Privacy e lavoro

Rilevazione presenze con impronte digitali: cosa dice il Garante

L'idea è comprensibile. Un lettore di impronte all'ingresso costa poco, non si dimentica a casa come il badge e chiude la porta al classico «timbro io anche per te». Molte aziende ci hanno pensato, parecchie l'hanno installato e, tra il 2024 e il 2025, più di una si è ritrovata con una sanzione del Garante per la protezione dei dati personali e l'ordine di cancellare tutto.

La posizione dell'Autorità è ormai consolidata: oggi in Italia i dati biometrici non si possono usare per rilevare le presenze dei dipendenti. Le ragioni sono giuridiche prima che tecniche, e i casi più recenti lo mostrano bene. Le alternative, per fortuna, non mancano.

Perché la biometria per le presenze è fuori gioco

Impronta digitale e modello del volto sono dati biometrici, che il GDPR colloca tra le categorie particolari dell'art. 9: trattarli è vietato, salvo eccezioni precise. Per il rapporto di lavoro conta la lettera b) del paragrafo 2, che consente il trattamento se necessario per adempiere obblighi o esercitare diritti in materia di diritto del lavoro, ma solo nella misura in cui sia autorizzato dal diritto dell'Unione o dello Stato membro, o da un contratto collettivo, con garanzie appropriate. Il Codice privacy, all'art. 2-septies, aggiunge che dati genetici, biometrici e relativi alla salute si trattano solo se ricorre una di queste condizioni e nel rispetto delle misure di garanzia disposte dal Garante.

Il nodo è tutto qui. Il Garante ha ripetuto in più provvedimenti che al momento non esiste una norma che consenta di usare dati biometrici per rilevare le presenze. Senza quella base giuridica il sistema è illecito, per quanto cifrato o ben progettato possa essere.

E il consenso dei dipendenti? Non basta. Tra datore e lavoratore c'è uno squilibrio che, secondo l'Autorità, impedisce di considerare il consenso davvero libero: di regola non è una base valida nel rapporto di lavoro, pubblico o privato. Nemmeno un personale entusiasta cambia le cose, come mostra uno dei casi qui sotto.

Tre casi recenti

Cinque società nello stesso impianto di rifiuti (2024)

Nella newsletter del 28 marzo 2024 il Garante ha dato notizia di sanzioni da 70.000, 20.000, 6.000, 5.000 e 2.000 euro a cinque società che lavoravano nello stesso sito di smaltimento rifiuti e rilevavano le presenze con il riconoscimento facciale. Tre di loro condividevano da oltre un anno lo stesso sistema, senza misure di sicurezza adeguate, e lo stesso impianto era in uso in altre nove sedi. Mancavano un'informativa chiara e la valutazione d'impatto. Oltre alle multe, l'Autorità ha ordinato la cancellazione dei dati raccolti illecitamente, indicando come alternativa meno invasiva il badge.

La concessionaria d'auto (2024)

Con un provvedimento del 6 giugno 2024, reso noto nella newsletter del 26 giugno, il Garante ha sanzionato per 120.000 euro una concessionaria che usava il riconoscimento facciale per le presenze in due unità produttive. L'ispezione, svolta con il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza, ha riguardato anche un gestionale in cui i dipendenti registravano tempi, modalità delle riparazioni e periodi di inattività su ogni veicolo, dati raccolti da oltre sei anni per report mensili alla casa madre senza base giuridica né informativa adeguate. È un dettaglio che fa riflettere, perché sotto esame non c'era solo il lettore all'ingresso, ma tutto ciò che raccoglieva dati sull'attività dei lavoratori.

L'istituto scolastico (2025)

Nel provvedimento del 27 marzo 2025, comunicato con la newsletter del 25 giugno, la sanzione è stata più contenuta (4.000 euro), ma il principio non cambia. Un istituto di istruzione superiore di Tropea rilevava le presenze del personale amministrativo con badge e impronta digitale, anche per prevenire danneggiamenti e vandalismi. Il sistema riguardava dipendenti che avevano dato il consenso e preferivano non usare le modalità tradizionali. Non è bastato, perché in mancanza di una specifica norma di legge, il trattamento biometrico resta sproporzionato.

E nella pubblica amministrazione?

Per la PA c'è stata una parentesi a sé. La legge 56/2019, la cosiddetta legge «Concretezza», aveva previsto all'art. 2 sistemi di verifica biometrica dell'identità e videosorveglianza degli accessi per contrastare l'assenteismo. Il DPCM attuativo non è mai stato adottato e la legge di bilancio 2021 (legge 178/2020) ha abrogato i commi da 1 a 4 di quell'articolo. Oggi, dunque, nemmeno un ente pubblico può contare su una norma generale che autorizzi l'impronta al posto del cartellino.

