Source: http://www.privacy.it/archivio/garantesanz200910291.html
Timestamp: 2018-02-22 19:06:16+00:00
Document Index: 82480200

Matched Legal Cases: ['art. 168', 'art. 11', 'art. 154', 'art. 37', 'art. 4', 'art. 17', 'art. 154', 'art. 163', 'art. 154', 'art. 154']

Divieto all'uso di dati biometrici per rilevare la presenza sul luogo di lavoro - 29 ottobre 2009
[ Videosorveglianza - Provvedimento generale]
[Lavoro privato - Linee guida del 23 novembre 2006]
Divieto all'uso di dati biometrici per rilevare la presenza sul luogo di lavoro
PROVVEDIMENTO DEL 29 OTTOBRE 2009
VISTE le risultanze degli accertamenti ispettivi svolti il 25 febbraio 2009 presso la sede della Compagnia Trasporti Irpini – ATI S.p.A. (di seguito, la societˆ), sita in Avellino, dal "Nucleo speciale privacy" della Guardia di finanza su delega di questa Autoritˆ;
VISTO quanto emerso dalle dichiarazioni rese dalla societˆ, ai sensi e per gli effetti di cui all'art. 168 del Codice, in occasione degli accertamenti effettuati, in ordine alla propria natura di soggetto a capitale interamente pubblico operante nel settore dell'erogazione del "servizio di trasporto pubblico su gomma nell'ambito del comune di Avellino ed in alcune localitˆ limitrofe" e facente parte del gruppo AIR S.p.A. (verbale operazioni compiute del 25 febbraio 2009 cit., p. 2, punto 1);
VISTO quanto altres“ dichiarato dalla societˆ con riguardo al fatto che, in relazione al trattamento di dati personali effettuato tramite un sistema di videosorveglianza installato presso un deposito di stazionamento degli autobus –composto complessivamente di tre telecamere e installato per la registrazione di immagini riguardanti i distributori di gasolio e il cancello di ingresso del deposito per finalitˆ di sicurezza (cfr. verbale di operazioni compiute del 25 febbraio 2009, p.1; documento programmatico sulla sicurezza aggiornato al 2009; lettera del 31 dicembre 2007 di designazione dell'istituto di vigilanza Cosmopol s.r.l. quale responsabile del trattamento)–, la conservazione dei dati registrati avviene per un periodo di tempo pari a 30 giorni, termine decorso il quale "le cassette saranno riutilizzate fino a quando la registrazione avverrˆ in maniera ottimale" (v. nota dell'8 novembre 2007, indirizzata all'istituto di vigilanza Cosmopol s.r.l., in allegato alla nota del 10 marzo 2009 trasmessa dall'amministratore unico della societˆ ad integrazione delle dichiarazioni rese nel corso degli accertamenti ispettivi);
RILEVATO conseguentemente che la conservazione delle immagini per un periodo superiore a sette giorni (v. punto 3.4. del citato provv. 29 aprile 2004) rende il predetto trattamento di dati personali non conforme – in assenza di elementi idonei a giustificare un cos“ ampio arco temporale di conservazione dei dati –, all'art. 11, comma 1, lett. e) del Codice;
RITENUTO pertanto di dover prescrivere alla Compagnia Trasporti Irpini – ATI S.p.A., ai sensi dell'art. 154, comma 1, lett. c), del Codice, al fine di conformare il suddetto trattamento alla disciplina in materia di protezione dei dati personali, l'adozione, quale necessaria misura a garanzia degli interessati della commisurazione del tempo di conservazione delle immagini alle effettive necessitˆ della raccolta, nei termini previsti dal menzionato provvedimento generale del 29 aprile 2004;
VISTO il punto 4 delle "Linee guida in materia di trattamento di dati personali di lavoratori per finalitˆ di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati" (adottate dal Garante con deliberazione n. 53 del 23 novembre 2006, pubblicate sulla G.U. 7 dicembre 2006, n. 285), che prescrive ai titolari del trattamento l'adozione di specifiche misure ed accorgimenti per il trattamento di dati biometrici dei lavoratori;
VISTE le risultanze del medesimo accertamento ispettivo in ordine ai trattamenti effettuati dalla Compagnia Trasporti Irpini – ATI S.p.A. mediante un sistema di rilevazione di dati biometrici basato sulla elaborazione di template derivanti dal trattamento di informazioni personali tratte dalla lettura delle impronte digitali dei lavoratori operanti alle dipendenze della societˆ;
RILEVATO quanto dichiarato dalla societˆ in ordine al fatto che "i terminali [adoperati per rilevare le presenze mediante il sistema] sono collegati direttamente con l'ufficio risorse umane dell'AIR s.p.a." in qualitˆ di societˆ capogruppo (v. verbale operazioni compiute del 25 febbraio 2009, cit., p. 3, punto 3), designata responsabile del trattamento dei dati correlati alla "gestione e pianificazione delle attivitˆ [É] amministrative (risorse umane [É]) (v. lettera di designazione allegata a nota del 15 giugno 2009, in atti);
RILEVATO quanto altres“ dichiarato dalla societˆ con la menzionata nota del 10 marzo u.s. in ordine al fatto che:
- "l'Azienda utilizza dispositivi biometrici per la rilevazione delle presenze attraverso il riconoscimento dell'impronta all'ingresso/uscita dagli uffici";
- "l'impronta non risiede in database aziendali ma sul dispositivo biometrico e, pertanto, l'Azienda � esonerata a gestire uno specifico archivio di dati biometrici ed a notificarne al Garante la costituzione (ex art. 37 d.lg. 196/2003)";
- ogni volta che procede alla registrazione dell'orario di lavoro, "il dispositivo biometrico riproduce la funzione matematica associata all'impronta del dipendente e verifica il risultato con quello precedentemente memorizzato nel dispositivo, effettuando l'autenticazione necessaria per l'attribuzione dei tempi di lavoro".
