Dati biometrici e luoghi di lavoro: il badge aziendale può essere sostituito dall’impronta digitale per l’ingresso nei luoghi di lavoro?
Cosa sono i dati biometrici?
Il crescente sviluppo delle nuove tecnologie e la loro diffusione nei vari contesti sociali hanno fatto si che l’impiego di strumenti in grado di rilevare i dati biometrici diventasse un fenomeno sempre più frequente. Banalmente basta pensare all’uso dell’impronta digitale per sbloccare i dispositivi, quali per esempio lo smartphone.
Ma cosa sono esattamente i dati biometrici? Per dati biometrici, l’art. 4 del Regolamento Europeo definisce “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quale l’immagine facciale o i dati dattiloscopici”.
L’utilizzo dei dati biometrici porta con sé diverse criticità, non solo legate all’affidabilità dei sistemi di rilevamento, ma altresì in relazione alla privacy dei cittadini.
Quali sono i rischi legati all’utilizzo dei dati biometrici?
Tra le principali criticità rilevano tra tutte l’individuazione della corretta base giuridica da applicare, la ponderazione dell’effettiva necessità e proporzionalità del trattamento, in considerazione della sua estrema invasività ed inaccuratezza dei risultati – non è infatti per nulla scontato che vengano prodotti falsi positivi e falsi negativi nell’identificazione – quando sussistono determinati fattori esterni.
Cosa prevede il GDPR in materia di dati biometrici?
L’art. 9 par. 1 del GDPR stabilisce un divieto generale nel trattamento dei dati biometrici in quanto l’indebito utilizzo degli stessi – per esempio in conseguenza di un data breach – potrebbe avere conseguenze gravissime, considerando che questi, a differenza delle password, non possono essere né cancellati né modificati.
Il GDPR ammette deroghe al divieto generale solo nei casi in cui siano rispettati gli articoli 6 e 9 par. 2 del Regolamento stesso, e pertanto che vi sia:
- il consenso dell’interessato;
- l’assolvimento degli obblighi e l’esercizio dei diritti del titolare o dell’interessato in materia di diritto del lavoro;
- motivi di interesse pubblico rilevante.
L’utilizzo dei dati biometrici nei luoghi di lavoro
L’utilizzo dei dati biometrici nel contesto di un rapporto di lavoro solleva non poche difficoltà.
Lo squilibrio di poteri che contraddistingue il rapporto di lavoro, infatti, fa si che il consenso dei dipendenti non costituisca un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, indipendentemente dalla natura pubblica o privata del datore di lavoro.
A tal proposito, si evidenzia come in base alla disciplina in materia di dati personali, il trattamento dei dati biometrici sia consentito esclusivamente qualora ricorra una delle condizioni di cui al par. 2 art 9 GDPR, e nello specifico in materia di lavoro, solo quando il trattamento sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro o della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’UE o degli Stati membri o da un contratto collettivo […] in presenza di garanzia appropriate per i diritti fondamentali e gli interessi dell’interessato”.
Affinché, quindi, uno specifico trattamento avente ad oggetto dati biometrici possa essere lecitamente iniziato, è necessario che trovi fondamento in una disposizione normativa che abbia le caratteristiche previste dalla disciplina di protezione dei dati, e che rispetti altresì i principi di liceità, correttezza, trasparenza, limitazione delle finalità, proporzionalità, integrità, minimizzazione e riservatezza.
L’impronta digitale può sostituire il badge aziendale?
Deve ritenersi, dunque, anche alla luce dell’Ordinanza del 10.11.2022 del Garante per la protezione dei dati personali, che l’utilizzo del dato biometrico – es. impronta digitale – nel contesto dell’ordinaria gestione del rapporto di lavoro al dichiarato fine di rendere più snelle le procedure a fronte delle ripetute dimenticanze nella timbratura tramite badge, non sia conforme ai principi di minimizzazione e proporzionalità del trattamento, non rilevando, peraltro, come già anticipato, la raccolta del consenso degli interessati.
