Senza l’autorizzazione del Garante della privacy è vietato raccogliere le impronte della mano dei dipendenti, attraverso un badge per vedere se sono presenti.

La violazione contestata, parte dall’installazione di un sistema di raccolta di dati biometrici della mano per rilevare le presenze dei dipendenti, installata da una società che opera nel settore dei servizi ambientali. La società era stata condannata a pagare una sanzione di 66 mila euro, per aver violato il Codice sulla protezione dei dati personali.

I giudici di prima istanza, però, accolgono il ricorso della società in quanto riteneva che le apparecchiature non prelevavano e non trattavano dati, utilizzati come «individualizzanti e non come identificanti». In più, non esisteva alcuna banca dati. Ragione per cui, andava escluso il “trattamento” e non scattava la tutela prevista dal Codice. Sulla base di questo il Tribunale aveva condannato il Garante a pagare 30 mila euro per responsabilità aggravata.

La Cassazione è di diverso avviso e accoglie il ricorso del Garante analizzando, in concreto, il funzionamento del dispositivo. Con il sistema utilizzato il dato biometrico relativo alla mano del lavoratore viene trasformato in un modello di riferimento, consistente in un codice, che consentirebbe l’identificazione personale attraverso operazioni di confronto tra codice numerico ricavato da ogni accesso e quello originariamente raccolto.

Pertanto, ad ogni utilizzo del “badge” il sistema è in grado di verificare che il cartellino che si sta usando è della stessa mano utilizzata per configurarlo.

In questo contesto sbaglia il Tribunale ad affermare che il dipendente non viene identificato attraverso i suoi dati, ma tramite il badge il cui uso non è stato contestato. La Suprema corte ricorda che il Codice definisce “trattamento”, qualunque operazione che riguardi «la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati». “Dato personale” è «qualunque informazione relativa ad una persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale». Sono dati identificativi tutti quelli che permettono di “riconoscere” direttamente l’interessato.

La norma considera, espressamente, irrilevante, ai fini del trattamento, la mancata registrazione in una banca dati «essendo sufficiente anche un’attività di raccolta ed elaborazione temporanea». Ad escludere il trattamento non basta che il modello archiviato consista in un numero non associabile al dato fisico, né che partendo dal numero, non sia possibile ricostruire l’immagine della mano perché l’algoritmo è unidirezionale e irreversibile. Quello che importa è che attraverso la conservazione dell’algoritmo, si può risalire al lavoratore e quindi di identificarlo.

Sulla base di queste considerazioni la società tratta dati biometrici e ciò comporta la notificazione al Garante.

(CORTE DI CASSAZIONE, SEZ. II CIVILE – ORDINANZA 15 ottobre 2018, n.25686)