Presenze con impronta digitale o riconoscimento facciale: perché il Garante continua a sanzionare (e cosa dice l'AI Act)

Il terminale con il lettore di impronta o la telecamera che "riconosce" il dipendente all'ingresso è venduto come la soluzione ai badge prestati e alle timbrature per conto terzi. La domanda che arriva più spesso è: posso usarlo se i lavoratori sono d'accordo? La risposta breve, in Italia e oggi, è no. Non per l'AI Act, ma per il GDPR e per una linea del Garante privacy che negli ultimi anni non è mai cambiata.

Cosa dice il Garante, provvedimento dopo provvedimento

I casi recenti seguono tutti lo stesso schema.

Il ragionamento è sempre lo stesso, in quattro passaggi.

1. Il dato biometrico è una categoria particolare. L'art. 9 del Regolamento UE 2016/679 ne vieta il trattamento salvo eccezioni. Quella che interessa il datore di lavoro è la lett. b) del par. 2: il trattamento necessario per gli obblighi del diritto del lavoro, ma solo se autorizzato dalla legge con garanzie adeguate.
2. In Italia quella legge, per le presenze, non c'è. L'art. 2-septies del Codice privacy consente il trattamento dei dati biometrici solo in conformità alle misure di garanzia disposte dal Garante. Nel provvedimento del 26 febbraio 2026 il Garante ribadisce che l'ordinamento non consente oggi di trattare i dati biometrici dei dipendenti per rilevarne le presenze.
3. Il consenso non salva il trattamento. Nel rapporto di lavoro lo squilibrio tra le parti rende il consenso raramente libero: non è una base giuridica valida.
4. Il badge basta. Anche a prescindere dalla base giuridica, lo stesso scopo si raggiunge con mezzi meno invasivi: il principio di minimizzazione (art. 5, par. 1, lett. c) esclude la biometria per la gestione ordinaria degli orari.

A queste violazioni di principio i provvedimenti aggiungono quasi sempre quelle "di contorno": nessuna valutazione d'impatto (art. 35), informativa inadeguata (art. 13), registro dei trattamenti assente (art. 30), nomine dei responsabili mancanti (art. 28).

Il template non è una via d'uscita

Molti fornitori sostengono che il sistema non conserva l'impronta ma solo un modello matematico. Non cambia nulla: secondo l'art. 4, n. 14 del GDPR è dato biometrico anche il risultato di un trattamento tecnico specifico che consente o conferma l'identificazione univoca. Anche la conservazione solo sul terminale, non in rete, non risolve: nel caso del 2026 i dati stavano sui dispositivi.

Lo Statuto dei lavoratori non è il problema (e non è la soluzione)

L'art. 4, comma 2 della legge 300/1970 esclude gli strumenti di registrazione degli accessi e delle presenze dalla procedura dell'accordo sindacale o dell'autorizzazione dell'Ispettorato. È un'esenzione dalla procedura, non una patente di liceità: il trattamento deve comunque rispettare il GDPR, e la biometria è esattamente il punto su cui cade. E se il dispositivo fa più che registrare ingresso e uscita — per esempio traccia gli spostamenti all'interno dell'azienda — l'esenzione non si applica più.

E l'AI Act?

Il Regolamento UE 2024/1689 entra nel quadro in tre punti, e conviene tenerli distinti.

• La verifica non è ad alto rischio. L'Allegato III, punto 1, lett. a) classifica ad alto rischio i sistemi di identificazione biometrica remota, ma esclude espressamente quelli di verifica biometrica il cui unico scopo è confermare che una persona sia chi dichiara di essere. Un terminale che confronta il volto del dipendente con il suo modello registrato (confronto "uno a uno", art. 3, n. 36) di norma ricade nell'esclusione.
• Le emozioni sono vietate. L'art. 5, par. 1, lett. f) vieta dal 2 febbraio 2025 i sistemi che inferiscono le emozioni sul luogo di lavoro, salvo finalità mediche o di sicurezza. Se la telecamera all'ingresso promette anche di rilevare "stanchezza" o "umore", non è più un problema di GDPR soltanto.
• La categorizzazione biometrica sensibile è vietata. L'art. 5, par. 1, lett. g) vieta i sistemi che classificano le persone sui dati biometrici per dedurne, tra l'altro, opinioni politiche, appartenenza sindacale, convinzioni religiose o orientamento sessuale.

Il punto pratico: che l'AI Act non vieti la verifica biometrica non significa che sia permessa. Le due discipline si sommano, e per le presenze il limite che morde è quello del GDPR.

Se il sistema è già installato: cosa fare adesso

1. Censisci tutti i dispositivi biometrici, anche quelli "di prova" o installati da un appaltatore in una sede periferica: nel caso del 2026 i lettori si trovavano presso un committente.
2. Sospendi la raccolta e passa al badge o a un'altra soluzione non biometrica. Ogni giorno di trattamento in più pesa sulla valutazione della sanzione.
3. Cancella i template e i dati raccolti, sui terminali e su eventuali server o cloud del fornitore, e fattene rilasciare un'attestazione scritta.
4. Documenta la dismissione: data, dispositivi, chi ha eseguito la cancellazione. È il fascicolo che mostrerai in caso di ispezione.
5. Aggiorna registro dei trattamenti, informativa ai dipendenti e contratti con i fornitori (art. 28).
6. Controlla i moduli "intelligenti" delle telecamere e dei terminali: funzioni di analisi del volto, delle emozioni o del comportamento attivabili da software vanno disattivate e la disattivazione documentata.

Se invece stai valutando l'acquisto, la domanda da fare al fornitore non è "è conforme al GDPR?", ma: su quale norma si basa il trattamento dei dati biometrici dei miei dipendenti? Se la risposta è "sul consenso", hai già la risposta.

Da dove partire

Il terminale biometrico è uno dei casi in cui l'IA entra in azienda dalla porta dei servizi generali, senza passare da chi si occupa di compliance. Un gap assessment indipendente su dispositivi, telecamere e strumenti di controllo — cosa raccolgono, su quale base giuridica, con quali funzioni AI attive — costa molto meno di una sanzione del Garante e restituisce l'elenco esatto di cosa spegnere, cosa documentare e cosa può restare.