Ordinanza ingiunzione o revoca n. 404 del 14/09/2023

Nimbus s.r.l. - uso illecito di sistema biometrico per la rilevazione delle presenze dei dipendenti

Il provvedimento riguarda Nimbus s.r.l., titolare del trattamento, che aveva installato presso due sedi un sistema di rilevazione presenze basato sulle impronte digitali dei dipendenti. Il procedimento è stato avviato a seguito del reclamo di un lavoratore e si è concluso con l’accertamento dell’illiceità del trattamento, l’irrogazione di una sanzione pecuniaria e l’ordine di pubblicazione del provvedimento.

Origine del procedimento e attività istruttoria

Il reclamo è stato presentato il 20 settembre 2021 da un dipendente assunto il 6 novembre 2019 con contratto a tempo determinato, che lamentava l’installazione, nella sede di lavoro, di un sistema biometrico di timbratura senza informativa e senza consenso.

L’Ufficio del Garante ha quindi formulato una richiesta di informazioni ai sensi dell’art. 157 del Codice privacy, chiedendo chiarimenti sulle caratteristiche tecniche del sistema, sui presupposti di legittimità e sulle finalità del trattamento. La società ha risposto affermando che:

• il sistema era attivo dal 1° febbraio 2019;
• l’installazione era stata ritenuta conforme alla normativa vigente;
• l’Ispettorato del lavoro, con e-mail del 10 novembre 2021, aveva escluso la necessità dell’autorizzazione ex art. 4 della l. 300/1970.

La società ha inoltre descritto il funzionamento del sistema, sostenendo che le impronte digitali venissero memorizzate solo internamente al dispositivo e criptate, e che fosse possibile alternativamente utilizzare un ID numerico con password. In una successiva nota del 29 gennaio 2022, la società ha precisato di aver reso un’informativa ex art. 13 GDPR e di impiegare il sistema in due sedi per 13 dipendenti, affermando che non vi fosse trattamento di dati biometrici in quanto il sistema elaborava solo un modello anonimo e virtuale. Con successivi scritti difensivi dell’11 maggio 2022, ha dichiarato di aver rimosso i dispositivi biometrici il 30 aprile 2022, sostituendoli con badge, e di aver cancellato i dati memorizzati.

Qualificazione del trattamento come trattamento di dati biometrici

Il Garante ha qualificato il sistema come trattamento di dati biometrici, richiamando la nozione di cui all’art. 4, n. 14, GDPR e la propria precedente prassi sui sistemi di riconoscimento basati su impronte digitali. L’Autorità ha evidenziato che il trattamento si realizza sia nella fase di acquisizione/enrollment delle caratteristiche biometriche, sia nella fase di riconoscimento al momento della timbratura.

Nel caso concreto, il sistema convertiva le caratteristiche del polpastrello in un codice numerico complesso associato al dipendente e utilizzato per la rilevazione delle presenze. Pertanto, non si trattava di una mera gestione di dati anagrafici o di un badge tradizionale, ma di un trattamento di dati biometrici ai sensi del Regolamento.

Violazione dell’art. 9, par. 2, lett. b), GDPR

Poiché il trattamento di dati biometrici è in linea generale vietato dall’art. 9, par. 1, GDPR, il Garante ha verificato la sussistenza di una delle eccezioni di cui all’art. 9, par. 2. Per il contesto lavorativo, è stata richiamata la lettera b) della norma, che ammette il trattamento solo se necessario per assolvere obblighi o esercitare diritti specifici in materia di diritto del lavoro e protezione sociale, in presenza di un fondamento nel diritto dell’Unione o degli Stati membri e di garanzie appropriate.

L’Autorità ha però escluso che, allo stato, esista una base giuridica idonea a legittimare l’uso dei dati biometrici per la rilevazione delle presenze dei dipendenti. Di conseguenza, il trattamento effettuato da Nimbus s.r.l. è stato ritenuto in violazione dell’art. 9, par. 2, lett. b), GDPR.

Violazione dei principi di liceità, correttezza, trasparenza e dell’informativa

Il Garante ha inoltre rilevato una violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. In particolare, l’informativa resa ai dipendenti non conteneva alcun riferimento al trattamento biometrico per la rilevazione delle presenze e non indicava la possibilità di utilizzare, in alternativa, il badge tradizionale.

Secondo l’Autorità, in ambito lavorativo l’informativa deve rendere conoscibili agli interessati gli elementi essenziali del trattamento, tra cui finalità, modalità, base giuridica e tempi di conservazione. L’omissione di tali informazioni ha quindi reso il trattamento non lecito, corretto e trasparente.

La violazione è stata considerata perdurante dalla data di installazione e messa in funzione dei dispositivi fino alla cessazione del trattamento, avvenuta il 30 aprile 2022.

Dichiarazione di illiceità e misure conseguenti

All’esito dell’istruttoria, il Garante ha ritenuto che le difese della società non fossero idonee a superare i rilievi contestati e ha dichiarato illecito il trattamento dei dati biometrici effettuato da Nimbus s.r.l. per la rilevazione delle presenze dei dipendenti.

Sulla base dei poteri correttivi di cui all’art. 58, par. 2, GDPR, è stata disposta l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 GDPR e dell’art. 166 del Codice privacy.

Criteri di quantificazione della sanzione

Nella determinazione della sanzione, il Garante ha richiamato i criteri dell’art. 83, par. 1 e 2, GDPR, tenendo conto in particolare di:

• natura, gravità e durata della violazione, trattandosi di dati appartenenti a categorie particolari e di un trattamento protrattosi per circa tre anni;
• carattere doloso o colposo della condotta e grado di responsabilità del titolare, con riguardo all’inosservanza dei principi generali del trattamento;
• assenza di precedenti specifici a carico della società;
• cooperazione nel corso dell’istruttoria e pronta conformazione alle indicazioni dell’Autorità;
• condizioni economiche del contravventore, desunte dal bilancio abbreviato 2022, e contesto economico generale legato all’emergenza sanitaria;
• entità delle sanzioni applicate in casi analoghi.

Richiamato anche l’art. 83, par. 3, GDPR sul cumulo delle violazioni relative allo stesso trattamento, l’Autorità ha determinato la sanzione in euro 5.000,00.

Dispositivo finale

Il Garante ha quindi:

• rilevato l’illiceità del trattamento effettuato da Nimbus s.r.l. per violazione degli artt. 5, par. 1, lett. a), 9 e 13 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 5.000,00 ai sensi dell’art. 58, par. 2, lett. i), GDPR;
• ingiunto il pagamento entro 30 giorni dalla notifica del provvedimento, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011.