L’iter di approvazione del cosiddetto Disegno di Legge (DDL) per la concretezza è completo, ma il confronto sul rispetto della privacy nell’utilizzo di tecniche biometriche e videosorveglianza per il controllo delle presenze del personale della pubblica amministrazione è tutt’altro che chiuso. Prova ne è la dichiarazione del Garante privacy Antonello Soro, che ha nuovamente espresso un pensiero critico sul provvedimento che possiamo sintetizzare nella frase “la legge concretezza utilizza mezzi di controllo e sorveglianza sproporzionati”.
La partita contro l’assenteismo nella Pubblica amministrazione, insomma, non si gioca in campo tecnico ma esclusivamente su quello di alcuni principi fondanti della protezione dei dati personali. E’ bene analizzare il funzionamento di questi controlli, per capirne l’impatto.
Articolo 2: misure per il contrasto dell’assenteismo
Analizzando il testo della legge troviamo comunque una serie di buoni propositi sul rispetto del Regolamento Europeo sulla protezione dei dati personali (Gdpr) e sulla sua applicazione in conformità anche al decreto 196/2003 come modificato dal decreto 101/2018.
E’ interessante riportare e commentare l’articolo 2 della Legge approvata.
1. Ai fini della verifica dell’osservanza dell’orario di lavoro, le amministrazioni pubbliche di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n.165,con esclusione dei dipendenti di cui all’articolo 3 del medesimo decreto e fuori dei casi di cui all’articolo 18 della legge 22 maggio 2017, n.81, introducono, ad invarianza di oneri rispetto alla normativa vigente e, comunque, nel rispetto della dotazione del fondo di cui al comma 5, sistemi di verifica biometrica dell’identità e di videosorveglianza degli accessi, in sostituzione dei diversi sistemi di rilevazione automatica, attualmente in uso, nel rispetto dei princìpi di proporzionalità, non eccedenza e gradualità sanciti dall’articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile2016. Con decreto del Presidente del Consiglio dei ministri, su proposta del Ministro per la pubblica amministrazione, da adottare ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988, n.400, previa intesa in sede di Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto1997, n.281, e previo parere del Garante per la protezione dei dati personali ai sensi dell’articolo 154 del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n.196, sulle modalità di trattamento dei dati biometrici, sono individuate le modalità attuative del presente comma, nel rispetto dell’articolo 9 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, e delle misure di garanzia definite dal predetto Garante, ai sensi dell’articolo 2-septies del citato codice di cui al decreto legislativo n.196 del 2003.
2. I dirigenti delle amministrazioni di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n.165, adeguano la propria prestazione lavorativa nella sede di lavoro alle esigenze dell’organizzazione e dell’incarico dirigenziale svolto, nonché a quelle connesse con la corretta gestione e il necessario coordinamento delle risorse umane. Per le finalità di cui al presente comma, ai medesimi dirigenti, ad eccezione di quelli appartenenti alle categorie di cui all’articolo 3 del decreto legislativo 30 marzo 2001, n.165, si applicano i sistemi di verifica biometrica dell’identità e di videosorveglianza di cui al comma 1.
3. Le pubbliche amministrazioni che per espressa previsione normativa sono tenute a utilizzare i servizi di pagamento degli stipendi messi a disposizione dal Ministero dell’economia e delle finanze provvedono all’attuazione delle misure di cui ai commi1 e 2 con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente e senza nuovi o maggiori oneri per la finanza pubblica, avvalendosi dei servizi di rilevazione delle presenze forniti dal sistema «NoiPA» del Ministero dell’economia e delle finanze. Le altre amministrazioni pubbliche provvedono all’attuazione delle misure di cui ai commi 1 e 2 con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente e senza nuovi o maggiori oneri per la finanza pubblica, anche avvalendosi dei servizi di rilevazione delle presenze forniti dal sistema «NoiPA» del Ministero dell’economia e delle finanze.
4. Per il personale docente ed educativo del Ministero dell’istruzione, dell’università e della ricerca, le modalità attuative del presente articolo sono stabilite, senza nuovi o maggiori oneri per la finanza pubblica e con l’utilizzo delle sole risorse umane, finanziarie e strumentali disponibili a legislazione vigente, con decreto del Ministro dell’istruzione, dell’università e della ricerca, di concerto con il Ministro per la pubblica amministrazione, da adottare ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988,n.400, previo parere del Garante per la protezione dei dati personali, ai sensi dell’articolo 154 del citato codice di cui al decreto legislativo n.196 del 2003, nel rispetto dell’articolo 9 del citato regolamento (UE)2016/679 e delle misure di garanzia definite dal predetto Garante, ai sensi dell’articolo2-septies del citato codice di cui al decreto legislativo n.196 del 2003.
