Data protection e Covid-19: regole per la raccolta e il trattamento di dati personali per ragioni sanitarie

Ultimamente si dibatte molto, a ragion veduta, sul tema data protection e Covid-19: in ragione del rischio sanitario connesso alla diffusione del nuovo coronavirus, infatti, la raccolta e il trattamento dei dati personali si rendono necessari per ragioni di accertamento e prevenzione.

Occorre tuttavia distinguere le attività di prevenzione poste in essere dai soggetti istituzionali e sanitari da quelle dei soggetti privati e degli enti pubblici. Il Garante per la protezione dei dati personali ha infatti chiarito che tale attività deve essere svolta solo da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato. Sul tema è intervenuto anche il “Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti lavoro” del 14 marzo 2020.

Si propongono, dunque, di seguito delle F.A.Q. sul tema data protection e Covid-19.

Domande e risposte su data protection e Covid-19

• Quali dati possono essere utili per porre in essere attività di prevenzione del contagio da coronavirus? La diffusione del coronavirus ha comportato la dichiarazione dello stato di emergenza sul territorio nazionale relativamente al rischio sanitario connesso all’insorgenza di patologie derivanti da agenti virali trasmissibili. Proprio in ragione del rischio sanitario, le preposte Autorità hanno proceduto alla raccolta di dati personali, anche di tipo sanitario, per ragioni di accertamento e prevenzione (si pensi alla misurazione della temperatura corporea in aeroporto o dello stesso campionamento mediante “tampone”).
• Quali sono le modalità di ingresso in azienda per i dipendenti, visitatori e fornitori? Secondo quanto disposto dal “Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti lavoro” del 14 marzo 2020, il personale, prima dell’accesso al luogo di lavoro, potrà essere sottoposto al controllo della temperatura corporea. Se tale temperatura risulterà superiore ai 37,5°, non sarà consentito l’accesso in azienda.
• La rilevazione della temperatura corporea sul luogo di lavoro costituisce un trattamento di dati personali? Sì. Per tale motivo è fondamentale che la raccolta del dato da parte del datore di lavoro/titolare dell’azienda avvenga in conformità con quanto stabilito dalla normativa privacy vigente.
• Cosa è tenuto a fare il datore di lavoro/titolare dell’azienda? Il datore di lavoro/titolare dell’azienda dovrà:

1. rilevare la temperatura corporea solo qualora sia necessario a documentare le ragioni che hanno impedito l’accesso ai locali;
2. fornire l’informativa, in forma scritta e/o orale, sul trattamento dei dati personali. Come finalità del trattamento potrà essere indicata “la prevenzione dal contagio da COVID-19”; con riferimento alla base giuridica, “l’implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. 1, n. 7, lett. d) del DCPM 11 marzo 2020”; mentre, con riferimento, alla durata del trattamento e/o di conservazione dei dati si potrà far riferimento “fino al termine dello stato di emergenza”;
3. definire le misure di sicurezza e organizzative (mediante l’individuazione dei soggetti preposti al trattamento, fornendo loro le istruzioni necessarie) adeguate, così da poter garantire la protezione dei dati personali. I dati personali non potranno in alcun modo essere diffusi o comunicati a terzi, al di fuori delle specifiche previsioni normative (es. Autorità sanitaria);
4. nell’ipotesi di isolamento momentaneo del lavoratore dovuto dal superamento della soglia di temperatura, il datore di lavoro/titolare dell’azienda sarà tenuto a garantire la massima riservatezza e a tutelare la dignità del lavoratore.

