L’impronta digitale per timbrare, il riconoscimento del palmo della mano, la scansione facciale all’ingresso: soluzioni tecnologicamente avanzate, operative, precise. E potenzialmente illegali se implementate senza i corretti adempimenti GDPR. Il Garante Privacy italiano ha emesso negli ultimi tre anni oltre 30 provvedimenti sanzionatori legati all’uso non autorizzato di dati biometrici in contesti lavorativi. Prima di installare quei terminali, è necessario capire le regole del gioco.
I dati biometrici nel GDPR: categoria speciale ad alto rischio
Il GDPR (art. 9) classifica i dati biometrici — quando trattati per identificare univocamente una persona fisica — come dati di categoria speciale, al pari dei dati sulla salute, le opinioni politiche, le convinzioni religiose. Questo significa che il regime di protezione è significativamente più stringente rispetto ai dati ordinari.
Cosa si intende per dato biometrico
Ai sensi del GDPR, sono dati biometrici quelli risultanti da trattamento specifico delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca. Per la rilevazione presenze: impronte digitali, riconoscimento facciale, geometria della mano, scansione dell’iride.
Le basi giuridiche disponibili per i dati biometrici
L’art. 9.2 GDPR prevede eccezioni al divieto generale di trattamento. Per il contesto lavorativo, le principali sono: consenso esplicito (art. 9.2.a) — problematico per le ragioni già viste sulla libertà del consenso in ambito lavorativo; necessità per adempiere obblighi in materia di diritto del lavoro (art. 9.2.b) — interpretazione restrittiva, difficilmente applicabile alla sola timbratura. La realtà italiana: il Garante ha chiarito in più provvedimenti che per la rilevazione delle presenze il trattamento biometrico non è generalmente necessario, poiché esistono sistemi alternativi equivalentemente efficaci.
La posizione del Garante Privacy italiano: provvedimenti chiave
Il Garante italiano ha sviluppato un orientamento preciso sul biometrico in ambito lavorativo, più restrittivo rispetto all’approccio minimalista che alcune aziende auspicavano.
Provvedimento generale del 12 novembre 2014
Questo provvedimento fondamentale ha stabilito il principio di necessità come criterio discriminante: l’uso di dati biometrici per la rilevazione delle presenze è ammesso solo se giustificato da specifiche esigenze (es. ambienti ad alta sicurezza dove la certezza dell’identità è critica). Per la generalità dei contesti lavorativi ordinari, il badge biometrico non supera il test di necessità.
Sviluppi 2022-2024: l’orientamento si consolida
Il Garante ha confermato l’approccio restrittivo sanzionando diverse aziende che avevano installato lettori biometrici per la timbratura senza adeguata base giuridica. Le sanzioni variano da 10.000€ a 150.000€ in base alle dimensioni aziendali e alla gravità della violazione. In almeno un caso (2023), il Garante ha ordinato la cancellazione immediata di tutti i template biometrici raccolti.
Quando il biometrico è ammesso
Esistono contesti in cui il Garante ha riconosciuto la liceità del trattamento biometrico per le presenze: accesso a zone ad alta sicurezza (banche, impianti industriali pericolosi, centri dati classificati) dove la certezza assoluta dell’identità è requisito di sicurezza; ambienti dove il badge fisico è facilmente duplicabile e ciò crea rischi concreti; specifiche categorie di lavoratori con accesso a informazioni riservate critiche. In tutti questi casi, rimane obbligatoria la DPIA preventiva.
Gli adempimenti obbligatori se il biometrico è giustificato
Se l’azienda ha identificato una base giuridica valida e una necessità documentata per il trattamento biometrico, gli adempimenti GDPR sono rigorosi e non comprimibili.
DPIA obbligatoria (art. 35 GDPR)
La Valutazione d’Impatto sulla Protezione dei Dati è obbligatoria per qualsiasi trattamento biometrico sistematico. Deve documentare: natura, ambito e finalità del trattamento; valutazione della necessità e proporzionalità; rischi per i diritti e le libertà degli interessati; misure di mitigazione adottate. Se dalla DPIA emerge un rischio residuo elevato, è obbligatoria la consultazione preventiva del Garante prima dell’avvio del trattamento.
