Ordinanza ingiunzione o revoca n. 423 del 15/12/2022

Comune di Borgia - uso illecito di dati biometrici per la rilevazione presenze e tardiva comunicazione del DPO

Il provvedimento riguarda il Comune di Borgia, destinatario di un’ordinanza ingiunzione per avere trattato dati biometrici dei dipendenti ai fini della rilevazione delle presenze e per non avere comunicato tempestivamente al Garante i dati di contatto del Responsabile della protezione dei dati. L’istruttoria è scaturita dalla trasmissione spontanea di una delibera comunale relativa all’installazione del sistema biometrico.

Origine del procedimento e fatti accertati

Il Comune aveva comunicato di aver adottato, in via "definitiva" o comunque sperimentale, un sistema di rilevazione dell’impronta biometrica per controllare l’osservanza dell’orario di lavoro, in presenza di esposti e per prevenire possibili irregolarità nella timbratura. In sede istruttoria l’ente ha poi precisato che il sistema era affiancato al badge tradizionale, che la partecipazione dei dipendenti sarebbe stata facoltativa, che il trattamento sarebbe durato solo pochi giorni e che il dispositivo aveva presentato malfunzionamenti, fino alla dismissione. Quanto al RPD, il Comune ha ammesso il ritardo nella comunicazione dei dati di contatto, attribuendolo a disguidi organizzativi e al recupero tardivo del numero di protocollo necessario per l’accesso alla procedura online del Garante.

Quadro normativo richiamato

L’Autorità ha richiamato gli artt. 5, 6, 9, 37, 38 e 83 del GDPR, nonché l’art. 2-septies del Codice privacy e l’art. 166 del Codice per il procedimento sanzionatorio. In relazione ai dati biometrici, ha ribadito che si tratta di dati particolari ai sensi dell’art. 9 GDPR e che il loro trattamento in ambito lavorativo è possibile solo in presenza di una specifica base normativa, di garanzie appropriate e nel rispetto delle misure di garanzia stabilite dal Garante.

Valutazione sulla liceità del trattamento biometrico

Il Garante ha escluso che il consenso dei dipendenti potesse costituire un valido presupposto di liceità, richiamando la asimmetria del rapporto di lavoro e il considerando 43 del GDPR. Ha inoltre ribadito che, per la rilevazione delle presenze, devono essere preferiti strumenti meno invasivi quando idonei a raggiungere lo scopo, secondo una linea interpretativa consolidata anche nei precedenti provvedimenti dell’Autorità. La disciplina della legge 19 giugno 2019, n. 56, sulla c.d. legge Concretezza, non ha giustificato il trattamento nei termini in cui è stato posto in essere dal Comune, anche perché le relative modalità attuative non erano state adottate e la disciplina è stata poi abrogata dalla legge n. 178/2020.

Violazione relativa al RPD/DPO

L’Autorità ha poi rilevato che la mancata comunicazione tempestiva dei dati di contatto del RPD al Garante integra una violazione autonoma dell’art. 37, par. 7, GDPR. Il Garante ha sottolineato che la comunicazione deve avvenire tramite l’apposita procedura telematica e tempestivamente, affinché l’Autorità disponga sempre di dati aggiornati sul punto di contatto dell’ente pubblico.

Esito del procedimento e sanzione

Il Garante ha ritenuto che le difese del Comune, pur indicative di collaborazione e di una successiva attenuazione del rischio, non fossero sufficienti per archiviare il procedimento. Ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, 9, parr. 2 e 4, e 37, par. 7, GDPR. Non ha disposto misure correttive, poiché la condotta aveva già esaurito i propri effetti.

Quantificazione della sanzione e misure accessorie

Ai fini della quantificazione, il Garante ha considerato la natura particolarmente delicata dei dati biometrici, la finalità lavoristica del trattamento, la piccola dimensione del Comune, la brevità del periodo di sperimentazione, la limitata partecipazione dei dipendenti, l’iniziativa spontanea di informare l’Autorità, la collaborazione prestata e l’assenza di precedenti. Sulla base di tali elementi, ha determinato la sanzione amministrativa pecuniaria in euro 5.000. Ha inoltre disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni.

Implicazioni operative

Il provvedimento conferma che, in ambito pubblico e lavoristico, l’uso di sistemi biometrici per la rilevazione delle presenze richiede una base normativa specifica e proporzionata, non potendo essere legittimato dal consenso dei dipendenti né da finalità generiche di prevenzione di abusi. Conferma inoltre l’obbligo per le pubbliche amministrazioni di aggiornare senza ritardo i dati del RPD presso l’Autorità di controllo.