Termoscanner, riconoscimento facciale e questioni giuridiche

La rilevazione della temperatura corporea dei dipendenti in ingresso presso i locali aziendali rappresenta uno degli adempimenti che le organizzazioni sono chiamate a porre in essere nell'alveo delle misure per il contenimento e il contrasto alla diffusione del Covid-19 negli ambienti di lavoro.
Rinviando ad altra sede la disamina dei tipici adempimenti in materia di protezione dei dati personali che le organizzazioni sono chiamate ad implementare, si intende richiamare l'attenzione sulle funzionalità e caratteristiche tecniche degli strumenti di cui le organizzazioni si stanno dotando per rilevare la temperatura dei soggetti che intendono accedere ai locali dell'organizzazione.
Tali dispositivi sono sempre più spesso dotati di tecnologie particolarmente sofisticate, sicché nel novero delle funzionalità di cui dispongono, vi è (tipicamente) il riconoscimento facciale del soggetto che si sottopone al rilevamento della temperatura corporea. A ciò si aggiunga che comunemente i termoscanner sono corredati anche di funzionalità che prevedono non solo la mera face detection (ossia una tecnologia in grado di rilevare la presenza di un volto umano in un'immagine o in un video) ma anche la face recognition degli interessati che si sottopongono al rilevamento della temperatura corporea. Tale ultima funzionalità si basa su una tecnologia in grado di associare il volto ad un soggetto determinato mediante la comparazione del volto individuato dall'algoritmo con le immagini presenti in un database di riferimento.
Pertanto, non stupisce il crescente interesse delle organizzazioni verso la possibilità di impiegare gli strumenti in parola non solo per l'assolvimento della tipica funzione di rilevamento della temperatura corporea, ma anche per rilevare la presenza del personale, in luogo del tradizionale badge magnetico.
Ebbene, la scelta di intraprendere tale percorso non può avvenire sic et simpliciter posto che l'utilizzo di tecnologie biometriche in siffatto contesto richiede un'adeguata analisi delle implicazioni giuslavoristiche e privacy.
Sotto il primo profilo, infatti, l'installazione di tali strumenti impone alle organizzazioni di effettuare una valutazione preliminare in materia di controllo a distanza dei lavoratori e di adempiere, ove necessario, agli obblighi posti in capo all'azienda ai sensi dello Statuto dei Lavoratori.
In punto di tutela dei dati personali, invece, occorre una più profonda riflessione in termini di legittimità del trattamento e anche di rischi associati all'utilizzo di dati biometrici per la rilevazione della presenza dei lavoratori. È di tutta evidenza che l'implementazione di una funzionalità di face recognition implichi un trattamento di dati biometrici ossia dati personali ottenuti da un trattamento tecnico specifico relativo alle caratteristiche fisiche e fisiologiche di una persona fisica che ne consentono o confermano l'identificazione univoca.
A tale riguardo, ferma ed impregiudicata la tassatività delle condizioni che legittimano il trattamento di tali categorie di dati personali che già di per sé potrebbe costituire un'invalicabile limite all'impiego di termoscanner per finalità di time and attendance management, si ritiene doveroso in questa sede richiamare l'attenzione sui rischi a cui le organizzazioni si esporrebbero ove implementassero la tecnologia in parola.
Tenuto conto della natura dei dati biometrici - che consentono una identificazione univoca dell'interessato sulla base delle sue caratteristiche fisiche e fisiologiche - è evidente che la raccolta e la conservazione di tali informazioni costituisce un trattamento di dati personali particolarmente delicato alla luce (anche e soprattutto) delle gravi conseguenze a cui sarebbero esposti gli interessati in caso di perdita o furto di tali dati.
Sul punto, infatti, in vari settori dell'ordinamento (soprattutto in ambito bancario) si è registrata una costante crescita dell'utilizzo dell'identificazione biometrica in luogo dei sistemi tradizionali di autenticazione. Ciò comporta che l'appropriazione da parte di soggetti non legittimati di dati biometrici, che per loro natura sono non modificabili e inscindibilmente legati all'individuo, potrebbero prestare il fianco anche alla realizzazione di azioni fraudolente in danno degli interessati.
Ne consegue che, a parere di chi scrive, le organizzazioni dovrebbero utilizzare i termoscanner esclusivamente per finalità legate alla rilevazione della temperatura corporea dei soggetti in ingresso presso i locali aziendali, evitando di attivare le funzionalità legate al riconoscimento facciale degli individui. L'impiego di una simile tecnologia, infatti, è foriera di rischi di varia natura non solo per gli interessati, ma anche per lo stesso titolare del trattamento che difficilmente potrà essere in grado di dimostrare di essersi conformato ai principi di necessità, proporzionalità e liceità del trattamento sanciti dalla normativa in materia di protezione dei dati personali.

Avvocato nello Studio Pirola Pennuto Zei & Associati