Garante per la protezione
    dei dati personali


Videosorveglianza e biometriaall'interno di un istituto scolastico per la rilevazione delle presenze deidipendenti

PROVVEDIMENTO DEL 30 MAGGIO 2013

Registro dei provvedimenti
n. 261 del 30 maggio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e delladott.ssa Giovanna Bianchi Clerici, componenti, e del dott. Giuseppe Busia,segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTAla segnalazione del 10 ottobre 2012 e le notizie di stampa del 12 ottobre 2012nonché le comunicazioni della Direzione territoriale del Lavoro di Roma –Servizio Ispezione Lavoro inviate, rispettivamente, in data 15 novembre 2012 e25 febbraio 2013, concernenti gli accertamenti dallo stesso effettuati l'11ottobre 2012;

VISTEaltresì le comunicazioni del 19 e 29 novembre 2012;

ESAMINATAla documentazione acquisita agli atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

PREMESSO

1.1.Viste le notizie stampa (cfr. "Il Messaggero" e "laRepubblica" del 12 ottobre 2012) ed esaminato il contenuto di unasegnalazione del 1o ottobre 2012 (cfr. par. 1.2), questa Autorità haprovveduto, con richiesta di informazioni del 12 ottobre 2012, ad acquisireelementi presso il Liceo Scientifico Statale "Plinio Seniore" di Romacirca l'installazione di alcune telecamere all'interno dell'istituto nonché inmerito al trattamento di dati biometrici ricavati dalle impronte digitali dialcuni docenti (nonché del personale non docente) finalizzato alla rilevazionedelle presenze dei dipendenti.

1.2.Nella menzionata segnalazione veniva rappresentato che all'internodell'istituto scolastico sarebbero presenti, senza che ne sia stato formalmenteinformato il personale, alcune telecamere installate in tempi successivi.Rispetto ad una di queste, installata nel maggio 2012, "nel corridoiodell'edificio corrispondente all'ingresso di via Montebello 122 [Š] da cuiaccede sia il personale docente, sia il personale ATA [Š] e dove sono ubicatigli uffici amministrativi [Š], la portineria, gli uffici di presidenza e divicepresidenza nonché i bagni del pianoterra riservati al personale","non sono state rese note né le ragioni della sua installazione, nél'orario in cui essa è attiva, né se vengano effettuate registrazioni, né chisia a conoscenza delle password per accedere alle riprese o alle registrazioni[Š]. In prossimità dell'area videosorvegliata non sono stati apposti i dovuticartelli di segnalazione. [Š] la videocamera, essendo collocata molto in alto,in posizione poco visibile, passa facilmente inosservata a coloro cheattraversano o sostano nel corridoio".

Ulterioritelecamere, installate anteriormente al maggio 2012, "effettuano ripresedi alcune aree dell'istituto frequentate da studenti durante il periodo di aperturadel medesimo".

1.3.Nel corso del procedimento pervenivano altresì le comunicazioni del 19 e 29novembre 2012 da parte di personale del Liceo nelle quali si rappresentava cheoperazioni di rilevazione dei dati biometrici tratti dalle impronte digitali diparte del personale docente avevano avuto luogo presso l'istituto.

2.In relazione alla medesima vicenda, anche la Direzione territoriale del Lavorodi Roma – Servizio Ispezione Lavoro (di seguito, "Direzione"),con comunicazione del 15 novembre 2012, informava il Garante di aver effettuatocon proprio personale ispettivo un sopralluogo presso l'istituto scolastico"al fine di verificare l'eventuale installazione di impianti di videosorveglianza nel rispetto delle prescrizioni di cui all'art. 4" dellalegge 20 maggio 1970, n. 300.

Postoche in sede di verifica gli ispettori della Direzione avevano rilevatol'installazione di "un impianto [Š] composto da n. 6 telecamere interne eun apparecchio di rilevazione digitale delle presenze del personale docentesenza che la predetta installazione" risultasse avvenuta in conformitàall'art. 4, comma 2, della menzionata legge n. 300/1970, veniva disposto"l'ordine di disinstallazione dell'impianto di videosorveglianza [Š] e delsistema di rilevazione delle impronte digitali". Nel dare comunicazionedell'avvenuta ottemperanza a tale ordine, la Direzione rappresentava altresìche, successivamente all'effettuazione degli accertamenti ispettivi, l'istitutoscolastico aveva provveduto a presentare "istanza per essere autorizzataad installare, oltre che un impianto di videosorveglianza, [Š] anche un sistemadi rilevamento delle presenze attraverso impronte digitali" chiedendo inmerito al Garante un "parere sulla legittimità dell'utilizzo di un talesistema di rilevazione presenze".

