Accesso in azienda con le impronte digitali: innovazione o danno alla privacy?

I sistemi di controllo degli accessi promettono di rivoluzionare la gestione aziendale: sono economici, aumentano l'efficienza e riducono fenomeni come l’assenteismo o i classici “trucchetti del cartellino”. Per questo, molte aziende oggi rilevano le presenze tramite impronte digitali. Ma siamo davvero sicuri che sia una pratica legittima?
Il Garante per la Protezione dei Dati Personali (GDPD) ha già espresso dubbi, vietando l’uso delle impronte digitali per monitorare le presenze dei dipendenti. Il motivo? Un trattamento eccessivamente invasivo che potrebbe compromettere la libertà individuale senza reali giustificazioni di sicurezza. Ma quali sono i rischi concreti?

Dati biometrici: cosa sono e perché è necessaria attenzione

Le impronte digitali sono dati biometrici. Così lo sono anche il riconoscimento facciale e la scansione dell’iride.
Parliamo di informazioni personali estremamente identificative, che permettono il riconoscimento certo di una persona e, proprio per questo, il GDPR impone regole rigidissime sul loro utilizzo: il trattamento dei dati biometrici è vietato salvo eccezioni specifiche previste dalla legge, seguendo i principi di proporzionalità e necessità.
Il GDPR stabilisce che il trattamento dei dati particolari (i famosi “dati sensibili”), tra cui sono ricompresi i dati biometrici, è proibito, salvo nei casi in cui ricorrano le condizioni specifiche previste dal paragrafo 2 dell’articolo 9. In ambito lavorativo, l’elaborazione di tali dati è consentita solo se “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.

Le criticità dell’uso della biometria per il controllo delle presenze

Nel “Provvedimento generale prescrittivo in tema di biometria” (n. 513 del 12 novembre 2014) il Garante ricorda che il dato biometrico va trattato in via eccezionale ed esclusivamente per garantire la sicurezza di persone o beni – in aree particolarmente pericolose, ad esempio.
L'uso di dati biometrici deve generalmente essere preceduto da una autorizzazione specifica da chiedere al Garante.
Conferma la Cassazione (ord.n. 13873 del 19 maggio 2023): “All'infuori dei casi in cui vi sia un apposito intervento del Garante per la protezione dei dati personali, è illegittimo, in assenza di uno specifico consenso del lavoratore interessato, l'utilizzo del sistema di rilevazione biometrica per il controllo dell'accesso ai luoghi di lavoro - cosiddetto "lettore Handkey" - basato sulla cattura di informazioni geometriche della mano del dipendente”.

L’azienda può fare a meno di chiedere l’autorizzazione preventiva al Garante solo se ricorrono alcuni presupposti e nondimeno adottando accorgimenti tecnici specifici, che non si fermano solo alla raccolta del consenso scritto, informato e libero da parte del lavoratore, ma ne includono altri quali ad esempio il mantenimento – in parallelo al controllo degli accessi con impronta digitale – di altri sistemi di controllo (es. badge o altri), la necessarietà, la cancellazione dei dati biometrici grezzi e dei campioni biometrici immediatamente dopo la loro raccolta e trasformazione in modelli biometrici, la crittografia per mezzo di chiavi di una lunghezza “adeguata alla dimensione e al ciclo di vita dei dati”, e molti altri.

Quando l’azienda introduce il controllo degli accessi tramite impronta solitamente si affida – come è naturale – al fornitore degli apparecchi e del software dedicato.
Tuttavia, che il fornitore sia conforme alle prescrizioni del Garante è tutto da verificare (e per nulla detto).
Consigliamo quindi molta prudenza: le nuove tecnologie portano risparmio e semplificazione, ma senza un’approfondita analisi possono tornare indietro come un boomerang!

Se volete adottare queste tecnologie per la vostra azienda e avete dubbi o necessità di approfondire, rivolgetevi a noi di PQM Legal per un consulto.