Illegittimo rilevare le presenze dei dipendenti con i dati biometrici

Per rilevare le presenze dei dipendenti mediante l'utilizzo dei dati biometrici è necessaria una base normativa proporzionata all'obiettivo perseguito che fissi misure appropriate e specifiche per tutelare i diritti degli interessati. Ne parla il Garante Privacy nella newsletter 19 febbraio 2021, n. 473.

Le conclusioni si traggono a seguito dell'attività ispettiva del Garante che, contrariamente a quanto sostenuto dall'azienda, ha rilevato l'utilizzo dei dati biometrici dei dipendenti, in assenza di una idonea base giuridica, per la rilevazione delle presenze sul luogo di lavoro con un meccanismo che permetteva di confrontare l'impronta digitale giornalmente posta rispetto a quanto memorizzato e che trasmetteva la predetta rilevazione con il numero di matricola del dipendente, la data e la timbratura, al sistema di gestione delle presenze.

Pur invocando l'azienda l'acquisizione del consenso da parte degli interessati, la base giuridica non è stata ritenuta valida in ragione del contesto lavorativo per effetto dello squilibrio tra dipendente e datore di lavoro.

Si rammenta che, in passato, il Garante per la Protezione dei Dati Personali aveva già espresso un parere particolarmente restrittivo all'utilizzo dei dati biometrici, con il provvedimento 15 settembre 2016, n. 357, a mente del quale il datore di lavoro è sempre tenuto a cercare i mezzi meno invasivi, scegliendo, se possibile, un procedimento non biometrico.

Ove fosse ritenuto indispensabile l'utilizzo dei predetti dati con idoneo supporto di una base giuridica ai sensi dell'art. 9, par. 2, Regolamento UE 679/2016, oltre ad un'attenta valutazione rispetto alle disposizioni dell'art. 4, Statuto dei Lavoratori, il datore di lavoro dovrà effettuare la valutazione d'impatto prescritta dall'art. 35, GDPR.