Cos'è la timbratura biometrica
Un sistema di rilevazione presenze biometrico riconosce il dipendente da una caratteristica fisica, invece che da un badge, un codice o il suo telefono. Le tecnologie più diffuse sono:
- impronta digitale: il dipendente appoggia il dito su un lettore;
- riconoscimento facciale: un terminale con telecamera analizza il volto;
- geometria della mano o venature del palmo, meno comuni;
- iride o retina, usate quasi solo in contesti ad alta sicurezza.
Il motivo per cui le aziende ci pensano è comprensibile: evitare che un collega timbri per un altro. Il problema è che i dati biometrici non si possono cambiare come una password. Se vengono compromessi, lo restano per sempre, ed è per questo che la legge li tutela più degli altri dati.
Cosa dicono GDPR e Codice privacy
L'art. 9 del GDPR include tra le categorie particolari di dati i dati biometrici trattati per identificare in modo univoco una persona. Il principio è il divieto: il trattamento è ammesso solo se ricorre una delle eccezioni elencate nell'art. 9, paragrafo 2. In ambito lavorativo l'eccezione di riferimento è quella per gli obblighi in materia di diritto del lavoro, che però richiede una base nel diritto dell'Unione o nazionale con garanzie adeguate.
In Italia il Codice privacy (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018) prevede che il trattamento dei dati biometrici avvenga nel rispetto di misure di garanzia stabilite dal Garante. In più valgono i principi generali dell'art. 5 GDPR, in particolare la minimizzazione: i dati devono essere limitati a quanto necessario per lo scopo. Se lo scopo è sapere chi è entrato e a che ora, e un metodo meno invasivo ci riesce, il biometrico difficilmente supera questo test.
E il regolamento europeo sull'intelligenza artificiale?
Il Regolamento UE 2024/1689 (AI Act) vieta, dal 2 febbraio 2025, i sistemi di intelligenza artificiale che deducono le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza. Un terminale che si limita a verificare l'identità del dipendente non rientra in quel divieto, ma resta pienamente soggetto al GDPR e alle regole sui dati biometrici. Prima di scegliere un terminale con riconoscimento facciale chiedi al fornitore quali funzioni usa davvero.
NoBadge registra la presenza senza trattare alcun dato biometrico: il dipendente timbra dal proprio telefono con QR code dinamico o GPS, oppure con un codice personale su un tablet all'ingresso.
La posizione del Garante Privacy
Il Garante per la protezione dei dati personali ha una posizione storicamente restrittiva sulla biometria per le presenze. Nei suoi provvedimenti, rivolti sia a enti pubblici sia ad aziende private, ha più volte contestato l'uso di impronte digitali o riconoscimento facciale per la sola rilevazione dell'orario, ritenendolo sproporzionato o privo di una base giuridica adeguata, e ha adottato sanzioni e divieti.
Il ragionamento che ricorre è sempre lo stesso, e conviene applicarlo prima di comprare un terminale:
- Finalità: registrare le presenze è legittimo.
- Necessità: il biometrico è indispensabile o esistono alternative? Quasi sempre esistono.
- Proporzionalità: l'intrusione nella sfera del lavoratore è giustificata dal beneficio? Per la comodità gestionale, di solito no.
Efficienza, rapidità o risparmio di tempo, da soli, non sono considerati motivi sufficienti per trattare dati biometrici.
Basta il consenso dei dipendenti?
No. Il GDPR prevede il consenso esplicito tra le eccezioni dell'art. 9, ma nel rapporto di lavoro subordinato il consenso è considerato raramente libero: il dipendente può temere conseguenze se rifiuta. Per questo le autorità europee e il Garante non lo ritengono, di regola, una base valida per trattare i dati dei lavoratori. Far firmare un modulo di consenso non rende lecito un sistema che non lo è.
Se vuoi approfondire le basi giuridiche per i dati di presenza in generale, leggi la guida GDPR e timbratura dipendenti.
