Impronta vocale presso PostFinance: continuare a parlare non è un consenso espresso

Fonte: questo articolo si basa sulla comunicazione dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) del 21 ottobre 2026, «Autenticazione tramite riconoscimento vocale: il Tribunale amministrativo federale conferma la posizione del IFPDT in merito all’ottenimento di un consenso espresso», sul comunicato stampa del Tribunale amministrativo federale dello stesso giorno e sulla sentenza A-4467/2025 del 13 ottobre 2026 (PDF, in tedesco). Le citazioni dalla sentenza, redatta in tedesco, sono traduzioni libere; «consid.» rinvia ai considerandi della sentenza. La valutazione è nostra e non sostituisce una consulenza legale. Tutte le fonti si trovano alla fine dell'articolo.

Dal settembre 2018 la PostFinance SA creava un'impronta vocale delle clienti e dei clienti che telefonavano, per riconoscerli dalla voce nelle chiamate successive. Alla prima chiamata sentivano questo annuncio:

«Questa conversazione viene registrata a scopo di sicurezza e di riconoscimento. A partire dalla registrazione PostFinance crea un'impronta vocale per verificare la Sua identità in base alla Sua voce a ogni chiamata. Se non desidera un'impronta vocale, La preghiamo di comunicarlo al consulente clienti.»

A chi non diceva nulla e continuava semplicemente a parlare veniva creata un'impronta vocale. Il Tribunale amministrativo federale ha ora deciso che questo non costituisce un consenso espresso. La motivazione va ben oltre il call center di una banca, perché stabilisce che cosa significa «espresso» nella legge federale sulla protezione dei dati (LPD).

Che cosa ha deciso il Tribunale amministrativo federale?

Punto	Contenuto
Tribunale	Tribunale amministrativo federale, Corte I
Sentenza	A-4467/2025 del 13 ottobre 2026
Parti	PostFinance SA contro l'IFPDT
Atto impugnato	Decisione dell'IFPDT del 16 maggio 2025
Esito	Ricorso parzialmente accolto, e solo per quanto riguarda il termine
Termine	Consenso espresso a posteriori entro il 15 febbraio 2027, altrimenti cancellazione
Ulteriore ricorso	Possibile ricorso al Tribunale federale

Nel merito il Tribunale ha confermato la posizione dell'IFPDT:

• Le impronte vocali sono dati degni di particolare protezione. Si tratta di dati biometrici che consentono un'identificazione o un'autenticazione univoca (articolo 5 lettera c numero 4 LPD; consid. 8.2).
• Il loro trattamento richiede un consenso espresso ai sensi dell'articolo 6 capoverso 7 lettera a LPD (consid. 8.6).
• Continuare a parlare non basta. La soluzione opt-out adottata finora costituisce una lesione della personalità (consid. 8.9).
• Non vi è alcun motivo giustificativo. Né la sicurezza né l'efficienza prevalgono sull'interesse delle persone interessate (consid. 9.8).
• Ciò che resta senza consenso viene cancellato. Per ragioni di proporzionalità, PostFinance ha tempo fino al 15 febbraio 2027 per ottenere a posteriori il consenso per le impronte vocali esistenti (consid. 10.3.4).

In una seconda sentenza (A-6813/2025) il Tribunale ha confermato che l'IFPDT può pubblicare la propria decisione. Secondo l'IFPDT ciò avverrà non appena questa sentenza sarà passata in giudicato.

Per completezza: su un punto PostFinance ha avuto ragione. Nella sua decisione l'IFPDT non aveva motivato a sufficienza perché la cancellazione dovesse essere proporzionata e se avesse esaminato alternative. Il Tribunale vi ravvisa una violazione dell'obbligo di motivazione, che ha però sanato nella procedura di ricorso (consid. 3.3 e 3.4).

Che cosa significa «espresso» secondo la sentenza?

