Ordinanza ingiunzione o revoca n. 422 del 15/12/2022

Comune di Vicchio - trattamento illecito di dati biometrici per la rilevazione delle presenze

Il Garante ha esaminato il trattamento di dati biometrici dei dipendenti effettuato dal Comune di Vicchio mediante un sistema di controllo delle presenze installato negli uffici comunali e presso il cantiere comunale. Il procedimento è stato avviato a seguito di una segnalazione e si è concluso con ordinanza ingiunzione e sanzione amministrativa pecuniaria.

Fatti e svolgimento dell’istruttoria

Dagli atti è emerso che il Comune aveva introdotto un sistema di identificazione biometrica per verificare l’osservanza dell’orario di lavoro. Il trattamento riguardava l’acquisizione dell’impronta digitale, la sua trasformazione in un template matematico e il successivo confronto in fase di verifica.

Il Comune ha riferito che:

• il sistema era stato installato in attuazione dell’art. 2 della l. n. 56/2019;
• il template biometrico era memorizzato su badge individuali in possesso dei dipendenti;
• non vi era archiviazione centralizzata in banche dati accessibili su rete;
• il sistema era stato poi disattivato e sostituito dal badge tradizionale;
• tutti i dati biometrici erano stati cancellati.

Difese del Comune

Nelle memorie e in audizione, il Comune ha sostenuto che la propria condotta fosse lecita perché:

• l’art. 2 della l. n. 56/2019 avrebbe imposto alle pubbliche amministrazioni sistemi biometrici per la rilevazione delle presenze;
• il sistema adottato rispettava i principi di proporzionalità, non eccedenza e gradualità;
• le prescrizioni del provvedimento generale del Garante n. 513/2014 in materia di biometria sarebbero state osservate;
• l’assenza del decreto attuativo avrebbe creato un quadro normativo incerto;
• il comportamento sarebbe stato connotato da buona fede ed errore scusabile.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina del GDPR e del Codice privacy, sottolineando che il datore di lavoro può trattare dati dei dipendenti solo in presenza di una base giuridica adeguata e nel rispetto dei principi di cui all’art. 5 GDPR.

Con specifico riguardo ai dati biometrici, l’Autorità ha ricordato che:

• si tratta di dati particolari ai sensi dell’art. 9 GDPR;
• il trattamento è di regola vietato e ammesso solo in presenza di una delle condizioni di cui all’art. 9, par. 2;
• in ambito lavorativo è richiesta una previsione normativa espressa e garanzie appropriate;
• occorre inoltre il rispetto delle misure di garanzia ex art. 2-septies del Codice.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha ritenuto che la finalità di rilevazione delle presenze dei dipendenti, pur astrattamente riconducibile alla gestione del rapporto di lavoro, non potesse essere perseguita mediante trattamento biometrico in assenza di una base normativa proporzionata e di garanzie specifiche.

L’Autorità ha osservato che già in precedenza aveva escluso la liceità di trattamenti biometrici nel contesto lavorativo quando risultino disponibili soluzioni meno invasive, come i sistemi di rilevazione tradizionali. Ha inoltre richiamato precedenti orientamenti interni e sovranazionali sul principio di proporzionalità e sulla necessità di preferire misure meno intrusive.

Particolare rilievo è stato attribuito al fatto che:

• la legge n. 56/2019 prevedeva una generalizzata introduzione di sistemi biometrici nelle pubbliche amministrazioni;
• il Garante aveva già evidenziato criticità sulla sua compatibilità con il principio di proporzionalità;
• lo schema di d.P.C.M. attuativo non era mai stato adottato;
• le disposizioni della legge sono state poi abrogate dalla l. n. 178/2020.

Irrilevanza delle misure tecniche invocate dal Comune

Il Garante ha ritenuto che le misure tecniche e organizzative adottate dal Comune non fossero idonee a rendere lecito il trattamento. In particolare, la scelta di conservare il template su badge individuali e di evitare una banca dati centralizzata è stata considerata una modalità di progettazione del trattamento, utile sul piano della sicurezza, ma non sufficiente a colmare il difetto di base giuridica.

È stato inoltre chiarito che il provvedimento generale n. 513/2014 non copriva la specifica finalità di rilevazione presenze, ma riguardava altri casi di impiego della biometria, come controllo accessi, accesso a banche dati e sottoscrizione di documenti informatici.

Esito del procedimento e sanzione

L’Autorità ha concluso che il Comune di Vicchio ha effettuato, nel periodo indicato negli atti, un trattamento illecito di dati biometrici dei dipendenti in violazione degli artt. 5, 6 e 9, par. 2, lett. b), e par. 4, GDPR.

Non sono state adottate misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché il trattamento era cessato e i dati risultavano cancellati.

Ai fini della quantificazione della sanzione il Garante ha considerato:

• la particolare delicatezza dei dati biometrici;
• il numero contenuto degli interessati, pari a circa cinquanta dipendenti;
• la durata del trattamento;
• il contesto emergenziale connesso alla pandemia e al ricorso al lavoro agile;
• la collaborazione del Comune e la cancellazione dei dati;
• l’assenza di precedenti violazioni.

È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 8.000, con applicazione della pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice.

Dispositivo e rimedi

Il Garante ha:

• rilevato l’illiceità del trattamento;
• ordinato al Comune di Vicchio il pagamento di euro 8.000;
• ricordato la facoltà di definizione agevolata mediante pagamento di metà della sanzione entro trenta giorni;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• previsto l’annotazione nel registro interno delle violazioni.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.