2 Marzo 2026 di carmignaniconsulenza

Il Garante sanziona eCampus, stop al riconoscimento facciale nella formazione online Trattati in modo illecito i dati biometrici dei partecipanti ai corsi di abilitazione all’insegnamento – Garante della Privacy Provvedimento del 29 gennaio 2026

Il Garante privacy ha sanzionato per 50mila euro l’Università eCampus per aver trattato in modo illecito i dati biometrici di numerosi partecipanti ai corsi online di abilitazione all’insegnamento.

L’Ateneo utilizzava un sistema di riconoscimento facciale per verificare l’identità e la presenza dei partecipanti alle lezioni. Dalle verifiche l’Autorità ha rilevato la mancanza di una base giuridica idonea a giustificare l’uso di sistemi biometrici, per i quali sono previste garanzie rafforzate dalla disciplina di protezione dei dati, vista anche la disponibilità di strumenti alternativi e meno invasivi per la verifica della presenza ai corsi. È emerso, inoltre, che l’Ateneo non aveva svolto una valutazione di impatto sulla protezione dei dati prima dell’attivazione del sistema di riconoscimento facciale.

Le violazioni hanno interessato un numero molto elevato di partecipanti, oltre 450 corsisti per ogni lezione.

Nel corso dell’istruttoria, il sistema ha continuato ad essere utilizzato solo parzialmente con alcuni correttivi, comunque non ritenuti sufficienti a superare le criticità rilevate, fino alla sua disattivazione definitiva. Nel determinare l’importo della sanzione, il Garante ha comunque tenuto conto della collaborazione prestata dall’Università e dell’interruzione volontaria del trattamento.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10221611

10 Luglio 2024 di carmignaniconsulenza

Riconoscimento facciale: Garante sanziona una concessionaria. No al controllo illecito delle presenze – Garante della Privacy provvedimento del 6 giugno 2024

Una sanzione di 120mila euro è stata irrogata dal Garante privacy a una concessionaria per aver violato i dati personali dei dipendenti attraverso l’utilizzo di sistemi di riconoscimento facciale per il controllo delle presenze sul posto di lavoro. L’Autorità era intervenuta a seguito del reclamo di un dipendente che lamentava il trattamento illecito di dati personali, attraverso un sistema biometrico installato presso le due unità produttive della società. Con il reclamo, veniva anche lamentato l’utilizzo di un software gestionale con cui ciascun dipendente era tenuto a registrare gli interventi di riparazione svolti sui veicoli assegnati, i tempi e le modalità di esecuzione dei lavori, nonché i tempi di inattività con le specifiche causali.

Dall’attività ispettiva del Garante, svolta in collaborazione con il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza, sono emerse numerose violazioni del Regolamento europeo da parte della società.

Con riferimento al trattamento dei dati biometrici, il Garante ha ribadito nuovamente che l’utilizzo di tali dati non è consentito perché non esiste nessuna norma di legge che al momento attuale preveda l’utilizzo del dato biometrico per la rilevazione delle presenze. Pertanto, l’Autorità ha ricordato che neanche il consenso manifestato dai dipendenti può essere considerato idoneo presupposto di liceità, per l’asimmetria tra le rispettive parti del rapporto di lavoro.

L’Autorità ha inoltre accertato che la concessionaria da più di sei anni, mediante un software gestionale, raccoglieva dati personali relativi alle attività dei dipendenti per redigere report mensili da inviare alla casa madre, contenenti dati aggregati sui tempi impiegati dalle officine per le lavorazioni effettuate. Il tutto in assenza di un’idonea base giuridica e di un’adeguata informativa che, nel contesto del rapporto di lavoro, è espressione del principio di correttezza e trasparenza. L’Autorità, oltre a sanzionare la società, le ha quindi ordinato di conformare il trattamento dei dati effettuato mediante il software gestionale alle disposizioni della normativa privacy.

Link al documento: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10029500

5 Aprile 2024 di carmignaniconsulenza

Lavoro: no del Garante Privacy all’uso del riconoscimento facciale per controllo presenze. Sanzionate cinque società che trattavano illecitamente dati biometrici – Garante Privacy provvedimento del 22.02.2024

Il riconoscimento facciale per controllare le presenze sul posto di lavoro viola la privacy dei dipendenti. Non esiste al momento alcuna norma che consenta l’uso di dati biometrici, come prevede il Regolamento, per svolgere una tale attività. Per questo motivo il Garante privacy ha sanzionato cinque società – impegnate a vario titolo presso lo stesso sito di smaltimento dei rifiuti – con sanzioni rispettivamente di 70mila, 20mila, 6mila, 5mila e 2mila euro, per aver trattato in modo illecito i dati biometrici di un numero elevato di lavoratori. [VEDI PROVVEDIMENTI doc. web n. 9995680, 9995701, 9995741, 9995762, 9995785]

L’Autorità, intervenuta a seguito dei reclami di diversi dipendenti, ha anche evidenziato i particolari rischi per i diritti dei lavoratori connessi all’uso dei sistemi di riconoscimento facciale, alla luce delle norme e delle garanzie previste sia nell’ordinamento nazionale che in quello europeo.

Dall’attività ispettiva del Garante, svolta in collaborazione con il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza, sono emerse anche ulteriori violazioni da parte delle società. In particolare l’Autorità ha accertato che tre aziende avevano condiviso per più di un anno lo stesso sistema di rilevazione biometrica, oltretutto senza aver adottato misure tecniche e di sicurezza adeguate. Inoltre il medesimo “sistema”, ritenuto illecito dall’Autorità, era utilizzato presso altre nove sedi dove operava una delle società sanzionate. Le aziende, infine, non avevano fornito una informativa chiara e dettagliata ai lavoratori né avevano effettuato la valutazione d’impatto prevista dalla normativa privacy.

Le aziende, ad avviso del Garante, avrebbero dovuto più opportunamente utilizzare sistemi meno invasivi per controllare la presenza dei propri dipendenti e collaboratori sul luogo di lavoro (come ad es. il badge). Oltre al pagamento delle sanzioni il Garante ha ordinato la cancellazione dei dati raccolti illecitamente.

Link al documento: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9995680