Nuovo intervento del Garante per la protezione dei dati personali in materia di privacy sul lavoro. Nella Newsletter n. 536 del 25 giugno 2025, l’Autorità ha sanzionato un istituto scolastico di Tropea per aver usato un sistema di rilevazione presenze basato sulle impronte digitali del personale ATA, senza una valida base giuridica.
Il messaggio è chiaro: l’utilizzo di dati biometrici sul posto di lavoro è consentito solo se previsto da una norma specifica, che garantisca la tutela dei diritti e delle libertà dei lavoratori.
Cosa è successo all’Istituto di Tropea
L’Istituto di Istruzione Superiore “P. Galluppi” aveva introdotto un sistema che richiedeva l’associazione tra badge e impronta digitale per rilevare la presenza in servizio del personale ausiliario. Secondo quanto dichiarato dall’istituto, il sistema era stato adottato su richiesta di alcuni lavoratori per evitare abusi e garantire una maggiore sicurezza, in risposta a sospetti di manomissione dei badge e ad atti vandalici.
Il sistema era stato accettato da quasi tutti i dipendenti coinvolti, che avevano sottoscritto un modulo di consenso informato. Tuttavia, due lavoratori hanno presentato un reclamo al Garante, dando avvio a un’istruttoria.
Cosa dice la legge sulla privacy e i dati biometrici sul lavoro
Il Regolamento europeo sulla protezione dei dati personali (GDPR) classifica le impronte digitali e altri dati biometrici (come il riconoscimento facciale o dell’iride) tra i dati particolari, soggetti a tutele rafforzate.
Secondo l’art. 9 del GDPR, il trattamento di questi dati è vietato, salvo specifiche eccezioni. In ambito lavorativo, il trattamento è possibile solo se previsto da una norma nazionale o da un contratto collettivo, e solo in presenza di garanzie appropriate per i lavoratori.
Inoltre:
- Il consenso dei dipendenti non è sufficiente: per via della posizione di subordinazione, il consenso non è considerato “libero” e quindi non può legittimare il trattamento.
- È necessaria una valutazione di impatto (DPIA) prima di attivare qualsiasi sistema che tratti dati biometrici.
- La proporzionalità è fondamentale: bisogna sempre valutare se esistano metodi meno invasivi per raggiungere lo stesso scopo.
Perché il sistema di rilevamento delle impronte digitali è illecito
Secondo il Garante, mancava una norma specifica che autorizzasse l’utilizzo dei dati biometrici per rilevare le presenze nel caso specifico. Né bastava il consenso del personale, né erano state adottate tutte le misure di garanzia richieste dalla normativa.
Il sistema in uso trattava informazioni riconducibili all’impronta digitale, trasformandole in un modello matematico irreversibile (template). Sebbene questo non permettesse di risalire direttamente all’impronta, il trattamento rimaneva biometricamente identificativo, quindi soggetto alle regole stringenti del GDPR.
Di conseguenza, il Garante ha dichiarato il trattamento illecito e ha inflitto una sanzione da 4.000 euro all’istituto, pur riconoscendo alcune attenuanti, come:
- la collaborazione durante l’istruttoria;
- la sospensione immediata del sistema non appena ricevuta la segnalazione;
- la cancellazione dei dati biometrici raccolti fino a quel momento;
- l’assenza di precedenti violazioni da parte dell’ente.
Cosa devono sapere i datori di lavoro: regole e buone pratiche
Questo caso offre spunti importanti per tutti i datori di lavoro, pubblici e privati. Ecco cosa tenere a mente:
Quando si possono usare i dati biometrici sul lavoro?
- Solo se previsto da una legge nazionale, da un regolamento o da un contratto collettivo.
- Se vi sono specifiche esigenze di sicurezza (e non meri motivi organizzativi).
- Se esistono garanzie adeguate per i lavoratori, come misure tecniche, informative chiare, e strumenti alternativi non biometrici.
Quando NON si possono usare?
- Quando si basa solo sul consenso del lavoratore.
- In assenza di una valutazione d’impatto preventiva (DPIA).
- Se ci sono metodi meno invasivi (es. badge tradizionali) per ottenere lo stesso risultato.
Conclusione: tecnologia sì, ma nel rispetto delle regole
Il provvedimento del Garante è un chiaro richiamo alla prudenza: non tutto ciò che è tecnologicamente possibile è automaticamente lecito. L’uso di dati biometrici va valutato con estrema attenzione, specie in contesti delicati come quello lavorativo.
👉 Se sei un dirigente scolastico, un datore di lavoro o un responsabile HR, ti consigliamo di consultare un DPO o un esperto privacy prima di introdurre tecnologie che trattano dati particolari. Anche una buona intenzione, se mal gestita, può trasformarsi in una violazione costosa.
