Ordinanza ingiunzione o revoca n. 107 del 22/02/2024

Blue Work s.r.l. - trattamento illecito di dati biometrici per la rilevazione delle presenze dei dipendenti

Il Garante ha esaminato il trattamento effettuato da Blue Work s.r.l. nel contesto del cantiere di Ardea, dove veniva utilizzato un sistema di riconoscimento facciale per la rilevazione delle presenze dei dipendenti. Il procedimento trae origine da reclami degli interessati e da successivi accertamenti ispettivi svolti dall’Autorità e dal Nucleo speciale privacy della Guardia di finanza.

Origine del procedimento e accertamenti svolti

I dipendenti avevano segnalato l’obbligo di utilizzare un rilevatore biometrico basato sul volto per accedere al cantiere e timbrare la presenza, ritenendo illegittimo il trattamento e non necessaria la tecnologia impiegata. L’Autorità ha delegato accertamenti ispettivi ai sensi degli artt. 157 e 158 del Codice privacy, svolti presso il cantiere di Ardea e presso le società coinvolte nella gestione del sito e del sistema.

Nel corso delle ispezioni sono stati acquisiti elementi tecnici e dichiarazioni che hanno consentito di ricostruire il funzionamento del sistema: la registrazione dei dipendenti avveniva mediante inserimento dell’ID e successivo riconoscimento del volto; il sistema era connesso in rete; tramite l’applicativo JuniorWeb venivano gestite le presenze e gli export dei dati; il sistema risultava condiviso tra più società operanti nel cantiere.

Trattamento effettuato e ruolo di Blue Work

Il Garante ha ritenuto che Blue Work s.r.l. avesse effettuato trattamenti di dati personali dei propri dipendenti in qualità di titolare ai sensi dell’art. 4, n. 7, GDPR, poiché aveva fornito l’elenco dei lavoratori da inserire nel sistema e aveva accesso al database per la gestione delle presenze. Il trattamento ha riguardato i dipendenti impiegati presso il cantiere di Ardea e si è protratto dal dicembre 2021 fino al gennaio 2023, quando il sistema è stato disattivato a seguito dell’avvio dell’attività ispettiva.

Il provvedimento precisa che il trattamento biometrico si articolava sia nella fase di enrolment, sia nella fase di riconoscimento al momento della timbratura, e che anche l’estrazione del template integra trattamento di dati biometrici.

Illiceità del trattamento biometrico: assenza di base giuridica

Secondo il Garante, il trattamento dei dati biometrici era illecito perché privo di un’idonea base giuridica. In ambito lavorativo, il ricorso ai dati biometrici per rilevare presenze può astrattamente ricadere nell’art. 9, par. 2, lett. b), GDPR, ma solo se autorizzato dal diritto dell’Unione o degli Stati membri e in presenza di garanzie appropriate. L’Autorità richiama inoltre l’art. 2-septies del Codice privacy e osserva che l’ordinamento vigente non consente, allo stato, l’uso di dati biometrici dei dipendenti per finalità di rilevazione della presenza in servizio.

Il Garante sottolinea che la soluzione adottata non rispettava neppure i principi di minimizzazione e proporzionalità, perché la rilevazione delle presenze avrebbe potuto essere perseguita con strumenti meno invasivi, come badge o controlli diretti. È richiamata anche la particolare delicatezza del riconoscimento facciale e i rischi connessi a tale tecnologia.

Estensione del trattamento ai dipendenti di altre società

L’istruttoria ha evidenziato che il sistema non era limitato ai lavoratori di Blue Work, ma coinvolgeva anche dipendenti di L’Igiene Urbana Evolution s.r.l., Airone società consortile a r.l., Unica s.r.l.s. e DM Technology s.r.l. Gli elenchi e i report acquisiti mostravano infatti timbrature e presenze riferite a lavoratori di più società operanti nel cantiere.

Anche per questi trattamenti il Garante ha escluso la presenza di una base giuridica idonea ex art. 9, par. 2, GDPR, ritenendoli quindi ulteriormente in violazione degli artt. 5, par. 1, lett. a), e 9 GDPR.