Successivamente,con comunicazione del 25 febbraio 2013, la Direzione trasmetteva una relazionepredisposta dagli ispettori che avevano effettuato gli accertamenti nella qualesi attestava "la presenza di un lettore di dati personali [Š] che recaval'indicazione del giorno e dell'ora e presentava una luce rossa accesa"nonché si riferiva che un professore aveva dichiarato di "aver rilasciatole proprie impronte digitali in quanto invitato dal Dirigente scolastico afarlo".

3.1.In merito alle circostanze oggetto di segnalazione, con nota del 22 novembre2012 diretta all'Autorità, il legale rappresentante del Liceo ha dichiaratoche:

a.l'art. 3, comma 83, l. 24 dicembre 2007, n. 244 (Legge finanziaria per il 2008)"ha previsto che le PA non possono erogare compensi per lavorostraordinario se non previa attivazione di rilevazione automatica dellepresenze";

b. conriferimento al personale amministrativo tecnico e ausiliario (c.d. A.T.A.),"nel Ccln si afferma l'obbligo di rispettare l'orario di lavoro, adempierealle formalità previste per la rilevazione delle presenze e non assentarsi dalluogo di lavoro senza l'autorizzazione del Dirigente scolastico";

c.l'art. 7, comma 5, d.lg. n. 165/2001 prevede che "le PA non possonoerogare trattamenti accessori che non corrispondono alle prestazionieffettivamente rese";

d. ild.lg. n. 81/2008 "individua il Dirigente scolastico come datore di lavoroe intesta allo stesso l'individuazione delle misure ritenute opportune pergarantire il miglioramento nel tempo dei livelli di sicurezza e le procedureper la sua attuazione";

e. ildispositivo avrebbe consentito il "monitoraggio del sistemaeducativo-formativo del liceo [Š] anche nella parte dove il DirigenteScolastico si assume precise responsabilità nella gestione di risorseeconomiche pubbliche che non trovano altro modo per essere certificate evalidate contrattualmente";

f."l'adozione di un sistema di rilevamento [delle presenze] sin dalla «direttiva-circolare»n. 4797/92 [Š] con l'aggiunta delle responsabilità di cui al d.lg. 81/2008 non èstato ancora definito da nessuna norma giuridica o contrattuale";

g."sono state rimosse sia l'apparecchiatura non ancora attiva per larilevazione della presenza, che si sarebbe comunque effettuata tramite o badge opassword o algoritmo matematico non riproducibile dell'impronta del dito, siatutte le telecamere dell'intero impianto di videosorveglianza già attivo epreesistente alla mia presa di servizio come Dirigente Scolasticonell'istituto".

3.2.Nessun elemento (ancorché oggetto di espressa richiesta) è stato fornito daltitolare del trattamento con particolare riguardo ai profili concernentil'informativa agli interessati dei trattamenti effettuati, sia attraverso ilsistema biometrico, sia per il tramite delle telecamere operanti pressol'istituto, né in relazione all'osservanza dell'art 4, l. n. 300/1970 inrelazione al funzionamento del sistema di videosorveglianza, né in meritoall'assolvimento dell'obbligo di notificazione con riguardo al trattamento deidati biometrici.

4.1.Alla luce degli elementi sopra rappresentati e delle dichiarazioni rese –della cui veridicità i dichiaranti possono essere chiamati a rispondere aisensi dell'art. 168 del Codice –, risulta accertato che presso il Liceo,sono stati effettuati trattamenti di dati biometrici del personale – conparticolare riferimento ad operazioni di enrollment di parte dei docenti,taluni dei quali hanno altresì fatto uso del sistema predisposto pressol'istituto e risultato funzionante in sede di accertamento in loco – conconseguente applicazione della disciplina posta a tutela della protezione deidati personali.

Comepiù volte ribadito dall'Autorità, infatti, le operazioni concernenti leimpronte digitali nonché i dati biometrici dalle stesse ricavati, sia conriguardo alla fase della raccolta che in relazione alla successivamemorizzazione ed utilizzo per le conseguenti operazioni di verifica eraffronto nell'ambito di procedure di autenticazione, integrando forme(distinte) di trattamento dei dati personali (cfr. art. 4, comma 1, lett. a) eb), del Codice), sono soggette alla disciplina del Codice (sul punto cfr., trai tanti, Provv. 19 novembre 1999; 26 maggio 2011). Ciò anche nel caso in cui il rilievo dattiloscopico,temporaneamente raccolto ai soli fini del completamento della fase dienrollment, venga successivamente utilizzato (sotto forma di codice numerico)per le menzionate operazioni di verifica e raffronto (Provv. n. 265 del 4ottobre 2012; Provv. 23 gennaio 2008; v. anche il Gruppo dei garanti europei previstodall'art. 29 della direttiva 95/46/Ce (di seguito "Gruppo art. 29")dapprima nel Documento di lavoro sulla biometria, WP 80, adottato il 1° agosto2003, punto 3.1 ed ancora nel Parere 3/2012 sugli sviluppi nelle tecnologiebiometriche, WP193, adottato il 27 aprile 2012, p. 5 s.).

