Confermata dalla Cassazione la multa di sessantaseimila euro per violazione delle norme sulla privacy a carico della Dusty di Catania.
L’azienda, di cui è amministratore unico Rossella Pezzino de Geronimo, vanta quaranta milioni di fatturato annuo e settecento dipendenti e si occupa anche della raccolta dei rifiuti del Comune di Catania.
La Dusty è stata ritenuta colpevole di non aver chiesto, a suo tempo, al Garante della riservatezza, l’autorizzazione alla raccolta delle impronte della mano per rilevare, tramite un badge, le presenze dei dipendenti.
Con il verdetto, la Suprema Corte ha accolto il ricorso del Garante contro il Tribunale di Catania. Quest’ultimo aveva ritenuto che la Dusty non avesse violato le norme poiché non era stato effettuato alcun trattamento dei dati, non essendoci una banca dati.
Secondo il Tribunale etneo, inoltre, "non ogni volta che in qualunque attività vengano coinvolti dati personali e/o biometrici si ha per ciò solo trattamento di quei dati nei modi rilevanti per la normativa".
Per la Cassazione, invece, è "irrilevante, ai fini della configurabilità del trattamento di dati personali, la mancata registrazione degli stessi in apposita banca dati, essendo sufficiente anche una attività di raccolta ed elaborazione temporanea".
La vicenda si trascina dal marzo del 2009 quando l’azienda aveva installato il sistema di riconoscimento per rilevare le presenze. Il sindacato Fiadel aveva segnalato la cosa all´Ufficio del Garante della riservatezza che aveva avviato un´istruttoria a partire dal febbraio del 2010, formulando nei confronti della società una richiesta di informazioni
Al termine delle indagini, nel dicembre del 2012, il Garante aveva ingiunto alla Dusty di pagare sessantaseimila euro. L’azienda aveva fatto ricorso al Tribunale ma, come detto, il Garante aveva a sua volta fatto ricorso in Cassazione, che ora ha confermato la multa.
L’attenzione della Suprema Corte si è concentrata sul fatto che il sistema di rilevamento usato dalla Dusty, "attraverso la conservazione dell’algoritmo, è in grado di risalire al lavoratore, al quale appartiene il dato biometrico, e quindi indirettamente lo identifica, in attuazione dello scopo dichiarato e in sé legittimo di controllarne la presenza".
Per la Cassazione, tuttavia, "il sistema adottato" dalla società catanese "comporta trattamento di dati biometrici, come tale assoggettato innanzitutto" alla "preventiva notificazione al Garante" come prevede la legge 196 del 2003 sulla Privacy.
Il sistema operativo della ‘Dusty’ trasformava "il dato biometrico riguardante la mano di ciascun lavoratore in un modello di 9 bytes, a sua volta archiviato e associato a un codice numerico di riferimento".
Il codice numerico veniva poi memorizzato nel badge e ad ogni utilizzo del badge "il sistema era in grado di verificare che il badge che si sta usando è usato dalla stessa mano usata per configurarlo".