Creare impronte vocali senza il consenso del cliente è illegale

I dati finora raccolti senza il necessario accordo dovranno essere approvati retroattivamente oppure distrutti, ha deciso la corte in una sentenza pubblicata oggi.

Dal settembre 2018 l’unità della Posta attiva nei servizi finanziari registra la voce dei clienti che telefonano, per poterli identificare nelle chiamate successive. All’inizio della telefonata un messaggio automatizzato informa che la voce viene registrata a fini del riconoscimento e della sicurezza: chi non desidera questo approccio può rivolgere una richiesta al servizio clienti o modificare le impostazioni predefinite sul sito di PostFinance. In sintesi, spetta al cliente attivarsi per evitare la registrazione.

L’incaricato federale della protezione dei dati e della trasparenza (IFPDT) aveva ritenuto nel maggio 2025 che questa pratica violasse la legge, poiché per registrare i dati serve un consenso esplicito. I giudici di San Gallo hanno seguito questa opinione, ritenendo la pratica di PostFinance non conforme alle normative vigenti. L’azienda presumeva invece da parte sua un accordo tacito, quando i clienti non reagiscono al messaggio automatico.

Il TAF ha innanzitutto rilevato che le impronte vocali sono dati biometrici particolarmente sensibili e che, secondo la legge sulla protezione dei dati, il loro trattamento richiede un consenso esplicito della persona interessata. Il semplice fatto che il cliente continui a parlare dopo il messaggio automatico non può essere considerata un’approvazione: tale cosiddetta soluzione di opting-out rappresenta una lesione della personalità. Secondo il tribunale gli interessi di sicurezza, efficienza e persino i risparmi dell’ordine di 720’000 franchi avanzati da PostFinance non bastano a giustificare la lesione.

Le impronte vocali dovranno quindi essere distrutte. Per ragioni di proporzionalità, il TAF ha però accolto la richiesta di PostFinance di prorogare la scadenza per la messa in conformità, ammettendo parzialmente il ricorso. I giudici hanno concesso all’azienda un termine fino a metà febbraio 2027 per ottenere il consenso retroattivo dei clienti riguardo alle impronte vocali già create; ma senza tale via libera le informazioni già raccolte dovranno essere eliminate. PostFinance aveva anche indicato di aver introdotto nel febbraio 2026 una nuova pratica per raccogliere consensi espliciti, ma i giudici del TAF non hanno esaminato questo nuovo approccio, che non era oggetto della decisione del preposto alla protezione dei dati.