Rilevazione presenze e privacy dei lavoratori: le regole da seguire
Per rilevare le presenze non serve il consenso dei lavoratori: serve raccogliere solo i dati necessari, spiegarlo prima con un’informativa chiara, limitare chi può vedere cosa e decidere per quanto tempo conservarli. Gli strumenti di registrazione delle presenze non richiedono l’accordo sindacale previsto dall’art. 4 dello Statuto dei lavoratori, ma devono rispettare il GDPR.
- Base giuridica: obblighi di legge e contratto di lavoro, non il consenso.
- Dati minimi: chi, quando entra ed esce, causali, ore per commessa se servono.
- Informativa prima di iniziare (GDPR art. 13) e informazione sull’uso degli strumenti (Statuto, art. 4 c. 3).
- Ruoli e accessi: ognuno vede solo ciò che gli serve.
- Biometria e posizione continua alzano molto il livello di rischio: evitale se non indispensabili.
Quali dati raccogliere (e quali evitare)
Il principio è la minimizzazione: dati adeguati, pertinenti e limitati a ciò che serve (GDPR, art. 5).
| Dato | Serve? | Nota |
|---|---|---|
| Identificativo del lavoratore | Sì | Nome o matricola |
| Orari di entrata e uscita | Sì | Alimentano il calendario presenze del libro unico del lavoro |
| Causali (ferie, permesso, malattia) | Sì, la causale | Non la diagnosi: per la malattia basta l’assenza |
| Commessa, cliente o cantiere | Se serve a fatturare o rendicontare | Identifica il lavoro, non la vita privata |
| Posizione al momento della timbratura | Solo se c’è un motivo concreto | Mai la posizione continua; mai per chi lavora in smart working |
| Impronte o volto | Quasi mai | Dati biometrici: regole molto più severe (art. 9 GDPR) |
Sulla biometria il Garante è intervenuto più volte: lo spieghiamo nella guida su impronte e riconoscimento facciale.
L’informativa: cosa deve dire
L’art. 13 del GDPR elenca le informazioni da dare quando si raccolgono i dati. Applicate alle presenze:
| Voce | Esempio per la rilevazione presenze |
|---|---|
| Titolare e contatti | Ragione sociale, indirizzo, email; eventuale responsabile della protezione dei dati |
| Finalità e base giuridica | Gestione del rapporto di lavoro, adempimenti retributivi e previdenziali, rendicontazione ai committenti |
| Dati trattati | Orari, causali, commesse; posizione solo se attivata e in quali casi |
| Destinatari | Ufficio paghe, fornitore del software come responsabile, referente del committente in sola consultazione se previsto |
| Conservazione | Per quanto tempo e perché |
| Diritti | Accesso, rettifica, limitazione, opposizione nei limiti di legge, reclamo al Garante |
A questo si aggiunge l’art. 4, comma 3, dello Statuto dei lavoratori: le informazioni raccolte con gli strumenti di lavoro e di registrazione delle presenze sono utilizzabili a tutti i fini del rapporto di lavoro solo se il lavoratore ha ricevuto adeguata informazione sulle modalità d’uso degli strumenti e sui controlli, nel rispetto della normativa privacy. Il comma 2 dello stesso articolo esclude gli strumenti di registrazione degli accessi e delle presenze dall’obbligo di accordo sindacale o autorizzazione.
Accessi e ruoli: chi vede cosa
| Ruolo | Cosa vede | Cosa non serve che veda |
|---|---|---|
| Lavoratore | Le proprie timbrature | Quelle dei colleghi |
| Responsabile di reparto o cantiere | Le presenze della propria squadra | Le causali sanitarie nel dettaglio |
| Amministrazione / paghe | Tutto ciò che serve per le buste paga | — |
| Referente del committente | Le ore e le prestazioni del proprio servizio, in sola lettura | Assenze, causali, altri clienti |
Account personali, mai condivisi: è anche la condizione perché il registro delle modifiche dica chi ha fatto cosa.
