Tenere conto della funzione del DPO all’interno dell’organizzazione degli adempimenti in materia di tutela della salute e sicurezza dei luoghi di lavoro non risponde esclusivamente all’adempimento derivante dal GDPR per cui ci deve essere un tempestivo e adeguato coinvolgimento in tutte le questioni riguardanti la protezione dei dati personali[1], ma la sua azione può costituire un importante fattore critico di successo per l’integrazione di due sistemi di gestione separati.
Indice degli argomenti
Coinvolgere il DPO nella gestione della sicurezza sul lavoro
Da un lato c’è infatti il Sistema di Gestione della Sicurezza sul Lavoro (SGSL) che riguarda tutti gli adempimenti collegati sia a norme di carattere obbligatorio, quali ad esempio quelle previste all’interno TUSL[2], sia a norme di carattere volontario, quale la UNI ISO 45001:2018.
Dall’altro c’è il Sistema di Gestione Privacy (SGP) con tutte le misure tecniche e organizzative adottate per garantire e rendicontare la conformità alla normativa in materia di protezione dei dati personali, in ossequio al principio di accountability.
Il miglioramento verso una gestione integrata del rischio e un modello di compliance integrata genera un impatto positivo per la governance dell’organizzazione.
Il DPO non deve essere coinvolto limitatamente a rendere un parere su modelli, procedure, istruzioni o allegati che possono contenere dati personali ma anche a tutto ciò che può incidere su rischi e mezzi essenziali del trattamento.
Un esempio su tutti a tale riguardo può essere una ridefinizione degli accessi interni ai dati personali dei lavoratori, così come la previsione di nuovi destinatari di tali dati.
Inoltre, dal momento che l’azione del DPO deve seguire un approccio basato sul rischio[3], è essenziale che lo stesso sia innanzitutto posto nella posizione di poter acquisire tutte le informazioni significative per determinare il livello di rischio delle attività di trattamento dei dati personali svolte.
La mappatura delle aree sensibili dell’organizzazioni, già consente di avere un quadro generale ma ovviamente alcuni ambiti richiedono maggiori approfondimenti e la definizione di flussi informativi.
I compiti che il DPO è chiamato a svolgere nell’ambito della sicurezza dei luoghi di lavoro riguardano principalmente la sorveglianza sulle attività di trattamento di dati personali svolte, con la segnalazione di eventuali non conformità o esigenze di precisare o aggiornare la documentazione in uso – quale può essere: registri, istruzioni o informative – nonché la consulenza e informazione nei confronti della direzione, verso altri consulenti chiamati ad implementare la gestione della sicurezza dei luoghi di lavoro e le figure specifiche quali RSPP e RLS.
Per quanto riguarda il contributo del DPO alla formazione e sensibilizzazione del personale, invece, è possibile prevedere che siano concordati dei programmi in sinergia con il RSPP per ottimizzare i tempi di svolgimento degli interventi formativi e la loro efficacia.
DPO e RSPP: sinergie necessarie e best practices
Un corretto scambio di informazioni e l’instaurazione di sinergie fra DPO e RSPP sono essenziali innanzitutto per garantire il rispetto dei principi di privacy by design e privacy by default, così come per consentire lo svolgimento di una valutazione d’impatto sulla protezione dei dati quando necessario, così come la redazione e diffusione della documentazione.
È bene ricordare, in linea con le previsioni del GDPR[4], che il diritto alla protezione dei dati personali non è assoluto ma richiede una proporzionalità nell’applicazione soprattutto nel contemperamento con gli altri diritti fondamentali, fra cui senz’altro rientra il diritto alla salute e alla sicurezza.
Attenzione, però: contemperamento prevede che entrambi i diritti possano convivere e provvedere alle rispettive tutele, senza che si realizzino automatismi slegati dal contesto o scelte arbitrarie e sproporzionate.
L’opera di bilanciamento richiesta dall’applicazione del principio di proporzionalità può essere svolta su un piano pratico prendendo in considerazione elementi e criteri oggettivi fondati su evidenze ed evitando generalizzazioni.
Tutto ciò è possibile solo con l’incontro delle competenze professionali richieste tanto al DPO quanto al RSPP o ad un consulente per la tutela della salute e sicurezza dei luoghi di lavoro, potendo garantire che già dalla fase di progettazione del SGSL siano integrati tutti i presidi a garanzia del rispetto della protezione dei dati personali.
