Il Garante privacy ha sanzionato cinque società – impegnate a vario titolo presso lo stesso sito di smaltimento dei rifiuti – con sanzioni rispettivamente di 70mila, 20mila, 6mila, 5mila e 2mila euro, per aver trattato in modo illecito il riconoscimento facciale di un numero elevato di lavoratori come da provvedimenti doc. web n. 9995680, 9995701, 9995741, 9995762, 9995785.
L’illeceità del trattamento deriva dalla non esistenza, al momento, di alcuna norma che consenta l’uso di dati biometrici, come prevede il Regolamento GDPR n. 2016/679, per svolgere una tale attività.
E’ il caso di ricordare che tra i dati biometrici sono ricomprese le impronte digitali e, a tal proposito, con il Provvedimento n. 404 del 14 settembre 2023 il Garante per la protezione dei dati personali ha sanzionato un’azienda, per gli stessi motivi di assenza di una normativa che legittima i titolari del trattamento a trattare i dati biometrici per finalità di rilevazione delle presenze dei dipendenti.
La motivazione
In data 24 ottobre 2022, alcuni dipendenti di Airone società consortile a r.l., hanno presentato reclamo all’Autorità garante lamentando che, a partire dal mese di febbraio 2022, al fine di accedere al cantiere situato in Ardea, ove si svolge l’attività lavorativa dei dipendenti, e di accertare la presenza degli stessi sul luogo di lavoro, era necessario utilizzare un rilevatore biometrico, basato sul riconoscimento facciale.
Per l’accesso al cantiere sono stati trattati anche i dati relativi alla presenza in servizio dei dipendenti di L’Igiene Urbana Evolution s.r.l., Blue Work s.r.l., Unica s.r.l.s. e DM Technology s.r.l..
In base alla documentazione anche fotografica allegata ai reclami pervenuti al Garante privacy, il trattamento sarebbe stato effettuato mediante il dispositivo “Face Deep 3 – Smart Face Recognition System”, prodotto da Anviz Global.
Infine, la circostanza che il produttore e il fornitore dei dispositivi di riconoscimento facciale avessero prodotto una “dichiarazione e certificazione di conformità dell’apparato biometrico, in cui veniva dichiarato che il dispositivo era pienamente conforme al GDPR”, non fa venir meno la responsabilità della Società, considerato che il titolare del trattamento, alla luce di quanto stabilito dall’art. 5, par. 2, del Regolamento, in base al c.d. principio di responsabilizzazione – accountability , è competente per il rispetto dei principi generali del trattamento e deve essere in grado di comprovarlo, con riguardo agli obblighi che gravano sul titolare (art. 24 del GDPR).
Il titolare del trattamento, prima di procedere all’utilizzo di dispositivi realizzati da terzi, deve verificare la conformità dei relativi trattamenti ai principi applicabili, nel caso specifico, ai sensi degli artt. 5, par. 1, lett. a), 9, 13, 28, 30, 32 e 35 del GDPR attraverso la predisposizione di una valutazione di impatto – DPIA – ai sensi dell’art. 35 del Regolamento.
Igino Addari
