Privacy e sicurezza dei dati: i sistemi biometrici di rilevazione presenze nel mirino di ACN e Garante Privacy
Allarme sicurezza dei dati e privacy: vulnerabilità nei software di tracciamento presenze e rischi dei dati biometrici
L’adozione di soluzioni tecnologiche per il tracciamento delle presenze aziendali richiede oggi una valutazione attenta.
Non ci si può limitare alla tutela dei dati personali ma la valutazione deve estendersi anche alla sicurezza delle infrastrutture di rete.
L’allarme dell’ACN: una vulnerabilità critica nei software di tracciamento
Con l’alert di sicurezza AL01/260915/CSIRT-ITA, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato una vulnerabilità di livello “alta” nella piattaforma software TrxTimeATTENDANCE di Trexom commercializzata da aziende leader.
Trattandosi di una vulnerabilità di tipo OS Command Injection (CWE-78), un utente malintenzionato potrebbe sfruttarla da remoto, per eseguire comandi arbitrari a livello di sistema con privilegi elevati, pregiudicando l’integrità della rete aziendale. https://www.acn.gov.it/portale/w/trexom-aggiornamenti-di-sicurezza
Cosa fare:
Gli amministratori, che utilizzano questo software, devono verificare tempestivamente la presenza di applicativi esposti e applicare le patch di aggiornamento rilasciate dal produttore.
ACN sottolinea che l’aggiornamento è l’unica misura efficace per mitigare il rischio di compromissione.
Il profilo normativo: il Garante Privacy e l’illegittimità dei dati biometrici
Parallelamente all’allarme lanciato da ACN, il Garante per la Protezione dei Dati Personali ha recentemente sanzionato un ente che utilizzava un sistema di rilevazione presenze basato su badge e impronta digitale.
Con il Provvedimento del 27 marzo 2025, l’Autorità ha ribadito principi fondamentali che ogni organizzazione deve rispettare:
– mancanza di base giuridica: il trattamento dei dati biometrici è di regola vietato (Art. 9, par. 1, GDPR) ed è consentito solo in presenza di una espressa e specifica norma di legge autorizzatoria (Art. 9, par. 2, lett. B, GDPR), ad oggi assente per la rilevazione delle presenze dei dipendenti;
– orientamento del Garante: il Garante per la protezione dei dati personali ha più volte confermato l’illiceità del trattamento biometrico dei lavoratori per il controllo delle presenze, ribadendo che il difetto di base giuridica non può essere sanato né dal consenso dei dipendenti né dalla redazione di una DPIA.
Raccomandazioni per DPO, responsabili IT e datori di lavoro
Alla luce di tali aspetti, tutte le organizzazioni sono invitate a intraprendere azioni immediate:
– audit degli strumenti in uso: verificare se nei sistemi di timbratura siano attive funzioni di riconoscimento biometrico e procedere alla loro disattivazione, oltre alla cancellazione dei dati memorizzati;
– patch management prioritario: applicare tempestivamente gli aggiornamenti forniti, per mitigare il rischio di esecuzione remota di codice;
– adozione di alternative sicure e conformi: sostituire i sistemi biometrici con soluzioni tradizionali e prive di criticità, come badge tradizionali, username e password con autenticazione 2FA, SPID o CIE.
In un contesto in cui la sicurezza informatica e la privacy dei dati sono sempre più al centro dell’attenzione, la tempestività e la conformità alle normative rappresentano elementi imprescindibili per garantire la protezione sia delle infrastrutture che delle persone.
Vuoi saperne di più?
Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
