Ordinanza ingiunzione o revoca n. 369 del 10/11/2022

Ordinanza ingiunzione contro Sportitalia per trattamento illecito di dati biometrici dei dipendenti e omesso riscontro al Garante

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di Sportitalia, società sportiva dilettantistica a responsabilità limitata, in relazione all’uso di un sistema biometrico di rilevazione presenze dei dipendenti e al mancato riscontro a richieste istruttorie dell’Autorità. Il procedimento trae origine da una segnalazione sindacale e da successivi accertamenti ispettivi.

Origine del procedimento e attività istruttoria

La segnalazione del 15 maggio 2019 lamentava che, nei Club Get Fit di Milano gestiti dalla società, fosse stato introdotto dal mese di ottobre 2018 un terminale biometrico per timbrare ingressi e uscite di dipendenti e collaboratori, nonostante la richiesta di adottare soluzioni meno invasive. Il Garante ha prima richiesto chiarimenti alla società, poi ha formulato una richiesta di informazioni ai sensi dell’art. 157 del Codice privacy, rimasta senza risposta. A seguito della mancata collaborazione, l’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza per la notifica dell’atto di avvio del procedimento sanzionatorio e per gli accertamenti ispettivi, svolti il 28, 29 e 30 settembre 2021.

Nel corso degli accertamenti sono state raccolte dichiarazioni sul funzionamento del sistema e sulla sua diffusione nelle sedi della società. È stato confermato che l’impianto biometrico risultava installato e attivo in sede legale e in sette unità locali, che i dispositivi trattavano il modello biometrico generato dall’impronta digitale e che l’autenticazione avveniva con modalità 'uno a molti'. È stato inoltre chiarito che il sistema era connesso in rete e che i dati di presenza venivano centralizzati e trasmessi al fornitore per l’abbinamento con le anagrafiche dei dipendenti.

Trattamento esaminato e finalità dichiarata

Il trattamento contestato riguardava i dati biometrici dei dipendenti, utilizzati per la rilevazione delle presenze e degli accessi al lavoro. La società ha sostenuto che la finalità fosse quella di rendere più semplice e veloce la timbratura, superando le dimenticanze del badge. L’Autorità ha rilevato che il trattamento coinvolgeva 132 dipendenti, pur con una riduzione del numero di interessati in alcuni periodi di emergenza sanitaria.

Il Garante ha richiamato la definizione di dati biometrici di cui all’art. 4, n. 14, GDPR e ha ribadito che il trattamento si realizza sia nella fase di enrollment, cioè acquisizione e generazione del template, sia nella fase di riconoscimento all’atto della timbratura.

Violazione degli artt. 5 e 9 GDPR: assenza di idonea base giuridica

Secondo il Garante, il trattamento dei dati biometrici è stato effettuato in violazione dei principi di liceità, correttezza, trasparenza, minimizzazione e proporzionalità di cui all’art. 5 GDPR, nonché dell’art. 9 GDPR sui dati particolari. In ambito lavorativo, il ricorso ai dati biometrici può trovare legittimazione solo nei limiti dell’art. 9, par. 2, lett. b), GDPR, e cioè quando sia necessario per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro, in presenza di una base normativa e di garanzie adeguate.

L’Autorità ha escluso che il consenso dei dipendenti potesse costituire base giuridica sufficiente nel caso concreto, richiamando la costante posizione del Garante e la giurisprudenza/linee guida europee sulla debolezza del consenso nel rapporto di lavoro, in ragione dell’asimmetria tra datore e lavoratore. È stato inoltre osservato che l’uso del dato biometrico per la mera rilevazione delle presenze non appariva proporzionato rispetto alla finalità perseguita, soprattutto considerando che era già disponibile un sistema alternativo con badge.

La società ha cessato il trattamento dal 2 maggio 2022 e ha dichiarato di aver chiesto la cancellazione dei dati raccolti; tale circostanza è stata presa atto, ma non ha eliminato l’illecito maturato nel periodo precedente.

Violazione dell’art. 13 GDPR: informativa insufficiente

Il Garante ha ritenuto non conforme anche l’informativa fornita ai dipendenti. I documenti esibiti contenevano solo un breve riferimento al trattamento dei dati biometrici per il monitoraggio e la registrazione di accessi/uscite, senza indicare gli elementi essenziali richiesti dall’art. 13 GDPR.

In particolare, l’informativa non riportava in modo adeguato:

• identità del titolare e dell’eventuale responsabile del trattamento;
• base giuridica del trattamento;
• tempi di conservazione;
• diritti dell’interessato;
• diritto di reclamo all’autorità di controllo.

L’Autorità ha inoltre rilevato che non risultava indicata la possibilità di utilizzare il badge in alternativa al sistema biometrico, né la facoltà di revoca del consenso, come invece affermato dalla società in istruttoria. La violazione è stata fatta decorrere dalla installazione e messa in funzione dei dispositivi fino al 2 maggio 2022.

Violazione dell’art. 30 GDPR: registro dei trattamenti incompleto

Il registro delle attività di trattamento consegnato dalla società, datato 31 luglio 2021, non menzionava i dati biometrici tra le categorie di dati trattati. Il Garante ha ricordato che il registro è uno strumento di accountability sostanziale e deve rappresentare i trattamenti effettivamente svolti, con indicazione aggiornata delle categorie di dati personali.

L’omessa inclusione del trattamento biometrico nel registro è stata quindi qualificata come violazione dell’art. 30, par. 1, lett. c), GDPR.

Violazione dell’art. 157 Codice privacy e profili sanzionatori

È stata accertata anche la violazione dell’art. 157 del Codice privacy, per il mancato riscontro alla richiesta di informazioni del Garante del 10 gennaio 2020, nonché al precedente invito del 5 settembre 2019. La società ha sostenuto che vi fosse stato un errore organizzativo nella trasmissione delle comunicazioni, ma il Garante ha ritenuto integrata la violazione.

Poiché l’art. 166, comma 2, del Codice prevede per tale condotta l’applicazione della sanzione di cui all’art. 83, par. 5, GDPR, l’Autorità ha incluso anche questo illecito nel complessivo apparato sanzionatorio.

Valutazione complessiva, criteri di quantificazione e sanzione

Il Garante ha escluso che si trattasse di violazione minore, richiamando la natura, la gravità e la durata della condotta, nonché il grado di responsabilità del titolare. Nella determinazione della sanzione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la durata del trattamento illecito, protrattosi per poco meno di quattro anni;
• la rilevanza della violazione dei principi generali del trattamento;
• il carattere colposo della condotta e la pluralità delle disposizioni violate;
• la cooperazione successiva con l’Autorità e l’assenza di precedenti pertinenti;
• le condizioni economiche della società e il contesto economico del settore durante l’emergenza sanitaria;
• le sanzioni irrogate in casi analoghi.

Applicando anche il criterio dell’art. 83, par. 3, GDPR per le violazioni plurime relative allo stesso trattamento, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 20.000.

Dispositivo e ulteriori effetti

Nel dispositivo l’Autorità:

• ha rilevato l’illiceità del trattamento effettuato da Sportitalia;
• ha ordinato il pagamento della sanzione di euro 20.000 ai sensi dell’art. 58, par. 2, lett. i), GDPR;
• ha ingiunto il pagamento entro 30 giorni dalla notifica;
• ha ricordato la possibilità di definizione agevolata con il pagamento della metà della sanzione nei termini di legge;
• ha disposto la pubblicazione del provvedimento sul sito del Garante.

Contro il provvedimento è stata indicata l’opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.