Quando il biometrico può essere giustificato
Ci sono situazioni in cui un sistema biometrico può avere una giustificazione più solida, ma vanno valutate caso per caso con un esperto di protezione dei dati:
- accesso ad aree ad alta sicurezza, dove lo scopo principale non è registrare l'orario ma impedire l'ingresso a persone non autorizzate (per esempio aree con materiali pericolosi o infrastrutture critiche);
- una norma specifica che preveda espressamente l'uso di dati biometrici per un certo settore, con le relative garanzie.
Per una PMI che vuole solo sapere chi è arrivato e a che ora, nessuna di queste situazioni ricorre di solito.
Gli adempimenti se vuoi usarlo
Se dopo una valutazione seria ritieni di avere una base giuridica solida, questi sono i passaggi minimi da affrontare prima di accendere il sistema:
- valutazione d'impatto (DPIA) ai sensi dell'art. 35 GDPR, perché il trattamento sistematico di dati biometrici dei dipendenti presenta rischi elevati;
- consultazione preventiva del Garante (art. 36 GDPR) se la DPIA mostra rischi elevati che non riesci a ridurre;
- informativa specifica per i dipendenti, prima dell'attivazione;
- misure di sicurezza elevate, come cifratura dei modelli biometrici, accessi limitati e procedure per le violazioni;
- conservazione minima, con cancellazione dei dati biometrici quando il rapporto di lavoro finisce;
- un metodo alternativo per chi non può o non vuole usare il biometrico.
Valuta anche se serve un responsabile della protezione dei dati e verifica con il consulente del lavoro l'impatto rispetto all'art. 4 dello Statuto dei Lavoratori.
Timbratura con QR code dinamico: niente biometria, niente badge
Il QR code di NoBadge si mostra su un tablet, un PC o un telefono in sede e cambia ogni pochi secondi: una foto girata in chat smette presto di funzionare. Il dipendente timbra dal proprio account, sul proprio telefono.
Le alternative senza dati biometrici
Nessun sistema senza biometria può provare l'identità di chi timbra come un'impronta. Le alternative però rendono molto più difficile timbrare per un collega, senza i rischi legali della biometria. Ecco come si confrontano.
| Metodo | Dati trattati | Timbrare per un collega | Hardware |
|---|---|---|---|
| Impronta o volto | Dati biometrici (categoria particolare) | Molto difficile | Terminale dedicato per ogni ingresso |
| Badge tradizionale | Codice del badge, orario | Facile: il badge si presta | Lettore e badge da gestire |
| QR code dinamico (NoBadge) | Account del dipendente, orario, sede | Difficile: serve il telefono e l'account del collega in sede, il codice cambia ogni pochi secondi | Un tablet, PC o telefono già esistente |
| GPS alla timbratura (NoBadge) | Account, orario, posizione solo alla timbratura | Difficile: fuori dall'area della sede la timbratura viene rifiutata | Nessuno, basta lo smartphone |
| Codice personale su tablet (NoBadge) | Codice, orario, sede | Possibile se il codice viene condiviso | Un tablet all'ingresso |
Le alternative si possono combinare: il QR code dove c'è un ingresso fisso, come uffici e negozi, la timbratura GPS per cantieri e lavoro fuori sede. Con il GPS NoBadge registra la posizione solo al momento della timbratura e la confronta con l'area della sede. Nessuna app da browser può garantire al 100% una posizione non falsificabile, ma i sistemi antifalsificazione della posizione (geofence per sede, rifiuto fuori area, posizione e orario salvati e visibili all'amministratore) riducono molto il rischio. Senza rete, la timbratura GPS resta salvata sul telefono con l'orario del telefono e parte appena torna il segnale; con il QR code serve invece connessione.
I dipendenti usano NoBadge dal browser del telefono, senza scaricare nulla dagli store: è un'app presenze per smartphone che si installa come una web app su Android e iPhone.
Questo articolo è un'informazione generale e non è una consulenza legale. Prima di introdurre qualsiasi sistema di rilevazione presenze confrontati con il tuo consulente del lavoro o con un esperto di protezione dei dati.