Per quanto conservare le timbrature
Il GDPR chiede di conservare i dati per il tempo necessario alle finalità. Per le presenze il riferimento pratico è il libro unico del lavoro, che contiene il calendario delle presenze (D.L. 112/2008, art. 39) e va conservato per cinque anni dall’ultima registrazione secondo il decreto ministeriale del 9 luglio 2008. Le timbrature di dettaglio che lo alimentano si conservano di solito per un periodo coerente, salvo esigenze diverse (per esempio un contenzioso in corso). Qualunque periodo scegli, scrivilo nell’informativa e applicalo davvero.
Il fornitore del software e la nomina a responsabile
Se usi un software in cloud, il fornitore tratta dati per tuo conto ed è responsabile del trattamento: serve un contratto o un atto con i contenuti dell’art. 28 del GDPR (istruzioni, riservatezza, sicurezza, sub-responsabili, assistenza per i diritti, cancellazione o restituzione dei dati a fine rapporto). Chiedi anche dove sono trattati i dati e come puoi esportarli se cambi fornitore.
Serve la valutazione d’impatto (DPIA)?
Una rilevazione presenze con badge o app e dati minimi di norma non rientra tra i casi più rischiosi. Il quadro cambia con alcune tecnologie: l’elenco del Garante delle tipologie di trattamento da sottoporre a valutazione d’impatto (provv. n. 467 dell’11 ottobre 2018) comprende i trattamenti nel rapporto di lavoro con sistemi tecnologici, anche di geolocalizzazione, da cui derivi la possibilità di un controllo a distanza dell’attività dei dipendenti, e i trattamenti sistematici di dati biometrici. Se pensi di usarli, la valutazione va fatta prima di iniziare.
Le impostazioni di base di ilmiolavoro.it
- Nessun dato biometrico: si timbra da telefono, tablet o PC.
- Verifica della sede spenta di base. Si può attivare per il lavoro esterno, solo al momento della timbratura e solo se l’azienda la sceglie.
- Mai in smart working: per chi lavora da casa la verifica della sede non si attiva. Sul dibattito giuridico intorno alla geolocalizzazione nel lavoro agile vedi l’approfondimento di smart-working.me sulla sentenza del Tribunale di Cosenza.
- Registro delle modifiche su timbrature e prestazioni.
- Accesso in sola consultazione per il referente del committente, limitato al suo servizio.
Per i concetti generali del GDPR, Helpwebnet ha una guida introduttiva: cos’è il GDPR.
Vuoi parlarne prima? Chiamaci allo 081 1818 7885 o scrivi a ilmiolavoro@helpwebnet.com.
Domande frequenti
Serve il consenso dei dipendenti per rilevare le presenze?
No. La rilevazione delle presenze si basa sugli obblighi di legge e sul contratto di lavoro; serve invece l’informativa prima di iniziare. Nel rapporto di lavoro il consenso, per lo squilibrio tra le parti, raramente è una base adatta.
Per quanto tempo conservo le timbrature?
Per il tempo necessario: il riferimento pratico è il libro unico del lavoro, da conservare cinque anni dall’ultima registrazione. Scrivi il periodo scelto nell’informativa e rispettalo.
Il fornitore del software vede i dati?
Tratta i dati per tuo conto come responsabile del trattamento, con un contratto o atto conforme all’art. 28 del GDPR che ne limita l’uso alle tue istruzioni.
Serve l’accordo sindacale per il sistema di timbratura?
No per gli strumenti di registrazione degli accessi e delle presenze, esclusi dall’art. 4, comma 2, dello Statuto dei lavoratori. Serve però l’informazione prevista dal comma 3 e il rispetto del GDPR.
Posso usare la geolocalizzazione per le timbrature?
Solo se c’è un motivo concreto, limitata al momento della timbratura e spiegata nell’informativa. Se il sistema consente un controllo a distanza dell’attività, valuta la DPIA: il Garante lo indica tra i trattamenti che la richiedono.
Ricevi lo schema di informativa insieme alla demo
Ti mostriamo le impostazioni privacy di ilmiolavoro.it e ti lasciamo uno schema da adattare con il tuo consulente.
Richiedi una demoFonti: Regolamento (UE) 2016/679, artt. 5, 9, 13, 28, 35 (EUR-Lex) · L. 300/1970, art. 4 (Normattiva) · D.L. 112/2008, art. 39 (Normattiva) · Garante privacy, provv. n. 467/2018 sulle DPIA