Gli altri commi di questo articolo sono dedicati alle definizione delle risorse finanziarie da adottare.
Verifica biometrica dell’identità e della videosorveglianza
Rispetto alle discussioni di natura politica è chiara la volontà del Legislatore di voler (dover) tener conto della normativa sulla protezione dei dati personali.
Quindi adesso, come prevedibile, le tematiche si spostano sulla definizione dei sistemi di verifica biometrica dell’identità e della videosorveglianza.
Certamente il legislatore obbliga alla sostituzione dei sistemi di rilevamento presenze e introduce i principi di nuovi paradigmi di controllo del personale.
Da mesi la stampa quotidiana parla di introduzione della verifica delle impronte digitali e dell’iride.
E’ importante notare che quest’ultima verifica è non facile da attuare e comunque psicologicamente invasiva; devo guardare un obiettivo e ho una banca dati con i dati rielaborati (template) dell’iride.
Non sussistono particolari problemi di protezione dei dati personali sui template, ma certamente non è facile dimostrare la proporzionalità e la non eccedenza del trattamento.
Come funziona la rilevazione delle impronte
La rilevazione della impronte è un metodo più soft (in termini di impatto sull’utente) e soprattutto dispone di moltissima tecnologia e esperienza nel mercato.
Premesso che la biometria rappresenta una modalità seducente di risolvere il problema, in quanto associa elementi fisiologici (quello che sono) al classico principio del possesso del badge.
Il metodo più utilizzato in questi scenari è un badge che contiene un codice alfanumerico derivato dall’impronta digitale tramite un algoritmo che memorizza le principali caratteristiche dell’impronta denominate minuzie.
Questo codice è denominato template e viene memorizzato in modo protetto nel badge al fine di evitare la copia o l’uso illecito del dato. Dal template, in nessun modo è possibile risalire all’impronta digitale che lo ha determinato.
L’operazione di timbratura avviene utilizzando il badge e contemporaneamente ponendo il dito sul lettore di impronte. Il sistema ricalcola il template ed effettuato il confronto positivo fa scattare l’apertura del tornello e la timbratura oraria.
Ovviamente le operazioni di timbratura sono più lente, i lettori devono essere puliti con frequenza nelle ore di punta e si deve tenere in conto che c’è una percentuale significativa di soggetti con difficoltà di utilizzo delle impronte.
Ci sono una serie di variazioni tecnologiche sul tema ma in nessuna di queste ci sono problemi di privacy che non siano risolubili in conformità al Provvedimento generale prescrittivo sulla biometria del 12 novembre 2014. In particolare nell’allegato A, tra l’altro, viene analizzato il controllo d’accesso tramite impronte digitali. Vengono stabilite una serie di regole che sono di buon senso e che sono tutte applicabili.
Solo l’obbligo di un lettore di impronta che assicuri la vivezza (cioè il fatto sia verificato un dito reale e non un manufatto plastico) appare costoso e di complessa acquisizione.
Al termine di queste considerazioni è possibile dire che non viola la privacy un processo dove al dipendente vengono acquisite le impronte; le impronte vengono scritte nel badge; le informazioni iniziali e i dati grezzi derivati da passaggi elaborativi intermedi vengono cancellati in modo completo e definitivo.
L’amministrazione non ha alcun dato del dipendente se non la copia del badge di riserva presso l’Ufficio del personale o presso la reception.
Quello che ha non condivide il Garante per la protezione dei dati personali sul tema in esame non è di natura tecnica e non potrebbe esserlo perché questi aspetti saranno trattati nel decreti attuativi.
Ne abbiamo già parlato qui.
Videosorveglianza e tornelli
Concludiamo con una breve riflessione sulla videosorveglianza e sui tornelli. Cosa sia la videosorveglianza è noto ed è altresì noto che essa è molto utilizzata (magari con installazioni ad hoc) nel corso delle indagini su casi di assenteismo. La sua diffusione legata al principio di sicurezza ambientale riduce certamente l’impatto sulle tematiche di privacy.
Per quanti attiene ai tornelli ricordiamo che sono indispensabili, in quanto si potrebbe rilevare la propria presenza e poi andarsene. La biometria e il badge plastico non sarebbero differenti tra loro rispetto all’obiettivo.
Alla videosorveglianza è associabile anche il riconoscimento facciale, i sensori riconoscono il soggetto e aprono il tornello dopo le verifiche del caso. Non bisogna inventare nulla perché i dati biometrici contenuti nel passaporto elettronico già consentono questi controlli negli aeroporti.
Nel caso specifico la stessa struttura dati del passaporto potrebbe essere riportata nel badge plastico opportunamente dotato di microchip contactless.
