Con la sentenza n. 25686, depositata ieri, la Cassazione si è pronunciata in tema di privacy su un caso riguardante l’installazione, da parte di una società, di un sistema di raccolta di dati biometrici della mano per la rilevazione delle presenze dei dipendenti.
La vicenda risulta regolata dalla normativa di protezione prevista dal DLgs. 196/2003, nel testo previgente rispetto a quello ora in vigore, come modificato dal DLgs. 101/2018 per effetto dell’entrata in vigore del Regolamento Ue 27 aprile 2016 n. 679.

Nel caso specifico, il sistema operativo utilizzato trasformava il dato biometrico relativo alla mano di ciascun lavoratore in un modello di 9 bytes; tale modello era archiviato ed associato ad un codice numerico di riferimento, che veniva memorizzato in un badge, usato dai dipendenti per la loro identificazione.
La questione che si poneva era se vi fosse o meno trattamento di dati personali e se, dunque, vi fosse violazione della detta disciplina di settore, innanzitutto per la mancata preventiva notificazione al Garante ai sensi dell’art. 37 del DLgs. 196/2003 (oggi abrogato).

Il giudice di primo grado aveva escluso vi fosse trattamento di dati personali perché, a suo avviso, il lavoratore non sarebbe stato identificato attraverso i suoi dati biometrici, ma tramite il badge, il cui uso non era oggetto di contestazione.
Ad opposta conclusione è invece giunta la Suprema Corte, la quale ha ritenuto irrilevante sia il fatto che il modello archiviato, realizzato attraverso la compressione dell’immagine della mano, consista in un numero di per sé non correlabile al dato fisico, sia il fatto che, partendo da questo numero, non sia possibile ricostruire l’immagine della mano trattandosi di un algoritmo unidirezionale ed irreversibile. Secondo la Cassazione, tali circostanze non escludono che si versi in ipotesi di trattamento di dati biometrici.

Per la Corte, ciò che rileva è che il sistema, attraverso la conservazione dell’algoritmo, è in grado di risalire al lavoratore, al quale appartiene il dato biometrico e, quindi, indirettamente lo identifica.