TRATTAMENTO DEI DATIBIOMETRICI DI DIPENDENTI PER GARANTIRE LA SALUTE PUBBLICA

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

VISTA la richiesta di autorizzazionepresentata da So.Ri.Cal.- Società risorse idriche calabresi S.p.A., in ordineal trattamento di dati personali dei dipendenti mediante rilevazione di datibiometrici;

VISTO il Codice in materia di protezione dei datipersonali (d.lg. 30 giugno 2003, n. 196);

VISTA la deliberazione del Garante n. 53del 23 novembre 2006, recante "Linee guida in materia di trattamento didati personali di lavoratori per finalità di gestione del rapporto di lavoroalle dipendenze di datori di lavoro privati";

VISTE le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO

1. Trattamento di dati personali deilavoratori mediante sistemi biometrici per finalità di sicurezza del sistemaidrico calabrese

1.1. So.Ri.Cal.- Società risorse idriche calabresi S.p.A., di seguito, lasocietà), gestore dei servizi idrici calabresi, ha inoltrato al Garante unarichiesta di verifica preliminare ai sensi dell'art. 17 del Codice, relativa altrattamento di dati biometrici dei propri dipendenti finalizzato a controllarnegli accessi a impianti di potabilizzazione appartenenti alla rete didistribuzione idrica e alle sedi della società, centrale e periferiche,distribuiti sul territorio regionale. Tale misura, reputata dalla societàidonea ad assicurare un grado elevato di certezza nell'identificazione delpersonale autorizzato all'accesso presso le proprie sedi, sarebbe altresì attaa incrementare l'integrità della rete e degli impianti appartenenti al sistemaidrico calabrese (cfr. istanza dell'8 agosto 2007). Il sistema che siintende utilizzare presuppone, in particolare, una raccolta di dati biometricimediante apparecchiature dotate di lettore di impronte digitali e di unapposito software; l'impronta digitale verrebbe trasformata in un codicenumerico (template), memorizzatosu smart card e utilizzato esclusivamente per la raccolta e il successivotrattamento dei dati ai fini predetti. A livello centralizzato verrebberoraccolti e memorizzati per sette giorni i dati personali relativi all'orariodegli accessi giornalieri e i codici numerici che consentono alla società dirisalire al dipendente (cfr. comunicazione del 19 novembre 2007).

1.2. La società ha dichiarato che il trattamento dei dati biometrici verràeffettuato in base al consenso dei dipendenti interessati; per coloro i qualinon lo presteranno (o che, comunque, per ragioni particolari non possonoavvalersi di tale sistema di identificazione), verrebbe realizzato "unsistema alternativo di accesso nelle aree aziendali, tramite videosorveglianzacon telecamere poste unicamente all'ingresso delle aree" che, a giudizio della società, non si porrebbe incontrasto con l'art. 4 della l. n. 300/1970 (Statuto dei lavoratori).

2. Dati biometrici e disciplina diprotezione dei dati personali: principi di liceità, finalità e pertinenza neltrattamento.

2.1. Il casosottoposto alla verifica preliminare ai sensi dell'art. 17 del Codice (anche inbase alla prescrizione contenuta nel Provv. 29 aprile 2004, punto 3.2.)integra un'ipotesi di trattamento di dati personali. Come ripetutamenterilevato dal Garante, sia le impronte digitali, sia i dati da esse ricavati esuccessivamente utilizzati per verifiche e raffronti nelle procedure diautenticazione o di identificazione sono informazioni personali riconducibiliai singoli interessati (art. 4, comma 1, lett. b), del Codice), alle qualitrova applicazione la disciplina contenuta nel Codice (cfr. Provv. 21 luglio 2005; da ultimo, ancora, Provv. 23 novembre 2006, Lineeguida cit., punto 4; in merito v. pure il documento di lavoro sulla biometriadel Gruppo art. 29, direttiva n. 95/46/Ce-WP80-, punto 3.1).

2.2. L'uso generalizzato e incontrollato di dati biometrici dei lavoratorinon è in linea di principio lecito, in particolare quando si tratta di improntedigitali le quali, per la loro particolare natura, impongono che sianoprevenuti eventuali utilizzi impropri, nonché possibili abusi.

Gli elementi acquisiti nel caso di specieconsentono di ritenere che il trattamento di dati oggetto dell'odierna verificapreliminare (volto a identificare in modo certo i soggetti abilitatiall'accesso in un'area riservata e che vi hanno fatto ingresso) siaconfigurabile in termini leciti. Ciò, tenendo conto della specifica finalitàperseguita nel contesto esaminato, volta a incrementare la sicurezzadell'impianto idrico calabrese, anche con l'implementazione di misurepreventive a tutela della qualità delle acque (peraltro oggetto del d.lg. 2febbraio 2001, n. 31, recante Attuazione della direttiva 98/83/CE relativa allaqualità delle acque destinate al consumo umano) e per assicurare, mediatamente,la salute pubblica.

