Ordinanza ingiunzione o revoca n. 106 del 22/02/2024

Airone società consortile a r.l. - trattamento illecito di dati biometrici per la rilevazione presenze

Il provvedimento riguarda Airone società consortile a r.l., destinataria di reclami di dipendenti e di accertamenti ispettivi dell’Autorità in relazione all’uso di un sistema di riconoscimento facciale per la timbratura e il controllo delle presenze presso il cantiere di Ardea. Il Garante ha accertato molteplici violazioni del GDPR e ha disposto la cancellazione dei dati biometrici, oltre all’irrogazione di una sanzione pecuniaria.

Origine del procedimento e attività istruttoria

Il procedimento origina dai reclami presentati il 24 ottobre 2022 da alcuni dipendenti, secondo i quali, a partire da febbraio 2022, per accedere al cantiere e rilevare la presenza in servizio era necessario utilizzare un rilevatore biometrico basato sul riconoscimento facciale. L’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza per gli accertamenti ispettivi ai sensi degli artt. 157 e 158 del Codice.

Nel corso degli accessi del 19 gennaio 2023 presso il cantiere di Ardea, è stato verificato che:

• era presente un dispositivo di riconoscimento facciale per la rilevazione delle presenze;
• il sistema era utilizzato da circa 63 dipendenti delle società operanti nel cantiere;
• la registrazione dei dipendenti era avvenuta tramite inserimento dell’ID associato al nominativo e successivo riconoscimento del volto;
• i dati delle timbrature e dell’anagrafica erano esportabili dal dispositivo e dal sistema JuniorWeb;
• il sistema era gestito nell’ambito dell’ATI composta dalle società operanti nel sito.

Ulteriori dichiarazioni sono state rese il 16 e 27 gennaio 2023 presso la sede di L’Igiene Urbana Evolution s.r.l., soggetto che aveva materialmente predisposto e attivato il sistema, con prime timbrature datate 27 dicembre 2021. Sono stati accertati anche il collegamento dei dispositivi a server dedicati, l’uso di account Admin e la gestione da parte di DM Technology s.r.l. e di altri soggetti esterni. In data 30 maggio 2023 sono stati svolti ulteriori accertamenti presso Unica s.r.l.s. e DM Technology s.r.l.

Trattamento dei dati biometrici e illiceità della base giuridica

Il Garante ha qualificato come trattamento di dati biometrici sia la fase di registrazione degli utenti nel sistema sia la fase di riconoscimento facciale al momento della timbratura. Ha ritenuto che Airone, pur negando inizialmente la propria qualità di titolare, avesse in concreto determinato finalità e mezzi del trattamento, avendo fornito l’elenco dei lavoratori e avendo accesso al database JuniorWeb per il controllo delle presenze.

La società aveva trattato i dati biometrici dei propri dipendenti dal dicembre 2021 fino al gennaio 2023, quando il sistema è stato disattivato in seguito all’avvio dell’istruttoria. Il trattamento è stato giudicato privo di idonea base giuridica e quindi in violazione degli artt. 5, par. 1, lett. a), e 9 GDPR. Il Garante ha richiamato il divieto generale di trattamento dei dati biometrici ex art. 9, par. 1, e ha osservato che, nel contesto lavorativo, l’art. 9, par. 2, lett. b), non consente comunque tale trattamento per la rilevazione delle presenze nelle condizioni del caso concreto.

L’Autorità ha ribadito che, per la misurazione delle presenze e il controllo dell’orario, erano disponibili strumenti meno invasivi, come badge o verifiche dirette, e che il ricorso al riconoscimento facciale non rispettava i principi di minimizzazione e proporzionalità. È stato inoltre richiamato il quadro normativo e di prassi che conferma la particolare problematicità di tali tecnologie, compresi i provvedimenti del Garante n. 369/2022, n. 16/2021, il d.l. n. 51/2023 convertito in l. n. 87/2023, le linee guida EDPB sulla facial recognition e le linee guida 3/2019 sui trattamenti tramite dispositivi video.

