g-docweb-display Portlet

Trattamento di dati biometrici in Banca (Cariprato S.p.A.) - 23 gennaio 2008 [1490382]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1490382]
[v. Newsletter 29 febbraio 2008]

Trattamento di dati biometrici in Banca (Cariprato S.p.A.) - 23 gennaio 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Visto il provvedimento del Garante del 27 ottobre 2005 (in G.U. n. 68 del 22 marzo 2006 e in www.garanteprivacy.it, doc. web n. 1246675);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO

1. Trattamento di dati personali della clientela mediante sistemi di rilevazione dell´immagine delle impronte digitali e del volto
Per verificare la conformità alla disciplina di protezione dei dati e alle prescrizioni individuate nel provvedimento del Garante del 
27 ottobre 2005, l´Autorità ha svolto accertamenti presso alcune banche con riguardo a trattamenti di dati personali riferiti alla clientela raccolti attraverso appositi sistemi di rilevazione al momento del loro accesso all´interno dei locali della banca consistenti nell´associazione dell´immagine delle impronte digitali e del volto. A tal fine l´Autorità, avvalendosi del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza, ha effettuato verifiche presso le seguenti filiali della Cariprato S.p.A. (di seguito, la banca):

• sede di Prato, in data 30 maggio 2007 (nella quale non sono risultati effettuati trattamenti relativi alle rilevazioni biometriche);

• filiale 060 di Lucca, in data 23 maggio 2007;

• filiale 091 di Arezzo, in data 25 maggio 2007;

• filiale 054 di Empoli, in data 29 maggio 2007.

Ciò, tenendo anche tenendo conto della segnalazione formulata da rappresentanze sindacali operanti presso la banca nella quale si è evidenziato l´impiego generalizzato di sistemi di rilevazione delle immagini e delle impronte digitali da parte dell´istituto di credito.

Il presente provvedimento attiene ai profili di violazione riscontrati, tenuto anche conto della documentazione inviata in tempi successivi dal titolare del trattamento.

2. Liceità del trattamento
2.1. Verifiche. La banca ha provveduto a dare adempimento alla prescrizione relativa alla designazione del "vigilatore dei dati" attraverso il conferimento di un´apposita funzione a dipendenti della stessa banca i quali, a quanto risulta dai verbali, al fine di garantire la richiesta posizione di indipendenza, sono stati distaccati presso la funzione audit della Banca (cfr. all. 9, verbale operazioni compiute filiale di Empoli; all. 14 verbale operazioni compiute filiale di Arezzo).

2.2. Valutazione dei rischi. Dagli accertamenti svolti e dalle dichiarazioni rilasciate dai rappresentanti della banca è emerso che la decisione di installare sistemi di rilevazione biometrica per permettere ai clienti di accedere all´interno delle agenzie non è connessa né a rapine in precedenza subite (cfr. verbale operazioni compiute della filiale di Empoli, p. 2, secondo cui "in questa filiale non si sono mai verificati eventi quali rapine ed altro"), né alla circostanza che le filiali si trovino in zone che presentano particolari rischi (cfr. verbale operazioni compiute nella filiale di Arezzo, pp. 6 e 4, nel quale l´installazione è stata effettuata ancorché non si fossero "verificati eventi quali rapine e altro" e "pur non trovandoci in una zona che presenta particolari rischi", a seguito dell´avvertita esigenza "di sostituire il servizio di vigilanza fissa, ritenuto economicamente dispendioso, con altri sistemi di sicurezza"), ma solo "per finalità da ricondursi ad esigenze proprie della Cariprato S.p.A., come riportato nel documento di valutazione dei rischi" (cfr. verbale delle operazioni compiute presso la filiale di Arezzo, p. 6 e la filiale di Empoli, p. 2).

Invero, su 92 filiali della Cariprato (stando a quanto riportato sul sito web della banca www.cariprato.it), risulta a questa Autorità che ben 84 siano dotate dei sistemi di rilevazione dei dati personali in esame in assenza di una puntuale ricognizione del rischio di rapine. Infatti, il "Documento di valutazione dei rischi ai sensi dell´art. 4 commi 1 e 2, Decreto legislativo 19 settembre 1994, n. 626" (in particolare pp. 162 ss.), approvato dalla banca il 12 ottobre 2006 (acquisito agli atti), non fa alcun riferimento specifico a circostanze concrete, limitandosi a individuare "i macro-standard di sicurezza fisica, attivi e passivi, da applicare alle filiali di nova apertura o ristrutturazione"; né, presso le filiali interessate dalle verifiche, è stato possibile reperire documentazione utile a "desumere l´esistenza di condizioni di rischio concreto dello sportello" (come previsto nel Provv. 27 ottobre 2005, punto 6).

