Nel caso in esame, l’Autorità Garante ha statuito l’illiceità di sistemi informatici (hardware e software) volti tanto alla raccolta di dati biometrici relativi ai dipendenti, quanto al monitoraggio dell’attività lavorativa dagli stessi svolta.

In particolare, l’attività istruttoria del Garante si è principalmente concentrata su due distinti applicativi utilizzati dal datore di lavoro ingiunto: in primo luogo, l’hardware di riconoscimento biometrico denominato “X FACE 360” ed, in secondo luogo, il software di tracciamento denominato “INFINITY DMS”.

A)L’hardware di tracciamento biometrico X Face 360: violazione dei principi di liceità, minimizzazione dei dati e limitazione della conservazione (artt. 5, 9 e 13 del GDPR). Limiti a consenso informato reso dai dipendenti.

Dall’attività istruttoria condotta dal Garante è emerso che la società sanzionata ha utilizzato un sistema di riconoscimento facciale per la rilevazione delle presenze dei dipendenti a partire da Dicembre 2018.

Questo trattamento – che ha coinvolto 40 dipendenti delle unità produttive di Modica e Ragusa – avrebbe avuto l’esclusiva finalità di rilevare le presenze per l’elaborazione delle buste paga di tutti i dipendenti, trasmettendo un report mensile al CDL.

È opportuno precisare che, in base al GDPR, i dati biometrici sono considerati categorie particolari di dati il cui trattamento è consentito solo se necessario per assolvere obblighi e diritti specifici in ambito lavorativo e se autorizzato da leggi o contratti collettivi, ciò al fine di garantire adeguate tutele per i diritti dei lavoratori interessati  (art. 9, par. 2, lett. b), del GDPR; ancora: art. 88, par. 1) e cons. 51-53 del GDPR).

Nel provvedimento in parola, l’Autorità Garante ha rilevato come la raccolta ed il trattamento dei dati biometrici non abbia rispettato i principi di liceità, minimizzazione e limitazione della conservazione poiché:

1) non è stata dimostrata la base giuridica posta a fondamento della raccolta e del trattamento dei dati: il consenso informato reso dei dipendenti ai fini della raccolta dei dati biometrici, infatti, non è stato considerato idonea base giuridica, data l’asimmetria nel rapporto contrattuale tra lavoratore e datore di lavoro. Tale principio è, invero, essenziale, in quanto traccia i limiti precisi alla validità del consenso informato del lavoratore, spesso minato dalla necessità di accettare il vincolo contrattuale, quand’anche caratterizzato da più o meno evidenti compressioni dei propri diritti.

2) non è stata specificata la necessità del trattamento e, dunque, le espresse finalità che hanno orientato la raccolta ed il trattamento dei dati.

3) è stato considerato eccessivo il termine di conservazione dei dati biometrici, esteso irragionevolmente sino alla cessazione del rapporto di lavoro.

In conclusione, l’Autorità Garante ha accertato che la Società ha effettuato un trattamento di dati biometrici in violazione degli artt. 5, par. 1, lett. a), c), e), 9, par. 2, lett. b) e 13 del Regolamento.

B)Il software di monitoraggio Infinity DMS: violazione dei principi di liceità, correttezza e trasparenza nella gestione dei dati (artt. 5, 6 e 13 del GDPR).

La seconda questione affrontata dall’Autorità è relativa alla liceità, correttezza e trasparenza dei dati raccolti tramite il software denominato “Infinity DMS”.

Dalle risultanze istruttorie dedotte nel provvedimento è emerso che il predetto software è stato utilizzato dai dipendenti della società sanzionata per registrare le varie fasi dell’attività lavorativa comprese le pause, con l’indicazione della specifica causale (es. riposo, attesa ricambi, ecc.).

Il software è stato, altresì, utilizzato per raccogliere e trattare dati personali riferiti ai clienti dell’officina -ai quali era comunque fornita l’informativa- e le informazioni relative alla tipologia di interventi effettuati sulle autovetture, queste ultime, inserite dai dipendenti.

Dalle risultanze istruttorie dell’Autorità è inoltre emerso che la società sanzionata aveva sì predisposto un registro dei trattamenti, in conformità all’art. 30 del Regolamento, ma non aveva fornito all’Autorità dettagli sufficienti sul gestionale, come richiesto più volte, rendendo difficile valutare la natura e la tipologia dei dati trattati, le modalità e i tempi di conservazione, e la loro necessità e proporzionalità rispetto alle finalità.

Anche l’informativa ai dipendenti è risultata incompleta, non fornendo una rappresentazione completa del trattamento dei dati.

La Società non ha inoltre fornito una base giuridica adeguata per il trattamento, limitandosi a dichiarare che il software era necessario per migliorare gli standard qualitativi imposti dalla casa madre.

Di conseguenza, anche in tal caso l’Autorità ha rilevato che il trattamento è stato effettuato in violazione dei principi di liceità, correttezza e trasparenza previsti dagli articoli 5, par. 1, lett. a), 6 e 13 del Regolamento generale sulla protezione dei dati (GDPR).