Una società, operante nel settore dello smaltimento dei rifiuti, collocava all'interno di un locale adiacente al sito produttivo un dispositivo di riconoscimento facciale per rilevare le presenze dei dipendenti sul luogo di lavoro.

L'installazione si era resa necessaria – a detta della società – per contrastare il fenomeno delle assenze e dei numerosi contenziosi avviati dai lavoratori per rivendicare presunte ore di lavoro straordinario, mai effettivamente svolte. Il fine, a prima vista, pareva del tutto legittimo.

Par fronte alla problematica descritta, la società si era affidata a un fornitore di servizi per l'installazione e la manutenzione di un dispositivo di riconoscimento dei dipendenti basato sulla biometria del volto. L'apparecchio, che registrava le presenze dei lavoratori previo riconoscimento facciale, conservava al suo interno le impronte biometriche dei volti dei dipendenti, elaborate dal dispositivo e protette da crittografia. Il dispositivo era poi collegato attraverso la rete internet ad un software tramite il quale era possibile gestire i dati relativi alle timbrature ovvero il codice identificativo del lavoratore, l'orario di ingresso e di uscita.

Il datore di lavoro aveva omesso di rivolgersi a un consulente privacy, nell'errata convinzione della liceità del trattamento e di aver installato un dispositivo conforme ...