Il Garante della privacy sanziona una società per aver usato i dati biometrici dei lavoratori per la rilevazione delle presenze sul posto di lavoro, ribadendo l’illiceità di tale utilizzo (Garante per la protezione dei dati personali, nota 26 giugno 2024, n. 525).

È possibile usare i dati personali dei dipendenti attraverso sistemi di riconoscimento facciale per il controllo delle presenze sul posto di lavoro? Il Garante per la protezione dei dati personali esprime parere negativo, ribadendo la propria posizione in merito.

 

L’Autorità è intervenuta a seguito del reclamo di un dipendente che lamentava il trattamento illecito di dati personali, attraverso un sistema biometrico installato presso le due unità produttive della società concessionaria. Con il reclamo, veniva anche denunciato l’utilizzo di un software gestionale con cui ciascun dipendente era tenuto a registrare gli interventi di riparazione svolti sui veicoli assegnati, i tempi e le modalità di esecuzione dei lavori, nonché i tempi di inattività con le specifiche causali.

 

Il Garante ha precisato nuovamente che l’utilizzo di dati biometrici non è consentito perché non esiste nessuna norma di legge che al momento attuale preveda l’utilizzo del dato biometrico per la rilevazione delle presenze.

 

Pertanto, l’Autorità ha ricordato che neanche il consenso manifestato dai dipendenti può essere considerato idoneo presupposto di liceità, per l’asimmetria tra le rispettive parti del rapporto di lavoro.

 

Inoltre, il Garante ha accertato che la concessionaria in questione, da più di 6 anni, raccoglieva attraverso un software gestionale dati personali relativi alle attività dei dipendenti per redigere report mensili da inviare alla casa madre, contenenti dati aggregati sui tempi impiegati dalle officine per le lavorazioni effettuate. Ciò avveniva senza un’idonea base giuridica e un’adeguata informativa che, nel contesto del rapporto di lavoro, è espressione del principio di correttezza e trasparenza.

 

L’Autorità, oltre a sanzionare la società, le ha quindi ordinato di conformare il trattamento dei dati effettuato mediante il software gestionale alle disposizioni della normativa privacy.