4.2.Ciò premesso, deve rilevarsi che in relazione alla valutazione di liceità deitrattamenti dei dati biometrici riferiti a lavoratori, il Garante ha in piùoccasioni individuato le condizioni in presenza delle quali i trattamentimedesimi possono ritenersi leciti.

Inparticolare, l'Autorità ha precisato che tali dati possono essere di regolautilizzati solo in casi particolari, tenuto conto delle finalità perseguite daltitolare e del contesto in cui il trattamento viene effettuato, nonché –con specifico riguardo ai luoghi di lavoro – per presidiare l'accesso ad"aree sensibili" in considerazione della natura delle attività ivisvolte (cfr., tra le decisioni più risalenti, Provv. 21 luglio 2005e da ultimo, con ulteriori richiami,  Provv. del31 gennaio 2013 n. 38).

Amente della prescrizione contenuta nella Regola 2 dell'allegato B) al Codice,il Garante ha poi talvolta prescritto, in relazione a particolari operazioni ditrattamento di dati personali, il ricorso a tecniche biometriche diautenticazione quale necessaria misura di sicurezza (cfr., ad esempio, inrelazione ad operazioni concernenti i dati di traffico telefonico e telematico,il Provv. 17 gennaio 2008; Provv. 14 febbraio 2013, n. 64).

Daultimo, l'Autorità ha altresì riconosciuto la legittimità nonché laproporzionalità del trattamento di dati biometrici per finalità diautenticazione dell'utente nell'ambito di servizi di firma digitale remota(cfr. Provv. 31 gennaio 2013).

3.3.Tali presupposti non risultano tuttavia ricorrere nella fattispecie in esame,posto che il sistema biometrico risulta essere stato installato pressol'Istituto allo scopo di effettuare la rilevazione delle presenze deidipendenti. A tale proposito, con riferimento all'applicazione dei principi dinecessità, nonché di pertinenza e non eccedenza (art. 11, comma 1, lett. d),del Codice) dei trattamenti effettuati in relazione alle finalità perseguite,il Garante ha di regola ritenuto sproporzionato l'impiego generalizzato di datibiometrici per finalità di rilevazione delle presenze dei lavoratori (cfr., daultimo, Provv. 31 gennaio 2013; v. già le Linee guida in materia di trattamento didati personali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico del 14 giugno 2007, punto 7.1; questo orientamento è stato condiviso, proprio insede di impugnazione di un'ordinanza-ingiunzione dell'Autorità, dal Trib.Prato, 19 settembre 2011). Tale valutazione tiene conto della possibilità diutilizzare idonee modalità alternative adottando soluzioni tecnico-organizzative che non incidano sulla libertà e ladignità stessa dei lavoratori interessati (art. 2 del Codice) preordinate all'accertamentoparimenti efficace e rigoroso dell'effettiva presenza dei dipendenti inservizio.

Iltitolare del trattamento, infatti, allo scopo di verificare il puntualerispetto dell'orario di lavoro  ben può disporre di altri (più"ordinari") sistemi, meno invasivi della sfera personale nonché dellalibertà individuale del lavoratore, che non ne coinvolgano la dimensionecorporale. Aspetti, questi, costitutivi della dignità personale, a presidiodella quale sono dettate le discipline di protezione dei dati personali, comeemerge dall'art. 2 del Codice (cfr. Provv. del 31 gennaio 2013 n. 38). I sistemi basati sull'utilizzo di tecnologiebiometriche, infatti, possono operare  solo con l'attiva collaborazionepersonale dei lavoratori interessati in assenza di puntuali disposizioni che laimpongano (v. anche Gruppo art. 29, WP193, Parere 3/2012, cit., p. 12, secondocui "il datore di lavoro è sempre tenuto a cercare i mezzi meno invasiviscegliendo, se possibile, un procedimento non biometrico").