CONSIDERATO che, dagli elementi acquisiti e dalle dichiarazioni rese, non risultano comprovate esigenze idonee a giustificare il ricorso, nel caso di specie, all'utilizzo di dati biometrici nel contesto lavorativo aziendale, avuto riguardo alla natura delle attivitˆ ivi svolte (cfr. punto 4 delle citate "Linee guida");
CONSIDERATO inoltre che la societˆ non ha addotto ragioni specifiche volte a chiarire la necessitˆ dell'utilizzo di tale peculiare trattamento di dati per verificare il puntuale adempimento della prestazione lavorativa (sul punto cfr. Provv. 21 luglio 2005; Provv. 15 giugno 2006-1; Provv. 15 giugno 2006-2; Provv. 15 giugno 2006-3; " Linee guida in materia di trattamento di dati personali di lavoratori per finalitˆ di gestione del rapporto di lavoro in ambito pubblico, punto 7.1.) e che, ad ogni modo, nemmeno risulta che sia stata osservata la procedura prevista dall'art. 4, comma 2, della legge 20 maggio 1970, n. 300 (ritenuta peraltro applicabile dalla Corte di Cassazione in relazione all'installazione di apparecchiature che consentano "di controllare il rispetto o non degli orari di entrata e uscita e presenza sul luogo di lavoro da parte dei dipendenti": cfr. Cass., 17 luglio 2007, n. 15892);
RITENUTO pertanto che, alla luce delle considerazioni sopra esposte, il suddetto trattamento non risulti allo stato conforme ai principi di liceitˆ, finalitˆ e necessitˆ (artt. 3 e 11, comma 1, lett. a) e b), del Codice), nŽ alle prescrizioni formulate dal Garante al punto 4 delle citate "Linee guida";
RILEVATO che, "resta salva per fattispecie particolari o in ragione di situazioni eccezionali non considerate [nelle citate Linee guida], la presentazione da parte di titolari del trattamento che intendano discostarsi dalle presenti prescrizioni, di apposito interpello al Garante, ai sensi dell'art. 17 del Codice" (punto 4.4. delle menzionate "Linee guida"); visto che un'istanza volta ad attivare il citato procedimento risulta pervenuta solo il 16 ottobre 2009;
CONSIDERATO che il Garante pu˜ disporre il blocco del trattamento illecito o non corretto dei dati, ai sensi dell'art. 154, comma 1, lett. d), del Codice;
RITENUTO, pertanto, di dover disporre nei confronti di Compagnia Trasporti Irpini – ATI S.p.A., allo stato e nelle more della definizione del suddetto procedimento di verifica preliminare, il blocco del trattamento dei dati biometrici dei dipendenti giˆ trattati ed eventualmente conservati per la finalitˆ di rilevazione dell'orario di ingresso e di uscita dei lavoratori, con conseguente possibilitˆ, per la societˆ, di procedere alla sola conservazione temporanea dei medesimi dati senza poter compiere ogni altra operazione di trattamento;
PRESO ATTO, come da documentazione in atti, dell'attivazione degli autonomi procedimenti di contestazione delle violazioni amministrative riscontrate in relazione a quanto rilevato in materia di illiceitˆ del trattamento di dati biometrici di lavoratori, anche per quanto concerne l'omessa notificazione al Garante del trattamento dei dati in esame (art. 163 del Codice);
RILEVATO che, in caso di inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter,del Codice;
1. ai sensi dell'art. 154, comma 1, lett. c), del Codice, prescrive a Compagnia Trasporti Irpini – ATI S.p.A., al fine di rendere il trattamento di dati personali effettuato mediante il sistema di videosorveglianza conforme alla disciplina in materia di protezione dei dati personali e quale misura necessaria a garanzia degli interessati, la commisurazione del tempo di conservazione delle immagini alle effettive necessitˆ della raccolta, nei termini previsti dal provvedimento generale del 29 aprile 2004;
2. ai sensi dell'art. 154, comma 1, lett. d), del Codice, dispone, nei confronti di Compagnia Trasporti Irpini – ATI S.p.A., allo stato e nelle more della definizione del procedimento di verifica preliminare attivato con interpello pervenuto il 16 ottobre 2009, il blocco del trattamento dei dati biometrici dei lavoratori giˆ trattati illecitamente ed eventualmente conservati al fine di accertarne la presenza sul luogo di lavoro, rilevandone gli orari di ingresso e di uscita;
3. prescrive a Compagnia Trasporti Irpini – ATI s.p.a. di dare documentato riscontro a questa Autoritˆ, entro e non oltre il 2 dicembre 2009, delle misure adottate per conformare i trattamenti effettuati alle prescrizioni del presente provvedimento, fornendo ogni informazione utile al riguardo.