostrato nel visore genera un disagio fisico immediato nell’utente. La conseguenza è un volume di dati per sessione che supera di diversi ordini di grandezza quello prodotto da un’applicazione mobile equivalente.
Il tracciamento oculare non misura solo dove guardi
Il movimento degli occhi contiene molta più informazione di quanto sembri a prima vista. La dilatazione della pupilla varia con l’illuminazione ma anche con il carico cognitivo e l’attivazione emotiva. La durata e la frequenza delle fissazioni permettono di stimare il livello di attenzione o di affaticamento. Alcuni studi in ambito clinico usano pattern di movimento oculare come indicatore precoce di condizioni neurologiche specifiche.
Nessuna di queste inferenze richiede che l’utente comunichi attivamente nulla: emergono dall’elaborazione statistica di dati che il dispositivo raccoglie comunque per funzionare. È qui che il tracciamento oculare smette di essere un dato di movimento come un altro e comincia a somigliare, per sensibilità, a un dato sanitario o comportamentale, anche quando nessuno lo ha etichettato come tale al momento della raccolta.
Un secondo aspetto spesso trascurato riguarda la conservazione. Un flusso di dati oculari raccolto per regolare la resa grafica in tempo reale non richiede, in linea di principio, di essere conservato oltre la durata della sessione. Se invece viene archiviato per addestrare modelli futuri o per costruire un profilo dell’utente nel tempo, il trattamento cambia natura, e con esso cambiano anche gli obblighi di conservazione limitata previsti dal regolamento.
Quando un dato di movimento diventa un dato biometrico
Il regolamento generale sulla protezione dei dati definisce come biometrici i dati ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona, quando permettono o confermano l’identificazione univoca di quella persona. Non ogni misurazione del corpo rientra automaticamente in questa categoria: conta l’uso che se ne fa.
Il modo in cui una persona muove la testa, cammina in uno spazio virtuale o reagisce a uno stimolo visivo è sufficientemente distintivo da poter servire, con un modello statistico addestrato allo scopo, a riconoscere quella persona fra migliaia di altre con un’accuratezza sorprendentemente alta. Diversi studi indipendenti hanno dimostrato che pochi minuti di dati di movimento raccolti da un visore bastano a identificare un utente con un margine di errore molto basso, anche senza alcun dato del viso o della voce.
Questo risultato ha una conseguenza pratica scomoda: anche un’applicazione che non chiede mai il nome dell’utente, e che si presenta come anonima, può ricostruire un’identità stabile nel tempo semplicemente osservando come quella persona si muove in ambiente virtuale. La qualificazione giuridica del dato non dipende da quanto l’applicazione dichiara di sapere, ma da quanto quel dato permette in concreto di dedurre.
Le inferenze sullo stato dell’utente sono il punto più delicato
Oltre ai dati grezzi, i sistemi che elaborano le sessioni in realtà virtuale possono produrre inferenze su stati interni dell’utente: livello di stress, coinvolgimento emotivo, persino stime su condizioni di salute non dichiarate. Queste inferenze sono trattamenti di dati personali a tutti gli effetti, anche quando derivano da un calcolo automatico e non da una dichiarazione esplicita della persona.
Il regolamento europeo tratta con particolare cautela i dati che rivelano informazioni sulla salute, includendo esplicitamente le inferenze che permettono di dedurne lo stato, non solo i dati raccolti direttamente da un dispositivo medico. Un’applicazione che stima il livello di ansia di un utente a partire dal tracciamento oculare, anche senza dichiararlo apertamente, sta trattando un dato che rientra in questa categoria protetta.
Il criterio che distingue un’inferenza banale da una rilevante ai fini della protezione dei dati è la specificità del risultato prodotto. Un conteggio aggregato di quante persone hanno guardato un oggetto virtuale non riguarda un singolo individuo e non pone gli stessi problemi. Una stima individuale, collegata a un profilo persistente e riutilizzata in sessioni successive, è un’altra cosa, ed è quella che il regolamento intende sorvegliare con più attenzione.
Quale base giuridica serve, e quando il consenso non basta
Per i dati di movimento ordinari, necessari al funzionamento base del dispositivo, l’esecuzione del contratto con l’utente può costituire una base giuridica sufficiente, perché senza quei dati il servizio non potrebbe essere erogato. Per i dati biometrici usati a fini di identificazione e per le inferenze relative alla salute, il regolamento richiede invece condizioni più stringenti, e nella maggior parte dei casi la base giuridica adeguata è il consenso esplicito, distinto e revocabile in ogni momento.
La distinzione pratica è netta: un consenso generico prestato all’installazione dell’applicazione, che copre indistintamente ogni tipo di trattamento, non soddisfa questo standard quando riguarda categorie particolari di dati. Serve un’informativa specifica su quel trattamento, la possibilità concreta di rifiutarlo senza perdere l’accesso alle funzioni essenziali del dispositivo, e un meccanismo di revoca semplice quanto la concessione iniziale.
Va inoltre considerato che, quando il trattamento comporta un rischio elevato per i diritti delle persone, il regolamento richiede una valutazione d’impatto preventiva, documentata prima dell’avvio del trattamento e non redatta a posteriori come giustificazione formale. Il tracciamento oculare associato a inferenze sullo stato emotivo rientra fra i casi in cui questa valutazione è difficilmente evitabile, proprio per la combinazione fra sensibilità del dato e scala potenziale della raccolta.
