È sempre più in uso l’utilizzo del dato biometrico per il controllo degli accessi sui luoghi di lavoro o per la gestione delle presenze.
Sono dati biometrici alcune caratteristiche fisiche uniche dell’individuo: ad esempio l’impronta digitale, l’impronta dei denti, l’immagine del volto, etc..
Tali tratti fisici possono venire utilizzati per l’autenticazione di un utente poiché, per le loro intrinseche, qualità non possono essere dimenticati, passati ad un’altro individuo, persi o rubati da un’altra persona.
Per tali caratteristiche il dato biometrico costituisce un’allettante alternativa per aziende e datori di lavoro in tutte quelle situazione in cui è necessaria l’autenticazione dell’utente, come l’identificazione del dipendente per la gestione delle presenze.
In altri termini il vecchio badge viene sostituito con le nuove tecnologie biometriche.
Applicazioni come il “face recognition” e l'”iris recognition”, ma anche il “fingerprint”, o riconoscimento dell’impronta digitale, stanno diventando di casa anche nelle aziende italiane.
La ragione è evidente:l’utilizzo di dati biometrici per la gestione delle presenze consente di prevenire alcune condotte, anche abusive, da parte di dipendenti (consistenti, ad esempio, nello scambio dei badge) e lo smarrimento delle tessere magnetiche attualmente in uso, assicurando un grado elevato di certezza nell’identificazione dei lavoratori.
Come si concilia, però, l’utilizzo di tali applicazioni con la privacy?
Il Codice privacy considera il trattamento di dati biometrici un “trattamento che presenta rischi particolari”. Per realizzarlo, quindi, in maniera lecita è necessario presentare al Garante un interpello preventivo (nel linguaggi giuridico si intende per interpello la formale richiesta di parere ad un’Autorità precostituita). In sostanza, a seguito della richiesta del titolare del trattamento, il Garante verifica che nel caso concreto l’utilizzo di tali dati sia giustificato dalla necessità di contrastare un “reale pericolo”, che sia, quindi, rispettoso del principio di necessità e che avvenga nel rispetto di tutti gli adempimenti privacy.
Il Garante, a seguito della presentazione di interpelli si è, quindi, trovato più volte a pronunciarsi sull’utilizzo del dato biometrico sui luoghi di lavoro.
In un interessante provvedimento in cui l’azienda chiedeva esplicitamente di utilizzare l’impronta digitale in sostituzione del badge per la gestione delle presenze, il Garante si è così espresso:
“… se pure rientra tra le legittime facoltà del datore di lavoro sovrintendere all’esecuzione della prestazione lavorativa (art. 2094 cod. civ.) verificando le presenze dei dipendenti e il rispetto dell’orario di lavoro anche ai fini del calcolo della retribuzione, ad esempio attraverso badge, non risulta documentato che il trattamento di dati biometrici in esame (con particolare riguardo all’impronta digitale) sia conforme ai principi di necessità e proporzionalità.” (Uso delle impronte digitali per i sistemi di rilevamento delle presenze nei luoghi di lavoro – Provvedimento Garante Privacy 21 luglio 2005)
Non è d’accordo, quindi, il Garante alla mera sostituzione del badge con l’impronta digitale, ma ha comunque lasciato qualche possibilità dell’utilizzo del dato biometrico al datore di lavoro.
Nel recente provvedimento generale sul trattamento di dati sui luoghi di lavoro, il Garante ha precisato che:
“L’utilizzo di dati biometrici può essere giustificato solo in casi particolari, tenuto conto delle finalità e del contesto in cui essi sono trattati e, in relazione ai luoghi di lavoro,per presidiare accessi ad «aree sensibili», considerata la natura delle attività ivi svolte: si pensi, ad esempio, a processi produttivi pericolosi o sottoposti a segreti di varia natura o al fatto che particolari locali siano destinati alla custodia di beni, documenti segreti o riservati o oggetti di valore.” (Provvedimento 23 Novembre 2006: Linee Guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati, pubblicato sulla gazzetta ufficiale del 07 dicembre 2006, n.285.)
Vediamo quali possono essere, in concreto, i “casi particolari” in base alle pronunce dello stesso Garante.
