L’utilizzo dei dati biometrici ha subito un aumento esponenziale negli ultimi anni, complice la diffusione di sistemi di riconoscimento che utilizzano tali dati per approvare procedure di accesso, registrare presenze, e altre finalità simili. Tuttavia, l’implementazione di tali tecnologie in ambito lavorativo è soggetto ad alcune importanti limitazioni e questioni legate alla privacy e alla protezione dei dati personali dei dipendenti.
Indice
- Cosa sono i dati biometrici?
- Normativa vigente sull’uso dei dati biometrici in ambito lavorativo
- Utilizzo dei dati biometrici per la rilevazione delle presenze
- Utilizzo dei dati biometrici per l’accesso ad aree sensibili
- Obblighi per le aziende che intendono implementare sistemi biometrici
- Sanzioni per il trattamento illecito dei dati
- Conclusioni
Cosa sono i dati biometrici?
La definizione di dati biometrici è presente all’interno del Regolamento Generale sulla Protezione dei Dati 2016/679 (GDPR), che li definisce come i “dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici“. Quindi esempi comuni includono impronte digitali, scansione dell’iride, riconoscimento facciale.
Normativa vigente sull’uso dei dati biometrici in ambito lavorativo
Il GDPR, all’articolo 9, vieta in linea generale il trattamento dei dati biometrici, salvo in presenza di specifiche condizioni di liceità, come il consenso esplicito dell’interessato o la necessità di adempiere a obblighi legali. Tuttavia, in ambito lavorativo, il consenso dei dipendenti non è generalmente considerato una base giuridica valida, a causa dello squilibrio di potere tra datore di lavoro e dipendente, che potrebbe compromettere la libertà del consenso, in quanto viene considerato poco probabile che il lavoratore possa negare liberamente il consenso senza ricadere in ripercussioni lavorative. In Italia, l’articolo 2-septies del Codice in materia di protezione dei dati personali (D. Lgs 196/03) stabilisce che il trattamento dei dati biometrici è consentito solo in presenza di specifiche condizioni, come l’assolvimento di obblighi e l’esercizio di diritti in materia di diritto del lavoro, o per motivi di interesse pubblico rilevante, sempre nel rispetto delle garanzie appropriate per i diritti fondamentali degli interessati.
Utilizzo dei dati biometrici per la rilevazione delle presenze
L’uso di sistemi biometrici per la rilevazione delle presenze dei dipendenti è considerato sproporzionato, poiché esistono tecnologie e procedure meno invasive, come i badge o i sistemi di timbratura tradizionali, che possono raggiungere lo stesso scopo senza implicare il trattamento di dati particolari. Il Garante per la protezione dei dati personali ha più volte ribadito che tali pratiche non sono giustificate, a meno che non vi siano obiettive e documentate necessità che rendano indispensabile l’adozione di sistemi biometrici. Neppure la raccolta del consenso può rendere lecito questo trattamento per via di quanto spiegato sopra sulla sproporzionalità tra le parti coinvolte.
Utilizzo dei dati biometrici per l’accesso ad aree sensibili
L’utilizzo di dati biometrici può essere giustificato, in rarissimi casi, per controllare l’accesso a zone particolarmente sensibili. In questi casi, è fondamentale effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) per analizzare i rischi associati e adottare misure adeguate a tutela dei diritti degli interessati.
Obblighi per le aziende che intendono implementare sistemi biometrici
Le aziende che intendono implementare sistemi biometrici devono:
- Valutare la necessità e proporzionalità: Assicurarsi che l’uso di dati sia indispensabile per le finalità perseguite e che non esistano alternative meno invasive;
- Condurre una DPIA: Effettuare una valutazione d’impatto per identificare e mitigare i rischi associati al trattamento dei dati biometrici;
- Informare adeguatamente i dipendenti: Fornire un’informativa dettagliata sul trattamento dei dati, specificando finalità, modalità, tempi di conservazione e diritti degli interessati;
- Adottare misure di sicurezza appropriate: Implementare misure tecniche e organizzative per proteggere i dati biometrici da accessi non autorizzati, perdita o distruzione;
- Aggiornare la documentazione: aggiornare il registro dei trattamenti, ove presente, le nomine degli incaricati che avranno accesso ai dati, ed il materiale formativo considerando questi nuovi dati in gestione.
Sanzioni per il trattamento illecito dei dati
Il trattamento non conforme dei dati biometrici può comportare sanzioni significative, che possono raggiungere il 4% del fatturato mondiale annuo dell’impresa. Sono presenti casi recenti di sanzioni nell’ordine delle decine di migliaia di euro per aziende che hanno adottato trattamenti di dati biometrici per la registrazione delle presenze non conformi.
Conclusioni
L’utilizzo dei dati biometrici in ambito aziendale richiede un’attenta valutazione delle normative vigenti e delle implicazioni in termini di privacy. Le aziende devono assicurarsi che tali sistemi siano realmente necessari e proporzionati alle finalità perseguite, adottando tutte le misure necessarie per garantire la protezione dei dati personali dei dipendenti e il rispetto dei loro diritti fondamentali.
Ecloga Itala può supportarti nella valutazione della conformità dei trattamenti di dati svolti nella tua impresa. Contattaci per ulteriori informazioni sul servizio.