I limiti al trattamento dei dati biometrici per scopi commerciali e lavorativi

1. Il fatto

   La vicenda trae origine da una serie di procedimenti amministrativi sanzionatori e da istruttorie conoscitive. Secondo quanto riportato dalla stampa di settore, il Garante per la protezione dei dati personali ha concentrato l'attenzione su progetti internazionali, quali Worldcoin di Sam Altman, aventi ad oggetto la raccolta di scansioni oculari dell'iride in cambio di incentivi economici.

   Parallelamente, nel febbraio 2024, l'Autorità ha sanzionato due società operanti nei settori della logistica e dei servizi ambientali per aver introdotto sistemi di riconoscimento facciale diretti alla rilevazione delle presenze. Se le sanzioni amministrative inerenti al controllo presenze risultano ormai consolidate, le istruttorie aventi ad oggetto i sistemi di riconoscimento delle emozioni (Emotion AI) nei call center continuano a essere monitorate in vista della piena attuazione dell'AI Act. Le contestazioni principali riguardano la violazione del principio di trasparenza e l'impossibilità di prestare un consenso libero in presenza di un asimmetrico rapporto di potere o di un incentivo economico.

2. 

   Le norme in gioco

   Il quadro normativo si fonda sul Regolamento (UE) 2016/679 (GDPR), e in particolare sull'Articolo 9, che vieta il trattamento di categorie particolari di dati (tra cui i dati biometrici) salvo tassative eccezioni, nonché sull'Articolo 22, posto a tutela del diritto di non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati.

   A tale disciplina si affianca il Regolamento (UE) 2024/1689 (AI Act): l'Articolo 5, paragrafo 1, lettera f), proibisce espressamente i sistemi di AI volti a inferire le emozioni sul posto di lavoro e negli istituti di istruzione. L'Articolo 26 sancisce specifici obblighi di sorveglianza umana per i sistemi ad alto rischio. A livello nazionale, l'Articolo 2-septies del Codice in materia di protezione dei dati personali (Codice Privacy) disciplina le misure di garanzia per il trattamento dei dati biometrici, in conformità con i provvedimenti generali del Garante.

3. Cosa dice la giurisprudenza

   L'orientamento consolidato della giurisprudenza di legittimità e delle autorità di controllo attribuisce valore centrale ai principi di proporzionalità e di necessità. Il Garante ha più volte chiarito che l'impiego di dati biometrici per il mero controllo delle presenze deve ritenersi illecito qualora sussistano strumenti alternativi meno invasivi, come i tradizionali badge o i registri cartacei.

   In ordine ai rapporti di lavoro, si è affermato che il consenso del lavoratore non costituisce una valida base giuridica per via del vincolo di subordinazione, il quale vizia la libertà di manifestazione della volontà. La giurisprudenza amministrativa ha inoltre ribadito il principio di trasparenza algoritmica, sancendo l'obbligo di rendere conoscibile e verificabile qualsiasi processo decisionale automatizzato, il quale deve rimanere sempre soggetto a revisione umana per scongiurare esiti discriminatori.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   Le indicazioni operative per i professionisti del settore indicano di:

   1. Condurre sempre una rigorosa DPIA (Valutazione d'impatto sulla protezione dei dati) prima di installare ed impiegare sistemi di visione artificiale.
   2. Astenersi dall'usare algoritmi destinati a monitorare lo stato psicofisico o emotivo dei lavoratori, stante il divieto tassativo sancito dall'AI Act.
   3. Verificare che la base giuridica del trattamento non sia ravvisata nel consenso in contesti di subordinazione lavorativa.
   4. Monitorare costantemente i provvedimenti del Garante e le prassi applicative, considerato il disallineamento temporale tra evoluzione tecnologica e produzione normativa.

Riferimenti: Regolamento UE 2016/679 (GDPR) Art. 9, 22Regolamento UE 2024/1689 (AI Act) Art. 5, 26D.Lgs. 196/2003 (Codice Privacy) Art. 2-septiesOrientamenti del Garante sul divieto di riconoscimento facciale per la rilevazione delle presenze

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 14 maggio 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica