Pregiatissimi, in continuità con la nostra precitata circolare n. 10 segnaliamo altro intervento da parte del il Garante della Privacy, che con provvedimento n. 536 del Giugno 2025, ha chiarito che l’uso dei dati biometrici sul posto di lavoro (ed in particolare l’utilizzo delle impronte digitali dei dipendenti), è consentito solo “se previsto da una norma specifica che tuteli i diritti dei lavoratori”. Segnatamente, il Garante ha vietato il trattamento dei dati biometrici ad una industria del settore costruzioni con circa 300 dipendenti, che intendeva – utilizzare le impronte digitali al fine di controllare l’orario di ingresso e di uscita dei propri dipendenti dal posto di lavoro, indi per evitare condotte illecite. Ebbene, tale trattamento può essere posto in essere dal datore di lavoro, (sia privato che pubblici) solo se risponde ad esigenze di interesse collettivo e di rispetto dei “criteri di necessità e proporzionalità rispetto all’obiettivo perseguito”. All’uopo, il Garante ha ritenuto l’utilizzo generalizzato delle impronte digitali troppo “invasivo” della sfera personale e della libertà individuale, ritenendo che – per raggiungere gli stessi scopi – possono essere adottate tecniche più proporzionate ed egualmente efficaci. Il trattamento dei dati biometrici (così come le impronte digitali), è infatti soggetto a regole molto stringenti previste dal Regolamento UE 2016/679 e dal Codice in materia di protezione dei dati personali (d.lgs. n. 196/2003): tali dati rientrano tra le cd. “categorie particolari” di dati personali, la cui raccolta (ed il relativo utilizzo) è generalmente vietata, salvo in presenza di condizioni specifiche. Segnatamente, affinchè possa considerarsi “lecito”, il trattamento dei dati personali deve fondarsi su una norma di legge o su un contratto collettivo che lo autorizzi espressamente ed, in ogni caso, devono essere previste adeguate misure di garanzia per tutelare i diritti e le libertà degli interessati. In mancanza, e come già segnalato con nostre precedenti, predetti presupposti normativi, il trattamento risulta illecito. In argomento, il Garante Privacy ha ribadito precisato che la mancanza di un’idonea base giuridica in merito al trattamento dei dati biometrici, non può essere colmata neppure dal consenso dei dipendenti poiché lo stesso non costituisce – di regola – un valido presupposto per il trattamento dei dati personali in ambito lavorativo (sia pubblico che privato) a causa dell’asimmetria tra le rispettive parti del rapporto di lavoro, ovvero al rapporto di subordinazione sussistente tra datore di lavoro e dipendente.
