Biometria in azienda? Con cautela

Roma – Dal Garante una interessante pronuncia in materia di privacy, dati biometrici e rapporto di lavoro. I fatti: una azienda richiede al Garante una pronuncia ex art. 17 Codice privacy. L’articolo in questione contempla la possibilità di richiedere una verifica preliminare al Garante in caso di trattamento che presenti rischi specifici per i diritti e le libertà fondamentali o per la dignità dell’interessato; nel caso concreto, la richiesta dell’azienda interessata è quella di verificare il rispetto della privacy in ipotesi di trattamento di dati biometrici dei dipendenti al fine di accertarne la presenza sul luogo di lavoro ed al fine di commisurarne conseguentemente, la retribuzione ordinaria e straordinaria da dover corrispondere.

Tale sistema definito enrollment ha quale presupposto una prima fase di raccolta di dati biometrici durante la quale l’azienda utilizzerà apparecchiature per rilevare impronte digitali che, elaborate da uno specifico software, trasformeranno l’impronta digitale in un codice numerico memorizzabile elettronicamente, andando ad associare tale lettura ad ogni entrata o uscita del lavoratore dipendente. L’azienda con tale meccanismo intenderebbe eliminare condotte poco trasparenti di alcuni dipendenti, essendosi verificati scambi di badge o addirittura episodi di smarrimento al fine di evitare la ricostruzione degli orari di lavoro effettivi. Non solo: cosciente dell’eventuale rifiuto da parte di alcuni lavoratori, l’azienda rappresenta comunque al Garante la possibilità per gli stessi di non sottoporsi a questa modalità di riconoscimento, offrendo come alternativa la annotazione in apposito registro mediante firma autografa del dipendente.

Le osservazioni del Garante
Innanzi tutto il trattamento di dati personali, che l’azienda richiedente intende porre in essere, appare non assodato in relazione alla correttezza del funzionamento dei sistema di rilevamento delle impronte e della relativa associazione ai codici numerici. In particolare, il Garante prende atto della fase di testabilità ancora in corso presso l’azienda che evidentemente non è in grado di conferire certezza alla modalità elettronica di elaborazione dei dati. Secondariamente il vaglio di correttezza ricade anche sull’informativa.

L’ informativa , secondo quanto previsto dall’articolo 13 del Codice privacy, è obbligatoria in quanto, dispone il legislatore: “L’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere; d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l’ambito di diffusione dei dati medesimi; e) i diritti di cui all’articolo 7; f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell’articolo 5 e del responsabile.
Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l’elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all’interessato in caso di esercizio dei diritti di cui all’articolo 7, è indicato tale responsabile.”

Dall’informativa presentata dall’azienda emerge l’assenza di indicazione di possibilità di scelta tra il trattamento dei dati di tipo biometrico rispetto a quelli raccolti mediante apposizione di firma : in realtà nell’informativa è indicata una natura obbligatoria di conferimento dei dati biometrici, il che esula totalmente dalla realtà prospettata al Garante.

La conformità ai principi normativi
Una volta verificati gli eventuali adempimenti normativi, il Garante entra nel merito del trattamento biometrico al fine di verificarne la liceità rispetto a quanto previsto dal Codice privacy.

I principi su cui si basa il Codice sono sostanzialmente la necessità (i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità), la pertinenza (la corrispondenza della raccolta dati allo scopo) e la finalità del trattamento (il codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali. Il trattamento dei dati personali è disciplinato assicurando un elevato livello di tutela dei diritti e delle libertà nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per il loro esercizio da parte degli interessati, nonché per l’adempimento degli obblighi da parte dei titolari del trattamento).

Preso atto di ciò, secondo il Garante pur essendo un diritto del datore di lavoro il sovrintendere alla esecuzione di quello che è l’oggetto della prestazione lavorativa, appare eccessivamente sproporzionata la raccolta di dati di tipo biometrico rispetto ad un uso più contenuto e comunque conforme allo scopo di verifica delle presenze, come il badge.


Il Garante in particolare ritiene sostanzialmente eccezionali i metodi di trattamento biometrico potendo essere adottati solo in casi in cui rilevano motivi di sicurezza che prevaricano anche sul singolo diritto di riservatezza: si pensi a misure di sicurezza per il controllo negli aeroporti o in centrali nucleari dove il riconoscimento biometrico appare trattamento proporzionato alle finalità di sicurezza proprie dell’ambiente.

Il principio della alternatività
Sostanzialmente il Garante insiste in quello che da tempo è un concetto ribadito in varie sedi in relazione ai trattamenti con utilizzo di dati biometrici: laddove siano adottabili misure alternative di trattamento dati meno invasive, pur se di maggior onere per il titolare, non possono essere adottate misure biometriche .

L’osservanza dell’orario di lavoro non rappresenta una necessità tale da indebolire il diritto alla riservatezza in particolare su parti del corpo dei lavoratori.

Il principio in oggetto era già stato manifestato dal Garante in occasione di un altro episodio verificatosi all’interno di una banca il cui accesso era stato unilateralmente subordinato al riconoscimento di impronte digitali . Anche in questo caso il “no” del Garante era stato netto, in quanto la lettura del corpo non può né essere imposta in condizioni in cui ordinariamente può comunque applicarsi controllo, né può divenire coattiva senza alcun tipo di adesione da parte del soggetto-oggetto del trattamento.

Ancora una volta dunque, vengono bocciati i mezzi di rilevamento biometrico a favore dei mezzi tradizionali, pur in un momento in cui si sta assistendo ad una estensione sproporzionata di mezzi di controllo dell’immagine, parimenti invasivi ma che sembrano passare maggiormente in sordina!

Avvocato Valentina Frediani
www.consulentelegaleinformatico.it
www.consulentelegaleprivacy.it