Violazione dell’obbligo di informativa

La società ha dichiarato di avere reso l’informativa in forma orale, ma non ha fornito alcuna evidenza documentale del rilascio dell’informativa ai dipendenti. Il Garante ha ritenuto insufficiente tale modalità, richiamando l’art. 13 GDPR e l’art. 12, par. 1, secondo cui le informazioni sono fornite di regola per iscritto o con altri mezzi idonei, e oralmente solo se richiesto dall’interessato e con adeguata prova dell’identità.

Ne è conseguita la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Mancata designazione dei responsabili del trattamento

La società si era avvalsa di soggetti esterni per la gestione delle buste paga e dell’applicativo JuniorWeb, in particolare lo studio associato Marzella e Puccianti e DM Technology s.r.l., che operavano con accesso ai dati dei dipendenti relativi alle presenze. Tuttavia, Blue Work non aveva formalizzato la designazione di tali soggetti quali responsabili del trattamento, in violazione dell’art. 28 GDPR.

Omessa valutazione d’impatto

Il Garante ha rilevato che, trattandosi di un trattamento che utilizza nuove tecnologie e che presenta un rischio elevato per i diritti e le libertà degli interessati, Blue Work avrebbe dovuto effettuare una valutazione d’impatto prima dell’avvio del trattamento, ai sensi dell’art. 35 GDPR. Le biometrie, il contesto lavorativo e l’uso innovativo della soluzione tecnologica rendevano necessaria la DPIA, che invece non risultava svolta.

Registro dei trattamenti e sicurezza del sistema

La società non aveva predisposto il registro delle attività di trattamento, in violazione dell’art. 30 GDPR. Il Garante richiama il registro come elemento essenziale di accountability, necessario per la mappatura e la valutazione dei trattamenti.

Sul piano della sicurezza, è stata accertata una grave criticità: le credenziali di amministratore del terminale biometrico erano quelle di default previste dal manuale (ID "0", password "12345") e non erano mai state modificate. Ciò consentiva l’accesso ai dati memorizzati nel dispositivo con estrema facilità. Questa condotta è stata giudicata non conforme all’art. 32 GDPR, che impone misure tecniche e organizzative adeguate al rischio.

Valutazioni del Garante e provvedimenti adottati

Il Garante ha concluso che il trattamento dei dati biometrici da parte di Blue Work s.r.l. era illecito, perché effettuato in violazione degli artt. 5, par. 1, lett. a), 9, 13, 28, 30, 32 e 35 GDPR. Ha precisato che la violazione non poteva essere considerata minore, data la natura del trattamento, la gravità della lesione dei principi generali e delle condizioni di liceità, e la durata superiore a un anno.

L’Autorità ha preso atto che la società aveva sospeso il trattamento dopo l’avvio dell’ispezione. Ha quindi esercitato i poteri correttivi ex art. 58, par. 2, GDPR, ordinando la cancellazione dei dati biometrici raccolti.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per la pluralità di violazioni accertate, il Garante ha applicato l’art. 83 GDPR, tenendo conto del limite di cui al par. 3 in caso di più violazioni connesse allo stesso trattamento. Ai fini della quantificazione, sono stati considerati:

• la natura, gravità e durata della violazione, con particolare riferimento all’uso di dati biometrici e del riconoscimento facciale;
• la durata, protrattasi per oltre un anno;
• il grado di responsabilità del titolare, che non si è conformato a più disposizioni del Regolamento;
• la cooperazione con l’Autorità e la sospensione del trattamento dopo l’inizio dell’istruttoria;
• le condizioni economiche della società e le sanzioni irrogate in casi analoghi.

La sanzione amministrativa pecuniaria è stata determinata in euro 6.000.

Ulteriori disposizioni

Il Garante ha disposto la pubblicazione del provvedimento sul sito istituzionale ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16, comma 1, del Regolamento n. 1/2019, ritenendo ricorrenti anche i presupposti di cui all’art. 17 del medesimo regolamento.

La società è stata inoltre invitata a comunicare, entro 90 giorni dalla notifica, le iniziative adottate per la cancellazione dei dati biometrici raccolti, con riscontro documentato ai sensi dell’art. 157 del Codice.

Infine, è stata indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.