Illegittimi i trattamenti di dati biometrici come alternativa al badge

Il trattamento di dati biometrici sul posto di lavoro è consentito solo se necessario per adempiere gli obblighi ed esercitare i diritti del datore di lavoro previsti da una disposizione normativa e con adeguate garanzie.

Così si è espresso il Garante della privacy con un'ordinanza del 10 novembre 2022 (newsletter 22.12.2022) al termine di un procedimento nei confronti di una società sportiva che aveva introdotto un sistema di rilevazione delle impronte digitali per accertare la presenza dei dipendenti presso i club in gestione. Le violazioni sono state punite con l'ordine di pagare una sanzione amministrativa.

Tutti i dati che analizzano le caratteristiche di tipo fisico, fisiologico o comportamentale legati a una determinata persona, sono chiamati dati biometrici e fanno parte della categoria dei dati particolari a cui l'ordinamento assegna un ruolo particolarmente rischioso per la privacy delle persone e perciò soggetto a limiti rigorosi.

Secondo l'intervento del Garante le condizioni che legittimano un trattamento di dati biometrici sono:

- la necessità di assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato;

- l'autorizzazione da parte di norme dell'Unione o degli Stati membri o di un contratto collettivo;

Nel caso specifico, il trattamento dei dati biometrici (impronta digitale dei dipendenti in fase di ingresso al lavoro), al dichiarato fine di garantire maggiore velocità e snellezza delle relative operazioni a fronte di ripetute dimenticanze nella timbratura tramite badge, non appare conforme ai principi di minimizzazione e proporzionalità del trattamento e tali da giustificarne l'introduzione al posto del sistema delle timbrature con il badge.

Manca inoltre una base giuridica, che nel caso specifico non può essere costituita dal consenso degli interessati in quanto nel rapporto di lavoro l'asimmetria delle situazioni tra datore di lavoro e lavoratore non garantisce la piena libera volontà di quest'ultimo.

Infine, risulta violato:

-il diritto all'informativa fornita per non essere chiara circa la descrizione delle caratteristiche dei dati biometrici trattati;

-l'obbligo di indicare nel registro dei trattamenti la tipologia dei dati biometrici trattati.