No all’uso delle impronte digitali per controllare le presenze dei lavoratori
E’ vietato l’uso generalizzato delle
impronte digitali dei dipendenti per controllare le presenze sul luogo di
lavoro. Tale sistema è troppo invasivo della sfera personale e della
libertà individuale. Per raggiungere lo stesso scopo si possono adottare altre
tecniche più proporzionate ed ugualmente efficaci. Con questa
motivazione il Garante privacy con un proprio provvedimento (relatore
Mauro Paissan) ha vietato il trattamento dei dati biometrici ad una industria
del settore costruzioni con circa trecento dipendenti, che intendeva
utilizzare le impronte per controllare gli orari di ingresso e uscita dei
propri dipendenti dai luoghi di lavoro. L’impresa intendeva con questo
metodo prevenire alcune condotte abusive (scambio dei badge) e ovviare
allo smarrimento delle tessere magnetiche in uso.
"Il provvedimento del Garante – commenta il
relatore Mauro Paissan – chiarisce ancora una volta che non è lecito l’uso
generalizzato e incontrollato dei dati biometrici. Nel caso specifico, esistono
moltri altri sistemi altrettanto rigorosi per controllare gli ingressi nei
luoghi di lavoro, senza mettere a rischio la dignità stessa dei lavoratori
interessati". Nel corso dell’istruttoria svolta dal Garante non sono
emersi elementi che potessero giustificare la richiesta di introdurre la
rilevazione di dati biometrici, come ad esempio accessi ad aree
dell’azienda che richiedono standard di sicurezza particolarmente elevati in
ragione di specifiche circostanze o attività svolte. Il trattamento è
risultato, in altri termini, sproporzionato e non necessario rispetto agli
scopi perseguiti. Trattamento sproporzionato anche per quanto riguarda le
modalità tecniche prefigurate. Alla centralizzazione nella banca dati dei
codici identificativi generati dall’esame dell’impronta, si sarebbe potuto
ovviare, infatti, con la memorizzazione su un supporto digitale da assegnare al
lavoratore e tale da rimanere nella sua esclusiva disponibilità.
Compiti del Garante – Uso delle impronte digitali per i sistemi
di rilevamento delle presenze nei luoghi di lavoro – 21 luglio
2005
IL GARANTE PER LA PROTEZIONE DEI
DATI PERSONALI
Nella riunione odierna, in presenza del prof.
Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti vice
presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,
e del dott. Giovanni Buttarelli, segretario generale;
Esaminata la richiesta di verifica preliminare
presentata da L. S.p.a. ai sensi dell’art. 17 del Codice in materia di
protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), relativa al
trattamento di dati personali biometrici al fine di verificare le presenze sul
luogo di lavoro dei dipendenti;
Visti gli elementi acquisiti a seguito degli
accertamenti avviati ai sensi dell’art. 154, comma 1, lettere a), del
Codice;
Viste le osservazioni formulate dal segretario
generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Mauro Paissan;
PREMESSO:
1. Trattamento di dati personali biometrici nel
rapporto di lavoro con finalità di verifica della presenza dei dipendenti
L. S.p.a., industria di coperture in fibrocemento e metalliche che occupa circa
trecento dipendenti, ha presentato a questa Autorità una richiesta di verifica
preliminare ai sensi dell’art. 17 del Codice, relativa al trattamento di dati
biometrici dei propri dipendenti finalizzato ad accertarne la presenza sul
luogo di lavoro e commisurare, cosi’, la retribuzione ordinaria e straordinaria
da corrispondere.
Il funzionamento di questo sistema presuppone una
fase di raccolta di dati biometrici (c.d. enrollment) nella quale la
società, avvalendosi di apparecchiature elettroniche dotate di lettore di
impronte digitali e di apposito software, trasformerebbe l’immagine di
una porzione dell’impronta digitale dei lavoratori in un codice numerico,
associandolo a ciascun lavoratore con la sua memorizzazione nel sistema
informativo aziendale (senza sottoporlo a cifratura o ad altre tecniche
equivalenti). Tale codice verrebbe utilizzato quale termine di paragone dei
codici numerici ricavati dalla lettura delle (parti di) impronte digitali dei
lavoratori, rilevate, in occasione di ciascun ingresso e uscita dal luogo di
lavoro, attraverso lettori dislocati in diverse aree dell’azienda e connessi al
relativo sistema informativo.
Il trattamento dei dati biometrici non perseguirebbe
altra finalità che quella ora descritta. Stando alle dichiarazioni rese dalla
società titolare del trattamento (e dal produttore del sistema), una volta
terminata la fase di enrollment, non vi sarebbe ulteriore memorizzazione
dell’impronta digitale. Ad avviso della società, non sarebbe possibile,
inoltre, risalire all’impronta stessa a partire dal codice numerico generato.
Il trattamento di dati biometrici viene giustificato
dall’esigenza di prevenire alcune condotte, anche abusive, da parte di alcuni
dipendenti (consistenti nello scambio dei badge) e lo smarrimento delle
tessere magnetiche attualmente in uso; viene quindi ritenuto che il trattamento
dei dati biometrici consentirebbe di ovviare a tali inconvenienti, assicurando
un grado elevato di certezza nell’identificazione dei lavoratori.
Stando alle dichiarazioni rese, verrebbe comunque
assicurato ai lavoratori che siano impossibilitati a partecipare all’enrollment
(in ragione delle proprie caratteristiche fisiche) o che non intendano
acconsentire al trattamento, di attestare la propria presenza sul luogo di
lavoro mediante l’apposizione della propria sottoscrizione in un registro delle
presenze ubicato presso l’ufficio del personale con riconoscimento "a
vista" o, ancora, ricorrendo ad altri "sistemi convenzionali".
