Sistemi di rilevazione delle presenze in azienda: guida pratica alla compliance

Sempre più aziende fanno ricorso all’utilizzo di strumenti di registrazione degli accessi e delle presenze dei dipendenti, al principale fine di conseguire una maggiore efficienza e semplificazione nelle attività di gestione del personale. Negli ultimi anni si è assistito (e continuiamo tutt’ora ad assistere) alla proliferazione di sistemi sempre più avanzati e connessi, ben più evoluti del “classico” cartellino marcatempo, che si dimostrano tanto più utili nei contesti che prevedono l’impiego di personale che opera al di fuori della sede aziendale.

Dall’uso del badge (sia esso basato su tecnologia magnetica, radiofrequenza (RFID), NFC o beacon BLE (bluethoot low energy)) a dispositivi che sfruttano la geolocalizzazione o la scansione di dati biometrici (es. impronte digitali), sono molteplici le soluzioni a disposizione del datore di lavoro, ognuna con le proprie caratteristiche e sottoposte a differenti disposizioni normative.

Senza pretesa alcuna, in questa sede, di analizzare tutte le possibili alternative presenti sul mercato né di scendere nel dettaglio delle caratteristiche tecniche di ciascuna di esse, partiamo tuttavia col sottolineare come con la sentenza C-55/18 del 14 maggio 2019^[1] la Corte di Giustizia dell’Unione europea abbia sancito, per tutti gli Stati membri, l’obbligo di prevedere un sistema di misurazione per stabilire in modo oggettivo, affidabile e accessibile le ore lavorate, in modo da consentire al dipendente di conteggiare le ore di lavoro ordinarie e straordinarie svolte, e al datore di lavoro di beneficiare di un controllo circa la puntualità e il rispetto degli orari lavorativi del personale.

Tecnologie, informazioni e normative da rispettare

Altra osservazione preliminare è quella che vede il tema de quo ancorato a due distinte aree normative: quella giuslavoristica e quella in materia di protezione dei dati personali, con differenziazioni riguardo alla portata precettiva in relazione al differente tipo di soluzione adottata in azienda per la rilevazione delle presenze.

Questo è il primo aspetto al quale il datore del lavoro deve prestare attenzione: considerare come in base alla tipologia di dispositivo che si intende introdurre in azienda, variano la tecnologia, il quantitativo e la tipologia di informazioni^[2] utilizzate e, di riflesso, le indicazioni normative da rispettare. Così, ad esempio, un sistema basato su scansione dell’impronta digitale ha regole più specifiche e stringenti sotto il profilo privacy rispetto a un più semplice badge basato su tessera magnetica, alla luce dei maggiori rischi ai quali sono sottoposti i dati (biometrici) raccolti del dipendente.

Tale considerazione che può apparire ovvia e perfino banale, è invece da sottolineare se consideriamo l’eventualità in cui venga prediletta una soluzione a discapito di un’altra per mera comodità, sottovalutando quindi gli oneri e gli adempimenti che il datore di lavoro sarà chiamato a osservare (e a non sottovalutare).

Sotto il profilo giuslavoristico si osserva, innanzitutto, come l’art. 4, comma 2 dello Statuto dei lavoratori (L. 300/1970) non considera “gli strumenti di registrazione degli accessi e delle presenze” come strumenti dai quali derivi la possibilità di controllo a distanza dei lavoratori. Ciò significa che l’utilizzo in azienda del “classico” badge per la timbratura non dovrà essere preceduta dall’accordo sindacale o, in mancanza di accordo o assenza delle rappresentanze sindacali, previa autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro.

I sistemi di controllo a distanza

Questa regola, tuttavia, incontra un importante limite nella tipologia di badge utilizzato. Così, ad esempio, se anziché consistere in una mera tessera che, passata sull’apposito lettore, consente di conoscere l’orario di ingresso e di uscita del dipendente, il dispositivo permette la registrazione di informazioni ulteriori, quest’ultimo si configura come strumento di controllo a distanza e, come tale, va incontro agli obblighi di cui al primo comma del richiamato articolo 4 dello Statuto dei lavoratori.

