Il rispetto delle procedure di garanzia previste dallo Statuto dei lavoratori e dal Codice privacy costituisce una condizione essenziale quando vengono utilizzati strumenti dai quali può derivare anche la possibilità di controllo a distanza dell’attività dei dipendenti.
Ulteriori condizioni devono essere rispettate quando il trattamento riguarda dati biometrici, come le impronte digitali, che rientrano nelle categorie particolari di dati personali previste dall’art. 9 del GDPR.
La violazione
Con il provvedimento del 1° giugno 2023, n. 231, il Garante per la protezione dei dati personali ha applicato a un’azienda una sanzione di 20.000 euro per diversi trattamenti illeciti riguardanti i lavoratori.
Le violazioni interessavano:
- un sistema di allarme attivato e disattivato mediante impronte digitali;
- un impianto di videosorveglianza;
- un applicativo utilizzato per la geolocalizzazione di alcuni lavoratori.
Le irregolarità sono emerse durante un’ispezione condotta dall’Autorità, in collaborazione con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, avviata a seguito di una segnalazione.
L’impianto videosorveglianza
In particolare, con riferimento al sistema di videosorveglianza, è stato accertato che lo stesso, oltre alle riprese delle immagini in diretta, era in grado di captare anche i suoni ed effettuare registrazioni. Inoltre, avevano accesso attraverso uno smartphone il legale rappresentante della società e la sua famiglia. L’applicativo permetteva all’utente di ammonire verbalmente gli interessati, attraverso le casse dell’impianto.
L’accesso al sistema era consentito, tramite applicazione, al legale rappresentante della società e ad alcuni componenti della sua famiglia, poiché la telecamera installata in azienda era stata associata allo stesso account utilizzato per i dispositivi presenti nell’abitazione privata.
Il trattamento veniva effettuato senza un’adeguata informativa ai lavoratori, senza i cartelli informativi e senza il preventivo accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro previsti dall’art. 4 dello Statuto dei lavoratori.
La geolocalizzazione dei lavoratori
L’azienda utilizzava anche un applicativo che, durante il suo impiego, tracciava tramite GPS la posizione del lavoratore, registrando in modo continuativo le coordinate geografiche, la data e l’ora del rilevamento.
Il sistema determinava quindi una forma di controllo a distanza dell’attività lavorativa. Anche in questo caso mancavano un’adeguata informativa e l’attivazione delle procedure di garanzia previste dallo Statuto dei lavoratori.
Le impronte digitali
Per rafforzare la sicurezza dei locali aziendali, la società aveva installato un sistema di allarme la cui attivazione e disattivazione avvenivano attraverso il riconoscimento delle impronte digitali.
Il sistema trattava i dati biometrici di 21 soggetti, tra i quali alcuni dipendenti. L’Autorità ha precisato che il trattamento biometrico sussiste sia nella fase di registrazione dell’impronta sia nella successiva fase di riconoscimento, anche quando l’impronta non viene conservata “in chiaro”.
I dati biometrici rientrano nelle categorie particolari di dati personali e il loro trattamento è, in linea generale, vietato dall’art. 9 del GDPR, salvo che ricorra una delle specifiche condizioni previste dal medesimo articolo.
Nel contesto lavorativo, il trattamento deve essere necessario per assolvere obblighi o esercitare diritti in materia di diritto del lavoro e deve essere previsto dal diritto dell’Unione europea, dalla normativa nazionale o da un contratto collettivo che stabilisca garanzie appropriate.
Nel caso esaminato, il Garante ha rilevato l’assenza di un’idonea base giuridica. Il sistema biometrico era stato nel frattempo sostituito da un sistema basato su tag e il relativo database era stato cancellato.
Le conseguenze per l’azienda
Oltre alla sanzione di 20.000 euro, l’Autorità ha disposto:
- il divieto del trattamento effettuato mediante il sistema di videosorveglianza;
- il divieto di monitoraggio continuo della posizione dei lavoratori;
- la comunicazione delle iniziative adottate dall’azienda per conformarsi al provvedimento.
Il caso dimostra che esigenze legittime, come la tutela del patrimonio aziendale o l’organizzazione dell’attività lavorativa, non rendono automaticamente lecito qualsiasi strumento di controllo. Prima dell’installazione devono essere valutati la base giuridica, la necessità e la proporzionalità del trattamento, gli obblighi informativi e l’eventuale applicazione delle procedure previste dallo Statuto dei lavoratori.
(Garante Privacy)
Leggi anche: