Rilevazione biometrica delle presenze dei dipendenti

L’art. 4 del Reg.UE 679/2016 (GDPR) definisce il dato biometrico come il dato personale ottenuto da un trattamento tecnico specifico relativo alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici. Tale tipologia di dato viene considerato quale “dato particolare”, nella definizione sancita dall’ art. 9, par. 1 del Reg.UE 679/2016, in considerazione del collegamento tra tali informazioni e l’identità dell’interessato.

L’art. 9 del Reg.UE 679/2016 vieta il trattamento dei dati biometrici ad eccezione dei casi indicati dal legislatore al comma 2.

I sistemi di riconoscimento biometrico comportano necessariamente un duplice trattamento del dato biometrico sia in fase di acquisizione dello stesso sia in fase di riconoscimento, vale a dire nel momento in cui la caratteristica viene rilevata dal sistema. Indubbiamente tali strumenti consentono di snellire l’operazione di rilevazione delle presenze in ambito lavorativo ma il Garante della protezione dei dati personali ha più volte ribadito che l’utilizzo di tale tecnica non è conforme ai principi di minimizzazione e proporzionalità del trattamento sanciti dall’art. 5 del GDPR qualora la stessa sia adottata esclusivamente al fine di snellire l’operazione di rilevazione delle presenze. Nel contesto lavorativo è ovvio che la rilevazione delle presenze possa configurare un caso di  trattamento “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro”, rientrando nell’ambito di applicazione del secondo comma dell’art. 9 del GDPR; tale trattamento è però consentito solo “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri […] in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”. Pertanto in numerosi procedimenti il Garante ha sanzionato Titolari del Trattamento per l’utilizzo di sistemi di rilevazione biometrica adottati per snellire le operazioni di rilevazione delle presenze, per prevenire comportamenti scorretti (quali l’assenteismo nelle pubbliche amministrazioni) o l’uso improprio dei badge e di altri strumenti di rilevazione. A tal proposito si ricordano, a titolo esemplificativo e non esaustivo, i recenti provvedimenti n.369 del 10.11.2022, n. 423 del 15.12 del 2022, n. 404 del 14 settembre 2023.

Per le pubbliche amministrazioni, nonostante il quadro normativo di riferimento sia indiscutibilmente più ampio, valgono le considerazioni surriferite. Si ricorda infatti che l’art. 1 comma 958 della Legge n. 178/2020 (legge di bilancio 2021) ha eliminato le previsioni contenute nella Legge n. 56/2019, la c.d. legge «concretezza», ponendo così fine alla possibilità di rilevare le presenze dei dipendenti pubblici tramite sistemi di verifica biometrica dell’identità e di videosorveglianza degli accessi al fine ridurre i casi di assenteismo. La misura non è mai entrata in vigore proprio in considerazione dei numerosi pareri contrari espressi dal Garante della Privacy sul tema.

In conclusione, il Garante ha evidenziato che i principi cardine della normativa vigente in materia di protezione dei dati personali impongono di considerare altri sistemi di rilevazione delle presenze e che il trattamento dei dati biometrici in contesti lavorativi è consentito solo se autorizzato da una disposizione normativa dell’Unione Europea o dello stato membro, se il titolare del trattamento adotta garanzie appropriate per i diritti dell’interessato e se rispetta i principi di liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione dei dati nonché integrità e riservatezza dei dati.

Si ricorda infine che la prestazione del consenso da parte del lavoratore non costituisce un valido e sufficiente presupposto di liceità per eseguire questa tipologia di trattamento di dati particolari.

5 Marzo 2024                Francesca Urbani

Per i clienti Halley: ricorrente QA n. 74, sintomo n. 73