La tutela dei dati biometrici sul luogo di lavoro
L’utilizzo di parametri corporei per certificare l’ingresso e l’uscita dei dipendenti dai luoghi di servizio rappresenta uno dei terreni di maggiore attrito tra esigenze di controllo amministrativo e diritti fondamentali della persona. Nel contesto della scuola pubblica, il ricorso a strumenti di autenticazione basati sulle caratteristiche biologiche dei lavoratori si scontra con una cornice normativa comunitaria rigorosa, che vieta il trattamento di tali informazioni salvo deroghe espresse e proporzionate previste dalla legislazione statale.
Il caso dell’Istituto di Istruzione Superiore Galluppi di Tropea documenta l’illegittimità delle prassi di rilevazione che associano codici individuali e profili biometrici in assenza di un fondamento primario nell’ordinamento nazionale. L’intervento sanzionatorio ribadisce che la gestione del rapporto di lavoro ordinario non può giustificare l’acquisizione di dettagli fisiologici, anche qualora l’amministrazione ritenga di perseguire una maggiore efficienza operativa o una riduzione degli adempimenti burocratici.
La controversia evidenzia il divario persistente tra l’evoluzione tecnica dei sistemi di timbratura automatizzata e la piena comprensione delle garanzie di riservatezza prescritte a livello europeo. L’adozione di apparati tecnologici invasivi da parte di enti territoriali e istituti scolastici richiede una preventiva valutazione d’impatto e il costante rispetto dei vincoli legali di proporzionalità e necessità.
Gli edifici e i corridoi degli istituti scolastici statali hanno visto negli anni l’introduzione progressiva di apparati per il monitoraggio degli accessi, spesso acquistati senza una compiuta verifica dei presupposti giuridici.
Il quadro regolatorio e l’evoluzione della disciplina nazionale
La cornice giuridica relativa alla rilevazione delle presenze nella pubblica amministrazione ha attraversato una fase di profonda incertezza normativa nell’ultimo decennio. Il legislatore aveva inizialmente contemplato l’introduzione di dispositivi biometrici e di videosorveglianza attraverso i commi da 1 a 4 dell’articolo 2 della legge 19 giugno 2019, numero 56, con l’obiettivo dichiarato di contrastare i fenomeni di assenteismo tra i pubblici dipendenti.
Tuttavia, tale impostazione è stata radicalmente superata quando le disposizioni in materia di rilevazione biometrica sono state abrogate dall’articolo unico della legge 30 dicembre 2020, numero 178. Il venire meno di tale base legislativa ha ripristinato il principio generale di divieto per le pubbliche amministrazioni, lasciando il trattamento dei dati biometrici privo di una copertura legale specifica e uniforme su scala nazionale.
In ambito europeo, il Regolamento generale sulla protezione dei dati definisce i parametri biometrici come categorie particolari di informazioni personali, assoggettandoli a un regime di protezione rafforzato disciplinato dall’articolo 9. La deroga al divieto generale richiede la presenza congiunta di una finalità di rilevante interesse pubblico, proporzionata allo scopo, e di disposizioni di legge chiare che specifichino idonee misure di garanzia a tutela dei diritti dell’interessato.
La giurisprudenza e gli orientamenti europei
La linea interpretativa consolidata dal Comitato europeo per la protezione dei dati, richiamata anche nelle Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie approvate il 24 maggio 2023, stabilisce che la natura invasiva del dato biometrico impone standard stringenti. La trasformazione delle caratteristiche fisiche in modelli digitali o codici cifrati non ne altera la qualifica giuridica originaria.
I verbali e le linee guida redatti dalle autorità di controllo continentali sottolineano come il monitoraggio del personale debba privilegiare strumenti convenzionali meno invasivi, quali tessere magnetiche o sistemi cartacei, salvo che non sussistano esigenze di sicurezza fisica di livello eccezionale e non altrimenti gestibili.
Soggetti ed enti coinvolti nella vicenda
La procedura ha tratto origine dall’iniziativa formale promossa da alcuni dipendenti dell’istituto scolastico situato nel comune di Tropea, in provincia di Vibo Valentia. I lavoratori, indicati negli atti come Sig.ri XX, XX e XX, hanno formalizzato un reclamo tramite il proprio difensore ai sensi dell’articolo 77 del Regolamento europeo, denunciando l’illegittimità del sistema di rilevazione presenze adottato nei plessi scolastici.
