L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la société Depac Società Cooperativa Sociale a r.l., comprenant le prononcé d'une amende de 15 000 €, pour des manquements liés à l'utilisation d'un système de pointage par empreintes digitales pour ses salariés. Cette affaire débute par un signalement de la police locale concernant la présence de deux dispositifs de lecture d'empreintes digitales installés dans les locaux d'une municipalité où intervenaient les salariés de la société.

L’enquête menée par l’autorité a permis de constater :
* Licéité du traitement et minimisation des données (articles 5, paragraphe 1, points a) et c) et 9 du RGPD) : La société a traité les données biométriques de six de ses salariés via un système de reconnaissance par empreintes digitales pour contrôler leurs heures de présence. L'autorité a jugé ce traitement illicite, car le droit national n'autorise pas l'utilisation de données biométriques pour cette finalité. De plus, le traitement a été jugé excessif et non conforme au principe de minimisation, la société ayant reconnu que des moyens moins intrusifs existaient et qu'un système de pointage classique était d'ailleurs toujours utilisé en parallèle.

* Obligation d'information (article 13 du RGPD) : La société n'a fourni aucune information écrite à ses salariés concernant le traitement de leurs données biométriques. Elle a reconnu s'être limitée à un avertissement oral, ce qui ne constitue pas une information conforme aux exigences du RGPD.

* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : Il a été constaté que la société ne tenait aucun registre de ses activités de traitement, malgré le traitement de catégories particulières de données personnelles.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Avant de mettre en œuvre le système de pointage biométrique, qui présente un risque élevé pour les droits et libertés des personnes, la société n'a pas réalisé l'analyse d'impact requise.

* Manquement à l'obligation de coopération avec l'autorité de contrôle (article 58 du RGPD) : La société n'a pas répondu à une demande d'informations qui lui avait été adressée par l'autorité, ce qui a nécessité le déclenchement d'une inspection sur place.

En conséquence, l’autorité a imposé une amende de 15 000 € à la société Depac Società Cooperativa Sociale a r.l..

En outre, l’autorité a ordonné à la société de cesser tout traitement ultérieur des données biométriques collectées et de procéder à leur suppression dans un délai de 60 jours.