Le tre situazioni a confronto
| Tipo di dato | Esempio | Categoria giuridica | Base tipica |
|---|---|---|---|
| Movimento ordinario | Posizione della testa e delle mani | Dato personale comune | Esecuzione del contratto |
| Tracciamento biometrico | Pattern usato per riconoscere l’utente | Categoria particolare | Consenso esplicito |
| Inferenza sullo stato | Stima del livello di stress o attenzione | Spesso assimilabile a dato sanitario | Consenso esplicito e specifico |
La riga centrale è quella più spesso trattata male dalle applicazioni commerciali, perché il tracciamento oculare viene presentato come una funzione tecnica neutra invece che come un trattamento di dati potenzialmente biometrici, con l’effetto di raccogliere il consenso sbagliato per il dato sbagliato.
Che cosa dovrebbe fare un’applicazione corretta
Un’applicazione che tratta questi dati in modo conforme separa chiaramente, nell’informativa, i dati necessari al funzionamento base da quelli usati per finalità ulteriori, come la profilazione pubblicitaria o l’analisi comportamentale aggregata. Permette di usare il dispositivo, con funzionalità ridotte se necessario, anche a chi rifiuta i trattamenti non essenziali.
Applica inoltre il principio di minimizzazione, elaborando i dati di tracciamento oculare direttamente sul dispositivo quando la finalità lo consente, invece di trasmetterli integralmente a un server remoto per un’elaborazione che potrebbe avvenire localmente. Questa scelta architetturale riduce sensibilmente l’esposizione dei dati più sensibili, pur non eliminando la necessità di una base giuridica adeguata per il trattamento che avviene comunque.
Un ulteriore accorgimento utile è la conservazione differenziata: mantenere i dati grezzi di tracciamento solo per il tempo strettamente necessario alla sessione, e conservare in forma aggregata e non riconducibile a un singolo utente soltanto le statistiche che servono a migliorare il prodotto nel tempo. Questo approccio, quando applicato con coerenza, riduce di molto il rischio residuo anche in caso di accesso non autorizzato ai sistemi di archiviazione.
Il ruolo dei minori e degli spazi condivisi
I dispositivi di realtà virtuale sono sempre più usati da minori, e il regolamento europeo prevede condizioni rafforzate per il trattamento dei loro dati, incluso un innalzamento dell’età alla quale il consenso può essere prestato autonomamente, con margini stabiliti diversamente da ciascuno Stato membro entro i limiti fissati dal regolamento. Un’applicazione che non verifica in alcun modo l’età dell’utente si espone a un rischio di conformità aggiuntivo rispetto a quanto già discusso per gli adulti.
Negli spazi condivisi multiutente il problema si complica ulteriormente, perché i dati di movimento e di sguardo di una persona possono rivelare informazioni anche su chi interagisce con lei, senza che quella seconda persona abbia prestato alcun consenso. È un’area normativa ancora poco definita, in cui l’interpretazione delle regole esistenti deve essere adattata a un contesto tecnico che il testo del regolamento non immaginava esplicitamente quando è stato scritto.
Un esempio concreto aiuta a capire la portata del problema: in una sessione condivisa fra più utenti, il visore di una persona registra anche come gli altri partecipanti si muovono nell’ambiente virtuale, quanto tempo trascorrono vicino a un determinato punto e verso dove orientano lo sguardo durante l’interazione. Se questi dati vengono aggregati e collegati a profili identificabili, il trattamento riguarda persone che non hanno avuto alcuna possibilità di prestare o negare un consenso specifico su quell’uso.
Domande frequenti
Il tracciamento oculare è sempre un dato biometrico?
Non automaticamente. Diventa biometrico in senso giuridico quando è trattato con tecniche che permettono di identificare univocamente la persona. Se i dati vengono usati solo per regolare la resa grafica e scartati subito dopo, senza creare un profilo persistente, la qualificazione può essere diversa, ma la distinzione va dimostrata con misure tecniche concrete, non solo dichiarata.
Posso usare un visore senza fornire alcun dato biometrico?
Dipende dal modello e dall’applicazione. Alcuni dispositivi permettono di disattivare funzioni avanzate di tracciamento facciale mantenendo il funzionamento di base, altri le integrano in modo da non poterle separare senza perdere gran parte dell’esperienza prevista.
Le aziende che sviluppano applicazioni VR devono nominare un responsabile della protezione dei dati?
Se il trattamento su larga scala riguarda categorie particolari di dati, come quelli biometrici, l’obbligo scatta secondo gli stessi criteri applicabili a qualunque altro trattamento su larga scala di dati sensibili, indipendentemente dal fatto che avvenga tramite un visore o un altro tipo di dispositivo.
Che cosa succede se un’applicazione tratta questi dati senza base giuridica adeguata?
Il trattamento risulta illecito secondo il regolamento europeo, con le conseguenze previste in termini di sanzioni amministrative e possibile richiesta di risarcimento da parte degli interessati, oltre all’obbligo di cessare il trattamento non conforme non appena accertato.
Dove si trova il testo di riferimento del regolamento?
Il testo consolidato del regolamento generale sulla protezione dei dati, con tutte le sue modifiche ufficiali, è consultabile sul portale del diritto dell’Unione Europea, insieme ai considerando che ne chiariscono l’interpretazione applicativa.
Il visore non è, dal punto di vista giuridico, un accessorio neutro: è un sensore che osserva il corpo con una continuità che nessuna app tradizionale raggiunge. Trattarlo con le stesse regole di un modulo di iscrizione online significa, quasi sempre, trattarlo con le regole sbagliate.