La parte intimata è l’Istituto di Istruzione Superiore “P. Galluppi” di Tropea, con sede legale in viale Coniugi Crigna snc e codice fiscale 96012510796. L’ente ha operato in qualità di titolare del trattamento per i dati raccolti sul proprio personale docente e amministrativo, tecnico e ausiliario.
L’organo collegiale che ha condotto l’istruttoria e deliberato l’ingiunzione è il [[Garante per la protezione dei dati personali|Q3758362]], autorità amministrativa indipendente preposta alla vigilanza sull’applicazione del diritto alla riservatezza in Italia e al coordinamento con il quadro normativo dell’[[Unione europea|Q458]].
Analisi critica delle evidenze e del dispositivo sanzionatorio
L’analisi tecnica condotta sulla configurazione dell’apparato impiegato a Tropea ha accertato che il meccanismo di timbratura elaborava elementi derivati dalla biometria degli operatori, associandoli direttamente a una stringa identificativa univoca assegnata a ciascun dipendente. Ai sensi dell’articolo 4, numeri 1 e 14, del Regolamento comunitario, qualsiasi operazione che consenta l’identificazione certa di un individuo tramite sue proprietà fisiche o comportamentali ricade nella nozione di trattamento biometrico.
L’amministrazione scolastica non è stata in grado di documentare la sussistenza di alcuna delle condizioni eccezionali previste dall’articolo 9, paragrafo 2, del Regolamento, né la rispondenza alle prescritte misure di garanzia generali. Come rilevato nel provvedimento:
«La norma prevede che è lecito il trattamento di tali categorie di dati al ricorrere di una delle condizioni di cui all’art. 9, par. 2, del Regolamento “ed in conformità alle misure di garanzia disposte dal Garante”, in relazione a ciascuna categoria dei dati.»
Sul piano dei principi generali dell’azione amministrativa, l’istituto ha violato il parametro di proporzionalità fissato dall’articolo 6, paragrafo 3, lettera b, del GDPR. L’impiego di una tecnologia biometrica per accertare il rispetto dell’orario di lavoro ordinario eccede manifestamente il bilanciamento tra l’interesse pubblico al controllo della prestazione lavorativa e il diritto all’integrità dei dati personali.
«Ciò in quanto, la base giuridica del trattamento, per poter essere considerata una valida condizione di liceità del trattamento, deve, tra l’altro, “persegu[ire] un obiettivo di interesse pubblico ed [essere] proporzionato all’obiettivo legittimo perseguito”»
L’autorità ha quantificato la sanzione pecuniaria nella misura di euro 4.000,00 per la violazione degli articoli 5, 6 e 9 del Regolamento. L’entità dell’importo riflette i criteri di effettività, proporzionalità e dissuasività previsti dall’articolo 83, applicando le indicazioni fornite dal punto 60 delle Linee guida 4/2022 del Comitato europeo per la protezione dei dati in merito alle violazioni commesse da soggetti pubblici privi di scopo di lucro.
Il quadro normativo garantisce all’ente sanzionato specifiche facoltà difensive e processuali. L’istituto può estinguere il procedimento pagando entro trenta giorni un importo pari alla metà della sanzione comminata, come disposto dall’articolo 166, comma 8, del Codice in materia di protezione dei dati personali. In caso contrario, scatta l’obbligo di versare integralmente i 4.000,00 euro ingiunti, fatta salva la possibilità di ricorso dinnanzi all’autorità giudiziaria ordinaria ai sensi del combinato disposto degli articoli 78 del Regolamento, 152 del Codice e 10 del decreto legislativo 1 settembre 2011, numero 150.
Trasparenza amministrativa e fondamento di pubblico dominio
Il testo da cui originano i fatti esaminati è il Provvedimento del 27 marzo 2025, iscritto nel registro ufficiale dei documenti dell’autorità con identificativo [10138981]. La decisione è accessibile al pubblico per espressa disposizione dell’articolo 166, comma 7, del Codice e dell’articolo 16, comma 1, del Regolamento interno del Garante numero 1/2019, che ne impongono la diffusione online a fini di trasparenza e prevenzione generale.
La divulgazione, l’analisi e la conservazione di tali atti ufficiali si fondano sull’articolo 5 della legge 22 aprile 1941, numero 633, che esclude dalla tutela del diritto d’autore i provvedimenti emanati dallo Stato e dalle pubbliche amministrazioni nell’esercizio delle loro funzioni istituzionali. La documentazione integrale è consultabile presso la banca dati pubblica del Garante per la protezione dei dati personali all’indirizzo istituzionale https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10138981.