I dati biometrici

La delicatezza dei dati biometrici e la conseguente necessita' di assicurare particolari garanzie per il loro trattamento a tutela degli interessati – gia' significativamente messe in luce dal Garante con le linee guida in materia di trattamento di dati per- sonali di lavoratori per finalita' di gestione del rapporto di lavoro, rispettivamente, alle dipendenze di datori di lavoro privati e in ambito pubblico (provv.ti 23 novem- bre 2006, n. 53, doc. web n. 1364099 e 14 giugno 2007, n. 23, doc. web n. 1417809) – sono state ulteriormente rimarcate con il provvedimento generale prescrittivo in tema di biometria (12 novembre 2014, n. 513, doc. web n. 3556992). Con tale provvedimento l’Autorita' ha ribadito che il trattamento di dati personali biometrici, in considerazione della loro stretta (e stabile) relazione con l’individuo e la sua identita', può essere effettuato solo previa adozione di particolari cautele. In particolare tutti coloro che intendano effettuare tale tipologia di trattamenti sono tenuti a presentare un’istanza di verifica preliminare al Garante, tranne che in alcuni casi di esonero puntualmente individuati, sempre che vengano adottate specifiche misure e accorgimenti tecnici e che siano rispettati i princìpi generali di liceita', finalita', necessita' e proporzionalita' dei trattamenti.

La specificita' della tutela e delle garanzie approntate a favore degli interessati in caso di trattamento di tale particolare tipologia di dati personali ha trovato riscontro nel regolamento (UE) 2016/679 che, diversamente dal passato, ha inserito i dati biometrici nella categoria dei dati sensibili (v. art. 9, comma 1, reg. UE).

Con riferimento all’uso di tecnologie biometriche per finalita' di rilevazione delle presenze, il Garante ha chiarito sin dal 2007 che l’accertamento del rispetto dell’orario di lavoro anche mediante “controlli di tipo automatizzato” deve, in ogni caso, essere effettuato nel rispetto della disciplina in materia di protezione dei dati perso- nali, anzitutto con riguardo all’osservanza dei princìpi di necessita' e proporzionalita' (cfr. punto 7.1., linee guida in materia di trattamento di dati personali di lavoratori per finalita' di gestione del rapporto di lavoro in ambito pubblico, cit.; v. anche Gruppo dei garanti europei previsto dall’art. 29 della direttiva 95/46/Ce WP193, parere 3/2012 sugli sviluppi nelle tecnologie biometriche, adottato il 27 aprile 2012).

Tali princìpi impongono che siano preventivamente considerati altri sistemi, dispositivi e misure di sicurezza fisiche e logicistiche – meno invasive della liberta' e la dignita' stessa dei lavoratori interessati (ad es., il badge, normalmente utilizzato presso le pp.aa., se del caso associabile a pin individuale) – che possano assicurare parimenti una puntuale e attendibile verifica delle presenze e degli ingressi sul luogo di lavoro senza fare ricorso al trattamento dei dati biometrici (artt. 2, 3 e 11, del Codice).

Sebbene, quindi, in applicazione di tali princìpi, con riguardo ad alcuni casi di uso generalizzato dei sistemi biometrici e in presenza di astratte esigenze di controllo su presunti abusi, il Garante abbia ritenuto sproporzionato il relativo trattamento (cfr., provv.ti 22 ottobre 2015, n. 522, doc. web n. 4430740; 31 gennaio 2013, n. 38, doc. web n. 2304669; provv.ti 30 maggio 2013 n. 261 doc. web n. 2502951, n. 262, doc. web n. 2503101 e 1° agosto 2013, n. 384, doc. web n. 2578547), diversamente in presenza di obiettive e documentate esigenze che impongano di adottare sistemi di rilevazione che garantiscano la certezza dell’identita' del dipendente, l’Autorita' ha ammesso il relativo trattamento, tenuto conto della specificita' del caso concreto, del contesto socio-economico di riferimento e delle caratteristiche della tecnologia impiegata.

Nel 2016, in un primo caso, in relazione all’avvenuta installazione, da parte di un comune, di un sistema biometrico basato sul trattamento delle impronte digitali per finalita' di rilevazione delle presenze in servizio dei dipendenti (adottato a seguito di asseriti abusi nell’attestazione della presenza in servizio presso comuni della regione di appartenenza), il Garante ha ritenuto illecito il trattamento e ne ha disposto conseguentemente il divieto poichè il titolare del trattamento non aveva ottemperato all’obbligo di effettuare la notificazione del trattamento (art. 37, del Codice) e di presentare la richiesta di verifica preliminare (art. 17, del Codice). La fattispecie in esame non è stata, infatti, ritenuta inquadrabile in una delle ipotesi di esenzione dalla presentazione di istanza di verifica preliminare individuate dal Garante nel citato provvedimento generale. L’assenza di tali elementi, che costituiscono requisiti di liceita' del trattamento, sono stati ritenuti assorbenti ai fini della valutazione della complessiva liceita' del trattamento effettuato (provv. 17 marzo 2016, n. 129, doc. web n. 4948405).

