Foto dei dipendenti e protezione dei dati: cosa deve considerare l'HR con la nLPD

Una foto ritratto identifica direttamente una persona. È quindi un dato personale, e il trattamento richiede uno scopo definito, una durata limitata e una base contrattuale solida.

Limitazione della finalità

Una foto raccolta per il badge di accesso non è per questo automaticamente autorizzata per l'intranet, il sito web o una brochure di marketing. Chi vuole entrambe le cose chiede entrambi i consensi — e li documenta separatamente.

Conservazione

Dopo l'esportazione nel sistema di destinazione, la piattaforma fotografica non ha più alcun motivo di conservare l'immagine. La cancellazione non dovrebbe quindi essere pianificata come un lavoro di pulizia, ma come un passaggio fisso alla fine del processo.

Trattamento per conto terzi

Se l'acquisizione viene esternalizzata, nasce un rapporto di trattamento per conto terzi. Occorre chiarire almeno: dove si trovano i server? Chi ha accesso amministrativo? Vengono impiegati subappaltatori? Quanto tempo passa tra l'esportazione e la cancellazione?

Una nota pratica sull'IA

Se e come un volto venga modificato è una questione a sé. Un sistema che sostituisce lo sfondo e definisce il ritaglio non modifica il volto. Un sistema generativo lo farebbe — e per un documento d'identità ciò non sarebbe accettabile.

Questo articolo offre un inquadramento e non sostituisce una consulenza legale.