Rilevanza pubblica e tutela dei lavoratori nei servizi locali
La tracciabilità biometrica della forza lavoro attraverso sistemi di riconoscimento facciale costituisce una delle frontiere più delicate nell’intersezione tra innovazione tecnologica, disciplina giuslavoristica e diritti fondamentali. Quando tali tecnologie vengono introdotte nella gestione ordinaria dei cantieri operativi, come quelli destinati ai servizi ambientali comunali, l’impatto della sorveglianza digitale eccede la mera dimensione aziendale e investe l’intero ecosistema della committenza pubblica.
La documentazione prodotta nel corso delle verifiche condotte tra gennaio e maggio 2023 fa emergere una gestione irregolare di dati di categoria particolare, raccolti e conservati senza alcuna valida base giuridica per monitorare l’accesso dei lavoratori. L’accertamento di tali condotte rivela falle strutturali non soltanto nella protezione della riservatezza dei dipendenti, ma anche nella catena di responsabilità contrattuale tra società operative e fornitori di servizi di consulenza.
Questo dossier ricostruisce gli elementi oggettivi, le risultanze ispettive e i passaggi procedurali che hanno condotto alla contestazione di molteplici infrazioni del Regolamento europeo, ponendo in luce le criticità insite nell’esternalizzazione informale delle funzioni di trattamento e nell’adozione sproporzionata di strumenti biometrici.
Contesto normativo, cronologia degli accessi e sviluppo delle indagini
Il quadro normativo europeo stabilisce un divieto generale al trattamento di dati biometrici intesi a identificare in modo univoco una persona fisica, salvo le deroghe tassativamente previste dall’ordinamento. Nel contesto del rapporto di lavoro, la subordinazione e la disparità negoziale tra datore e dipendente impediscono di considerare il consenso come presupposto idoneo a superare tale divieto ordinario.
La vicenda si sviluppa a partire dalle attività delegate svolte presso diverse articolazioni operative e amministrative nel territorio laziale. Il 19 gennaio 2023 un primo accesso ispettivo ha interessato il cantiere situato ad Ardea, ponendo le basi per i successivi approfondimenti documentali sulla gestione del personale impiegato nei servizi sul campo.
Nei giorni 26 e 27 gennaio 2023, le operazioni di verifica si sono estese alla sede amministrativa di L’Igiene Urbana Evolution s.r.l., consentendo l’acquisizione preliminare degli atti riguardanti i flussi informativi interni e le relazioni operative con i partner esterni.
Il quadro si è ulteriormente delineato in data 30 maggio 2023, quando i funzionari hanno eseguito un’ispezione mirata nei confronti di Unica s.r.l.s., entità costituita a gennaio 2020 con l’oggetto dichiarato di prestare attività di consulenza in ambito legale, tecnico, del lavoro e per gare d’appalto. In quella sede è stata formalizzata l’estrazione forense dei dati archiviati nelle apparecchiature aziendali.
A seguito dell’esame del materiale probatorio, il 13 settembre 2023 è stata formalizzata la notificazione delle presunte violazioni ai sensi dell’articolo 166, comma 5, del Codice in materia di protezione dei dati personali, contestando il mancato rispetto dei principi cardine di liceità e minimizzazione, nonché l’assenza di disciplina nei rapporti di esternalizzazione.
Attori e soggetti societari coinvolti nell’istruttoria
La matrice dei soggetti direttamente citati nelle risultanze ispettive comprende entità operative, fornitori di servizi professionali e organi di vigilanza deputati al controllo del rispetto delle normative vigenti sul territorio nazionale.
L’Igiene Urbana Evolution s.r.l.
Società operante nella gestione dei servizi ambientali e di raccolta rifiuti, titolare dei cantieri e delle sedi amministrative oggetto dei primi accessi ispettivi condotti nel gennaio 2023. L’ente gestiva il personale sul campo ma non aveva formalizzato gli atti necessari per delegare legalmente il trattamento dei dati a terzi.
Unica s.r.l.s.
Società a responsabilità limitata semplificata nata nel gennaio 2020, incaricata di svolgere consulenze multidisciplinari su aspetti legali, tecnici, gare di appalto e gestione dei rapporti di lavoro. Risultava materialmente depositaria dei dispositivi biometrici utilizzati per il tracciamento delle presenze.