A fronte di una richiesta di verifica preliminare ai sensi dell’art. 17 del Codice e all’esito di una complessiva valutazione alla luce dei princìpi di necessita' e proporzionalita' rispetto alle finalita' perseguite, il Garante ha poi dichiarato la liceita' del- l’utilizzo di un sistema biometrico da parte di un’Azienda ospedaliero-universitaria per finalita' di rilevazione delle presenze dei dipendenti, nell’ambito di un più ampio quadro di iniziative per il contrasto all’assenteismo, ritenendolo proporzionato in relazione alla specificita' del caso concreto (artt. 3, 11, comma 1, lett. a) e d), 18 e 19, comma 1, del Codice).

La peculiarita' del caso è stata messa in luce dai circostanziati elementi forniti dal titolare del trattamento riguardanti, in particolare, l’elevato numero di lavoratori coinvolti dagli accertamenti interni e dalle indagini dell’autorita' giudiziaria, la risonanza mediatica del caso con conseguente discredito della struttura sanitaria nonchè le specificita' della concreta realta' lavorativa. Tra queste ultime sono state ritenute meritevoli di considerazione, anche, l’articolazione in più padiglioni della struttura ospedaliera, l’accesso promiscuo ad essi da parte di utenti e personale medico nonchè la peculiarita' delle mansioni svolte dai dipendenti che impongono continui spostamenti tra i reparti. Tali condizioni concrete e la particolare condotta che l’Azienda intendeva prevenire (l’utilizzo del badge da parte di terzi o di altri dipendenti per conto del lavoratore assente dal servizio) avrebbero reso inefficaci gli strumenti automatizzati alternativi, pure esperiti dall’Azienda, impregiudicati comunque gli strumenti posti dall’ordinamento a disposizione del personale dirigenziale o direttivo per la verifica della presenza del personale (cfr. artt. 55 e ss., d.lgs. n. 165/2001 e, in particolare, art. 54-quater nel testo introdotto dal d.lgs. 20 giugno 2016, n. 116; artt. 18 e 19, comma 1, del Codice; regolamento adottato con deliberazione del direttore generale dell’azienda n. 1030 del 27.11.2014) (provv. 15 settembre 2016 n. 357, doc. web n. 5505689).

L’Autorita' ha poi ritenuto lecito il trattamento di dati biometrici effettuato per finalita' di ricerca scientifica da un consorzio di servizi informatici, limitatamente ad un breve periodo di sperimentazione (si noti che in ragione delle specificita' del sistema utilizzato e della particolare tipologia di dati trattati il caso non rientrava fra quelli esonerati dalla verifica preliminare in base al citato provvedimento gene- rale del Garante).

In qualita' di partecipante ad un progetto europeo, il consorzio ha inteso chiedere ai propri dipendenti di utilizzare, come sistema di autenticazione, un servizio di riconoscimento biometrico (basato su riconoscimento facciale e autenticazione vocale), per accedere al servizio di visualizzazione della busta paga e altri documenti in alternativa al sistema in uso basato sull’utilizzo di credenziali di autenticazione.

Le finalita' del trattamento erano state prospettate come di tipo scientifico, diverse quindi da quelle perseguite nell’ambito delle attivita' di gestione del rapporto di lavoro con i dipendenti. Il sistema progettato prevedeva che, in occasione di cia- scun singolo accesso al servizio, l’interessato potesse scegliere tra i due modelli di autenticazione disponibili e in ogni momento chiedere la cancellazione dei modelli biometrici a sè riferiti.

Il Garante ha ritenuto lecito il trattamento, alla stregua delle disposizioni concernenti il trattamento di dati personali effettuato per scopi scientifici (artt. 97-100, 104 e 105, del Codice; codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici – provv. n. 2, 16 giugno 2004, All. 4 del Codice) pur prescrivendo alcune misure ed accorgimenti a tutela dei diritti degli interessati. Così, ad es., al consorzio l’Autorita' ha richiesto di adottare misure volte a garantire che il trattamento oggetto di sperimentazione sia in concreto effettuato con modalita' autonome dall’operativita' dei sistemi utilizzati per finalita' di gestione del rapporto di lavoro e che la cancellazione dei dati biometrici al termine della sperimentazione (o a seguito di specifica richiesta del partecipante) sia irreversibile (provv. 27 ottobre 2016, n. 438, doc. web n. 5763201).

Fonte: Garante per la protezione dei dati personali - Relazione 2016