Ordinanza ingiunzione o revoca n. 338 del 06/06/2024

Cappello Giovanni & Figli s.r.l. - trattamento illecito di dati biometrici e uso non conforme del gestionale Infinity DMS

Il provvedimento riguarda la società Cappello Giovanni & Figli s.r.l., destinataria di un reclamo ex art. 77 GDPR per l’utilizzo, nei rapporti di lavoro, di un sistema di riconoscimento facciale per la rilevazione delle presenze e di un gestionale per la registrazione delle attività dell’officina. L’istruttoria ha incluso accertamenti ispettivi della Guardia di finanza e ulteriori richieste di informazioni rivolte alla società.

Origine del procedimento e attività istruttoria

Il reclamo del dipendente contestava due trattamenti: l’uso dell’hardware X-Face 380, installato nelle sedi di Modica e Ragusa, e l’uso del software Infinity DMS per la gestione delle attività dei dipendenti del reparto officina. In seguito agli accertamenti ispettivi del 1 e 2 marzo 2022, l’Autorità ha acquisito informazioni sulle funzionalità dei sistemi, sulle informative rese ai dipendenti, sulla conservazione dei dati e sulle finalità dichiarate dalla società.

Trattamento biometrico tramite X-Face 380

Dagli atti è emerso che il sistema biometrico era impiegato per registrare entrata e uscita dei dipendenti tramite riconoscimento facciale, con finalità di rilevazione delle presenze e produzione di report mensili per la busta paga. La società aveva sostenuto di aver informato i dipendenti e di aver raccolto il consenso, nonché di operare in ambito lavorativo ai sensi dell’art. 9, par. 2, lett. b) GDPR. Il Garante ha però ritenuto che, nel quadro vigente, il trattamento dei dati biometrici dei dipendenti per rilevazione presenze non sia consentito in assenza di un’idonea base normativa e di garanzie appropriate.

L’Autorità ha richiamato il principio di accountability e i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione. Ha inoltre rilevato che il consenso dei lavoratori non costituisce normalmente base giuridica idonea nel contesto del rapporto di lavoro, per l’asimmetria tra datore di lavoro e dipendente. È stata altresì contestata la conservazione del dato biometrico fino alla cessazione del rapporto, ritenuta incompatibile con il principio di limitazione della conservazione. L’informativa è stata giudicata incompleta, perché priva di indicazioni essenziali sulle caratteristiche del trattamento, sulle cautele adottate e sull’eventuale alternativa al sistema biometrico.

Trattamento tramite il gestionale Infinity DMS

Il gestionale Infinity DMS veniva utilizzato dai dipendenti, mediante codice a barre individuale, per registrare tempi di lavorazione, pause e causali operative, con report mensili aggregati anche alla casa madre. La società ha dichiarato che il sistema non consentiva controllo a distanza, ma l’Autorità ha evidenziato che le risposte fornite erano generiche e non consentivano di conoscere compiutamente natura dei dati, modalità di trattamento, tempi di conservazione e necessità/proporzionalità.

Anche in questo caso l’informativa ai dipendenti è stata considerata carente e inidonea, perché non descriveva adeguatamente le caratteristiche del trattamento. Il Garante ha quindi accertato la violazione dei principi di liceità, correttezza e trasparenza, nonché la mancanza di una base giuridica chiaramente individuabile ex art. 6 GDPR.

Valutazioni del Garante e norme violate

L’Autorità ha ritenuto accertate le seguenti violazioni:

• per il trattamento biometrico: artt. 5, par. 1, lett. a), c), e), 9, par. 2, lett. b) e 13 GDPR;
• per il trattamento mediante Infinity DMS: artt. 5, par. 1, lett. a), 6 e 13 GDPR.

Il Garante ha escluso che il trattamento illecito potesse essere considerato minore, valorizzando la natura delle violazioni, la gravità dei trattamenti coinvolti, il grado di responsabilità del titolare e la persistenza delle condotte. Ha inoltre richiamato l’art. 168 del Codice privacy in tema di falsità nelle dichiarazioni rese al Garante.

Provvedimenti correttivi, sanzione e pubblicazione

Ai sensi dell’art. 58, par. 2 GDPR, il Garante ha:

• vietato il trattamento dei dati biometrici dei dipendenti mediante riconoscimento facciale;
• ingiunto di conformare il trattamento effettuato tramite Infinity DMS ai principi e alle disposizioni del GDPR entro 90 giorni dalla notifica;
• applicato una sanzione amministrativa pecuniaria di 120.000 euro.

Nella quantificazione della sanzione sono stati considerati, ex art. 83 GDPR, la gravità e durata della violazione, la condotta e il grado di responsabilità della società, la scarsa collaborazione con l’Autorità, la prosecuzione del trattamento dopo l’avvio del procedimento, nonché le condizioni economiche del contravventore e le sanzioni irrogate in casi analoghi. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante.

Adempimenti successivi e rimedi

La società è stata invitata a comunicare, entro 90 giorni, le iniziative adottate per dare attuazione al provvedimento e a fornire riscontro documentato ai sensi dell’art. 157 del Codice. È stata richiamata anche la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.