Il Garante della Privacy ha inflitto una sanzione di 120.000 euro ad una concessionaria, rilevando il trattamento illecito di dati dei lavoratori conseguente all’utilizzo di due software: il primo per regolare l’accesso sul luogo di lavoro attraverso il riconoscimento facciale; il secondo per ottimizzare i tempi e le modalità di esecuzione delle attività.
Per quanto concerne l’utilizzo di dati biometrici in ambito lavorativo, con il Provvedimento del 6 giugno 2024, n. 338, il Garante ha ricordato che il relativo trattamento è vietato salvo che sia necessario per assolvere determinati obblighi ed esercitare specifici diritti, con riscontro in una disposizione normativa non conflittuale con la disciplina di protezione dei dati, in termini di proporzionalità rispetto alle finalità che si intendono perseguire. Pertanto, non essendo previste norme a riguardo, ad oggi l’ordinamento vigente non consente il trattamento dei dati biometrici per finalità di rilevazione delle presenze.
Neanche il consenso manifestato dai dipendenti è considerato un presupposto idoneo di liceità del trattamento, stante l’asimmetria tra le rispettive parti del rapporto di lavoro. Inoltre, è risultato che l’azienda conservava i dati sino alla cessazione del rapporto di lavoro, in violazione delle limitazioni all’archiviazione dei dati, secondo le quali il dato biometrico può essere trattato solo durante la fase di registrazione ed acquisizione necessaria per il confronto biometrico, senza memorizzazione se non per il tempo strettamente necessario alla generazione di un modello.
L’Autorità ha inoltre accertato che l’azienda aveva raccolto, mediante un software gestionale e per più di 6 anni, dati personali relativi alle attività dei dipendenti per redigere report mensili poi inviati alla casa madre, con dati aggregati sui tempi impiegati dalle officine per le lavorazioni, il tutto in assenza di un’idonea base giuridica e di un’adeguata informativa che, nel contesto del rapporto di lavoro, è espressione del principio di correttezza e trasparenza.