SULLA RACCOLTA DELLE IMPRONTE DIGITALI DEI LAVORATORI PER VERIFICARE LA PRESENZA
Il datore di lavoro può verificare la presenza dei propri dipendenti tramite la raccolta delle impronte digitali?
Corte di Cassazione, seconda sezione civile, sentenza n. 25686 del 2018
La Corte di Cassazione, seconda sezione civile, con la sentenza in commento è intervenuta per dirimere un’importante questione, ossia se il datore di lavoro, al fine di verificare la presenza dei propri dipendenti può effettuare una raccolta delle impronte digitali.
Nel caso di specie, il Tribunale di primo grado aveva accolto l’opposizione presentata da una s.r.l. contro l’ordinanza-ingiunzione, con la quale il Garante per la protezione dei dati personali gli aveva irrogato una pesante sanzione in seguito alla violazione del D.Lgs. n. 196 del 2003, articoli 13, 17, 23, 33, 37, 38, 161, comma 2-bis, 162.
Nello specifico, la violazione contestata alla società, che opera nel settore dei servizi di igiene ambientale, aveva ad oggetto l’installazione di un sistema di raccolta dei dati biometrici della mano per la rilevazione delle presenze dei dipendenti.
Secondo i giudici non era stata raggiunta la prova che il trattamento dei dati biometrici dei dipendenti della società in contestazione fosse avvenuto in violazione della disciplina di settore e che contrariamente sussistesse la prova positiva dell’assenza del trattamento.
Infatti sulla scorta che
“non ogni volta che in qualunque attività vengano coinvolti dati personali e/o biometrici delle persone si ha per ciò solo trattamento di quei dati nei modi rilevanti per la normativa invocata”,
i giudici hanno concluso che la società non prelevasse e trattasse i dati biometrici delle mani dei loro dipendenti ma che il dato biometrico venisse usato al solo fine di individualizzazione e non di identificazione.
Per la Cassazione della sentenza di cui sopra il Garante per la protezione dei dati personali è ricorso in Cassazione, la quale ha ritenuto fondato il motivo di ricorso, perché contrariamente a quanto affermato dal Tribunale,
“la nozione di trattamento di dati personali di tipo biometrico comprenderebbe qualunque operazione o complesso di operazioni che consenta l’identificazione anche indiretta del soggetto”.
Quindi, la trasformazione del dato biometrico relativo alla mano del dipendente in un modello di riferimento, consentirebbe l’identificazione personale attraverso operazioni di confronto tra il codice numerico ricavato ad ogni accesso e quello originariamente raccolto.
Nello specifico, il sistema utilizzato dalla società datrice di lavoro consisteva nel trasformare il dato biometrico riguardante la mano del lavoratore in un modello di 9 bytes, a sua volta archiviato ed associato ad un codice numerico di riferimento; tale codice numerico veniva memorizzato in un badge, e ad ogni utilizzo del badge il sistema era in grado di verificare che
“il badge che si stava usando era usato dalla stessa mano usata per configurarlo”.
La sentenza emessa dal Tribunale è in palese contrasto con le norme in materia di trattamento dei dati personali, infatti
“Il D.Lgs. n. 196 del 2003, art. 4, definisce “trattamento”, qualunque operazione o complesso di operazioni concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; “dato personale”, qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; “dati identificativi“, i dati personali che permettono l’identificazione diretta dell’interessato”.
La norma di riferimento considera irrilevante ai fini della configurabilità del trattamento dei dati personali la mancata registrazione degli stessi in una apposita banca dati, essendo sufficiente anche una mera raccolta ed elaborazione temporanea.
La Corte di Cassazione ha rilevato che
“Nè il fatto che il modello archiviato, realizzato attraverso la compressione dell’immagine della mano, consista in un numero che non è di per sè correlabile al dato fisico, nè il fatto che, partendo da detto numero, non sia possibile ricostruire l’immagine della mano in quanto l’algoritmo è unidirezionale ed irreversibile, escludono che si versi in ipotesi di trattamento di dati biometrici.
Ciò che rileva al predetto fine è che il sistema, attraverso la conservazione dell’algoritmo, è in grado di risalire al lavoratore, al quale appartiene il dato biometrico, e quindi indirettamente lo identifica, in attuazione dello scopo dichiarato e in sè legittimo di controllarne la presenza.
Il sistema adottato dalla società resistente comporta un trattamento di dati biometrici, come tale assoggettato innanzitutto e in via assorbente alla preventiva notificazione al Garante, ai sensi del D.Lgs. n. 196 del 2003, art. 37, nella specie non avvenuta”.