Estensione del trattamento ai dipendenti di altre società

Dalla documentazione acquisita è emerso che l’elenco dei dipendenti sottoposti a verifica era unico per le società operanti nel cantiere e comprendeva non solo i dipendenti di Airone, ma anche quelli di L’Igiene Urbana Evolution s.r.l., Blue Work s.r.l., Unica s.r.l.s. e DM Technology s.r.l. I fogli firma e i report del sistema JuniorWeb riportavano un elenco condiviso con indicazione della società di appartenenza.

Il Garante ha quindi contestato ad Airone anche il trattamento dei dati relativi alla presenza in servizio dei dipendenti delle altre società coinvolte, sempre in assenza di una base giuridica tra quelle previste dall’art. 9, par. 2, GDPR. Anche tali trattamenti sono stati dichiarati illeciti per violazione degli artt. 5, par. 1, lett. a), e 9 GDPR.

Violazione dell’obbligo di informativa

La società ha dichiarato di aver fornito l’informativa solo oralmente. Il Garante ha ritenuto ciò insufficiente, poiché l’art. 13 GDPR richiede che le informazioni siano fornite per iscritto o con altri mezzi idonei e, se rese oralmente, che ciò avvenga solo su richiesta dell’interessato e con prova dell’identità.

Non essendo stata prodotta alcuna evidenza dell’effettiva consegna dell’informativa, è stata accertata la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Responsabili del trattamento non designati

Il provvedimento evidenzia che Airone si avvaleva di servizi esterni per la gestione delle buste paga e dell’applicativo JuniorWeb, servizi che consentivano l’accesso ai dati relativi alle presenze e la loro elaborazione. Nonostante ciò, la società non aveva formalizzato la designazione dei fornitori quali responsabili del trattamento, in violazione dell’art. 28 GDPR.

Il Garante ha richiamato il principio per cui il responsabile del trattamento può trattare dati solo su istruzione documentata del titolare e con un rapporto contrattuale o atto giuridico adeguato.

Mancata valutazione d’impatto e assenza del registro

Considerata la natura del trattamento, basato su nuove tecnologie e su dati biometrici di lavoratori, il Garante ha ritenuto obbligatoria la valutazione d’impatto ex art. 35 GDPR. La società non l’aveva però effettuata prima dell’avvio del sistema.

È stata inoltre accertata la mancata istituzione del registro delle attività di trattamento ex art. 30 GDPR, con conseguente mancata registrazione del trattamento biometrico.

Misure di sicurezza inadeguate

L’istruttoria ha mostrato che, accedendo al terminale Anviz, le credenziali Admin erano quelle di default indicate nel manuale di utilizzo e non risultavano mai modificate, con password facilmente intuibile e reperibile. Il Garante ha ritenuto tale situazione incompatibile con l’art. 32 GDPR, che impone misure tecniche e organizzative adeguate a garantire la riservatezza e un livello di sicurezza proporzionato al rischio.

Valutazioni finali del Garante

L’Autorità ha concluso che il trattamento era illecito e non poteva essere considerato minore, trattandosi di violazioni che investivano i principi generali e le condizioni di liceità del trattamento di dati particolari, con particolare gravità per l’uso del riconoscimento facciale nel rapporto di lavoro.

Il Garante ha dato atto che la società aveva sospeso il trattamento dopo l’avvio dell’attività ispettiva, ma ciò non è stato sufficiente a evitare l’adozione dei provvedimenti correttivi e sanzionatori.

Provvedimenti correttivi, sanzione e adempimenti successivi

Ai sensi dell’art. 58, par. 2, lett. g), GDPR, il Garante ha ordinato la cancellazione dei dati biometrici raccolti. Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 83 GDPR, ha irrogato una sanzione amministrativa pecuniaria di euro 5.000.

Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione;
• la persistenza delle condotte per oltre un anno;
• il grado di responsabilità della società;
• la cooperazione con l’Autorità e la sospensione del trattamento dopo l’avvio dell’ispezione;
• le condizioni economiche del contravventore e gli importi sanzionatori in casi analoghi.

Il pagamento deve avvenire entro 30 giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e richiesto ad Airone di comunicare, entro 90 giorni, le iniziative adottate per la cancellazione dei dati biometrici, con riscontro documentato ai sensi dell’art. 157 del Codice.