Con un Provvedimento di inizi d’anno, il Garante della Privacy, ha imposto lo stop l’impiego dei sistemi di controllo presenze biometrico, attraverso la lettura dell’impronta digitale.
Il caso concreto
In particolare, l’Autorità è intervenuta nei confronti di una USL, che, dal 2019, aveva introdotto l’impiego di sistemi di rilevazione delle impronte digitali per contabilizzare le presenze dei dipendenti, attravreso il c.d. “match on card” (o, per meglio dire: “template on card”), che da sempre l’Autorità consiglia per evitare che i dati delle impronte digitali degli interessati vengano conservati in un archivio centralizzato, con il conseguente rischio di furto d’identità o di utilizzo illecito.
Le giustificazioni della ASL
La ASL, avrebbe installato il sistema biometrico in parola basandosi sull’art. 2 della legge 19 giugno 2019, n. 56, c.d. Legge Bongiorno, che prevedeva la facoltà di installare sistemi biometrici, nonchè telecamere, previo DPCM da attuarsi nell’ambito, tra l’altro, delle misure a garanzia adottate dal Garante della Privacy.
Sta di fatto che il DPCM. anche per le decise obiezioni del Garante (qui e, soprattutto, qui) non è mai stato varato e, tra l’altro, i commi da 1 a 4 dell’articolo succitato, che prevedevano, appunto, l’impiego della biometria e della videosorveglianza, sono stati abrogati dalla Legge 30 dicembre 2020, n. 178 (c.d. Legge di Bilancio 2021).
La ASL, inoltre, basava la sua posizione su di un precedente Provvedimento del 2016, nel quale l’Autorità aveva consentito l’impiego della biometria, in un caso in cui una azienda sanitaria era stata assoggettata a commissariamento, tra l’altro essendo oggetto di indagini giudiziarie che hanno interessato centinaia di dipendenti per ipotesi di reato quali la truffa aggravata ai danni dello Stato (art. 640 C.P.) e le false attestazioni o certificazioni nell’utilizzo del badge da parte dei dipendenti pubblici (art. 55-quinquies, d.lg. n. 165/2001).
Le considerazioni del Garante
In questo quadro, l’Autorità, nel ricordare che il trattamento di dati biometrici, tanto più in ambito pubblico, deve essere autorizzato dal Diritto dell’Unione o degli Stati membri, ha rilevato che manca la base giuridica del trattamento.
In effetti, anche se nel 2019 la Legge Bongiorno era ancora vigente, non erano mai state varate le norme applicative necessarie all’odozione delle misure a garanzia, mai adottate dall’Autorità (si veda sopra).
Inoltre, dal 2021, come detto, tale normativa risulta essere stata definitivamente approvata.
Nè il Provvedimento del 2016 poteva giustificare l’azione della ASL, sia perchè è stato adottato rispetto a un titolare del trattamento che si trovava in condizioni eccezionali e irripetibili (non ordinarie, come nel caso in specie), sia perchè, aspetto più rilevante, con l’entrata in vigore del GDPR i dati biometrici sono rientrati nella categoria dei c.d. “particolari” (cioè: sensibili) e, pertanto, ne è vietato l’uso salvo, come detto prima, che una norma di legge o di regolamento autorizzi tale trattamento.
Cosa, come detto, mai avvenuta.
Le conseguenze
Come al solito, la vicenda specifica riguarda ulteriori e molteplici aspetti esaminati dal Garante e qui non riportati ma da ciò, anche per apetti minori come la non corretta informativa fornita agli interessati, ne è derivata una sanzione di € 30.000,00, più l’obbligo di cancellare i dati biometrici ancora conservati nelle smart card conservate dai dipedenti.
