L’idea sembra ragionevole: un lettore di impronte all’ingresso, nessun badge da dimenticare, nessun cartellino timbrato da un collega. Eppure il trattamento dei dati biometrici dei dipendenti per la rilevazione delle presenze è uno dei terreni su cui il Garante per la protezione dei dati personali interviene con maggiore fermezza, e l’azienda o l’ente che lo adotta si espone a una contestazione che difficilmente si riesce a sanare a posteriori.
Un dato che non è come gli altri
L’impronta digitale, la geometria del volto, l’iride non sono informazioni qualsiasi. Il Regolamento UE 2016/679 le colloca, all’articolo 9, tra le categorie particolari di dati, il cui trattamento è vietato salvo che ricorra una delle condizioni tassativamente previste. La ragione è intuitiva: un dato biometrico identifica in modo univoco una persona e, a differenza di una password o di un badge, non può essere sostituito se viene compromesso.
Da questa premessa discende tutto il resto. Non si tratta di valutare se il sistema sia comodo, se funzioni bene o se risolva un problema reale dell’organizzazione: si tratta di verificare, prima di installarlo, se esista una base giuridica che lo consenta. E nel rapporto di lavoro quella verifica è più stretta che altrove.
Dati biometrici dei dipendenti: perché il consenso non basta
È l’equivoco più diffuso. Molte organizzazioni raccolgono una liberatoria firmata dai lavoratori e ritengono di aver risolto il problema. Non è così, e il motivo è strutturale: nel rapporto di lavoro esiste un’asimmetria tra datore e lavoratore che rende difficile considerare il consenso come liberamente prestato, secondo la nozione che il Regolamento adotta. Un consenso che il dipendente non si sente realmente libero di negare non è un consenso valido.
Il Garante è tornato sul punto con il provvedimento n. 167 del 27 marzo 2025, richiamato nella newsletter n. 536 del 25 giugno 2025, con cui ha sanzionato per 4.000 euro un istituto di istruzione superiore che utilizzava un sistema di riconoscimento biometrico basato sulle impronte digitali del personale amministrativo per rilevare le presenze e prevenire atti vandalici. Erano coinvolti i lavoratori che avevano dato il consenso e che non intendevano usare i sistemi tradizionali di attestazione della presenza.
Il principio affermato è netto: il trattamento di dati biometrici sul luogo di lavoro è ammesso solo quando una norma specifica lo preveda, con adeguate garanzie per i diritti dei lavoratori; deve inoltre perseguire un interesse pubblico rilevante e rispettare i criteri di necessità e proporzionalità. Il Garante ha richiamato anche un proprio precedente parere del 2019, secondo cui la rilevazione biometrica sistematica e generalizzata delle presenze nelle pubbliche amministrazioni non supera il vaglio di proporzionalità.
Dove nasce, in concreto, la contestazione
Chi ha ricevuto una richiesta di informazioni dall’Autorità sa che il procedimento non si apre quasi mai su una denuncia generica. Nasce da una segnalazione di un dipendente, da un reclamo di un ex lavoratore, da un controllo ispettivo o dall’esame di una notifica di violazione dei dati. E una volta aperto, il perimetro dell’istruttoria si allarga rapidamente: informativa, registro dei trattamenti, valutazione d’impatto, tempi di conservazione, misure di sicurezza, rapporti con il fornitore del sistema.
È per questo che il tema non resta mai isolato. Un sistema biometrico installato senza base giuridica porta con sé, quasi sempre, carenze documentali che l’Autorità rileva nella stessa sede: l’assenza della valutazione d’impatto — di cui lo studio ha trattato nell’articolo sulla DPIA e su quando è obbligatoria — e un registro dei trattamenti che non dà conto del trattamento effettivamente in corso.
Il conto economico della scelta
L’articolo 83 del Regolamento articola le sanzioni amministrative pecuniarie su due soglie, e la violazione dei principi e delle condizioni di liceità del trattamento, comprese quelle previste per le categorie particolari di dati, rientra nella fascia più severa. Accanto alla sanzione pecuniaria l’Autorità dispone di poteri correttivi autonomi, tra cui l’ordine di conformare il trattamento e la limitazione o il divieto del trattamento stesso.
Tradotto in termini aziendali: non si rischia soltanto un esborso, ma l’ordine di spegnere un sistema su cui si è investito, con l’obbligo di cancellare i dati già raccolti e di ricostruire da zero il processo di rilevazione delle presenze. A questo si aggiunge il profilo, spesso sottovalutato, della responsabilità verso i lavoratori sul piano risarcitorio.
Il controllo a distanza è un capitolo a parte
C’è poi un secondo fronte, autonomo rispetto alla disciplina sulla protezione dei dati: quello delle garanzie previste dalla normativa giuslavoristica in materia di strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori. Sono due piani che corrono paralleli e che vanno verificati entrambi, perché la regolarità sull’uno non copre l’altro.
Lo studio ha affrontato questioni contigue negli approfondimenti sulla videosorveglianza nel luogo di lavoro e sulla geolocalizzazione dei dipendenti, dove si ritrovano le stesse dinamiche: una tecnologia introdotta per una finalità organizzativa legittima, e un impianto giuridico costruito dopo, quando ormai il sistema è in funzione.
Che cosa conviene fare
La decisione va presa prima dell’acquisto, non dopo l’installazione. Chi ha già un sistema biometrico in funzione si trova in una posizione più scomoda, ma non priva di vie d’uscita: molto dipende da come è configurato, da che cosa viene effettivamente conservato, da quali alternative siano state valutate e documentate.
Non sono valutazioni che si possono fare a distanza, su una descrizione generica. Servono la documentazione del trattamento, il contratto con il fornitore, l’informativa consegnata ai lavoratori e la ricostruzione di che cosa il sistema registra davvero. Lo studio, con sede a Napoli e attività in tutta Italia, offre un esame preliminare di questa documentazione e della posizione dell’ente o dell’azienda: si parte dalla pagina sulla consulenza e compliance privacy oppure direttamente dai contatti. Per i profili amministrativi e di contenzioso che spesso si accompagnano a queste vicende negli enti pubblici, il riferimento è avvocatoelioerrichiello.it.
Avv. Elio Errichiello