Autorità di controllo per la protezione dei dati
Organo istituzionale collegiale [[Garante per la protezione dei dati personali|Q3758652]] competente per l’accertamento degli illeciti amministrativi, l’applicazione dei poteri correttivi e sanzionatori e l’inoltro di eventuali comunicazioni all’autorità giudiziaria ai sensi dell’articolo 168 del Codice Privacy in caso di mendacio.
Analisi critica delle evidenze: biometria sproporzionata e deleghe fantasma
L’esame analitico delle risultanze istruttorie mette a nudo due distinti profili di illiceità che si intrecciano sul piano organizzativo: l’invasività sproporzionata dello strumento tecnologico impiegato e l’opacità giuridica dei rapporti intercorsi tra le società coinvolte.
Sul fronte tecnologico, l’ispezione del 30 maggio 2023 ha accertato la presenza fisica di un sistema biometrico basato sul riconoscimento facciale. Sebbene al momento dell’accesso dei verificatori l’apparato risultasse disattivato, i log estratti dal sistema hanno dimostrato inconfutabilmente la sua operatività pregressa.
«i trattamenti di dati biometrici avevano riguardato 5 utenti, erano iniziati tra il mese di dicembre del 2021 e il mese di gennaio del 2022 ed erano cessati nel mese di gennaio 2023»
L’arco temporale di circa un anno in cui cinque lavoratori sono stati sottoposti a scansione facciale non trova alcuna giustificazione nei principi di proporzionalità e minimizzazione sanciti dall’articolo 5 del Regolamento europeo. Come evidenziato dai precedenti provvedimenti n. 16 del 14 gennaio 2021 e n. 369 del 10 novembre 2022, l’ordinaria rilevazione delle presenze lavorative può essere agevolmente eseguita con strumenti tradizionali a bassissimo impatto, rendendo la biometria intrinsecamente illecita in tale contesto.
Un elemento documentale determinante risiede nel registro dei trattamenti aggiornato al 28 settembre 2021, acquisito agli atti dell’inchiesta, il quale menzionava esplicitamente il trattamento dei dati biometrici dei dipendenti. Tale annotazione dimostra che l’implementazione del riconoscimento facciale non è stata un incidente temporaneo, bensì una scelta organizzativa pianificata e deliberata.
Il secondo asse di illegittimità riguarda la gestione contrattuale tra le società. Ai sensi dell’articolo 28 del Regolamento, qualsiasi titolare che affidi il trattamento a un soggetto terzo ha l’obbligo inderogabile di formalizzare un contratto contenente dettagliate istruzioni vincolanti, verificando che il responsabile offra garanzie adeguate.
«Non risulta infatti che l’Igiene Urbana Evolution s.r.l. abbia, in relazione ai trattamenti effettuati, provveduto a designare la Società quale responsabile del trattamento, come previsto dall’art. 28 del Regolamento.»
Dall’esame della convenzione acquisita agli atti emerge l’assoluta assenza degli elementi prescritti dal comma 3 dell’articolo 28. In mancanza di un atto formale di designazione, il consulente esterno che manipola o conserva informazioni dei lavoratori degrada a mero soggetto terzo non legittimato, configurando una violazione sistemica della riservatezza dei dipendenti.
Tale principio di rigore documentale riflette l’orientamento consolidato della giurisprudenza di legittimità, confermato anche dall’ordinanza di Cassazione n. 35256 del 2023, che ribadisce come il trattamento da parte di terzi privi di delega formale integri una violazione diretta dei presupposti di liceità.
Trasparenza amministrativa e fondamento giuridico degli atti
Le evidenze esaminate derivano integralmente dal Provvedimento del 22 febbraio 2024 (identificativo doc. web n. 9995785) emesso dall’Autorità Garante per la protezione dei dati personali. La pubblicazione di tali provvedimenti risponde a stringenti requisiti di trasparenza previsti dalla normativa di settore.
In base alla Legge 22 aprile 1941 n. 633, articolo 5, i testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche non sono coperti da diritti di proprietà intellettuale e appartengono al pubblico dominio, garantendo ai cittadini e alla stampa investigativa il diritto di scrutinare l’operato delle istituzioni e dei soggetti economici sul territorio.
Il quadro sanzionatorio si fonda sul combinato disposto degli articoli 5, 9, 28 e 166 del Codice, tutelato dal presidio dell’articolo 168, che persegue penalmente chiunque renda dichiarazioni mendaci o esibisca documentazione non veritiera dinanzi all’organo di controllo statale.