“L’uso dei dati biometrici sul posto di lavoro è consentito solo se previsto da una norma specifica che tuteli i diritti dei lavoratori. Tale trattamento deve rispondere a un interesse pubblico e rispettare criteri di necessità e proporzionalità rispetto all’obiettivo perseguito”. Lo ha ribadito l’Autorità Garante per la protezione dei dati personali con il provvedimento n. 167 del 27 marzo 2025, reso noto con la newsletter istituzionale del 25 giugno u.s.
Vale innanzitutto la pena ricordare che i dati biometrici sono definiti dal Regolamento UE 2016/679 (il “GDPR”) come “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici” (art. 4, punto 14.) e, laddove intesi a identificare in modo univoco una persona fisica, sono ricompresi tra le categorie “particolari” di dati personali (art. 9) in ragione della loro delicatezza, derivante dalla stretta e stabile relazione con l’individuo e la sua identità.
Alla regola generale per cui il trattamento dei dati biometrici è vietato, fanno eccezione le condizioni elencate al paragrafo 2 dell’articolo 9 del GDPR, e – per quanto qui di nostro interesse – in ambito lavorativo, solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.
In altre parole, il trattamento di dati biometrici nel contesto lavorativo è lecitamente posto in essere solo se trova il proprio fondamento in una disposizione normativa che possa essere ritenuta idonea base giuridica del trattamento. E, ad oggi, nell’ordinamento italiano non vi sono disposizioni specifiche che prevedano il trattamento dei dati biometrici per finalità di rilevazione delle presenze e delle relative garanzie.
Questo difetto di base giuridica non può essere colmato neppure con il consenso dei dipendenti poiché, “alla luce della asimmetria tra le rispettive parti del rapporto di lavoro e la conseguente, eventuale, necessità di accertare, di volta in volta e in concreto, l’effettiva libertà della manifestazione di volontà del dipendente, il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, indipendentemente dalla natura pubblica o privata del datore di lavoro”.
Altri insights correlati:
