Biometria per gli accessi: quando è proporzionata e come restare in regola con LPD e GDPR

Un badge che passa da una porta lascia un dato personale come tanti. Un’impronta o un volto no: per la legge svizzera sono dati degni di particolare protezione, per il GDPR una categoria particolare di dati. Si possono usare per gli accessi, ma dove servono davvero, con un’alternativa per chi non vuole e, se possibile, con il modello biometrico sulla card della persona invece che su un server.

Che cosa chiede la legge svizzera

La legge sulla protezione dei dati (LPD, RS 235.1), in vigore dal 1° settembre 2023, mette fra questi dati «i dati biometrici che identificano in modo univoco una persona fisica» (art. 5 lett. c n. 4). Per un controllo accessi contano soprattutto:

• proporzionalità e scopo: uno scopo determinato e riconoscibile, e dati distrutti o resi anonimi appena non servono più (art. 6 cpv. 2–4);
• informazione al momento della raccolta, almeno su chi tratta i dati, perché e a chi li comunica (art. 19);
• valutazione d’impatto se il rischio può essere elevato, come nel trattamento su grande scala di dati degni di particolare protezione (art. 22);
• consenso espresso, dove il consenso serve (art. 6 cpv. 7).

Nel rapporto di lavoro l’art. 328b del Codice delle obbligazioni ammette solo i dati che riguardano l’idoneità lavorativa o servono a eseguire il contratto. Il consenso è una base fragile: l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ricorda che i dipendenti molto raramente possono acconsentire o rifiutare liberamente, e che la LPD conosce altri motivi giustificativi, come un interesse preponderante privato o pubblico (art. 31). Sulla biometria per accessi e presenze l’IFPDT chiede un impiego restrittivo, solo se necessario; niente salvataggio centralizzato su un server, ma un supporto locale, «ad esempio su una tessera che deve essere letta contemporaneamente alle impronte»; e auspica alternative alla registrazione biometrica del tempo di lavoro.

C’è poi l’art. 26 dell’ordinanza 3 concernente la legge sul lavoro (OLL 3), che non ammette sistemi di sorveglianza e di controllo del comportamento dei lavoratori. Nel suo commento la SECO non considera tali i badge per accessi e tempo di lavoro, ma fra gli esempi di sistemi di sorveglianza cita i sensori che analizzano dati biometrici, riconoscimento facciale compreso: per questi servono un interesse preponderante diverso dalla sorveglianza, la proporzionalità e la partecipazione dei lavoratori.

Nell’Unione europea

Se avete uno stabilimento nell’Unione, per esempio una filiale in Italia, lì vale il GDPR (art. 3). I dati biometrici, definiti all’art. 4 n. 14, rientrano nel divieto dell’art. 9 quando servono a identificare in modo univoco una persona, salvo eccezioni come il consenso esplicito o gli obblighi del diritto del lavoro autorizzati da una legge o da un contratto collettivo. Su larga scala serve la valutazione d’impatto (art. 35).

Per entrare in un edificio con il riconoscimento facciale, le linee guida 3/2019 del Comitato europeo per la protezione dei dati (EDPB) chiedono un’alternativa senza biometria, come badge o chiavi, e modelli tenuti su un dispositivo sotto l’esclusivo controllo della persona oppure, se necessario, in un archivio centrale cifrato con una chiave nota solo a lei.

In Italia il Garante, con i provvedimenti del 22 febbraio 2024, ha sanzionato cinque società che rilevavano le presenze con il riconoscimento facciale: allo stato, scrive, l’ordinamento non consente di usare dati biometrici dei dipendenti per le presenze, e le aziende avrebbero dovuto usare sistemi meno invasivi, come il badge.

Quando è proporzionata, e quando no

Le regole vanno tutte nella stessa direzione: la biometria si giustifica dove serve sapere chi è passato, non quale badge.

• Può esserlo su poche porte critiche, come la sala server o un deposito di valori, meglio come secondo fattore accanto al badge.
• Difficilmente lo è per le presenze di tutti o sugli ingressi comuni.
• Prevedete sempre l’alternativa: badge, PIN o credenziale sul telefono, senza costi o limitazioni per chi la sceglie.

Dove sta il modello biometrico

Dove resta il modello ricavato dal dito o dal volto è la scelta tecnica che pesa di più. Con Suprema, oltre al terminale e al software, ci sono due strade:

• Sulla smart card: con Access on Card e Secure Credential Card il modello dell’impronta o del volto viene scritto nella card, e i dati biometrici non devono più stare né sul server né sul dispositivo (Suprema). In BioStar X un’opzione cancella dal server dati personali e credenziali quando si emette una card Access on Card. Per il volto lo consentono BioStation 3 e BioEntry W3.
• Sul telefono: con Template on Mobile il modello del volto sta nella credenziale sul telefono, non nel terminale né nel database (BioStation 3 e BioEntry W3).

Una condizione: la card dev’essere sicura. HID avverte che sulle card con chiavi ormai pubbliche, come le iCLASS legacy, PIN e dati biometrici si possono alterare o togliere. Meglio DESFire o Seos: ne parliamo nell’articolo su come scegliere card e tag.

Informativa, registri, conservazione

• Informativa prima della registrazione: chi tratta i dati, perché, dove sta il modello, per quanto tempo, qual è l’alternativa.
• Proporzionalità per iscritto, e lavoratori consultati prima di decidere (art. 6 OLL 3).
• Modelli cancellati quando una persona se ne va o rinuncia alla biometria.
• Registri di passaggio cancellati in un termine prestabilito e il più breve possibile, come chiede la SECO, visibili solo a chi deve usarli e usati solo per lo scopo dichiarato (art. 6 cpv. 3 LPD). La durata del lavoro registrata è un’altra cosa: l’art. 73 OLL 1 chiede di conservarla almeno cinque anni.

Quando il volto conviene e con quali terminali lo trovate nella pagina sul riconoscimento facciale, il resto dell’impianto in quella sul controllo accessi. Registro dei trattamenti, informativa e valutazione della proporzionalità li prepariamo con voi nella consulenza LPD e GDPR, parte dei servizi di protezione dei dati. Questa non è una consulenza legale: ogni impianto va verificato caso per caso, e possiamo farlo insieme. Scriveteci.

Fonti: LPD, Codice delle obbligazioni, OLL 3 e OLL 1 su Fedlex; IFPDT; SECO, commento all’art. 26 OLL 3; GDPR su EUR-Lex; EDPB, linee guida 3/2019; Garante privacy, provvedimento del 22 febbraio 2024 (doc. web n. 9995680); documentazione tecnica Suprema e HID Global. Consultate il 13 ottobre 2026.