Art. 9 — Valutazione d'impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell'utilizzo dei sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale

In conformita' all'articolo 5, paragrafo 2, del regolamento IA, per l'utilizzo dei sistemi di IA per l'identificazione biometrica remota in tempo reale per le finalita' di cui all'articolo 8 del presente decreto o di cui all'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto, il titolare del trattamento completa in via preventiva una valutazione di impatto sui diritti fondamentali secondo quanto previsto dall'articolo 27 dello stesso regolamento IA, ed effettua la valutazione d'impatto sulla protezione dei dati di cui agli articoli 23 e 24 del decreto legislativo n. 51 del 2018. Ogni utilizzo di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale per le finalita' di cui al comma 1 e' registrato automaticamente in appositi file di log, non modificabili, comprendenti necessariamente i dati previsti dall'articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall'accesso e dall'operazione, e resi accessibili esclusivamente alle sole autorita' competenti per finalita' di verifica della liceita' del trattamento, di controllo interno e nell'ambito di un procedimento penale. Restano fermi i termini di conservazione dei dati personali previsti, per finalita' di polizia, dall'articolo 10 del regolamento, di cui al decreto del Presidente della Repubblica 15 gennaio 2018, n. 15. Dopo l'utilizzo dei sistemi di cui al comma 1, il titolare del trattamento effettua notifica al Garante, in conformita' a quanto previsto dall'articolo 5, paragrafo 4, del regolamento IA. La notifica, effettuata previo nulla osta dell'autorita' giudiziaria competente che puo' differirlo per un periodo non superiore a tre mesi, rinnovabile per una sola volta, in presenza di specifiche esigenze di segretezza, contiene le informazioni essenziali sull'autorizzazione rilasciata e sul risultato conseguito con l'utilizzo del sistema, e non include dati operativi sensibili. Nel caso di piu' attivazioni del sistema di IA per l'identificazione biometrica remota in tempo reale nello stesso contesto operativo ovvero di piu' utilizzi omogenei del predetto sistema, la notifica di cui al presente comma puo' essere effettuata in modo periodico e cumulativo, secondo i termini previsti dal decreto di cui al comma 5, ferma restando la necessita' del nulla osta preventivo dell'autorita' giudiziaria nei termini di cui al secondo periodo. Con decreto del Ministro dell'interno, di concerto con il Ministro della giustizia, sentiti il Garante e le Autorita' nazionali per l'intelligenza artificiale, coerentemente con le norme del regolamento IA, sono individuati, in relazione all'uso dei sistemi di IA per l'identificazione biometrica remota in tempo reale per le finalita' di cui all'articolo 8 del presente decreto o di cui all'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto:

• a)i requisiti tecnici minimi di affidabilita' e accuratezza dei sistemi di IA per l'identificazione biometrica remota in tempo reale;
• b)le modalita' di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori;
• c)i requisiti tecnici minimi delle banche dati di riferimento impiegate per il confronto biometrico, anche con riferimento alle relative misure di sicurezza, ai tempi e alle modalita' di cancellazione dei dati e alle garanzie di non incrementalita' del set di confronto per ogni singolo utilizzo autorizzato;
• d)le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;
• e)le misure tecniche e organizzative necessarie a impedire accessi illeciti ai dati;
• f)le informazioni che il titolare del trattamento e' tenuto ad allegare alla richiesta di autorizzazione ai sensi dell'articolo 8 del presente decreto o dell'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto, in ordine alle caratteristiche tecniche del sistema, ai risultati delle verifiche di accuratezza e ai meccanismi di gestione degli errori;
• g)le modalita' di esecuzione della notifica di cui al comma 4;
• h)gli ulteriori adempimenti cui il titolare del trattamento e' tenuto in conformita' a quanto previsto dal regolamento IA.