I limiti al trattamento dei dati biometrici per scopi commerciali e lavorativi

1. Il fatto

   La vicenda trae origine da un complesso di procedimenti sanzionatori e di istruttorie conoscitive. Come evidenziato dalla stampa di settore, l'Autorità Garante per la protezione dei dati personali ha concentrato la propria attenzione su progetti a carattere internazionale, quali Worldcoin promosso da Sam Altman, volti alla raccolta di dati mediante la scansione dell'iride a fronte di vantaggi economici.

   In parallelo, nel febbraio 2024, il Garante ha sanzionato due società attive nei settori della logistica e dei servizi ambientali per l'impiego non consentito di sistemi di riconoscimento facciale destinati al controllo delle presenze dei lavoratori. Allo stato attuale, le sanzioni amministrative sono divenute definitive, mentre restano aperte le verifiche sull'uso di sistemi di riconoscimento delle emozioni (Emotion AI) in ambiti aziendali quali i call center, in vista della completa operatività dell'AI Act. Le contestazioni sollevate riguardano principalmente la violazione dei doveri di trasparenza e la radicale invalidità del consenso espresso in presenza di un asimmetrico rapporto di potere o di incentivi patrimoniali.

2. Le norme in gioco

   Il quadro normativo si impernia sul Regolamento (UE) 2016/679 (GDPR), e in particolare sull'art. 9, che stabilisce il divieto generale di trattamento di categorie particolari di dati (tra cui quelli biometrici), fatto salvo il ricorrere di tassative eccezioni, nonché sull'art. 22 concernente i processi decisionali automatizzati.

   A tale disciplina si affianca il Regolamento (UE) 2024/1689 (AI Act): l'art. 5, par. 1, lett. f) vieta espressamente l'immissione sul mercato, la messa in servizio o l'uso di sistemi di AI volti a inferire le emozioni delle persone fisiche nei luoghi di lavoro e negli istituti di istruzione. L'art. 26 impone inoltre precisi obblighi di sorveglianza umana per i sistemi ad alto rischio. Sul piano interno, l'art. 2-septies del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) subordina il trattamento dei dati biometrici al rispetto delle garanzie stabilite dal Garante.

3. Cosa dice la giurisprudenza

   I consolidati orientamenti della giurisprudenza e delle autorità di controllo valorizzano il rispetto dei principi di proporzionalità, pertinenza e minimizzazione. L'Autorità Garante ha a più riprese confermato che il trattamento di dati biometrici per la sola rilevazione delle presenze è illegittimo qualora siano disponibili strumenti alternativi meno invasivi, quali i sistemi tradizionali a badge.

   In ambito giuslavoristico, è pacifico che il consenso prestato dal lavoratore non costituisca idonea base giuridica, in ragione dell'insito vincolo di subordinazione che ne inficia la natura libera. La giurisprudenza amministrativa ha altresì ribadito la centralità del principio di trasparenza algoritmica, sancendo che i processi automatizzati devono essere pienamente conoscibili, intelligibili e sottoposti a supervisione umana diretta per scongiurare esiti discriminatori.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   Sotto il profilo operativo, l'analisi evidenzia le seguenti indicazioni per i professionisti:

   1. Condurre sempre una preventiva e approfondita DPIA (Valutazione d'impatto sulla protezione dei dati) prima di adottare sistemi di visione artificiale o analisi biometrica.
   2. Escludere l'implementazione di algoritmi per il monitoraggio psicofisico o emotivo del personale, alla luce dei divieti perentori posti dall'AI Act.
   3. Verificare che non si faccia invalido affidamento sul consenso dell'interessato in ambiti lavorativi subordinati.
   4. Mantenere un costante monitoraggio dei provvedimenti dell'Autorità Garante e delle linee guida dei comitati europei, data la rapida evoluzione tecnologica e regolamentare.

Riferimenti: Regolamento UE 2016/679 (GDPR) Art. 9, 22Regolamento UE 2024/1689 (AI Act) Art. 5, 26D.Lgs. 196/2003 (Codice Privacy) Art. 2-septiesOrientamenti del Garante sul divieto di riconoscimento facciale per la rilevazione delle presenze

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 14 maggio 2026