Il Garante ha ritenuto lecito l’utilizzo del dato biometrico per identificare in modo certo i soggetti abilitati all’accesso in un’area riservata. Nel caso in questione si trattava di identificare in modo certo i dipendenti incaricati di lavorare in un’area dove si realizzavano progetti avionici “segreti” (Accesso ad aree riservate di particolari aziende: uso proporzionato di impronte digitali – 23 novembre 2005).
Non ha trovato controindicazioni, il Garante al trattamento del dato biometrico di un numero ristretto di dipendenti e collaboratori di una banca volto ad autorizzare l’accesso ad un’area particolare della sede della stessa banca, non aperta al pubblico.
Lo scopo di tale sistema, ritenuto lecito dal Garante, era “garantire la sicurezza del personale della direzione (evitando che persone estranee accedano a tale area: come accaduto in passato: cfr. richiesta di verifica preliminare), la riservatezza di documenti e fascicoli, nonché la protezione di opere d’arte ivi custodite.”
Il Garante ha concesso il trattamento dei dati biometrici dei dipendenti di una società che svolge attività di movimentazione a terra di merci e passeggeri in ambito aeroportuale (Sicurezza merci e controlli presenze presso aeroporti – Provvedimento Garante 26 luglio 2006). Il Garante ha ritenuto lecito tale trattamento finalizzato al controllo dell’accesso in determinati locali dove la società svolge le proprie attività di assistenza a terra (correlate all’ordinato svolgimento del traffico aeroportuale) che richiedono l’adozione di standard di sicurezza specifici ed elevati, nonché di affidabili sistemi di identificazione dei soggetti deputati ad accedervi in conformità alle procedure previste dalla vigente normativa a garanzia della sicurezza di persone e cose.
Nel caso in questione il titolare del trattamento aveva richiesto di poter utilizzare il dato biometrico per l’accesso agli uffici della società per il controllo delle presenze. Per tale richiesta il Garante ha negato il proprio nullaosta, concesso invece per l’utilizzo del dato biometrico nelle aree aeroportuali, poiché il titolare del trattamento non aveva fornito “idonea prova della sussistenza di analoghe stringenti esigenze di sicurezza che, in conformità ai principi di necessità e proporzionalità (artt. 3 e 11 del Codice), giustifichino l’utilizzo di dati biometrici in luogo di altri strumenti meno invasivi.”
Interessante è un ultimo caso sottoposto all’attenzione del Garante riguardante l’accesso ad un complesso polifunzionale sito in una zona periferica di Marcenise (Caserta), quindi, “in un contesto socio-economico ad elevato rischio di criminalità organizzata” destinato ad ospitare duecentotrentacinque esercizi artigianali e commerciali dedicati alla lavorazione e commercializzazione di materiali preziosi nel settore dell’oreficeria (Utilizzo dati biometrici ricavati dall’impronta della mano e dall’immagine del volto – Provvedimento Garante 1° febbraio 2007).
L’aspetto interessante di tale provvedimento è il fatto che il titolare del trattamento intendeva utilizzare non l’impronta digitale ma un dispositivo di lettura della geometria della mano.
Si tratta infatti del primo provvedimento in Italia non relativo ai lettori di impronte digitali, che restano comunque la tecnologia più importante e usata sul mercato.
Circa la tecnologia della geometria della mano è bene precisare che questa è stata una delle prime tecniche biometriche sviluppate a livello commerciale. Occorre però aggiungere che secondo le linee guida del CNIPA (Centro Nazionale per l’Informatica nella Pubblica Amministrazione) “le caratteristiche della mano di un individuo non sono descrittive al punto da risultare uniche, quindi non possono essere utilizzate per l’identificazione di una persona, ma allo stesso tempo sono sufficientemente descrittive per essere impiegate ai fini della verifica dell’identità”.
In altri termini – se questo è vero – l’uso della tecnologia della mano risulta meno invasiva e “rischiosa” dell’uso dell’impronta digitale.
Occorre precisare che nel provvedimento del Garante non si legge alcuna considerazione sulla minore invasività della tecnologia della geometria della mano rispetto a quella dell’impronta digitale.
Questo argomento potrebbe forse aprire la porta per l’impiego della geometria della mano come tecnologia impiegata per il controllo presenze. Ma per tale epilogo occorre aspettare, poiché l’ultima parola resta al Garante. (avv. Alessandra Delli Ponti)
