Ordinanza ingiunzione o revoca n. 105 del 22/02/2024

L’Igiene Urbana Evolution s.r.l.: uso illecito di un sistema biometrico di riconoscimento facciale per la rilevazione presenze dei dipendenti

Il provvedimento riguarda L’Igiene Urbana Evolution s.r.l. e trae origine dai reclami di alcuni dipendenti che contestavano l’uso di un sistema di riconoscimento facciale per la rilevazione delle presenze sul luogo di lavoro. All’esito dell’istruttoria e degli accertamenti ispettivi, il Garante ha dichiarato illecito il trattamento di dati biometrici effettuato dalla società e ha irrogato una sanzione amministrativa pecuniaria.

Origine del procedimento e accertamenti ispettivi

In data 24 ottobre 2022 alcuni dipendenti hanno presentato reclamo lamentando che, dal febbraio 2022, per accedere al cantiere di Ardea e per attestare la presenza in servizio fosse necessario utilizzare un rilevatore biometrico basato sul riconoscimento facciale, identificato nel dispositivo "Face Deep 3 – Smart Face Recognition System".

L’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza per gli accertamenti ex artt. 157 e 158 del Codice. Nel corso delle ispezioni del 19, 26 e 27 gennaio 2023 e del 30 maggio 2023 sono stati acquisiti dati e dichiarazioni presso il cantiere di Ardea, la sede amministrativa della società e la sede di DM Technology s.r.l., soggetto coinvolto nella gestione tecnica dei sistemi.

Trattamento esaminato e soggetti coinvolti

Dagli accertamenti è emerso che il sistema biometrico era utilizzato per la rilevazione delle presenze dei dipendenti mediante confronto del volto e che la fase di registrazione iniziale prevedeva l’associazione dell’ID del dipendente al suo nominativo e al template biometrico. Il sistema risultava attivo dal dicembre 2021 e disattivato solo nel gennaio 2023, dopo l’avvio dell’istruttoria.

Il trattamento non riguardava soltanto il cantiere di Ardea, ma anche altri siti in cui la società operava, con un numero complessivo di interessati ritenuto significativo dal Garante. È emerso inoltre che il sistema e i relativi dati erano accessibili anche a soggetti e società collegati, tra cui Airone società consortile a r.l., Blue Work s.r.l., Unica s.r.l.s. e DM Technology s.r.l.

Illeicità del trattamento di dati biometrici

Il Garante ha ritenuto che il trattamento fosse in violazione degli artt. 5, par. 1, lett. a), e 9 del GDPR. In particolare, il trattamento di dati biometrici è, in via generale, vietato dall’art. 9, par. 1, e può essere ammesso solo al ricorrere di una delle condizioni di cui al par. 2.

Nel contesto lavorativo, l’art. 9, par. 2, lett. b), consente il trattamento solo se necessario per assolvere obblighi o esercitare diritti specifici in materia di diritto del lavoro e protezione sociale, sulla base del diritto dell’Unione o degli Stati membri o di un contratto collettivo e con garanzie appropriate. Il Garante ha però ribadito che, allo stato dell’ordinamento, non è consentito utilizzare dati biometrici dei dipendenti per la finalità di rilevazione delle presenze.

La società aveva giustificato il sistema con esigenze di contrasto all’assenteismo, di verifica delle presenze e di gestione di contenziosi sul lavoro straordinario, nonché con la presenza di lavoratori assunti tramite clausola sociale. L’Autorità ha tuttavia ritenuto che tali finalità potessero essere perseguite con strumenti meno invasivi, in applicazione dei principi di minimizzazione e proporzionalità.

Violazione del principio di trasparenza e omessa informativa

Il Garante ha accertato anche la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, poiché la società ha dichiarato di non aver fornito alcuna informativa specifica sul trattamento dei dati biometrici. In ambito lavorativo, l’informativa deve indicare chiaramente le caratteristiche essenziali del trattamento e degli strumenti utilizzati, in modo da rendere il trattamento trasparente e corretto nei confronti dei dipendenti.

Designazione dei responsabili del trattamento

È stata inoltre contestata la violazione dell’art. 28 GDPR. La società si era avvalsa di DM Technology s.r.l. per la gestione dell’applicativo JuniorWeb e di Unica s.r.l.s. per attività di consulenza e assistenza in materia di lavoro, entrambe attività comportanti il trattamento di dati personali dei dipendenti. Nonostante ciò, la designazione di tali soggetti quali responsabili del trattamento è intervenuta solo successivamente, in data 1 giugno 2023, cioè dopo l’avvio del procedimento.

Registro dei trattamenti, DPIA e misure di sicurezza

L’Autorità ha rilevato ulteriori violazioni:

• art. 35 GDPR: mancata valutazione d’impatto prima dell’avvio di un trattamento che, per natura, contesto e finalità, presentava un rischio elevato, anche per la presenza di dati biometrici e per il rapporto di lavoro;
• art. 30 GDPR: il registro dei trattamenti non riportava i dati biometrici tra le categorie di dati trattati;
• art. 32 GDPR: il sistema presentava criticità di sicurezza, poiché le credenziali amministrative risultavano quelle di default riportate nel manuale e non erano state modificate, consentendo un accesso agevole ai dati memorizzati nel terminale.

Valutazioni del Garante sulla gravità della violazione

Il Garante ha escluso la possibilità di archiviazione e ha qualificato la violazione come non minore, per la natura dei dati trattati, per il carattere sistematico e prolungato del trattamento, per il numero degli interessati coinvolti e per la pluralità delle disposizioni violate. È stato anche richiamato il principio di responsabilizzazione del titolare: la conformità del dispositivo fornito da terzi non esonera il titolare dall’obbligo di verificare autonomamente la liceità del trattamento.

Sanzione amministrativa e misure conseguenti

Tenendo conto dei criteri dell’art. 83, par. 2, GDPR, il Garante ha considerato:

• la natura, gravità e durata della violazione;
• il numero significativo degli interessati;
• il grado di responsabilità della società;
• la cooperazione con l’Autorità e la sospensione del trattamento dopo l’ispezione;
• le condizioni economiche del contravventore e la comparazione con sanzioni irrogate in casi analoghi.

È stata quindi applicata a L’Igiene Urbana Evolution s.r.l. la sanzione amministrativa pecuniaria di euro 70.000, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice.

Il provvedimento dispone inoltre la pubblicazione sul sito del Garante e richiede alla società di comunicare, entro 90 giorni dalla notifica, le iniziative adottate per la cancellazione dei dati biometrici ancora conservati sui dispositivi. È stata infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.