Nelcaso specifico, quindi, alla luce delle considerazioni svolte e dellerisultanze istruttorie – non essendo stati rappresentati dal titolare deltrattamento (a fronte della richiesta in merito formulata dall'Ufficio il 12ottobre 2012) concreti elementi in base ai quali poter desumere l'inidoneità,in relazione alle legittime finalità di controllo delle presenze deilavoratori, delle ordinarie misure di controllo e, correlativamente, laindispensabilità del trattamento dei dati biometrici – il trattamentoeffettuato deve ritenersi illecito.

4.4.A tale conclusione, non diversamente, si perviene prendendo in considerazione,alla luce del principio di liceità del trattamento (art. 11, comma 1, lett. a),del Codice), la disciplina di settore concernente la rilevazione delle presenzein ambito scolastico.

Nell'ambitodel pubblico impiego, in termini generali, la disciplina vigente in materiaprevede che, "l'orario di lavoro, comunque articolato, è accertatomediante forme di controlli obiettivi e di tipo automatizzato" (cfr. art.22, comma 3, l. 23 dicembre 1994, n. 724, Misure di razionalizzazione dellafinanza pubblica e già art. 7, comma 4, d.P.R. 1° febbraio 1986, n. 13; intempi più recenti v. pure art. 3, comma 83, l. 24 dicembre 2007, n. 244, Leggefinanziaria 2008), senza peraltro riferimento alcuno ai sistemi biometrici, nénella disciplina secondaria, né nella contrattazione collettiva. Deve peraltrorilevarsi che la circolare del Ministro per la funzione pubblica 20 ottobre1992, n. 4797 (Rapporti tra pubblica amministrazione e cittadini.Contrattazione decentrata ex art. 14 della legge-quadro sul pubblico impiego 29marzo 1983, n. 93. Organizzazione del lavoro. Orario di servizio ed orariosettimanale di lavoro, pubblicata in G.U. n. 254 del 28 ottobre 1992),richiamata dal legale rappresentante del Liceo nella nota del 22 novembre 2012,ha espressamente escluso l'applicabilità di tali modalità di rilevazione dellepresenze "al comparto scuola limitatamente al settoreeducativo-formativo".

4.5.Infine, con riguardo al personale docente, anche nella giurisprudenza dilegittimità, non essendo state rinvenute, quanto alle modalità di rilevazionedelle presenze, puntuali previsioni né di fonte legale né contrattuale (v. intal senso Cass. civ., Sez. lav., 12 maggio 2006, n. 11025), si è ritenuto chela verifica della presenza in servizio debba essere effettuata attraversostrumenti diversi (quali, la compilazione dell'apposito foglio firme ovvero delregistro di classe).

4.6.Ulteriori profili di illiceità derivano dal fatto che non è stato comprovatodal titolare del trattamento se e come sia stato assolto l'obbligo di fornireagli interessati un'idonea informativa nei termini prescritti dall'art. 13 delCodice in relazione al trattamento dei dati biometrici.

4.7.A quest'ultimo riguardo, deve infine rilevarsi che non consta che il Liceoabbia provveduto alla dovuta notificazione del trattamento ai sensi dell'art.37, comma 1, lett. a), del Codice.

4.8.Tanto premesso, il Garante, ritenuto che il trattamento dei dati biometrici deidipendenti effettuato dal Liceo sia avvenuto in violazione dei principi diliceità, necessità, pertinenza e non eccedenza rispetto agli scopi perseguiti(art. 11, comma 1, lett. a) e d) del Codice) nonché in violazione dell'art. 13del Codice, dichiara illecito il trattamento dei dati biometrici riferiti ailavoratori e ne vieta il trattamento ai sensi degli artt. 154, comma 1, lett.d), 144 e 143, comma 1, lett. c), del Codice.

5.1.Quanto al trattamento dei dati personali effettuato attraverso il menzionatoimpianto di videosorveglianza, dagli atti risulta che:

a. laDirezione territoriale del lavoro di Roma, rilevata la violazione dell'art. 4,l. n. 300/1970, ha disposto "la disinstallazione dell'impianto divideosorveglianza" (cfr. comunicazione 15 novembre 2012);

b. iltitolare del trattamento, dopo aver dichiarato all'Autorità che "sonostate rimosse [Š] tutte le telecamere dell'intero impianto divideosorveglianza" (cfr. nota 22.11.2012 cit.), ha comunque"presentato istanza [alla Direzione territoriale del Lavoro] per essereautorizzato ad installare [Š] un impianto di videosorveglianza" (cfr.comunicazione 15 novembre 2012, cit.).

Nessunelemento è stato fornito nel riscontro inviato dal Liceo né con riguardo alleragioni che renderebbero necessaria l'installazione delle telecamereall'interno dell'istituto di istruzione, né con riguardo alle modalità con lequali l'informativa sarebbe stata resa non solo ai lavoratori, ma ancheall'intera popolazione studentesca (nonché alle famiglie degli allievi).