A tale proposito, deve quindi rimarcarsi che il menzionato provvedimento del 27 ottobre 2005, non consentendo un utilizzo generalizzato e indiscriminato di sistemi di identificazione degli interessati mediante la combinazione di diversi sistemi di rilevazione, ha evidenziato che, "in mancanza di specifici elementi che comprovino una concreta situazione di elevato rischio, tale attività comporta (…) un sacrificio sproporzionato della sfera di libertà e della dignità delle persone interessate, esponendo, altresì, le stesse a pericolo di abusi in relazione a dati a sé riferibili particolarmente delicati quali sono le impronte digitali" (cfr. punto 2 del citato provvedimento).

Il medesimo provvedimento ha quindi rimesso (in prima battuta) alla previa valutazione, attenta e selettiva, effettuata dalle banche (unitamente alle eventuali valutazioni formulate, nelle diverse realtà territoriali, dalle locali autorità di pubblica sicurezza) l´individuazione delle filiali presso le quali procedere all´installazione. Non risulta che tali criteri, alla luce delle verifiche effettuate, siano stati tenuti in considerazione dalla banca.

Occorre quindi anzitutto prescrivere alla banca di rivalutare l´effettiva esposizione a rischio delle proprie filiali, provvedendo, all´esito della stessa –anche alla luce di eventuali informazioni acquisite presso le locali autorità di pubblica sicurezza circa la pericolosità delle aree in cui sono presenti le filiali– alla cessazione o sospensione dei trattamenti non giustificati. In ragione delle informazioni da assumere e delle attività da svolgere per dare esecuzione a tale rinnovata valutazione, risulta congruo fissare al 14 marzo 2008 il termine per il loro compimento, come pure della comunicazione a questa Autorità delle conseguenti determinazioni adottate. Va poi rilevato che l´attualità della predetta valutazione dovrà essere a regime verificata periodicamente (cfr. Provv. 27 ottobre 2005, cit., punto 2).

2.3. Informativa. L´informativa resa alla clientela circa la sussistenza dei menzionati sistemi di rilevazione (e conseguenti trattamenti di dati personali) è risultata conforme al modello predisposto dal Garante e collocata in corrispondenza dell´accesso ai varchi.

Deve però rilevarsi che nelle filiali di Arezzo e Lucca non è stata rinvenuta un´adeguata informativa per ulteriori sistemi di videosorveglianza installati nelle filiali, rispetto ai quali la Guardia di finanza ha effettuato le seguenti contestazioni:

• presso la filiale di Arezzo, ha formato oggetto di contestazione di una violazione amministrativa un´informativa "minima", ritenuta inidonea, relativa a un sistema di videosorveglianza attivo presso l´ingresso e la rampa del garage "ad uso esclusivo del personale dipendente" (cfr. scritti difensivi del 21 giugno 2007), nonché a una "telecamera attiva nei pressi dello sportello "Bancomat" esterno" (cfr. verbale di contestazione amministrativa n. 82/2007);

• presso la filiale di Lucca e di Arezzo ha formato oggetto di contestazione l´assenza di un´idonea informativa per la presenza di un sistema di videosorveglianza interno ed esterno alla banca, nonché presso lo sportello bancomat.

La banca deve provvedere, entro e non oltre il 15 febbraio 2008, a fornire detta informativa agli interessati, conformandosi al provvedimento generale sulla videosorveglianza adottato dal Garante il 29 aprile 2004 (in www.garanteprivacy.it doc. web n. 1003482) e provvedendo, altresì, all´aggiornamento dei relativi riferimenti normativi.

2.4. Conservazione dei dati. In relazione ai tempi di conservazione dei dati biometrici associati al sistema di videosorveglianza, è emerso che gli stessi sono conservati per sette giorni.

Per quanto riguarda, invece, la conservazione delle immagini dei diversi e indipendenti sistemi di videosorveglianza presenti all´interno e all´esterno delle filiali, in alcuni casi sono previsti tempi superiori a quelli consentiti. Con particolare riferimento alla conservazione delle immagini da parte della filiale di Empoli, le stesse "sono conservate per un periodo non reimpostabile a causa del software non aggiornato alle versioni più recenti, comunque mediamente non superiore alle tre/quattro settimane ed in funzione dell´afflusso della clientela in filiale, dopo di che il sistema provvede automaticamente alla cancellazione del dato più vecchio mediante sovrascrittura" (cfr. p. 5 verbale operazioni compiute del 29 maggio 2007). Anche dall´accertamento presso la filiale di Lucca è emerso che non è previsto un tempo definito per la conservazione dei dati, e che le immagini "vengono conservate per un breve periodo di tempo, variabile a seconda dello spazio disponibile sul supporto. Il sistema provvede automaticamente alla sovrascrittura" (cfr. p. 7 verbale operazioni compiute del 23 maggio 2007).

