Privacy sul lavoro: no al trattamento di dati biometrici dei lavoratori per rilevare le presenze

Il trattamento di dati biometrici dei lavoratori  – Introduzione

          Non è ammissibile l’utilizzazione di sistemi di identificazione biometriaca per controllare le presenze e gli orari di lavoro dei dipendenti a meno che non vi sia una fondata esigenza di sicurezza; diversamente essi appaiono, strumenti troppo invasivi e sproporzionati.

          Ciò è la portata di quanto sancito dall’Autorità del Garante per la protezione dei dati personali nel provvedimento intitolato: “Dati biometrici: vietati per la rilevazione dell’orario di lavoro – 2 Ottobre 2008”, nel quale si vieta ad una azienda il trattamento dei dati raccolti attraverso un sistema di rilevazione di impronte digitali ai fini della determinazione dell’esatta retribuzione ordinaria e straordinaria ai propri dipendenti.

          L’autorità del Garante, precisa, altresì, che tali strumenti di rilevazione elettronica sono giustificati solo ed esclusivamente per manifesti motivi di sicurezza, come ad esempio particolari luoghi di lavoro “sensibili” che richiedono specifiche modalità di accesso e previo accordo lecitamente stipulato con le organizzazioni sindacali presenti nell’azienda nonché autorizzazione del Ministero del Lavoro.

La normativa del Garante per la Protezione dei Dati Personali

          Il divieto imposto dall’Autorità del Garante trae origine, come specificato nel provvedimento in questione, sia dal Decreto Legislativo n. 196/2003 che dalle “Linee guida in materia di lavoro privato” del mese di Novembre 2006.

          In effetti l’articolo 3, del citato Decreto Legislativo, intitolato del “Principio di necessità nel trattamento dei dati”, al comma 1, sancisce che “I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità”.

          L’articolo 11, intitolato delle “Modalità del trattamento e requisiti dei dati”, al comma 1, lettera a) e b), sancisce che “I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi”.

          Nelle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati” adottate dal Garante con deliberazione n. 53 del 23 novembre 2006, pubblicate sulla G.U. 7 dicembre 2006, n. 285, viene stabilito che il trattamento di dati biometrici è finalizzato esclusivamente alla rilevazione delle presenze del personale sul luogo di lavoro al fine di determinare l’esatta retribuzione ordinaria e/o straordinaria e che comunque vi devono essere fondati e comprovati motivi volti a giustificare l’adozione di tali misure.

Infatti a tal uopo, resta salva,

“per fattispecie particolari o in ragione di situazioni eccezionali non considerate [nelle linee guida], la presentazione da parte di titolari del trattamento che intendano discostarsi dalle presenti prescrizioni, di apposito interpello al Garante, ai sensi dell’art. 17 del Codice” (punto 4.4. delle “Linee guida”)”.

          Appare, evidente, quindi, che ogni azione dell’azienda (e del titolare del trattamento dei dati) al di fuori di tale procedura non può essere ritenuta idonea e quindi sottoposta a divieto con applicazione della relativa sanzione (art. 170 del Decreto Legislativo n. 196/2003).

Regime Sanzionatorio

          L’applicabilità della sanzione, rilevata dall’Autorità del Garante, nel caso di inosservanza di un provvedimento, è sancita dall’Art. 170 del Decreto Legislativo n. 196/2003, intitolato dell'”Inosservanza di provvedimenti del Garante”, il quale, al comma 1, sancisce che “Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi degli articoli 26, comma 2, 90, 150, commi 1 e 2, e 143, comma 1, lettera c), è punito con la reclusione da tre mesi a due anni”.

Profili normativi

          Sotto il profilo normativo particolare rilievo assume il riferimento alla Legge del 20 Maggio 1970, n. 300 (Pubblicata in Gazzetta Ufficiale il 27 Maggio 1970, n. 131) intitolata delle “Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e dell’attività sindacale nei luoghi di lavoro e norme sul collocamento”, la quale nel Titolo I – della libertà e dignità del lavoratore – , e all’articolo 4 (in vigore dal 11 Giugno 1970), intitolato del “Divieto dell’uso di impianti audiovisivi”, è sancito quanto segue:

1.      E` vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori.

2.      Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti.

1. Per gli impianti e le apparecchiature esistenti, che rispondano alle caratteristiche di cui al secondo comma del presente articolo, in mancanza di accordo con le rappresentanze sindacali aziendali o con la commissione interna, l’Ispettorato del lavoro provvede entro un anno dall’entrata in vigore della presente legge, dettando all’occorrenza le prescrizioni per l’adeguamento e le modalità di uso degli impianti suddetti.

2. Contro i provvedimenti dell’Ispettorato del lavoro, di cui ai precedenti secondo e terzo comma, il datore di lavoro, le rappresentanze sindacali aziendali o, in mancanza di queste, la commissione interna, oppure i sindacati dei lavoratori di cui al successivo art. 19 possono ricorrere, entro 30 giorni dalla comunicazione del provvedimento, al Ministro per il lavoro e la previdenza sociale.

