Ordinanza ingiunzione o revoca n. 122 del 26/02/2026

Depac Società Cooperativa Sociale a r.l. - trattamento illecito di dati biometrici dei dipendenti per la rilevazione delle presenze

Il Garante ha esaminato una segnalazione relativa all’uso, da parte di una società cooperativa, di due dispositivi per la rilevazione delle impronte digitali installati presso il Comune di XX e il relativo deposito/rimessa. Il trattamento riguardava sei lavoratori impiegati presso il Comune e si inseriva nel rapporto di appalto/servizi di pulizia e manutenzione svolti dalla società.

Origine della segnalazione e attività istruttoria

La segnalazione è stata presentata dalla Polizia locale del Comune di XX il 18 dicembre 2024. L’Autorità ha avviato un’istruttoria preliminare con richiesta di informazioni del 5 febbraio 2025 ex art. 157 del Codice, rimasta senza riscontro.

Per tale ragione, il Garante ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza a notificare la violazione dell’art. 157 e a svolgere accertamenti ispettivi ai sensi degli artt. 157 e 158 del Codice. Le verifiche, svolte il 4 e 5 giugno 2025, hanno confermato la presenza di due dispositivi biometrici funzionanti: uno all’ingresso del Comune e uno nel deposito/rimessa, entrambi utilizzati per registrare impronte digitali di dipendenti.

Trattamento esaminato e dichiarazioni della società

Nel corso dell’ispezione, la società ha dichiarato di impiegare circa 100 dipendenti, di cui sei presso il Comune di XX dal 1° agosto 2024. Ha affermato di essere titolare del trattamento dei dati biometrici acquisiti dai dispositivi e di aver avviato il sistema dal 1° settembre 2024.

Secondo quanto riferito, il trattamento era finalizzato esclusivamente a rilevare gli orari di entrata e uscita dei lavoratori, per una maggiore precisione nei riscontri richiesti dal Comune ai fini del pagamento delle ore lavorate. La società ha ammesso che sarebbero stati utilizzabili anche strumenti diversi e meno invasivi. Ha inoltre dichiarato di non aver trasferito i dati a database esterni, di aver informato solo oralmente i dipendenti e di non aver mai acquisito un consenso formale.

Quadro normativo richiamato

L’Autorità ha richiamato:

• art. 4, n. 14, GDPR, sulla nozione di dato biometrico;
• art. 5 GDPR, sui principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione e responsabilizzazione;
• art. 9 GDPR, sul divieto generale di trattamento delle categorie particolari di dati e sulle deroghe tassative, in particolare l’art. 9, par. 2, lett. b);
• art. 13 GDPR, sull’obbligo di informativa;
• art. 30 GDPR, sul registro delle attività di trattamento;
• art. 35 GDPR, sulla valutazione d’impatto;
• art. 157 del Codice, sulla richiesta di informazioni del Garante;
• art. 2-septies del Codice, sulle misure di garanzia per il trattamento dei dati biometrici.

Violazione dell’art. 157 del Codice

La mancata risposta alla richiesta di informazioni del 5 febbraio 2025 ha integrato, secondo il Garante, la violazione dell’art. 157 del Codice. L’Autorità ha evidenziato che tale inadempimento ha reso necessario l’intervento della Guardia di finanza per notificare le violazioni e svolgere gli accertamenti.

Violazione degli artt. 5 e 9 GDPR: illiceità del trattamento biometrico

Il Garante ha ritenuto che il trattamento delle impronte digitali dei sei dipendenti fosse illecito. Pur potendo, in astratto, la rilevazione delle presenze rientrare nel contesto lavorativo contemplato dall’art. 9, par. 2, lett. b), GDPR, nel caso concreto mancava una base giuridica idonea nell’ordinamento nazionale e non ricorrevano condizioni legittimanti compatibili con l’art. 2-septies del Codice.

L’Autorità ha ribadito che il trattamento biometrico è consentito solo in presenza di specifiche condizioni di liceità e di garanzie appropriate; nel caso di specie, l’uso del dato biometrico per il mero controllo orario è stato considerato non necessario e sproporzionato, potendo gli stessi obiettivi essere perseguiti con strumenti meno invasivi. È stata quindi contestata la violazione dei principi di liceità e minimizzazione.

Violazione dell’art. 13 GDPR: omessa informativa

Il trattamento è stato ritenuto effettuato anche senza una informativa idonea ai sensi dell’art. 13 GDPR. La società ha dichiarato di aver dato solo un avviso orale ai lavoratori e di non aver mai acquisito un consenso ufficiale. Il Garante ha sottolineato che, nel rapporto di lavoro, l’obbligo informativo costituisce anche espressione del dovere di correttezza di cui all’art. 5, par. 1, lett. a), GDPR.

Violazione dell’art. 35 GDPR: mancata valutazione d’impatto

Poiché il trattamento riguardava dati biometrici di lavoratori e prevedeva l’uso di una tecnologia potenzialmente ad alto rischio per i diritti e le libertà degli interessati, la società avrebbe dovuto effettuare una valutazione d’impatto prima dell’avvio del trattamento. L’omissione ha comportato la violazione dell’art. 35 GDPR.

Violazione dell’art. 30 GDPR: mancato registro dei trattamenti

Il Garante ha accertato che la società non aveva predisposto il registro delle attività di trattamento, nonostante effettuasse trattamenti di dati personali, inclusi dati appartenenti a categorie particolari. Anche tale omissione è stata qualificata come violazione dell’art. 30 GDPR.

Valutazione complessiva dell’Autorità

L’Autorità ha ritenuto che le dichiarazioni e la documentazione raccolta non consentissero l’archiviazione. Il trattamento è stato dichiarato illecito in relazione agli artt. 5, 9, 13, 30, 35 GDPR e all’art. 157 del Codice. La violazione è stata considerata non minore, in ragione della pluralità degli illeciti, della natura dei dati biometrici, della durata del trattamento dal 1° settembre 2024 e del numero di interessati coinvolti.

Misure correttive e sanzione amministrativa

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha disposto:

• il divieto dell’ulteriore trattamento dei dati biometrici raccolti e conservati;
• la cancellazione dei dati biometrici entro 60 giorni dalla notifica;
• l’obbligo di comunicare le iniziative adottate e di fornire riscontro documentato ex art. 157 del Codice entro 60 giorni.

È stata inoltre irrogata una sanzione amministrativa pecuniaria di euro 15.000, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, con pagamento entro 30 giorni dalla notifica. Il Garante ha richiamato i criteri dell’art. 83, par. 1 e 2, nonché il par. 3 per il cumulo delle violazioni nello stesso trattamento, considerando la gravità elevata, la durata del trattamento, il numero dei soggetti coinvolti, la colpa della società e la sua condizione economica.

Pubblicazione e mezzi di impugnazione

Il provvedimento prevede la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.