Impronta, volto, iride: le prove che il fornitore del lettore non vi ha consegnato

Un’azienda manifatturiera sostituisce il vecchio badge magnetico con un lettore di impronte digitali all’ingresso del reparto qualità. Il fornitore consegna il terminale, un manuale e una frase rassicurante: il dato resta nel dispositivo, tutto è conforme al GDPR. Nessuno chiede dove finisca il modello matematico dell’impronta di ogni dipendente, chi possa estrarlo, per quanto tempo vi resti. Domanda semplice, a cui in molte imprese nessuno saprebbe rispondere: quale norma autorizza, in Italia, la lettura biometrica di un lavoratore per la timbratura?

Il doppio filtro che nessun fornitore consegna

Un’impronta, un volto, un’iride non dipendono mai da una sola norma. L’art. 9, par. 1, del Regolamento (UE) 2016/679 (GDPR) vieta il trattamento dei «dati biometrici intesi a identificare in modo univoco una persona fisica» — definiti dall’art. 4, punto 14), come «i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici». Il divieto cade solo per una delle deroghe del paragrafo 2: per il lavoro, la lettera b) lo ammette se «necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale», e solo «in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato».

Non basta. Il paragrafo 4 dello stesso art. 9 autorizza gli Stati membri a mantenere «ulteriori condizioni, comprese limitazioni». L’Italia lo ha fatto con l’art. 2-septies del Codice Privacy (d.lgs. 196/2003, testo in vigore dal 19 settembre 2018), rubricato «Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute»: il trattamento è lecito solo «in presenza di una delle condizioni di cui al paragrafo 2 del medesimo articolo ed in conformità alle misure di garanzia disposte dal Garante». Due condizioni cumulative, non alternative — e quelle misure il Garante deve adottarle «con cadenza almeno biennale», dopo una consultazione pubblica di almeno sessanta giorni. Non ne abbiamo trovate di adottate per la biometria, e non concludiamo che non esistano: il caso che segue riguarda l’altro filtro, quello che a Tropea mancava del tutto.

Il caso che lo dimostra: Tropea, marzo 2025

Il 27 marzo 2025 il Garante ha sanzionato un istituto scolastico — l’Istituto di Istruzione Superiore “P. Galluppi” di Tropea — per aver rilevato le presenze del personale ATA con un lettore di impronte digitali (provvedimento n. 167/2025, doc-web 10138981). Il sistema funzionava come quasi tutti, spiega il provvedimento: le impronte venivano «digitalizzate, elaborate e compresse mediante un algoritmo matematica irreversibile (da non confondersi con il processo di criptografia o crittografia) fino ad ottenerne un modello matematico (template)», associato al codice del dipendente. Nessuna immagine salvata, nessun dato anagrafico nel lettore: l’argomento con cui i fornitori rassicurano. Il Garante lo respinge: quelle informazioni «risultano comunque riconducibili ad un codice direttamente identificativo del singolo dipendente, ne consentono o confermano l’identificazione univoca» e restano dati biometrici ai sensi dell’art. 4, punti 1) e 14), del GDPR. Il template non salva nessuno.

Decisivo è il seguito. Il Garante scrive che, «in assenza di specifiche disposizioni che prevedano il trattamento dei dati biometrici per finalità di rilevazione delle presenze e delle relative garanzie, il relativo trattamento non può essere lecitamente effettuato, non sussistendo base giuridica». E non è un problema del solo settore pubblico: nello stesso provvedimento il Garante ricorda di avere accertato in numerosi casi «l’illiceità del trattamento dei dati biometrici dei dipendenti per la finalità di rilevazione delle presenze posto in essere da soggetti pubblici e privati». Non basta il consenso raccolto per iscritto da tutto il personale ATA tranne i due che avevano presentato il reclamo — trentaquattro persone in tutto, secondo il provvedimento: «il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo». E non basta avere offerto un’alternativa: chi non aderiva poteva comunque timbrare «attraverso modalità tradizionali che non comportavano il trattamento di dati biometrici» — attenuante nella sanzione, non condizione di liceità. La sanzione, 4.000 euro, resta bassa perché l’Istituto aveva già sospeso il sistema e cancellato i dati: la stessa condotta era di per sé soggetta, per legge, fino a 20 milioni di euro (art. 83, par. 5, GDPR).

