Rapporti di lavoro

Illecita la rilevazione delle presenze dei lavoratori con l’impronta digitale

di Pietro Gremigni

La registrazione dell'accesso dei lavoratori mediante la raccolta di un dato biometrico come l'impronta digitale è illegittima in quanto mancante della base giuridica richiesta dalla norma per giustificarlo. A tale fine è irrilevante il consenso prestato dai dipendenti stessi e che la registrazione dei dati non sia centralizzata.

Così ha sancito il Garante della privacy con ordinanza del 14 gennaio 2021, pubblicata sulla news letter settimanale del Garante del 19 febbraio 2021.

Un'azienda sanitaria locale che aveva introdotto il sistema di rilevazione delle presenze mediante la raccolta di un dato biometrico, oltre a dovere pagare una sanzione pecuniaria di 30mila euro dovrà cancellare i modelli biometrici memorizzati all'interno dei badge e far conoscere le iniziative che intende intraprendere per far cessare il trattamento dei dati biometrici dei dipendenti.

I dati biometrici sono individuati dalla normativa, in particolare dal regolamento europeo 2016/679, come i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici. Tali dati sono ricompresi tra le categorie "particolari" o sensibili (articolo 9 del Regolamento).

I dati trattati nella causa specifica sono comunque da considerare biometrici anche se la loro gestione non è affidata ad un archivio aziendale centralizzato, ma bensì sono registrati su dispositivi portatili dotati di adeguate capacità crittografiche (badge con funzionalità di smart card), affidati alla diretta ed esclusiva disponibilità di ciascun interessato.

Sempre secondo il regolamento Ue tale trattamento è consentito al ricorrere di una delle condizioni indicate dell'articolo 9, paragrafo 2 e, in ambito lavorativo, solo quando sia necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato.

A differenza della disciplina previgente, tali dati sono oggi ricompresi nella categoria dei dati particolari, la cui disciplina li ammette a un trattamento dati in presenza di precise condizioni.

A questo proposito le finalità di rilevazione delle presenze dei dipendenti e di verifica dell'osservanza dell'orario di lavoro possono rientrare nell'ambito di quei trattamenti necessari per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro. Cosa possibile solo nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato.

Tuttavia, il percorso normativo indispensabile a integrare il sistema delle basi giuridiche del trattamento, richiesto dal Regolamento e dal Codice della privacy con riguardo ai dati biometrici, non è stato concluso non essendo stato adottato il regolamento attuativo.

La mancanza di questa copertura normativa rende pertanto illecito il trattamento dei dati biometrici per rilevare le presenze sul posto di lavoro, essendo un principio consolidato quello che esclude la valenza del consenso dei dipendenti per giustificare tali tipologie di trattamenti invasivi.

Per saperne di piùRiproduzione riservata ©