• Possono essere raccolte informazioni sugli ultimi spostamenti del personale dipendente? Seppur il Garante Privacy ha chiarito che la comunicazione degli spostamenti dei cittadini fosse di competenza esclusiva delle autorità pubbliche, aziende sanitarie territoriali e protezione civile, deve aggiungersi che, come stabilito dal “Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti lavoro” del 14 marzo 2020, anche il datore di lavoro può richiedere al personale e/o a chi intende fare ingresso in azienda, tali informazioni.
• Cosa è tenuto a fare il datore di lavoro che intende attestare la non provenienza del dipendente dalla zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al Covid-19? Il datore di lavoro deve prima di tutto informare preventivamente il personale, e chi intende fare ingresso in azienda, della preclusione dell’accesso a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al Covid-19 o provenga da zone a rischio, secondo le indicazioni dell’OMS. Il datore di lavoro potrà richiedere il rilascio di una dichiarazione attestante la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al Covid-19. La dichiarazione integra un trattamento di dati personali, per cui sarà necessario raccogliere solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da Covid-19. Trovano applicazione le indicazioni rinvenibili nella sezione “Risposta” alla “Domanda” n. 4 delle presenti FAQ.
• La raccolta delle informazioni può essere demandata al medico del lavoro? Come noto, la sorveglianza sanitaria sui dipendenti è demandata, dal testo unico sulla sicurezza (D.lgs. 81/2008), al medico competente. Il d.l. 23 febbraio 2020, n. 6, prevede che “le autorità competenti sono tenute ad adottare ogni misura di contenimento e gestione adeguata e proporzionata all’evolversi della situazione epidemiologica” e, all’art. 3, demanda, per la definizione delle misure specifiche di attuazione ad uno o più decreti del Presidente del Consiglio dei ministri. Tuttavia, allo stato, non è ancora stato emanato alcun decreto che deroghi ai principi generali del testo unico. Sebbene l’art. 2087 c.c. imponga al datore di lavoro di “adottare nell’esercizio dell’impresa le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro”, in ogni caso dette misure devono necessariamente agire nel rispetto del d.lgs. 81/2008, oltre che dello Statuto dei lavoratori. Perché ciò avvenga la previsione della rinnovazione della verifica di idoneità del lavoratore potrebbe essere legittima solo in caso di aggiornamento del documento di valutazione del rischio, con indicazione del medico competente che prescriva una tale misura come idonea a prevenire il rischio secondo criteri e modalità di diligenza e prudenza.
• È possibile comunicare agli altri colleghi l’identità di un contagiato? Stante il più generale obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro, nel caso in cui una persona presente in azienda sviluppi febbre e sintomi di infezione respiratoria quali la tosse, compatibili con il Covid-19 lo deve dichiarare immediatamente all’ufficio del personale. A fronte di tale circostanza, si dovrà procedere al suo isolamento in base alle disposizioni dell’autorità sanitaria e a quello degli altri presenti dai locali. L’azienda dovrà procedere poi immediatamente ad avvertire le autorità sanitarie competenti e i numeri di emergenza per il Covid-19 forniti dalla Regione o dal Ministero della Salute. Nel periodo dell’indagine, l’azienda potrà chiedere quali siano stati gli eventuali possibili contatti stretti e ordinare a questi ultimi di lasciare cautelativamente lo stabilimento, secondo le indicazioni dell’Autorità sanitaria.
• Cosa succede al personale degli uffici “esposti” al pubblico (URP)? I servizi non vengono sospesi. Tuttavia, il Garante ha chiarito che i casi sospetti devono comunicare la circostanza del contagio ai servizi sanitari competenti e ad attenersi alle indicazioni di prevenzione fornite dagli operatori sanitari interpellati.
• E nell’ambito pubblico? Il Ministro per la P.A. ha dettato istruzioni operative in merito all’obbligo, per il dipendente pubblico e per chi opera a vario titolo presso la P.A., di segnalare all’amministrazione di provenire da un’area a rischio. Il datore di lavoro può predisporre canali dedicati al fine di agevolare le modalità di inoltro delle segnalazioni.
• Si può ricorrere allo smart working? Fino alla fine dello stato di emergenza, su tutto il territorio nazionale, i datori di lavoro possono far ricorso allo smart working:

1. con riferimento a qualsiasi rapporto di lavoro subordinato;
2. anche in assenza di accordo individuale con il lavoratore.

L’attivazione è condizionata:

1. all’invio di idonea comunicazione al lavoratore. Più precisamente, lo smart working potrà essere attivato ricorrendo alla e-mail aziendale e comunicando, tramite la stessa, ai dipendenti e/o collaboratori coinvolti, le condizioni di fruizione dei periodi di smart working nonché, allegando l’informativa concernente le tematiche di salute e sicurezza sul luogo di lavoro;
2. all’invio dell’autodichiarazione di avviso di attivazione dello smart working per motivi emergenziali.