Il paradosso dell’articolo 4 dello Statuto

L’art. 4 della legge 300/1970 (testo vigente dall’8 ottobre 2016) impone, per gli strumenti «dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori», un accordo sindacale o l’autorizzazione dell’Ispettorato — lo stesso vincolo che regola i log degli assistenti AI aziendali. Il comma 2, però, esclude da quel vincolo «gli strumenti di registrazione degli accessi e delle presenze»: un lettore biometrico usato solo per la timbratura non richiede alcun accordo sindacale.

L’esenzione dal comma 1 non tocca però il regime dei dati biometrici: norme distinte, beni diversi — il controllo a distanza l’una, la categoria particolare di dato l’altra. Un’azienda può avere tutte le carte in regola sul fronte sindacale e restare priva di base giuridica su quello biometrico, esattamente come a Tropea. Il trattamento resta inoltre, per la voce n. 11 dell’elenco pubblicato dal Garante l’11 ottobre 2018 (provv. n. 467, G.U. n. 269/2018), fra quelli per cui l’art. 35 GDPR impone una valutazione d’impatto: «trattamenti sistematici di dati biometrici, tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell’attività di trattamento».

Dove sta oggi ogni prova

Nessun documento la contiene per intero: sta divisa fra luoghi diversi, raramente riletti insieme.

Il contratto col fornitore: se specifica la base giuridica, chi tratta il template — titolare o responsabile ex art. 28 GDPR — dove risiede e chi può accedervi.
La configurazione del terminale: se salva un template irreversibile o un’immagine, dove avviene il confronto, quanto a lungo resta il dato in caso di guasto o sostituzione.
Il gestionale presenze: se collega il template al nominativo, chi lo consulta, se produce reportistica per singolo dipendente oltre alla timbratura.
Il registro dei trattamenti: se il trattamento biometrico vi compare come voce distinta, con finalità, base giuridica e tempi di conservazione propri.
La valutazione d’impatto: se esiste, se è aggiornata dopo l’installazione, se considera l’alternativa non biometrica.
L’informativa al personale: se dichiara l’alternativa disponibile a chi non aderisce, prima dell’attivazione e non dopo una lamentela.

Il limite, e che cosa mettere in capitolato

Non abbiamo letto alcuno schema di provvedimento sulle misure di garanzia per la biometria, e la ricerca — su motori generali, non sul motore interno di garanteprivacy.it — non ne ha trovato di adottate: non concludiamo che non esistano. Non abbiamo verificato se esistano contratti collettivi che autorizzino la biometria, ex art. 9, par. 2, lett. b), per finalità diverse dalla timbratura — accessi, autenticazione ai sistemi.

Per un capitolato: natura del dato salvato — template o immagine — e sua irreversibilità, dichiarate per iscritto; sede di archiviazione e soggetti abilitati all’estrazione, con clausola ex art. 28 se il fornitore vi accede da remoto; tempi di conservazione e cancellazione automatica verificabile; alternativa non biometrica sempre disponibile e descritta nel manuale. In accettazione bastano tre verifiche: l’estrazione di un template, osservando chi la esegue e con quali credenziali; il registro dei trattamenti, che deve citare l’art. 2-septies; l’informativa, dove l’alternativa non biometrica deve comparire per iscritto, non solo a voce.

Come lo risolviamo noi

Il caso Tropea lascia una domanda che non riguarda la buona fede del fornitore: davanti a un ispettore, si può mostrare dove sta il template, chi lo ha estratto e con quale base giuridica? È il primo asse su cui costruiamo AI dedicate e chiuse: separare il dato biometrico dal gestionale presenze, tracciare ogni accesso privilegiato al template — lo stesso principio che regge le credenziali di chi amministra un sistema AI aziendale — e aggiornare la valutazione d’impatto a ogni modifica, non scriverla una volta sola. Il secondo asse rende sostenibile il primo: un ambiente on-premise, senza integrazione profonda nella rete del cliente, oppure il nostro cloud dedicato, con VPN dedicata e data center in Italia che presidiamo direttamente — il dato del volto o dell’impronta non transita su un server di terzi.

Sapreste dire oggi, per il lettore biometrico già installato in azienda, quale norma ne autorizza l’uso e dove sta il template dei vostri dipendenti? Mezz’ora con un nostro esperto basta per la prima mappa.