Accesso biometrico sul lavoro

Un lettore di impronte sulla porta di un ufficio, a Monaco, non stupisce nessuno. Quello che manca quasi sempre è il fascicolo che spiega perché sia stato installato. A marzo 2026 l'APDP — l'Autorité de Protection des Données Personnelles del Principato — ha pubblicato una scheda sul controllo degli accessi biometrico ai locali professionali, insolitamente precisa su ciò che è ammesso, ciò che resta vietato e la documentazione che deve esistere prima che un dito sfiori il sensore.

Se la vostra azienda usa impronta digitale, riconoscimento facciale, geometria della mano o voce per decidere chi entra, questo è il testo con cui il vostro impianto verrà confrontato. In sintesi: la biometria sulla porta può essere lecita, quella sul rilevatore di presenze mai, e alla maggior parte delle installazioni manca la documentazione.

Due finalità ammesse, nessuna in più

Ai sensi dell'articolo 7 della legge n. 1.565 del 3 dicembre 2024, il datore di lavoro può trattare dati biometrici solo se strettamente necessario per controllare l'accesso ai luoghi di lavoro e ai dispositivi e applicazioni professionali. L'APDP restringe ulteriormente il perimetro e ammette questi sistemi solo per due esigenze di sicurezza: controllare l'accesso a locali che il titolare ha individuato come a circolazione limitata e, se rilevante, consentire la raccolta di prove in caso di illecito.

Queste due finalità sono definite esaustive. Qualsiasi altro impiego — presenze, gestione degli orari, sorveglianza disciplinare — è severamente vietato. Una sola frase manda fuori gioco buona parte dell'hardware venduto come soluzione integrata «accessi e rilevazione presenze». Il dispositivo sa fare entrambe le cose. Voi potete usarne una sola.

Le presenze si rilevano ancora, ma non attraverso il corpo

Nulla vi impedisce di sapere a che ora arriva il personale. La scheda dell'APDP sulla sorveglianza sul lavoro considera i sistemi a badge un mezzo ordinario per gestire ingressi, uscite e ore di presenza, con orari registrati che in linea di principio non vanno conservati oltre tre mesi salvo giustificazione settoriale documentata.

La correzione consiste quindi nel disaccoppiare, non nel rinunciare: badge o codice per gli orari, biometria — se davvero giustificabile — riservata alle due o tre porte che richiedono effettivamente circolazione limitata. E se il vostro processo presenze è tanto faticoso da far sembrare la biometria la scorciatoia comoda, la risposta passa dall'automazione intorno a un badge, non da un sensore più invasivo.

Il test di necessità che la maggior parte degli impianti non supera

Prima di ogni dettaglio tecnico l'APDP pone una domanda diretta: qui la biometria è necessaria e proporzionata? Se badge, PIN o smart card bastano, o se i locali non presentano una sensibilità particolare, può semplicemente non essere giustificabile. Una sala server, un locale blindato, una stanza con i fascicoli dei clienti: discutibile. L'ingresso di un ufficio da cinque persone: molto difficile da difendere.

Il consenso è una via d'uscita più fragile di quanto sembri: l'autorità lo applica con particolare rigore nel rapporto di lavoro, perché il vincolo di subordinazione ne compromette la libertà, e tiene solo dove venga offerta un'alternativa non biometrica senza conseguenze per chi rifiuta. La maggior parte dei datori di lavoro si baserà quindi sull'interesse legittimo, con il bilanciamento documentato.

Dove risiede il template decide tutto

Un template biometrico è una rappresentazione matematica e non reversibile di una caratteristica, non l'immagine dell'impronta. L'APDP ammette due architetture di memorizzazione ed esprime una preferenza netta:

• Tipo 1 — supporto individuale (da preferire). Il template risiede solo su un badge o una smart card detenuta dall'interessato; nulla viene conservato centralmente e il lettore confronta il dito con il template presente sul supporto.
• Tipo 2 — banca dati centralizzata cifrata (eccezionale). I template cifrati risiedono su un server del datore di lavoro dietro autenticazione a due fattori: codice segreto personale più dato biometrico, senza alcun dato trattenuto dal lettore.

Salvo circostanze eccezionali e documentate — sensibilità estrema — va adottato il Tipo 1, mentre il Tipo 2 resta l'ultima risorsa. È anche una decisione di acquisto: molti prodotti di fascia media sono centralizzati per impostazione predefinita, e l'architettura appartiene al capitolato, non all'audit successivo.

La conservazione segue la stessa logica: template e dati associati si conservano per la durata dell'abilitazione, poi si cancellano. Un'uscita dall'azienda deve innescare una cancellazione, non una disattivazione.

La valutazione d'impatto non è facoltativa

In forza del decreto ministeriale n. 2025-361 del 14 luglio 2025, attuativo dell'articolo 35 della legge n. 1.565, ogni sistema biometrico è considerato a rischio elevato per i diritti e le libertà — dati sensibili e dipendenti come categoria strutturalmente vulnerabile. Una valutazione d'impatto va perciò svolta prima dell'attivazione e deve documentare perché si è scelta la biometria anziché una tecnologia meno invasiva.

I sistemi già in funzione non sono esentati: l'articolo 109 concede un periodo transitorio di tre anni per completare quella valutazione nell'ambito di una rivalutazione del rischio. Se avete ereditato un lettore senza che nessuno abbia messo per iscritto perché esista, quella è la lacuna da colmare.

Informare prima, e per iscritto

L'articolo 10 richiede che il sistema sia portato a conoscenza degli interessati — dipendenti, visitatori, fornitori — per iscritto e prima della registrazione biometrica, non dopo. L'informativa copre identità del titolare, finalità e base giuridica, categorie di dati, tempi di conservazione, destinatari, esercizio dei diritti e reclamo all'APDP.

Verificate poi il fornitore della manutenzione: l'APDP ricorda che chi interviene sul sistema è soggetto agli stessi obblighi di sicurezza e riservatezza del titolare, con accessi limitati allo strettamente necessario. Senza un accordo scritto con l'installatore che può collegarsi da remoto al vostro lettore, l'esposizione è concreta.

Un piano realistico a 90 giorni

Censite ogni punto di contatto biometrico — porte, computer, applicazioni — e scrivete la finalità di ciascuno. Interrompete subito qualsiasi uso legato a presenze o disciplina. Stabilite se la memorizzazione è di Tipo 1 o di Tipo 2, poi giustificate o migrate. Redigete la valutazione d'impatto, diffondete l'informativa scritta, rafforzate il contratto di manutenzione. Se la revisione porta a sostituire hardware, il Fonds Bleu può sovvenzionare una quota rilevante dei progetti digitali ammissibili.

Un'avvertenza finale: Monaco non è uno Stato membro dell'Unione europea, quindi il GDPR non si applica automaticamente a un'impresa monegasca. La legge 1.565 segue standard comparabili ma è uno strumento a sé, e quanto sopra riprende la scheda dell'APDP nella versione pubblicata. Poiché le sanzioni previste arrivano all'ordine dei milioni, fate confermare ogni punto rilevante da un consulente qualificato prima di agire.

Per mappare come i dati personali circolano nei vostri sistemi, il nostro lavoro su conformità e protezione dei dati e sulla strategia digitale parte da quell'inventario. Contattateci.