Ordinanza ingiunzione o revoca n. 167 del 27/03/2025

Istituto di Istruzione Superiore "P. Galluppi" Tropea: trattamento illecito di dati biometrici per la rilevazione delle presenze del personale ATA

Il Garante per la protezione dei dati personali ha esaminato il reclamo di alcuni dipendenti ATA dell’Istituto di Istruzione Superiore "P. Galluppi" di Tropea relativo a un sistema di rilevazione delle presenze basato sull’impronta digitale abbinata al badge. Il procedimento si è concluso con la dichiarazione di illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e attività istruttoria

I reclamanti hanno contestato l’uso di un sistema di timbratura che richiedeva il conferimento dell’impronta digitale per identificare in modo univoco i dipendenti amministrativi, tecnici e ausiliari. L’istituto ha rappresentato di aver introdotto il sistema per verificare l’effettiva presenza in servizio e per fronteggiare episodi di presunta manomissione, danneggiamento e vandalismo, affermando che il personale interessato aveva prestato consenso e che, a seguito dell’intervento dell’Autorità, il sistema era stato sospeso e i dati biometrici cancellati.

Caratteristiche tecniche del sistema di rilevazione

Dalla documentazione tecnica acquisita è emerso che il sistema effettuava una fase di registrazione dell’impronta e generava un template matematico irreversibile, associato al codice del dipendente, utilizzato per le verifiche successive. Il Garante ha rilevato che, pur non conservando l’immagine dell’impronta o dati anagrafici, il trattamento consentiva comunque l’identificazione univoca degli interessati e ricadeva pertanto nella nozione di dato biometrico di cui all’art. 4, nn. 1 e 14, GDPR.

Quadro normativo richiamato

L’Autorità ha ricordato che i dati biometrici, se utilizzati per identificare in modo univoco una persona fisica, sono dati particolari e il loro trattamento è vietato in linea generale dall’art. 9, par. 1, GDPR. Nel contesto lavorativo, il trattamento può avvenire solo in presenza delle condizioni di cui all’art. 9, par. 2, lett. b), GDPR, di un’adeguata base normativa e nel rispetto delle misure di garanzia previste dall’art. 2-septies del Codice privacy. Sono stati richiamati anche i principi di liceità, correttezza, trasparenza e minimizzazione, nonché la protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5 e 25 GDPR).

Insussistenza di una base giuridica idonea

Il Garante ha ritenuto che la finalità di rilevazione delle presenze in servizio, pur rientrando in astratto nell’art. 9, par. 2, lett. b), GDPR in quanto connessa agli obblighi del rapporto di lavoro, non consente di per sé l’uso di dati biometrici in assenza di una specifica previsione normativa che lo autorizzi e ne disciplini le garanzie. È stato osservato che la disciplina nazionale che aveva previsto sistemi biometrici per la rilevazione delle presenze nelle pubbliche amministrazioni era stata abrogata dalla legge n. 178/2020, sicché non esisteva, al momento dei fatti, una base legale idonea a legittimare il trattamento.

Irrilevanza del consenso in ambito lavorativo

L’istituto aveva sostenuto di aver raccolto il consenso dei dipendenti e di aver offerto la possibilità di usare il badge senza impronta. Il Garante ha escluso che il consenso potesse colmare il difetto di base giuridica, richiamando l’orientamento consolidato secondo cui, nel rapporto di lavoro, la posizione di subordinazione rende normalmente non libero il consenso del dipendente. Ne è derivato che il trattamento era illecito indipendentemente dalla disponibilità espressa dai lavoratori.

Esito del procedimento e valutazioni sanzionatorie

L’Autorità ha dichiarato l’illiceità del trattamento effettuato dall’istituto per violazione degli artt. 5, 6 e 9 GDPR. Ai fini sanzionatori, ha applicato l’art. 83, par. 3, GDPR, considerato che le violazioni derivavano da un’unica condotta, e ha individuato il massimo teorico applicabile ex art. 83, par. 5, GDPR. Nella quantificazione della sanzione ha valorizzato la gravità elevata della violazione, la natura particolarmente sensibile dei dati biometrici, il numero limitato di dipendenti coinvolti, la cooperazione del titolare e l’assenza di precedenti.

Sanzione, definizione agevolata e pubblicazione

Il Garante ha irrogato all’Istituto una sanzione amministrativa pecuniaria di euro 4.000,00. È stata indicata la possibilità di definire la controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito istituzionale dell’Autorità.