5.2.Tanto premesso, fatte salve le specifiche competenze attribuite alla Direzioneterritoriale del Lavoro, deve ritenersi che il trattamento di dati personalieffettuato mediante il sistema di videosorveglianza non risulta essere statoeffettuato lecitamente, in quanto in violazione della disciplina prevista dagliartt. 13, 114 del Codice e 4, comma 2, l. n. 300/1970 (cfr. Provv.ti 10novembre 2011; 14 aprile 2011; 24 giugno 2010; 26 febbraio 2009; in merito cfr. anche il punto 4.1. del Provv. 8 aprile 2010).

5.3.Peraltro, e sotto diverso profilo, il trattamento effettuato mediante ilmenzionato sistema di videosorveglianza, essendo idoneo a riprendere anche glistudenti che frequentano l'istituto, non risulta conforme a quanto stabilitodal Garante, in particolare, al punto 4.3 del menzionato provvedimento generalein materia di videosorveglianza dell'8 aprile 2010, atteso che (anche alla lucedella previsione di cui all'art. 2, comma 2, d.P.R. n. 249/1998), in ambitoscolastico l'utilizzo di sistemi di videosorveglianza deve ritersi ammissibilesolo "in casi di stretta indispensabilità, al fine di tutelare l'edificioed i beni scolastici da atti vandalici, circoscrivendo le riprese alle solearee interessate ed attivando gli impianti negli orari di chiusura degliistituti; è vietato, altresì, attivare le telecamere in coincidenza con losvolgimento di eventuali attività extrascolastiche che si svolgono all'internodella scuola" (punto 4.3.1).

Orientamento,peraltro, riproposto e reso pubblico dal Garante anche tramite documenti dicarattere divulgativo espressamente indirizzati al mondo scolastico nel 2010 e,nuovamente, nel 2012: rispettivamente, nel documento informativo intitolato"La Privacy tra i banchi di scuola", p. 21 (e p. 19 con riguardo aisistemi biometrici) nonché nel più recente Vademecum "La privacy ascuola. Dai tablet alla pagella elettronica. Le regole da ricordare", p. 3.

5.4.Alla luce di tali considerazioni, il Garante dichiara illecito, nei terminiappena illustrati, il trattamento effettuato a mezzo del sistema divideosorveglianza anteriormente alla sua disattivazione, prescrivendo che, incaso di sua eventuale riattivazione in presenza delle garanzie previstedall'art. 4, l. n. 300/1970, siano comunque osservate le prescrizioni impartitedall'Autorità con il menzionato provvedimento generale dell'8 aprile 2010, conparticolare riferimento al divieto contenuto al punto 4.3.1 del medesimo.

6.Considerata, infine, la richiesta formulata con la menzionata nota del 15novembre 2012, dispone la trasmissione del presente provvedimento allaDirezione Territoriale del Lavoro di Roma – Servizio Ispezione Lavoro perle valutazioni di competenza.

7.L'Autorità si riserva di valutare con autonomo procedimento la sussistenza diviolazioni amministrative, con particolare riferimento all'omessa notificazioneal Garante del trattamento dei dati biometrici (art. 37, comma 1, lett. a), delCodice) nonché all'omessa informativa agli interessati rispetto ai trattamentieffettuati (art. 13 del Codice).

TUTTO CIO' PREMESSO, IL GARANTE

inrelazione ai descritti trattamenti di dati personali effettuati dal LiceoScientifico Statale "Plinio Seniore" di Roma:

a)dichiara illecito, nei termini di cui in motivazione, il trattamento dei datibiometrici riferiti ai lavoratori e, ai sensi degli artt. 154, comma 1, lett.d), 144 e 143, comma 1, lett. c), del Codice, ne vieta l'ulteriore trattamento(par. 4);

b) dichiaraillecito, nei termini di cui in motivazione, il trattamento effettuato a mezzodel sistema di videosorveglianza prescrivendo altresì, ai sensi dell'art. 154,comma 1, lett. c) e 143, comma 1, lett. b), del Codice che, in caso diriattivazione del sistema di videosorveglianza, salve le garanzie previstedall'art. 4, l. n. 300/1970, il trattamento sia effettuato in conformità alleprescrizioni impartite dal Garante con il provvedimento generale dell'8 aprile2010, con particolare riferimento al divieto ivi contenuto al punto 4.3.1 (par.5);

c)dispone la trasmissione del presente provvedimento alla Direzione Territorialedel Lavoro di Roma – Servizio Ispezione Lavoro per le valutazioni dicompetenza.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 30 maggio 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia