Il caso PostFinance chiarisce perché informare il cliente non basta.
Un cliente viene informato che dalla conversazione sarà ricavata la sua impronta vocale e continua a parlare. Questo comportamento vale come consenso espresso?
Secondo il Tribunale amministrativo federale, NO.
Il caso PostFinance[1] aiuta a capire perché, prima di utilizzare i dati dei clienti, un’azienda deve conoscerne la natura e verificare a quali condizioni può trattarli.
L’IFPDT aveva già esaminato il caso nel 2025. Con decisione del 16 maggio, annunciata nel comunicato del 7 agosto 2025, aveva ordinato a PostFinance di ottenere il consenso espresso per creare le impronte vocali e cancellare quelle prive di tale consenso. PostFinance aveva presentato ricorso[2].
Con sentenza del 13 ottobre 2026, il Tribunale amministrativo federale (TAF) ha confermato la posizione dell’IFPDT sulla necessità del consenso espresso nella procedura esaminata. I clienti erano informati della registrazione e della creazione dell’impronta vocale, ma dovevano attivarsi per impedirla. Continuare a parlare senza opporsi non costituiva un consenso espresso.
Per le impronte vocali già create, il TAF ha concesso fino al 15 febbraio 2027 per ottenere il consenso espresso; quelle prive di consenso dovranno essere cancellate. Il ricorso è stato accolto in parte per questa modifica del termine, mentre l’obbligo del consenso espresso è stato confermato. La nuova procedura dichiarata da PostFinance introdotta da febbraio 2026 non è stata valutata nel giudizio.
La LPD considera dati personali le informazioni riferite a una persona fisica identificata o identificabile. Nome, indirizzo e recapiti ne sono esempi comuni.
Alcuni dati sono però «degni di particolare protezione»: quelli su salute, sfera intima, opinioni o attività religiose, filosofiche, politiche o sindacali, appartenenza razziale o etnica, dati genetici, dati biometrici che identificano univocamente una persona, perseguimenti e sanzioni amministrativi e penali e misure di assistenza sociale.
Qui si colloca l’impronta vocale: non è la semplice registrazione di una conversazione, ma un modello biometrico utilizzato per riconoscere il cliente. Proprio questa funzione di identificazione ne determina la particolare protezione.
Le impronte vocali utilizzate per riconoscere i clienti sono dati biometrici che permettono di identificare univocamente una persona. Rientrano quindi tra i dati personali degni di particolare protezione ai sensi dell’articolo 5 LPD
Per la loro creazione, il TAF ha confermato la necessità di ottenere il consenso espresso del cliente: il semplice avviso, seguito dalla possibilità di opporsi, non era sufficiente. Nel caso esaminato, gli interessi invocati da PostFinance non giustificavano la procedura adottata
Il consenso deve rispettare i requisiti dell’articolo 6 capoversi 6 e 7 LPD: la persona deve essere adeguatamente informata e manifestare liberamente la propria accettazione del trattamento specifico.
L’informativa spiega quali dati vengono trattati e per quali scopi. Il consenso è invece la manifestazione della volontà di accettare quel trattamento.
Per il consenso espresso, il TAF richiede un’azione attiva che dimostri un’accettazione inequivocabile. Il cliente che continua semplicemente la conversazione dopo l’avviso non esprime questa scelta.
L’azienda deve quindi fornire informazioni chiare e raccogliere una manifestazione di volontà riferita al trattamento proposto. Deve anche essere in grado di dimostrare di aver ottenuto un consenso valido. Il TAF ricorda che la prova del motivo giustificativo spetta a chi lo invoca.
Il consenso è inoltre, in linea di principio, revocabile in qualsiasi momento con effetto per il futuro. L’azienda deve prevedere un modo semplice per ritirarlo. La revoca non rende illecito il trattamento già effettuato sulla base di un consenso valido; per proseguirlo occorre un’altra giustificazione applicabile.
Nel sistema di opt-out esaminato, l’impronta vocale veniva creata salvo opposizione: spettava quindi al cliente attivarsi per impedirlo.
La decisione PostFinance chiarisce perché questa modalità non bastava. Per il trattamento esaminato, occorreva raccogliere l’accettazione espressa del cliente, senza dedurla dalla sua mancata opposizione.
Questo articolo è stato redatto da Isabel Costa, Manager Privacy di Fidinam & Partners.
Contattaci e per rivolgerci domande specifiche sulla tematica in oggetto.
[1] TAF - Comunicato del 21 ottobre 2026 al seguente link : https://www.bvger.ch/media-releases/03650b98-f42b-4e90-8658-f8e83893960a/it/mm_a-4467-2025-it-web.pdf
[2] Comunicazione del 21 ottobre 2026 pubblicata dall’IFPDT al seguente link: https://www.edoeb.admin.ch/it/autenticazione-tramite-riconoscimento-vocale-il-taf-conferma-la-posizione-del-ifpdt