2. Trattamento di dati biometrici e
applicabilità della disciplina di protezione dei dati personali
Il caso sottoposto alla verifica preliminare di questa Autorità integra
un’ipotesi di trattamento di dati personali.
I dati biometrici che verrebbero rilevati nel caso di
specie (porzione dell’impronta digitale) sono informazioni ricavate dalle
caratteristiche fisiche di interessati che si vorrebbero identificare in modo
univoco, mediante un modello di riferimento (template). Quest’ultimo
consiste nell’insieme di valori numerici ricavati, attraverso funzioni
matematiche, dalle caratteristiche individuali sopra indicate, preordinati
all’identificazione personale attraverso opportune operazioni di confronto tra
il codice numerico ricavato ad ogni accesso e quello originariamente raccolto.
Sia le impronte dattiloscopiche (cfr. provv. Garante
19 novembre 1999, in Boll. n. 10, p. 68), ancorchè raccolte in modo
parziale e solo ai fini del completamento della fase dell’enrollment,
sia i codici numerici successivamente utilizzati per le descritte operazioni di
confronto, in quanto informazioni riferibili ai singoli lavoratori, sono dati
personali (art. 4, comma 1, lett. b), del Codice). Ne discende,
pertanto, l’applicazione della disciplina contenuta nel Codice, cosi’ nella
fase dell’enrollment, come pure in relazione alle successive operazioni
di confronto (con il correlato tracciamento degli orari di ingresso/uscita dal
luogo di lavoro).
3. Qualità dei dati, misure di sicurezza e
informativa rispetto al trattamento dei dati biometrici
Con riguardo al principio di qualità dei dati, dall’istruttoria svolta
emergono perplessità in ordine al corretto funzionamento del sistema che si
intende installare.
Allo stato, non risultano documentati i presupposti
per un elevato grado di affidabilità del sistema medesimo, tanto che è stata
programmata una fase di prova per testarne l’affidabilità. La società non è
inoltre in grado, al momento, di indicare il livello della sua accuratezza
ricorrendo ai parametri tecnici idonei ad individuare i "falsi
negativi" (FRR–False Rejection Rate) e i "falsi positivi"
(FAR–False Acception Rate). I sistemi di rilevazione di dati come quelli
in esame devono invece offrire una rigorosa garanzia di affidabilità ed
integrità dei dati, anche sulla base di certificazioni od omologazioni dei
dispositivi che tengano eventualmente conto delle valutazioni di comitati
tecnici indipendenti.
Inoltre, dagli elementi forniti non è possibile
ricavare con certezza se siano adeguate le misure di sicurezza predisposte a
protezione della rete di comunicazione elettronica sulla quale i dati
biometrici sono trasmessi dai singoli lettori al sistema centralizzato di
acquisizione dati. A tale proposito, una misura opportuna da parte del titolare
del trattamento consisterebbe ad esempio nell’utilizzo di chiavi di cifratura
dei dati biometrici, indicato anche a livello europeo (v., ad es., il Documento
di lavoro sulla biometria del Gruppo per la tutela dei dati personali di
cui all’art. 29 della direttiva n. 95/46/Ce del 1° Agosto 2003 (punto 3.6), in http://europa.eu.int/…pdf).
Anche l’informativa predisposta non risulta adeguata
rispetto al trattamento che si intende porre in essere: come detto, dalle
dichiarazioni acquisite emerge che, i lavoratori sarebbero liberi di aderire o
meno al sistema di rilevazione delle presenze basato sull’utilizzo di dati
biometrici; strumenti alternativi sarebbero previsti anche per i lavoratori
impossibilitati, per ragioni fisiche, a registrare le presenze mediante
l’impiego del sistema bometrico.
Tali dichiarazioni, pero’, non trovano conferma
nell’informativa predisposta per gli interessati, secondo
la quale il conferimento dei
dati, ivi compresi i dati biometrici (espressamente richiamati sotto la voce
"ulteriori specificazioni particolari"), avrebbe natura
obbligatoria. Cio’, ha rilievo anche per la circostanza che il sistema potrebbe
operare (con riguardo all’enrollment e ai successivi accessi nei luoghi
di lavoro) solo con l’attiva collaborazione personale dei lavoratori
interessati, i quali dovrebbero rendersi cosi’ disponibili –in assenza di una
disposizione di legge che lo imponga ed impregiudicati i profili eventualmente
connessi al coinvolgimento delle rappresentanze sindacali– a sottoporre una
parte del proprio corpo alle operazioni necessarie per la rilevazione
biometrica.
Manca, inoltre, nell’informativa ogni riferimento a
tecniche alternative per la rilevazione delle presenze, contravvenendosi, cosi’,
all’art. 13 del Codice secondo il quale è necessario che le informazioni da
rendere agli interessati enuncino chiaramente tutte le modalità impiegate nel
trattamento e la tipologia di dati personali utilizzati per ciascuna di esse.
4. Dati biometrici e principi di
protezione dei dati personali: finalità, necessità e pertinenza
Se le ragioni illustrate denotano più di un rilievo in ordine al sistema di
rilevazione in esame, la sua liceità deve essere verificata altresi’, sotto
altri profili concernenti i principi di necessità, proporzionalità, finalità
e correttezza, nonchè di qualità dei dati (artt. 3 e 11 del Codice;art.6,
direttiva n. 95/46/Ce).
A questo proposito, se pure rientra tra le legittime
facoltà del datore di lavoro sovrintendere all’esecuzione della prestazione
lavora