Dati biometrici per rilevare le presenze al lavoro

L’uso dei dati biometrici (impronte digitali) per rilevare le presenze sul luogo di lavoro non è conforme ai principi della normativa privacy.
Garante Privacy – Ordinanza n. 369 del 10-11-2022

1. I fatti

Un’associazione sindacale lamentava al Garante per la protezione dei dati personali che una società sportiva dilettantistica aveva introdotto un sistema di timbratura per la rilevazione delle presenze dei dipendenti, mediante un terminale biometrico: precisamente mediante rilevazione delle impronte digitali.
In considerazione del mancato riscontro, da parte della società sportiva, alle richieste del Garante sui fatti oggetto di addebito, l’Autorità inviava la Guardia di Finanza ad effettuare un controllo presso le sedi operative della società medesima.
All’esito dell’accertamento dei militari e delle dichiarazioni rilasciate dal titolare, il Garante riteneva di avviare il procedimento sanzionatorio nei confronti della società sportiva, invitandola a fornire chiarimenti.
La società sportiva dichiarava che il sistema di rilevamento delle impronte digitali dei dipendenti era iniziato dal 8.10.218 e che aveva riguardato una parte dei 132 dipendenti, in quanto durante il periodo dell’emergenza sanitaria l’organico aveva subito delle modifiche, con la finalità di rilevare le presenze dei dipendenti al fine di agevolare la registrazione dell’orario di entrata e uscita.
Inoltre, la società sosteneva che detto sistema era lecito in quanto fondato sul consenso specifico e libero di ogni singolo dipendente ed inoltre era alternativo, rispetto all’altro sistema di rilevazione delle presenze mediante badge, che però nessun dipendente aveva chiesto di utilizzare.
Per quanto riguarda le modalità di trattamento dei dati biometrici raccolti, la società evidenziava che il sistema prevedeva la creazione dell’identità biometrica di ogni dipendente (mediante l’acquisizione della sua impronta di identità) e l’associazione a detta identità di un numero identificativo: mentre il modello biometrico rimaneva unicamente memorizzato nel dispositivo fisico di rilevazione delle impronte presente nella sede operativa della società dove lavorava il dipendente.
Infine, la società sportiva aveva dato conto, nel corso dell’audizione finale, che il sistema di rilevazione delle impronte, in un’ottica di totale collaborazione con il Garante, era stato disattivato, con ritorno al sistema del badge per la rilevazione delle presenze, ed era stata richiesta la cancellazione di tutti i dati biometrici memorizzati presso i server del fornitore del servizio.

Potrebbero interessarti anche:

• Il disegno di telecamera è informativa privacy?
• Un cartello con una telecamera stilizzata non costituisce informativa privacy

2. Le valutazioni del Garante

Il Garante ha preliminarmente ricordato che, secondo il Regolamento europeo per la protezione dei dati personali (GDPR), il dato biometrico è un dato personale ottenuto da un trattamento tecnico specifico relativo alle caratteristiche fisiche, fisiologiche o comportamentali di unna persona fisica che ne consente o conferma l’identificazione univoca. Inoltre, tali dati, proprio per la loro delicatezza, sono inseriti dal GDPR all’interno della categoria dei dati particolari.
Dall’istruttoria è emerso che la società, dall’ottobre 2018, ha attivato un sistema biometrico per l’accertamento della presenza in servizio dei propri dipendenti, al fine di agevolare questi ultimi nella registrazione dell’orario di entrata e uscita nonché adottare un sistema più snello e veloce di quello mediante badge. Il trattamento dati in questione ha riguardato 132 dipendente e consistito, quindi, nella rilevazione e la conservazione dell’impronta digitale di ogni dipendente, associata ad un codice univoco assegnato ad ognuno di loro.
In primo luogo, il Garante ha evidenziato come le operazioni compiute dalla società sostanziano un vero e proprio trattamento di dati biometrici, in quanto vi è tale tipologia di trattamento sia nella fase di registrazione, cioè quando vengono acquisite le caratteristiche biometriche dell’interessato (nel caso di specie, le impronte digitali), sia nella fase di riconoscimento biometrico, cioè al momento in cui vengono rilevate le presenze mediante scansione dell’impronta nell’apposito strumento collocato all’ingresso del luogo di lavoro.
In secondo luogo, il Garante ha evidenziato come il trattamento di dati biometrici è vietato dall’art. 9 del GDPR, salvo che non ricorra una delle condizioni indicate dal medesimo articolo. In particolare, il trattamento dei dati biometrici in ambito lavorativo è consentito solo quando lo stesso sia necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli stati membri o da un contratto collettivo ai sensi del diritto degli stati membri.
In altri termini, il trattamento dei dati biometrici in ambito lavorativo è consentito soltanto se è autorizzato da una disposizione normativa dell’Unione Europea o dello stato membro e comunque il titolare deve adottare garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato.
Quindi, per poter intraprendere lecitamente un trattamento dati di tal genere, è necessario che tal trattamento trovi il proprio fondamento in una disposizione normativa e che tale disposizione abbia le caratteristiche richieste dalla disciplina in materia di protezione dei dati personali, anche dal punto di vista della proporzionalità rispetto alle finalità che si intendono perseguire.
Inoltre, il Garante ha ricordato che, comunque, il titolare del trattamento deve rispettare tutti i principi previsti dalla normativa europea in materia di privacy e quindi i principi di liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione dei dati nonché integrità e riservatezza dei dati.
In conclusione, il Garante ha evidenziato come l’utilizzo del dato biometrico nel contesto dell’ordinaria gestione del rapporto di lavoro e quindi anche nella rilevazione delle presenze, per la finalità di dare maggiore velocità e snellezza alle operazioni di rilevazione delle presenze, non appare conforme ai principi di minimizzazione e proporzionalità del trattamento.
Inoltre, il consenso del lavoratore non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, in quanto sussiste una asimmetria tra le rispettive parti del rapporto di lavoro. Il datore di lavoro, infatti, deve accertare e dimostrare di volta in volta e in concreto l’effettiva libertà del dipendente nel manifestare la propria volontà.
Ebbene, in considerazione di quanto sopra, il Garante ha ritenuto che il trattamento dei dati biometrici compiuti dalla società sportiva è stato effettuato in assenza di una idonea base giuridica

3. La decisione del Garante

Il Garante per la protezione dei dati personali ha quindi ritenuto di applicare una sanzione amministrativa pecuniaria nei confronti della società sportiva, anche se non ha ritenuto sussistenti i presupposti per adottare ulteriori misure correttive (in quanto la società sportiva aveva spontaneamente provveduto a rimuovere il sistema di rilevamento dei dati biometrici).
Per quanto concerne la quantificazione della sanzione amministrativa pecuniaria, il Garante ha tenuto in considerazione diversi aspetti: da un lato, ha valutato la natura particolarmente grave della violazione (in quanto relativa ai principi generali del trattamento, ai quali la società non si è conformata); dall’altro lato, ha valutato la mancanza di precedenti specifici in tema di violazione della normativa a tutela dei dati personali a carico della società e la sua cooperazione durante l’ istruttoria del procedimento sanzionatorio. Conseguentemente, il Garante, tenuto conto del bilancio 2021 della società e della grave crisi economica dovuta all’emergenza sanitaria, ha comminato al titolare del trattamento una sanzione amministrativa pecuniaria di €. 20.000 (ventimila).