Quanto sopra descritto evidenzia un tempo di conservazione superiore a quanto previsto dal menzionato provvedimento del 29 aprile 2004 in materia di videosorveglianza secondo il quale, in relazione alla conservazione delle immagini da parte delle banche, è ammesso un intervallo temporale "che non può comunque superare la settimana".

La banca deve provvedere, pertanto, al più presto e comunque non oltre il 15 febbraio 2008, ad adottare le misure necessarie affinché i tempi di conservazione delle immagini siano conformi al citato provvedimento, dandone conferma a questa Autorità entro lo stesso termine.

3.1. Accesso dei lavoratori. Dagli accertamenti svolti è emerso, altresì, che:

a. la rilevazione dei dati biometrici prevista per l´accesso dei clienti all´interno delle filiali, è utilizzata anche per consentire l´accesso dei dipendenti nelle filiali di Arezzo e di Lucca;

b. in aree di esclusivo accesso dei dipendenti della filiale di Arezzo è, inoltre, presente un apparato di videosorveglianza (si tratta di una telecamera che riprende la rampa di accesso al garage: cfr. verbale del 25 maggio 2007, p. 7, e nota della banca del 21 giugno 2007, p. 1) sprovvisto di idonea informativa "apposta in modo da essere visibile solo dopo essere stati investiti dal raggio d´azione della telecamera ivi presente" (verbale del 25 maggio 2007, p. 7).

3.2. Con riguardo al primo aspetto, deve rilevarsi che la raccolta e la memorizzazione delle impronte digitali dei dipendenti per accedere alla banca (che non ha formato oggetto di valutazione nel menzionato provvedimento del 27 ottobre 2005, riservato alla sola clientela) risulta sproporzionata rispetto alle finalità del trattamento effettuato dalla banca (art. 11, comma 1, lett. d), del Codice). Non risulta sussistere, nei casi in esame, alcuna esigenza peculiare che giustifichi la rilevazione delle impronte digitali dei lavoratori per l´accesso sul luogo di lavoro.

La banca dovrà pertanto impartire le necessarie istruzioni affinché, salvo che nei casi in cui i dipendenti in base a proprie scelte del tutto autonome decidano di recarsi sul luogo di lavoro attraverso detti varchi, il personale dipendente utilizzi ingressi diversi o, comunque, modalità che non richiedano il rilascio delle impronte digitali.

3.3. Per quanto concerne l´utilizzo della menzionata telecamera presso la filiale di Arezzo, la banca dovrà infine provvedere ad apporre un´idonea informativa, dandone comunicazione a questa Autorità.

Con riferimento all´eventuale inosservanza delle previsioni contenute nell´art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) in tema di controllo a distanza dei lavoratori (cfr. anche Cass. Sez. lav., 17 luglio 2007, n. 15892), questa Autorità si riserva di trasmettere la pertinente documentazione per le valutazioni del caso alla Direzione provinciale del lavoro territorialmente competente.

TUTTO CIÒ PREMESSO, IL GARANTE

1. prescrive a Cariprato S.p.A., ai sensi dell´art. 154, comma 1, lett. c), del Codice, entro e non oltre il 14 marzo 2008, di rivalutare, anche alla luce della pertinente documentazione eventualmente acquisita presso le competenti autorità di pubblica sicurezza, l´effettiva necessità di dotare le proprie dipendenze dei sistemi di rilevazione di impronte digitali e immagini della clientela (punto 2.2.);

2. prescrive altresì a Cariprato S.p.A., ai sensi dell´art. 154, comma 1, lett. c), del Codice di procedere, entro e non oltre il 15 febbraio 2008, a:

  • rendere un´idonea informativa in ordine alla presenza di sistemi di videosorveglianza presso i punti di prelievo bancomat posti all´esterno delle filiali (punto 2.3.) e in corrispondenza dell´accesso al garage della filiale di Arezzo (punto 3.3.);
  • adottare le misure necessarie affinché i tempi di conservazione delle immagini non siano superiori al termine di una settimana a decorrere dalla loro registrazione (punto 2.4.);
  • adottare misure organizzative che consentano ai dipendenti l´accesso all´interno delle filiali senza la necessaria rilevazione delle proprie impronte digitali (punto 3.2.);

3. ai sensi dell´art. 157 del Codice prescrive a Cariprato S.p.A. di dare conferma a questa Autorità dell´attuazione delle prescrizioni di cui al presente dispositivo allegando la pertinente documentazione:

  • entro e non oltre il 14 marzo 2008, per quanto attiene alle prescrizioni contenute al punto 1 del presente dispositivo;
  • entro e non oltre il 15 febbraio 2008, per quanto attiene alle prescrizioni contenute al punto 2 del presente dispositivo.

Roma, 23 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli