Come noto il GDPR dopo aver definito il dato biometrico (art. 4, n.14) come il dato personale ottenuto da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici, ha altresì inserito tale tipologia di dati – in ragione della loro delicatezza – derivante dalla stretta (e stabile) relazione con l’individuo e la sua identità- tra i “dati particolari” (art. 9, par. 1 del Regolamento UE 2016/679).

L’evoluzione tecnologica è attualmente in grado di proporre soluzioni operative in ambienti di lavoro in grado di rilevare la presenza dei lavoratori attraverso tecniche biometriche. Tra queste l’utilizzo dell’impronta digitale è la più nota e diffusa. Essa può consentire di accertare la presenza al lavoro del dipendente mediante la rilevazione dell’impronta digitale e l’associazione dell’impronta ad un codice assegnato al lavoratore.

Questa tecnica comporta un trattamento di dati biometrici, sia nella fase di cd. enrollment consistente nella acquisizione delle caratteristiche biometriche dell’interessato (v. punti 6.1 e 6.2 dell’all. “A” al provv. 12 novembre 2014, n. 513, doc. web n. 3556992), sia nella fase di riconoscimento biometrico, all’atto della rilevazione delle presenze (v.anche punto 6.3 dell’all. A al cit. provv.).

In virtù della sua particolare natura il trattamento di dati biometrici è di regola vietato in base all’articolo 9, par.1 GDPR, ammesso nei limiti definiti dall’art. 9, par. 2, lett. b) ed occorre che avvenga in “in conformità alle misure di garanzia disposte dal Garante” (art. 2-septies comma 1 Codice Privacy) e nel rispetto dei principi di liceità, correttezza e trasparenza, limitazione della finalità e minimizzazione.

In un recente provvedimento (Provv. 10 novembre 2022, n.369) il Garante ha precisato come sebbene nel contesto lavorativo le finalità di rilevazione delle presenze deidipendenti e di verifica dell’osservanza dell’orario di lavoro possano rientrare nell’ambito di applicazione dell’art. 9, par. 2, lett. b) del Regolamento UE in quanto implicano un trattamento “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro [e della sicurezza sociale e protezione sociale]” (v. pure art. 88, par. 1, Regolamento), tuttavia il trattamento dei dati biometrici sarà consentito solo “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri […] in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), e cons. nn. 51-53 del Regolamento).

L’utilizzo di un sistema biometrico solo per garantire maggiore precisione, velocità e snellezza nelle operazioni di rilevazione delle presenze non è conforme ai principi di minimizzazione e proporzionalità del trattamento (art. 5 del Regolamento).

Discorso analogo vale anche nel settore pubblico sebbene la finalità di rilevazione delle presenze sia disciplinata da un complesso quadro normativo (v. ad esempio, art. 22, comma 3 della l. 23.12.1994, n. 724; art. 3 della l. 24.12.2007, n. 244; art. 7 del d.P.R. 1.02.1986, n. 13). In ambito pubblico fin dal 2007 con le linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro, in ambito pubblico (provv. 14 giugno 2007, n. 23, doc. web n. 1417809).

Sul punto il Garante ha evidenziato che i principi di protezione dei dati impongono che siano preventivamente considerati altri sistemi, dispositivi e misure di sicurezza – meno invasive– che possano assicurare l’attendibile verifica delle presenze, dichiarando l’illiceità dei trattamenti effettuati nel contesto lavorativo a fronte di generiche esigenze di prevenzione di eventuali comportamenti scorretti o di utilizzo distorto degli strumenti di rilevazione delle presenze d’uso comune, quali i badge.

Fonte: FederPrivacy