Informativa specifica ai dipendenti
Oltre all’informativa HR generale, è richiesta un’informativa specifica per il trattamento biometrico, che illustri: quali dati biometrici vengono raccolti, come vengono memorizzati (template vs. immagine raw), per quanto tempo, chi vi accede, come vengono cancellati.
Misure tecnico-organizzative di sicurezza
Il GDPR richiede misure adeguate al rischio elevato. Per i sistemi biometrici: cifratura dei template biometrici a riposo e in transito, separazione fisica o logica del database biometrico dal sistema HR, accesso ai template limitato al personale tecnico strettamente necessario, piano di disaster recovery che include la procedura di cancellazione sicura dei dati.
Le alternative GDPR-compliant al badge biometrico
Per la maggior parte dei contesti lavorativi, esistono alternative tecnologicamente mature che garantiscono uguale affidabilità senza esporre l’azienda ai rischi normativi del biometrico.
Badge RFID con PIN di conferma
Il sistema più adottato nelle PMI italiane. La doppia autenticazione (badge + PIN) riduce drasticamente il rischio di fraudolent clocking (collega a timbrare per altri) mantenendo il trattamento sui dati ordinari. Costo: 30–80€ per terminale, 5–15€ per badge. Criticità: il PIN deve essere diverso per ogni dipendente e non condiviso.
App mobile con geolocalizzazione
Per team con lavoratori mobili o in smart working, l’app aziendale con verifica GPS al momento della timbratura è una soluzione efficace e proporzionata. Anche in questo caso servono informativa GDPR specifica sulla geolocalizzazione e limiti di raccolta (solo al momento della timbratura, non in continuo).
Riconoscimento facciale liveness detection (senza archiviazione)
Una tecnologia emergente che effettua il riconoscimento in tempo reale senza archiviare il template biometrico — il dato viene processato e scartato immediatamente. Questo approccio riduce significativamente il rischio GDPR, anche se la sua classificazione normativa è ancora oggetto di discussione tra i Garanti europei. Da valutare con DPO prima dell’implementazione.
Conclusione: proporzionalità come principio guida
Il GDPR non vieta in assoluto il trattamento biometrico per la rilevazione delle presenze, ma impone un test di proporzionalità stringente: il livello di intrusività del trattamento deve essere proporzionato alle reali esigenze di sicurezza e identificazione.
Per la grande maggioranza delle aziende, questa proporzionalità non esiste: un badge RFID con PIN offre la stessa affidabilità con rischi normativi e costi di compliance di gran lunga inferiori. Prima di installare qualsiasi sistema biometrico, è essenziale effettuare una DPIA formale e, preferibilmente, confrontarsi con un DPO o un legale specializzato in privacy.
FAQ — Domande Frequenti
D: Il riconoscimento facciale per le presenze è illegale in Italia?
R: Non è categoricamente illegale, ma è soggetto a requisiti molto stringenti: DPIA obbligatoria, base giuridica solida (difficile da individuare per usi ordinari), misure di sicurezza elevate, informativa specifica. Il Garante ha bloccato diversi progetti di riconoscimento facciale in ambito lavorativo per mancanza di proporzionalità.
D: I dipendenti possono rifiutarsi di usare il sistema biometrico?
R: Se il sistema è stato implementato con consenso come unica base giuridica, sì. Se l’azienda ha una base giuridica diversa (es. necessità contrattuale in contesti ad alta sicurezza), il rifiuto potrebbe configurare inadempimento contrattuale — ma questa è un’area giuridicamente complessa che richiede valutazione caso per caso.
D: Cosa succede se il Garante scopre un sistema biometrico non conforme?
R: Le conseguenze possono includere: ordine di cessazione immediata del trattamento, obbligo di cancellazione di tutti i dati biometrici raccolti, sanzione amministrativa da 10.000€ a diversi milioni (proporzionale al fatturato e alla gravità), pubblicazione del provvedimento con impatto reputazionale.
D: È possibile installare un sistema biometrico per prevenire le frodi di timbratura (collega a timbrare)?
R: Il Garante non considera la prevenzione delle frodi di timbratura una necessità sufficiente a giustificare il trattamento biometrico in contesti ordinari, poiché esistono alternative ugualmente efficaci (doppia autenticazione badge+PIN). La necessità deve essere documentata caso per caso con evidenza che le alternative sono insufficienti.