Giurisprudenza di Legittimità

          Nel provvedimento del Garante è fatto preciso riferimento alla Corte di Cassazione Sezione Lavoro Civile, la quale con sentenza del 17 luglio 2007, n. 15892 avente ad oggetto “LAVORO – LAVORO SUBORDINATO – DIRITTI ED OBBLIGHI DEL DATORE E DEL PRESTATORE DI LAVORO – LIBERTÀ E DIGNITÀ DEL LAVORATORE – IMPIANTI AUDIOVISIVI – Divieto ex art. 4 legge n. 300 del 1970 – Operatività – Apparecchiatura di controllo predisposta dal datore di lavoro per l’accesso e l’uscita dal garage aziendale – Inclusione – Condizioni”, ha inteso tutelare il diritto di dignità e riservatezza del lavoratore.

          Nella massima in effetti è precisato che

“In tema di divieto di utilizzo di apparecchiature per il controllo a distanza dell’attività dei lavoratori previsto dall’art. 4 legge n. 300 del 1970 la rilevazione dei dati di entrata ed uscita dall’azienda mediante un’apparecchiatura di controllo predisposta dal datore di lavoro per il vantaggio dei dipendenti – nella specie, un congegno di sicurezza predisposto nel locale garage ove posteggiare le autovetture dei dipendenti durante l’orario di lavoro, attivabile mediante un tesserino personale assegnato a ciascun dipendente con il quale venivano attivati anche gli ingressi agli uffici – ma utilizzabile anche in funzione di controllo dell’osservanza dei doveri di diligenza nel rispetto dell’orario di lavoro e della correttezza dell’esecuzione della prestazione lavorativa, non concordata con le rappresentanze sindacali, né autorizzata dall’ispettorato del lavoro, si risolve in un controllo sull’orario di lavoro e in un accertamento sul “quantum” della prestazione, rientrante nella fattispecie prevista dal secondo comma dell’art. 4 della legge n. 300 del 1970; né l’esigenza di evitare condotte illecite da parte dei dipendenti può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore”.

Nella sentenza è rilevato, altresì, quanto segue:

“…Come è noto, la Legge n. 300 del 1970 articolo 4 la cui violazione e’ penalmente sanzionata ai sensi dell’articolo 38, stessa legge, fa parte di quella complessa normativa diretta a contenere in vario modo le manifestazioni del potere organizzativo e direttivo del datore di lavoro che, per le modalità di attuazione incidenti nella sfera della persona, si ritengono lesive della dignità e della riservatezza del lavoratore.

Detto articolo 4, infatti, sancisce, al suo comma 1, il divieto di utilizzazione di mezzi di controllo a distanza, tra i quali, in primo luogo, gli impianti audiovisivi, sul presupposto – espressamente precisato nella “Relazione ministeriale” – che la vigilanza sul lavoro, ancorchènecessaria nell’organizzazione produttiva, vada mantenuta in una dimensione “umana”, e cioè non esasperata dall’uso di tecnologie che possono rendere la vigilanza stessa continua e anelastica, eliminando ogni zona di riservatezza e di autonomia nello svolgimento del lavoro.

          Lo stesso articolo, tuttavia, al secondo comma, prevede che esigenze organizzative, produttive ovvero di sicurezza del lavoro possano richiedere l’eventuale installazione di impianti ed apparecchiature di controllo, dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori.

In tal caso e’ prevista una garanzia procedurale a vari livelli, essendo la installazione condizionata all’accordo con le rappresentanze sindacali aziendali o con la commissione interna, ovvero, in difetto, all’autorizzazione dell’Ispettorato del lavoro. In tal modo il legislatore ha inteso contemperare l’esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro, o, se si vuole, della stessa collettività, relativamente alla organizzazione, produzione e sicurezza del lavoro, individuando una precisa procedura esecutiva e gli stessi soggetti ad essa partecipi…” (cfr. sentenza cass. n. 15892 del 10.07.2007).                
 

Considerazioni finali

          Il provvedimento di divieto dell’Autorità del Garante, è supportato dalla normativa lavoristica e dalla Giurisprudenza di legittimità, ma non costituisce una definitiva preclusione in merito al trattamento di dati biometrici per la rilevazione dell’orario di lavoro dei dipendenti, soprattutto se rivolto all’esatta determinazione della retribuzione ordinaria e straordinaria, in quanto se vengono seguiti i giusti procedimenti normativi, è ammessa giusta eccezione.

          Pertanto, nel caso in cui un’azienda ritenga opportuno procedere al trattamento di dati biometrici dei lavoratori ai fini della rilevazione delle presenze (per le finalità come nel caso concreto prospettato) è consigliabile che segua i seguenti passi:

1) verificare se sussistono le reali condizioni per cui si richiedono particolari misure di sicurezza ai fini del trattamento dei dati biometrici in questione;

2) predisporre una relazione tecnica e dettagliata, nella quale si descrivono tutte le fasi che giustificano l’adozione di tale misura di trattamento;

3) proporre Istanza di Interpello al Garante per la Privacy al fine di ottenere l’esatto parere in riferimento al caso concreto.

4) convocare le organizzazioni sindacali per esporre, sulla scorta di quanto indicato nel punto precedente, le opportune motivazioni, ai fini dell’eventuale stesura e sottoscrizione dell’accordo;

5) richiedere giusta autorizzazione al Ministero del Lavoro, per il tramite delle sedi competenti per territorio;

6) rendere giusta informativa e quant’altro previsto dal Decreto Legislativo n. 196/2003 ai lavoratori dipendenti;

Luigi Risolo

3 Aprile 2009