Quando serve l'accordo sindacale secondo lo Statuto dei lavoratori

Al tema privacy si intreccia l'art. 4 della legge 300/1970, riscritto dal D.Lgs. 151/2015. Il comma 1 ammette gli strumenti dai quali derivi anche la possibilità di controllo a distanza solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e solo previo accordo con la RSU o le RSA oppure, in mancanza, con l'autorizzazione dell'Ispettorato Nazionale del Lavoro.

Il comma 2 esclude da questa procedura gli strumenti che il lavoratore usa per rendere la prestazione e gli strumenti di registrazione degli accessi e delle presenze. Un lettore di badge o un sistema di timbratura, quindi, non richiede accordo né autorizzazione. Con due avvertenze.

• L'esenzione copre la funzione di rilevazione delle presenze. Se lo strumento fa altro, come seguire la posizione durante la giornata, cronometrare ogni lavorazione o riprendere con una telecamera, si torna al comma 1. L'INL lo ha spiegato per i GPS sui veicoli aziendali (circolare n. 2/2016): lo strumento di lavoro è il mezzo, non il localizzatore.
• Il comma 3 vale sempre: i dati raccolti sono utilizzabili ai fini del rapporto di lavoro solo se il dipendente ha ricevuto un'adeguata informazione su come funzionano gli strumenti e su come si svolgono i controlli, e nel rispetto del Codice privacy.

Va da sé che l'esenzione del comma 2 non rende lecito un trattamento biometrico. I piani sono distinti, e un sistema può essere in regola con lo Statuto e fuori legge per il GDPR.

Timbrare con lo smartphone e la geolocalizzazione

Le app di timbratura con verifica della posizione sono molto diffuse tra chi lavora fuori sede: manutentori, imprese di pulizie, operatori dell'assistenza domiciliare, squadre di installatori. Il riferimento resta la verifica preliminare dell'8 settembre 2016, con cui il Garante ha ammesso un sistema di questo tipo a precise condizioni:

• un'icona sempre visibile sullo schermo quando la localizzazione è attiva;
• conservazione del solo dato relativo alla sede di lavoro, con data e ora della timbratura, cancellando la posizione del lavoratore;
• nessun accesso ad altri dati del telefono, come SMS, posta elettronica, traffico telefonico o navigazione;
• possibilità, per chi non vuole installare l'app, di continuare con i sistemi tradizionali;
• un'informativa completa su dati trattati, finalità, tempi di conservazione e soggetti che vi accedono.

Più delicato il lavoro agile. Con il provvedimento n. 135 del 13 marzo 2025 il Garante ha sanzionato per 50.000 euro un datore di lavoro che chiamava a campione i dipendenti in smart working chiedendo di attivare la geolocalizzazione e comunicare la propria posizione. Quel provvedimento è stato però impugnato: il Tribunale di Cosenza ha accolto l'opposizione con sentenza n. 972 del 1° luglio 2026 e il Garante lo ha temporaneamente rimosso dal proprio sito. Non abbiamo potuto leggere le motivazioni del tribunale e su questo punto la questione resta aperta. Finché non saranno note, chi gestisce personale in lavoro agile fa bene a non chiedere ai dipendenti di comunicare la propria posizione.

Le alternative che reggono

Il timore del badge prestato è reale, ma si affronta con l'organizzazione più che con la biometria.

• Badge RFID o tessera magnetica: la soluzione più tradizionale, indicata dallo stesso Garante come alternativa meno invasiva.
• PIN personale su un terminale, anche in combinazione con il badge.
• QR da inquadrare con l'app aziendale: la timbratura è legata all'account personale del dipendente e, se il codice cambia periodicamente, la foto girata su WhatsApp dopo poco non serve più.
• Controlli di plausibilità: incrocio con i turni pianificati, segnalazione delle timbrature anomale, verifiche a campione del responsabile di reparto. Sono strumenti banali, ma spesso più efficaci di quanto si pensi.

Qualunque sia la scelta, alcuni adempimenti non si possono saltare: informativa ai dipendenti, aggiornamento del registro dei trattamenti, tempi di conservazione definiti, valutazione d'impatto quando il trattamento presenta rischi elevati, per esempio con la geolocalizzazione, e coinvolgimento del DPO, se nominato.

Presenze senza biometria con HelloPDKS

HelloPDKS segue questa impostazione. Niente impronte né volti: il dipendente inquadra con l'app un QR esposto in sede, stampato o mostrato da un terminale a parete che lo rigenera nel tempo. La verifica della posizione è un'opzione che l'azienda decide se attivare e riguarda solo il momento della timbratura. Dal pannello si gestiscono presenze in tempo reale, ritardi, ferie, richieste di correzione e report su straordinari e limiti di orario, con export CSV per il consulente del lavoro e la possibilità di gestire più sedi.

Due cose vanno dette chiaramente. L'interfaccia oggi è in turco e in inglese. E informativa, DPIA e scelte sulla conservazione restano responsabilità del datore di lavoro: nessuno strumento le fa al posto vostro. Se volete vedere come funziona, potete chiedere una demo.