Privacy: nuovo stop al controllo delle impronte digitali a scuola

Di Lalla

inviato da Avv. Marco Fusari – Con provvedimento del 1° agosto 2013, il Garante della Privacy ha dichiarato l’illiceità dell’installazione, in un liceo pugliese, di un sistema di rilevazione di impronte digitali volto ad attestare l’orario di entrata e di uscita del personale amministrativo tecnico e ausiliario (ATA).

Si tratta di orientamento ormai più volte ribadito dal Garante, il quale, nell’ottica di una rigorosa valutazione di liceità dei trattamenti dei dati biometrici riferiti a lavoratori, ha precisato che tali dati possono essere di regola utilizzati solo in casi particolari, tenuto conto delle finalità perseguite dal titolare e del contesto in cui il trattamento viene effettuato.

Con specifico riguardo ai luoghi di lavoro, il trattamento di dati biometrici è stato finora ritenuto lecito solo per regolamentare l’accesso ad “aree sensibili” in considerazione della natura delle attività ivi svolte.
Al contrario, il controllo delle presenze dei lavoratori tramite trattamento di dati biometrici è stato finora sempre giudicato dal Garante sproporzionato (si veda ad esempio il Provvedimento del Garante 21 luglio 2005, doc. web n. 1150679; cfr anche il Provvedimento del Garante 31 gennaio 2013 n. 38, doc. web n. 2304669; con specifico riferimento all’impiego di analoghi sistemi di rilevazione in ambito scolastico, si vedano i due provvedimenti “gemelli” del 30 maggio 2013, doc. web n. 2502951 e doc. web n. 2503101): ciò in quanto il titolare del trattamento, allo scopo di verificare il puntuale rispetto dell’orario di lavoro ben può disporre di altri sistemi (quali ad esempio il classico “badge”), meno invasivi della sfera personale nonché della libertà individuale del lavoratore, che non ne coinvolgano la dimensione corporale.

Nel caso specifico, il dirigente scolastico non ha nemmeno dedotto se fossero state in precedenza adottate tecniche di controllo a campione sui dipendenti nel corso della giornata lavorativa, e se queste tecniche fossero risultate insufficienti: anzi – rileva il Garante – anche se così fosse, il controllo in ingresso e in uscita delle impronte digitali dei dipendenti sarebbe totalmente inutile a prevenire l’allontanamento dal plesso scolastico medio tempore.

Già questa circostanza comporta di per sé l’illiceità del trattamento: a ciò va inoltre aggiunto che la scuola, nel caso in esame, non ha neppure provveduto alla dovuta notificazione del trattamento al Garante ai sensi dell’art. 37, comma 1, lett. a), del D. Lgs. 196/03.

Oltre alla violazione del principio di proporzionalità e non eccedenza, e alla mancata notificazione del trattamento, il dirigente scolastico non ha nemmeno rispettato il principio di correttezza del trattamento (art. 11, comma 1, lett. a), del D. Lg.s 196/03), posto che, da un lato, nel corso della negoziazione con i lavoratori che ha preceduto l’installazione del sistema non sono state chiaramente evidenziate le modalità peculiari del trattamento che si sarebbe effettuato (consistenti nell’impiego di tecnologie biometriche), rappresentandosi invece – molto più genericamente – l’installazione di un non meglio identificato “sistema di rilevazione automatica", e che dall’altro lato non è stata fornita agli interessati idonea informativa ai sensi dell’art. 13 del Codice prima dell’inizio del trattamento.

Proprio queste due ultime violazioni (omessa informativa agli interessati; omessa notificazione del trattamento) rischiano di costare molto caro alla scuola, e, indirettamente, al dirigente scolastico per il danno erariale che verrà eventualmente procurato all’amministrazione.

Per la prima violazione è infatti prevista una sanzione amministrativa da € 6.000,00 a € 36.000,00, e per la seconda una sanzione da € 10.000,00 a € 60.000,00: un monito ulteriore per i dirigenti scolastici a valutare attentamente l’opportunità di installare sistemi di controllo dei lavoratori senza la preventiva consulenza di un esperto in materia.