È questa l’ipotesi considerata nella sentenza della Cassazione 17531/2017, in cui un sistema come quello descritto consentiva “la trasmissione, mediante sistema on line […] di ‘tutti i dati acquisiti tramite la lettura magnetica del badge del singolo lavoratore, riguardanti non solo l’orario di ingresso e di uscita, ma anche le sospensioni, i permessi, le pause’, così realizzando ‘in concreto, un controllo costante e a distanza circa l’osservanza da parte degli stessi’ (dipendenti) ‘del loro obbligo di diligenza, sotto il profilo del rispetto dell’orario di lavoro’”^[3]. Come tale, un sistema del genere è da considerarsi come strumento di controllo a distanza e non come mero rilevatore di presenze, posto che il dispositivo deve avere solo la funzione di attestare l’orario di ingresso e di uscita del lavoratore e non anche quella di costituire un mezzo per controllare la sua prestazione lavorativa in senso ampio.

Qualora il sistema utilizzato, per le sue intrinseche caratteristiche tecniche e di utilizzo, fosse effettivamente da intendersi come strumento di controllo a distanza nei termini sopra espressi, occorrerebbe procedere secondo quanto stabilito dal primo comma dell’art. 4 dello Statuto dei lavoratori. Pertanto: accordo con le rappresentanze sindacali, laddove presenti, o in alternativa (così come anche nel caso del mancato raggiungimento dell’accordo) ottenimento dell’autorizzazione da parte della sede territoriale dell’Ispettorato nazionale del lavoro.

L’autorizzazione amministrativa

Per quanto attiene all’autorizzazione amministrativa, sul proprio sito l’Ispettorato nazionale del lavoro ha messo a disposizione l’apposito modello di istanza disponibile per il download e la successiva compilazione (INL 1.1 Istanza Videosorveglianza Altri Sistemi; vedi immagine 1).

Immagine 1

Una volta compilato in tutte le sue parti – così come indicato dettagliatamente in un precedente contributo^[4], al quale si rinvia – il modello dovrà essere inoltrato per il rilascio dell’autorizzazione, unitamente a due marche da bollo da 16 euro (una per l’istanza e una per il rilascio del provvedimento autorizzativo).

Le modalità di presentazione dell’istanza

Le modalità di presentazione dell’istanza sono due:

• Tramite consegna a mano all’ufficio della sede territoriale dell’Ispettorato nazionale del lavoro;
• Tramite modalità telematica. In questo caso per la trasmissione delle marche da bollo occorrerà utilizzare il modello “INL 1.4 – Dichiarazione sostitutiva per marca da bollo”, sempre scaricabile dal sito, come nell’immagine 2 sotto riportata.

Immagine 2

All’interno del modello troviamo due appositi spazi dove apporre le marche da bollo (vedi immagine 3). Successivamente è possibile procedere alla scansione dello stesso e al relativo invio.

Immagine 3

Appare utile sottolineare che, come esplicitamente riportato nello stesso modulo “INL1.1” di istanza, “anche la sola installazione e/o la messa in esercizio di impianti audiovisivi e di altri strumenti di controllo prima della prescritta autorizzazione darà luogo all’applicazione delle sanzioni previste dall’art. 38, comma 1, Legge 300/70”. Ciò significa che prima dell’ottenimento del provvedimento autorizzativo (o del raggiungimento dell’accordo sindacale, laddove dette rappresentanze siano presenti), non sarà possibile prevedere l’attivazione dei sistemi, né la loro semplice installazione pur mantenendoli disattivati.

Inoltre, occorre rilevare – come già sottolineato in altra sede^[5] – come in ragione dell’asimmetria tra le parti contrattuali del rapporto lavorativo (datore/titolare del trattamento dei dati da un lato, lavoratore/interessato al trattamento dall’altro), il consenso eventualmente prestato dal lavoratore non potrebbe ritenersi valido.

La timbratura mediante geolocalizzazione

Analogamente, anche i sistemi che permettono la timbratura mediante geolocalizzazione (ad esempio attraverso l’utilizzo di un’applicazione installata sullo smartphone) devono essere valutati attentamente, sotto un profilo sostanziale, circa il loro funzionamento. A fronte di vantaggi soprattutto nel caso in cui il personale svolga la propria attività al di fuori della sede aziendale, occorre rilevare come detti sistemi impattino sulla riservatezza dei lavoratori.

In questa prospettiva, pertanto, massima attenzione deve essere riservata anche alla normativa in materia di protezione dei dati personali. In particolare, con il provvedimento n. 350 dell’8 settembre 2016 [doc. web n. 5497522] l’Autorità Garante privacy ha sottolineato la necessità di:

• Fornire un’informativa completa ai dipendenti e garantire loro l’esercizio dei diritti previsti dalla normativa privacy;
• Effettuare specifiche nomine interne ed esterne nei confronti di coloro che potranno trattare i dati del sistema, nonché impartire a tali soggetti specifiche istruzioni;
• Adottare adeguate misure di sicurezza per preservare l’integrità dei dati trattati;
• Configurare il sistema o l’applicativo in modo tale che sul dispositivo sia visibile un’icona che indichi che la funzionalità di localizzazione è attiva;
• Con riferimento allo smartphone del dipendente, inibire qualsiasi possibilità – anche accidentale – di trattare dati ulteriori (es. dati relativi al traffico telefonico, agli sms, alla posta elettronica, alla navigazione internet, etc.);
• Cancellare istantaneamente il dato relativo alla posizione del lavoratore una volta verificata la corrispondenza tra le coordinate geografiche della sede di lavoro e la posizione del lavoratore^[6].

A ciò si aggiunge – alla luce dell’art. 35 GDPR, nonché dell’Allegato 1 al provvedimento n. 467 del Garante privacy dell’11 ottobre 2018 – la necessità di svolgere una valutazione d’impatto (DPIA – Data Protection Impact Assessment) nel caso in cui dal sistema “derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”^[7].

L’approccio, pertanto, deve essere più che mai “by design”, nel rispetto dell’omonimo principio rinvenibile all’art. 25 GDPR.

I sistemi di rilevamento delle presenze che sfruttano dati biometrici

Discorso diverso per i sistemi di rilevamento delle presenze che sfruttano dati biometrici^[8] (es. scansione dell’impronta digitale, dell’iride o di face detection), dove il livello di rischio per i dati trattati è ancora più elevato.

Recentemente il Garante privacy è intervenuto con un’ordinanza di ingiunzione (provvedimento n. 369 del 10 novembre 2022; [doc. web n. 9832838]) nei confronti di una società sportiva dilettantistica, rilevando illecite attività di trattamento di dati biometrici ai danni del personale dipendente e dei lavoratori. In estrema sintesi^[9], è stato rilevato come la necessità di accelerare il processo di rilevazione delle presenze non appare conforme ai principi di minimizzazione e proporzionalità del trattamento. Fanno eccezione le aziende e le attività che necessitano, per questione di sicurezza e ordine pubblico, di uno specifico controllo sul personale o sulle aree da essi frequentate, come nel caso di attività pericolose o di aree produttive ad alto rischio per la salute pubblica^[10].

Anche in questo caso è stato ribadito come il consenso dei lavoratori non possa essere adottato quale valido presupposto di liceità per il trattamento dei dati personali.

Oltre alla corretta individuazione di una base giuridica, dal provvedimento possiamo estrapolare altre utili indicazioni:

• La necessità di prevedere un’informativa completa di tutti gli elementi di cui all’art. 13 GDPR e che rappresenti in modo chiaro le caratteristiche del trattamento che si intende realizzare. Inoltre, prevedere e informare della possibilità di utilizzare, in alternativa al sistema biometrico, una modalità tradizionale basata su badge.
• L’inserimento del trattamento avente a oggetto i dati biometrici all’interno del registro del trattamento di cui all’art. 30 GDPR.

Anche in questo caso – alla luce dell’art. 35 GDPR, nonché dell’Allegato 1 al provvedimento n. 467 del Garante privacy dell’11 ottobre 2018^[11] – appare opportuno procedere con lo svolgimento di una valutazione d’impatto, alla luce della tipologia di dati trattati.

Lettori badge dotati di fotocamera

Un’ulteriore categoria di dispositivi è quella dei lettori badge che consentono di scattare automaticamente la foto del dipendente tramite una fotocamera ogni volta che avviene l’accesso al luogo di lavoro, al fine di verificare l’identità della persona che accede.

Se da un lato l’immagine della persona fisica non rientra tra le categorie di dati particolari di cui all’art. 9 GDPR, è comunque da considerare come “dato personale” alla luce della definizione offerta al punto 1 dell’art. 4 del regolamento europeo. Sul tema è stata l’Autorità Garante privacy francese (CNIL – Commission nationale de l’informatique et des libertés) a esprimere un giudizio negativo, considerando troppo invasivo l’impiego di uno strumento che obbligatoriamente e in maniera sistematica provvede alla raccolta della fotografia del dipendente dalle due alle quattro volte al giorno e che, come tale, viola il principio di minimizzazione, necessità e proporzionalità di cui all’art. 5 GDPR^[12].

A proposito di sistemi sempre più innovativi, occorre ipotizzare l’eventualità per cui qualora le caratteristiche e il funzionamento del dispositivo dovessero risultare “integralmente^[13] automatizzate”, basandosi ad esempio su intelligenza artificiale, il datore sarebbe chiamato a ottemperare anche a quanto previsto dal nuovo art. 1-bis D. Lgs. 152/1997 (inserito dall’articolo 4 del c.d. “decreto trasparenza”, D. Lgs. 102/2022).

La circolare n. 19 con cui, lo scorso 20 settembre 2022, il Ministero del Lavoro e delle Politiche sociali ha inteso fornire chiarimenti rispetto alla portata interpretativa del D. Lgs. 102/2022, stabilisce come “non sarà necessario procedere all’informativa [di cui al comma 2 dell’art. 1-bis D. Lgs. 152/1997, ndr] nel caso, ad esempio, di sistemi automatizzati deputati alla rilevazione delle presenze in ingresso e in uscita, cui non consegua un’attività interamente automatizzata finalizzata ad una decisione datoriale”. Dunque, il classico badge non sarà assoggettato agli obblighi introdotti dal “decreto trasparenza”, che saranno invece da osservare – nei termini e nelle modalità già descritte in altra sede^[14] – nel caso in cui venga impiegato un dispositivo dal quale derivi un’attività interamente automatizzata con implicazioni sul rapporto lavorativo.

Conclusioni

In conclusione, il quadro appare variegato e costellato da soluzioni tecnologiche più o meno invasive rispetto al quantitativo e alla tipologia di dati personali raccolti. Un contesto in continuo movimento in relazione alle sempre più numerose soluzioni proposte dal mercato, nel quale il datore di lavoro dovrà orientare la propria scelta prestando attenzione a quanto richiesto ai fini della compliance normativa.

Note

1. https://curia.europa.eu/juris/liste.jsf?num=C-55/18&language=IT ↑
2. Informazioni certamente riconducibili alla definizione di “dato personale” offerta dall’art. 4, n. 1, Regolamento UE 2016/679 (GDPR). ↑
3. Sul punto, cfr. anche Cass. 9904/2016 e Cass. 2531/2016. ↑
4. www.agendadigitale.eu/cultura-digitale/sistemi-decisionali-e-di-monitoraggio-automatizzati-sul-luogo-di-lavoro-guida-pratica-alla-compliance/ ↑
5. www.agendadigitale.eu/sicurezza/privacy/lavoro-sistemi-videosorveglianza-guida/; cfr. anche www.agendadigitale.eu/cultura-digitale/sistemi-decisionali-e-di-monitoraggio-automatizzati-sul-luogo-di-lavoro-guida-pratica-alla-compliance/. Nella medesima prospettiva si veda la nota n. 2572/2023 dell’Ispettorato Nazionale del Lavoro. ↑
6. Come sottolineato nella newsletter del Garante privacy n. 420 del 10 ottobre 2016 (www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/5498412#1), “verificata la associazione tra le coordinate geografiche della sede di lavoro e la posizione del lavoratore, il sistema potrà conservare ˗ se del caso ˗ il solo dato relativo alla sede di lavoro (oltre a data e orario della “timbratura” virtuale), cancellando il dato relativo alla posizione del lavoratore”, in ottica di applicazione del principio di necessità. ↑
7. Cfr., in particolare, il punto 5. ↑
8. Si intendono “dati biometrici” “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici” (art. 4, n. 14, GDPR). ↑
9. Per maggiori dettagli sul punto, cfr. col par. 3.2 del provvedimento. ↑
10. www.agendadigitale.eu/sicurezza/privacy/privacy-rilevamento-biometrico-dipendenti/ ↑
11. Cfr., in particolare, il punto 11. ↑
12. www.cnil.fr/fr/badgeuses-photo-mise-en-demeure-de-plusieurs-employeurs-pour-collecte-excessive-de-donnees ↑
13. Il termine “integralmente” è stato introdotto dall’art. 26 del “decreto lavoro” (D.L. 4 maggio 2023, n. 48). ↑
14. www.agendadigitale.eu/cultura-digitale/sistemi-decisionali-e-di-monitoraggio-automatizzati-sul-luogo-di-lavoro-guida-pratica-alla-compliance/ ↑