Revolut avvia il pagamento con il volto a Londra due settimane dopo la fuga di selfie

Revolut avvia nel Regno Unito il primo pilota di pagamento con il volto. Dal 24 al 26 settembre, nei tre locali londinesi di Kiss the Hippo si può pagare guardando una telecamera sulla cassa: senza carta e senza telefono. Il sistema confronta il volto al banco con il selfie consegnato all'apertura del conto.

È proprio quest'ultimo dettaglio a fare la notizia. Due settimane prima la stessa banca aveva ammesso di aver consegnato passaporti, selfie e storici delle operazioni dei clienti dopo una richiesta di un ente pubblico rivelatasi falsa.

Come funziona il pilota

La funzione la attiva il cliente nell'app Revolut, quindi nessuno viene scansionato solo per essere entrato. Al banco si tocca Pay with Smile sul terminale Revolut Register e la telecamera esegue una verifica d'identità simile a quella di un telefono che si sblocca. Se la corrispondenza supera la soglia, il pagamento passa. Altrimenti la cassa propone carta, telefono o Revolut Pay.

La parte commerciale è interessante quanto la biometria. Su queste operazioni Revolut non applica commissioni ai locali, ed è così che un operatore dei pagamenti si compra un posto sul bancone. Alex Codina, direttore dei pagamenti per gli esercenti di Revolut Business, lo presenta come la sostituzione di «casse obsolete e frammentate con un'esperienza di pagamento iper-efficiente». Alex Damgaci, amministratore delegato di Kiss the Hippo, dice che la catena intende estenderlo a tutti i suoi 12 locali entro fine anno.

I dati sono trattati meglio di quanto suggerisca il titolo

Sul progetto conviene essere onesti, perché «la banca scansiona il tuo volto» suscita una reazione che i dettagli tecnici non giustificano del tutto. Revolut afferma che i vettori facciali usati per la transazione vengono cancellati subito dopo la conferma della vendita, che gli esercenti non conservano nulla e che l'elaborazione avviene nel proprio ambiente e non presso un fornitore esterno. I dati biometrici, dice, sono cifrati end-to-end.

È più accurato del riconoscimento facciale medio nel commercio, dove le domande scomode partono di solito da quale appaltatore custodisca le immagini. Qui la risposta è: la banca. Ed è insieme la parte rassicurante e il problema.

Perché conta la data

Il 12 settembre Revolut ha avvisato i clienti coinvolti di aver divulgato dati personali, tra cui immagini di passaporti, selfie e storici delle operazioni, dopo aver ricevuto una richiesta falsificata a nome di un ente pubblico. Ne avevamo scritto allora: la richiesta era falsa, i dati erano veri. Giorni dopo è emerso un secondo incidente, tramite il broker statunitense DriveWealth, di cui abbiamo pure parlato.

Il selfie con cui Pay with Smile confronta appartiene esattamente alla categoria di documenti uscita a settembre. Cancellare il modello lato cassa è buona igiene e non cambia nulla di tutto ciò. L'immagine di registrazione deve restare da qualche parte, altrimenti non c'è con cosa confrontare, e la domanda non è che cosa accade al banco ma che fine fa la copia che la banca già detiene.

Qui sta la differenza strutturale tra biometria e qualsiasi altra credenziale. Dopo una fuga si cambia una password, si riemette una carta, si abbandona un numero. Un volto non si riemette, e per chi attacca non scade. La stessa logica è emersa quando l'India ha reso obbligatoria la verifica biometrica per le SIM: la comodità arriva per prima, l'irreversibilità si scopre dopo.

Il quadro giuridico, in breve

Per la legge britannica sulla protezione dei dati, un volto usato per identificare qualcuno è dato biometrico di categoria particolare e richiede una condizione ulteriore rispetto alla normale base giuridica. L'Information Commissioner's Office ritiene che di solito sia appropriato il consenso esplicito, e pone l'asticella alta: la scelta deve essere davvero libera, specifica e informata, separata dalle condizioni generali.

Un'attivazione volontaria nell'app, con un'alternativa evidente alla stessa cassa, regge ragionevolmente questa prova. Smetterebbe di reggerla nel momento in cui il pagamento con il volto diventasse l'impostazione predefinita, la corsia veloce o l'unica fila che si muove. Di solito è lì che questi piloti vanno a finire.

• È spento finché non lo accendete, e la cassa continua ad accettare carta o telefono
• Il confronto usa il selfie già in possesso dall'apertura del conto, non ne chiedono uno nuovo
• Revolut dice che il modello di cassa viene cancellato dopo ogni vendita e che al locale non resta nulla
• Quello che resta è l'immagine di registrazione presso la banca, ed è lì che arriva una fuga
• Chiedetevi se lo attivereste lo stesso qualora gli stessi dati uscissero altre due volte