È il cuore della sentenza, e il Tribunale lo formula in modo chiaro:

«Da quanto esposto risulta che sia il tenore e i materiali legislativi sia lo scopo della disposizione inducono a concludere che il ‹carattere espresso› del consenso può essere riconosciuto solo se vi sono un'azione attiva della persona interessata e il suo assenso inequivocabile a un trattamento di dati determinato e descritto in modo sufficientemente chiaro. Un assenso soltanto concludente o addirittura tacito non basta in ogni caso in questo contesto.» (consid. 8.6.6)

Ne derivano tre caratteristiche che devono sussistere congiuntamente:

1. Un'azione attiva. La persona fa qualcosa. Non fare nulla, tacere o proseguire non basta.
2. Un assenso inequivocabile. L'azione non ha altro significato che «Sì, sono d'accordo».
3. Un trattamento determinato e chiaramente descritto. La persona sa a che cosa dice sì.

A ciò si aggiungono i requisiti che valgono per ogni consenso (articolo 6 capoverso 6 LPD): deve essere dato dopo un'informazione adeguata su oggetto, scopo, portata e rischi, e deve essere libero. Secondo la sentenza, libero significa che la persona dispone di un'alternativa ragionevole e in caso di rifiuto non subisce svantaggi sproporzionati (consid. 8.3).

Che cosa significhi in pratica lo mostra il confronto seguente. La colonna di sinistra riporta gli esempi che la sentenza riprende dalla dottrina (consid. 8.6.5) e la descrizione del Messaggio concernente la LPD, secondo cui un consenso può essere dato con parole scritte o pronunciate oppure con un segno (consid. 8.6.3):

Espresso	Non espresso
Clic su un pulsante accanto al testo informativo	Continuare a parlare dopo un annuncio
Spunta di una casella	Silenzio o mancata opposizione
Selezione attiva di determinate impostazioni	Comportamento concludente (per atti concludenti)
Un «sì» detto o scritto in risposta a una domanda chiara	Un'impostazione predefinita che si deve disattivare da sé

Una parte della dottrina aveva sostenuto che «espresso» si riferisca solo all'oggetto del consenso, non al modo in cui viene manifestato. Il Tribunale non segue questa tesi (consid. 8.6.5 e 8.6.6). Rinvia inoltre al regolamento generale europeo sulla protezione dei dati (GDPR), che per i dati biometrici richiede anch'esso un consenso esplicito e non considera sufficiente un comportamento concludente (consid. 8.6.4).

Un'osservazione della sentenza merita particolare attenzione. Il Tribunale riporta un'opinione della dottrina secondo cui, stando a studi, il «destinatario medio» si comporta in modo passivo di fronte ai consensi. Se davvero quattro persone su cinque si comportassero in modo passivo, con una soluzione opt-out si avrebbero molti più «consensi» che con una soluzione opt-in (consid. 8.3). È proprio questa la differenza che fa l'azione attiva che la legge richiede per i dati delicati.

Perché sicurezza ed efficienza non bastavano come giustificazione?

PostFinance aveva fatto valere che il riconoscimento vocale era sicuro e apprezzato, faceva risparmiare a tutti i partecipanti molto tempo e permetteva così, secondo i suoi stessi dati, di ridurre i costi di 720 000 franchi (consid. 5.2). Il Tribunale ha ponderato gli interessi:

• Sicurezza: peso medio. L'interesse a proteggere i conti dalle frodi ha in linea di principio un peso elevato. PostFinance non ha però presentato alcuna prova che l'impronta vocale sia più sicura di alternative come un'autenticazione a due o più fattori (consid. 9.6.1).
• Efficienza: peso medio. Il Tribunale ha ritenuto plausibile che l'impronta vocale sia più rapida ed economica delle domande di sicurezza (consid. 9.6.2).
• Protezione delle persone interessate: peso molto grande. Si tratta di dati particolarmente sensibili, di un'ingerenza grave e di un «identificatore permanente» che in futuro può essere impiegato senza la partecipazione delle persone interessate (consid. 9.6.3).

A ciò si aggiunge un dettaglio dei fatti precedenti: nel 2018 PostFinance aveva già utilizzato per circa due mesi una soluzione opt-in e in seguito era tornata all'opt-out per le clienti e i clienti in Svizzera, pur essendo consapevole del livello di protezione più elevato (consid. 9.7). Alla clientela domiciliata all'estero, invece, veniva chiesto attivamente.

Importante per tutti coloro che impiegano procedimenti biometrici: su un punto il Tribunale contraddice l'IFPDT. Non si può esigere la rinuncia completa ai dati biometrici sostenendo che esistono mezzi meno incisivi come le domande di sicurezza. Se i principi del trattamento sono rispettati e vi è un consenso espresso valido, il riconoscimento vocale è ammissibile (consid. 9.6.2). La sentenza quindi non vieta la tecnologia. Esige che le persone interessate dicano sì prima.

I vecchi consensi restano validi?

No, almeno non in questa costellazione. PostFinance sosteneva che i consensi ottenuti sotto la vecchia LPD fossero ancora validi, perché il trattamento non era mai cambiato dal 2018. Il Tribunale la vede diversamente: le impronte vocali continuano a essere conservate e utilizzate; si tratta di una fattispecie durevole, alla quale è applicabile il nuovo diritto (consid. 10.2.2).

«In tale contesto, in considerazione in particolare dei requisiti più severi posti dal diritto riveduto all'esistenza di un consenso giuridicamente valido nonché della prosecuzione del trattamento dei dati, gli assensi ottenuti sotto il regime della vecchia LPD non sono più validi. Per l'ulteriore trattamento di questi dati è piuttosto necessario un consenso espresso, riferito al diritto oggi in vigore.» (consid. 10.2.2)

La nostra valutazione: chi fonda il trattamento di dati personali degni di particolare protezione su un consenso ottenuto prima del 1° settembre 2023 e continua a trattare questi dati dovrebbe verificare se il consenso soddisfa i requisiti attuali. Se non li soddisfa, secondo la sentenza può essere ottenuto a posteriori; nel caso concreto il Tribunale ha ritenuto che un consenso espresso successivo fosse idoneo a ripristinare la situazione conforme al diritto (consid. 10.3.3).

Che cosa significa per hotline e assistenti vocali?

Occorre distinguere due aspetti:

La registrazione della conversazione. Sul piano penale qui basta un assenso per atti concludenti: chi sa che la conversazione viene registrata e continua comunque a parlare acconsente ai sensi dell'articolo 179ter del Codice penale, purché non sia costretto a esprimersi (consid. 7.8). Il Tribunale sottolinea però che non tutto ciò che è lecito sul piano penale è sufficiente anche sul piano della protezione dei dati (consid. 8.8).

L'impronta vocale. Non appena dalla voce viene ricavata una caratteristica biometrica che identifica una persona in modo univoco, occorre il consenso espresso. Se un assistente telefonico o vocale lo faccia dipende dalla tecnologia. Un riconoscimento del parlato, che trasforma le parole pronunciate in testo, è una cosa diversa da un riconoscimento del parlante, che stabilisce chi sta parlando. Le aziende dovrebbero chiederlo al proprio fornitore, anziché presumerlo.

Per le aziende che impiegano o intendono introdurre un riconoscimento vocale, ciò significa concretamente:

1. Chiedere prima dell'impronta vocale, non dopo. Una domanda chiara, a cui si risponde con sì o no.
2. Informare in modo concreto: che cosa viene rilevato, a quale scopo, per quanto tempo e con quali rischi.
3. Offrire un'alternativa che non sia irragionevole, per esempio domande di sicurezza o un'altra autenticazione.
4. Documentare la risposta in modo dimostrabile. Chi si richiama a un consenso deve poterlo provare.
5. Verificare le impronte esistenti: dove manca un consenso espresso, ottenerlo a posteriori o cancellare.

Secondo le proprie indicazioni, dal 16 febbraio 2026 PostFinance impiega un robot vocale che prima della conversazione chiede se la cliente acconsente all'impronta vocale. Il Tribunale ha espressamente rinunciato a esaminare se questa soluzione sia conforme alla protezione dei dati (consid. 8.9).

Che cosa significa la sentenza per siti web e banner dei cookie?

La sentenza non riguarda un sito web. L'interpretazione di «espresso» si riferisce però all'articolo 6 capoverso 7 LPD, e questa disposizione si applica ovunque sia richiesto un consenso espresso: per i dati personali degni di particolare protezione (lettera a) e per una profilazione a rischio elevato da parte di persone private (lettera b).

Per i cookie ordinari la LPD in linea di principio non richiede un consenso. Nella sua guida sui cookie e sul tracciamento online l'IFPDT rileva però che per i trattamenti con un'elevata intensità di ingerenza occorre ottenere previamente un consenso espresso. Quando ciò avvenga lo spieghiamo nell'articolo sul radar dei rischi dell'IFPDT. Un esempio evidente sono le offerte sanitarie, come mostra la nostra misurazione sui siti web degli ospedali.

Dove è necessario un consenso espresso, la trasposizione è evidente. La nostra valutazione:

• «Continuando a utilizzare questo sito web acconsente» è strutturalmente la stessa cosa del continuare a parlare dopo un annuncio: informazione più prosecuzione. Dopo questa sentenza, verosimilmente non basta.
• Un banner che scompare scorrendo la pagina o la cui crocetta di chiusura vale come consenso non fornisce un assenso inequivocabile a un trattamento determinato.
• Le caselle preselezionate non sono un'azione attiva della persona. Per i visitatori dell'UE la Corte di giustizia dell'Unione europea (CGUE) lo ha già deciso nel 2019 (sentenza Planet49, C-673/17).
• Un clic su «Accetto» accanto a un'informazione comprensibile, con una possibilità equivalente di rifiutare, corrisponde invece all'esempio citato dalla sentenza stessa.

E come per PostFinance vale: il consenso serve solo se lo si può provare. Aiara registra ogni scelta fatta nel banner nel momento della decisione, con data e ora, azione e categorie scelte, e mette le voci a disposizione ogni mese come archivio dei consensi. Che cosa deve figurare nel registro e per quanto tempo va conservato è spiegato nell'articolo sul registro dei consensi.

Che cosa dovrebbero verificare ora le aziende

1. Dove trattiamo dati personali degni di particolare protezione? Secondo l'articolo 5 lettera c LPD vi rientrano tra l'altro i dati concernenti la salute, i dati genetici, i dati biometrici che identificano in modo univoco una persona, le opinioni religiose o politiche, i perseguimenti amministrativi e penali nonché le misure d'assistenza sociale.
2. Su che cosa ci basiamo? Se si tratta del consenso, deve essere espresso: azione attiva, inequivocabile, per un trattamento determinato.
3. Esistono soluzioni opt-out? Impostazioni predefinite, «chi non si oppone acconsente», avvisi senza scelta: sostituirli con una vera domanda.
4. Vi sono consensi risalenti a prima del settembre 2023? Verificare se soddisfano i requisiti attuali ed eventualmente ottenerli di nuovo.
5. Possiamo provare ogni consenso? Con data e ora, contenuto e risposta, documentati nel momento della decisione.
6. Resta un'alternativa ragionevole? Chi dice no non deve subire svantaggi sproporzionati.

---

Aiara è un fornitore svizzero di banner dei cookie, prove del consenso e testi legali. Questo articolo riporta e inquadra la comunicazione dell'IFPDT, il comunicato stampa del Tribunale amministrativo federale e la sentenza. Non sostituisce una consulenza legale nel singolo caso. Stato: 28 ottobre 2026; la sentenza può ancora essere impugnata dinanzi al Tribunale federale.

Fonti

• IFPDT, comunicazione del 21 ottobre 2026: «Autenticazione tramite riconoscimento vocale: il Tribunale amministrativo federale conferma la posizione del IFPDT in merito all’ottenimento di un consenso espresso», consultata il 28 ottobre 2026
• Tribunale amministrativo federale, comunicato stampa del 21 ottobre 2026: «La creazione di impronte vocali richiede l’espresso consenso degli interessati»
• Tribunale amministrativo federale, sentenza A-4467/2025 del 13 ottobre 2026 (PDF, in tedesco)
• Tribunale amministrativo federale, sentenza A-6813/2025 concernente la pubblicazione della decisione (in tedesco)
• IFPDT, comunicazione del 7 agosto 2025: «L’IFPDT conclude l’inchiesta sul riconoscimento vocale presso PostFinance»
• Legge federale sulla protezione dei dati (LPD), RS 235.1