La società evidenzia l'obiettivanecessità di effettuare un accertamento particolarmente rigoroso sia dellalegittimazione all'ingresso nella predetta area aziendale dei dipendentiautorizzati, sia dell'identità dei singoli lavoratori coinvolti (cfr., in particolare, comunicazione del 19 novembre2007). Le attività per le quali sono approntate le misure di identificazionesopra descritte richiederebbero infatti standard di sicurezza specifici edelevati, nonché un quadro di certezza riguardo all'identificazione dei soggettiche vi partecipano (per fattispecie che presentava comparabili esigenze disicurezza cfr. Provv. 23 novembre2005), in ragione delle esigenze di salute pubblica coinvolte.

A tal fine, il sistema potrebbe quindiessere realizzato in modo tale da memorizzare in una central room le informazioni personali (codice identificativo etempo dell'accesso) relative agli accessi per l'intervallo di tempo di unasettimana; i dati più risalenti verrebbero cancellati automaticamente (cfr. comunicazione dell'8 agosto 2007, p. 13).

2.3. Il Garante constata la necessità che il trattamento di dati biometriciper lo scopo prefissato riguardi solo il personale interessato a operare pressogli impianti di potabilizzazione dell'acqua, nonché quello che, per le mansionisvolte, ha accesso ai locali presidiati dal sistema biometrico nei quali sonocustodite planimetrie e, più in generale, la documentazione tecnica relativaalle reti idriche.

Per effetto del presente provvedimento,potranno quindi formare oggetto di trattamento solo i dati (pertinenti e noneccedenti rispetto alla finalità perseguita) riferiti non alla generalità deidipendenti, ma ai lavoratori per i quali, a seguito di una ricognizionepreventiva che tenga conto delle mansioni svolte, la società constati edocumenti l'effettiva necessità di accedere alle aree meritevoli di protezioneappena indicate.

A tal fine, il meccanismo che la societàpotrà utilizzare dovrà essere basato sulla lettura delle impronte digitalicifrate su uno strumento disponibile al lavoratore (smart card o analoghidispositivi), senza creare un archivio centralizzato dei template derivati dall'analisi delle improntedigitali. La società potrà memorizzare nel proprio sistema informativo,oltre alle predette registrazioni orarie degli accessi ai locali presidiati, idati personali (diversi dal template) univocamente identificativi dei lavoratori, che risultino necessariper registrare temporaneamente anche l'identità dei lavoratori che fannoingresso, di volta in volta, nelle aree riservate.

2.4. In ogni caso, dovranno essere impartite istruzioni riguardoall'eventuale perdita e sottrazione dei dispositivi affidati al lavoratore(anche rispetto alle tempestive comunicazioni dovute alla società), nonché alciclo di utilizzazione dei dispositivi di autenticazione e, infine, alleprocedure interne per verificare il sistema ed aggiornare, ove necessario, idispositivi affidati ai lavoratori.

2.5. I dati relativi agli accessi potranno essere conservati per un periodonon superiore a una settimana e dovranno essere registrati cronologicamente inmodo tale da consentire il loro pronto reperimento anche sulla base diun'opportuna organizzazione per giorni di rilevazione.

Dovranno essere predisposti meccanismi diintegrale cancellazione automatica delle informazioni allo scadere del termineprevisto, evitando ogni prolungamento surrettizio dei tempi di conservazioneattraverso la creazione di copie di sicurezza.

La società potrà assicurare ladisponibilità dei dati raccolti solo in presenza di una richiesta di accesso daparte dell'interessato, oppure di eventi criminosi verificatisi o, ancora, diuna richiesta da parte dell'autorità giudiziaria. In tali casi, dovranno essereadottate misure volte a consentire la conservazione prolungata dei datipersonali memorizzati.

2.6. Resta ferma la necessità che, atteso che tale trattamento di datibiometrici può comportare un controllo a distanza dei lavoratori (cfr. Provv. 23 novembre 2006, Lineeguida cit., punto 4; da ultimo, v. anche Cass. 17 luglio 2007, n. 15892),peraltro anche in ragione della prospettata collocazione di telecamere disorveglianza (cfr. punto 2.1.),il sistema biometrico sia attivato solo dopo aver soddisfatto le condizioniindicate nell'art. 4, secondo comma, della legge 20 maggio 1970, n. 300(Statuto dei lavoratori), richiamato dall'art. 114 del Codice.

TUTTO CIÒ PREMESSO ILGARANTE

prescrive a So.Ri.Cal.-Società risorseidriche calabresi S.p.A., ai sensi degli artt. 17 e 154, comma 1, lett. c) delCodice, al fine di conformarsi alle disposizioni vigenti, di adottarepreventivamente al trattamento, nei termini di cui in motivazione, accorgimentie misure a garanzia degli interessati, affinché in relazione al funzionamentodel sistema biometrico e di videosorveglianza in esame, siano trattati i datibiometrici riferiti non alla generalità dei dipendenti, ma soltanto ailavoratori per i quali, a seguito di una ricognizione preventiva che tengaconto delle mansioni svolte, la società constati e documenti l'effettivanecessità di accedere alle aree meritevoli di protezione indicate nel presenteprovvedimento; ciò, per l'esclusiva finalità di controllo degli accessi agliimpianti di potabilizzazione appartenenti alla rete di distribuzione idrica ealle sedi, centrale e periferiche della società, distribuiti sul territorioregionale (punto 2.3.).

Roma, 15 febbraio 2008

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
Buttarelli