Ad esempio: riducendo al minimo i dati che è necessario raccogliere, trasmettere ed archiviare sin dal momento della predisposizione dei moduli. Tale azione sinergica comporta anche una tempestività nell’aggiornamento del comparto documentale del SGP, come ad esempio: il registro dei trattamenti, lo scarto documentale, eventuali designazioni interne[5] o le istruzioni per i soggetti autorizzati all’accesso ai dati personali.
Buone prassi a riguardo prevedono pertanto che la direzione costituisca dei tavoli di lavoro in cui confrontarsi congiuntamente con RSPP e DPO, acquisirne i rispettivi pareri e rapporti di audit, nonché stabilire ed aggiornare le roadmap di implementazione della documentazione e svolgimento dei controlli nell’ambito della sicurezza su lavoro.
Un’ulteriore buona pratica consiste poi nella conduzione in parallelo delle attività di verifica di compliance dell’organizzazione attraverso dei programmi concordati e la rendicontazione non solo verso la direzione ma anche nei confronti delle ulteriori funzioni di controllo, in cui possono rientrare ad esempio l’Organismo di Vigilanza[6] e il collegio sindacale, quando presenti.
Avendo riguardo dell’esigenza di effettuare una valutazione d’impatto sulla protezione dei dati, i criteri richiamati della sussistenza di un rischio elevato dell’attività di trattamento dei dati personali non richiedono un confronto fra DPO e RSPP in prima battuta.
Nel momento successivo, invece, per quanto riguarda la corretta conduzione della stessa è bene invece che la necessità e proporzionalità dei trattamenti in relazione alle finalità perseguite siano invece oggetto di una valutazione congiunta.
Le attività che coinvolgono i dati dei lavoratori
L’applicazione dei protocolli di sicurezza che coinvolgono i dati personali dei lavoratori si trovano in larga parte ad essere coincidenti con l’ambito delle risorse umane.
A volte le organizzazioni scelgono però di mantenere una distinzione rispetto ai processi che fanno riferimento all’ufficio HR, così come alcune ragioni di opportunità potrebbero far emergere l’esigenza di svolgere dei controlli separati.
A seconda dell’assetto organizzativo e del contesto, dunque, il DPO deve poter valutare le modalità di svolgimento degli audit per il controllo di compliance riferito all’attuazione operativa delle procedure.
Tanto nell’ipotesi in cui preveda di verificare in modo specifico e le sole procedure di sicurezza dei lavoratori, che di contemplarle in un più ampio controllo di compliance della gestione del personale, il coordinamento con il RSPP è sempre opportuno.
Coordinamento che è ancora più evidente nel caso in cui siano riscontrate delle esigenze di sicurezza del lavoro dalle quali emerge l’esigenza di installare dei sistemi da cui possa derivare la possibilità di controllo a distanza dell’attività dei lavoratori[7]. Tanto in sede di accordo sindacale che per ottenere l’autorizzazione da parte dell’INL, si dovrà così essere in grado di specificare tali esigenze fornendo come evidenza, ad esempio, il DVR o una relazione del RSPP.
Lo scambio dei dati con il medico del lavoro, ivi incluse le richieste da parte della direzione, e l’acquisizione dei giudizi di idoneità sono ulteriori attività di trattamento che il DPO deve considerare in funzione del rischio per i lavoratori e di non conformità sotto il profilo della liceità ove si vadano a violare i limiti contemplati dalla norma[8] per la raccolta di informazioni.
Ad esempio, con riferimento agli accertamenti datoriali su idoneità e infermità per malattia o infortunio o indagini ai fini dell’assunzione su fatti non rilevanti ai fini della valutazione dell’attitudine professionale.
Le attività che coinvolgono i dati dei visitatori
Le attività svolte sui dati personali di coloro che hanno accesso ai luoghi di lavoro, indicati come visitatori, riguardano una categoria di interessati ulteriore e diversa rispetto ai lavoratori, ma non per questo necessariamente caratterizzate da un minore rischio intrinseco.
Emblematica a riguardo è la raccolta di dati per la gestione degli ingressi, per cui può essere richiesta la compilazione del registro ingressi o anche di un modulo in cui si viene informati circa le misure di prevenzione da dover adottare all’interno dei luoghi di lavoro. L’esempio di attività tipicamente svolta che include sia dati di lavoratori che di visitatori, invece, è quello della videosorveglianza.
Anche in queste ipotesi caso l’intervento di DPO e RSPP deve essere sinergico e tenere conto soprattutto delle esigenze di dover individuare una corretta base giuridica e delle finalità, definire un termine di conservazione e garantire che le informazioni sui trattamenti siano portate a conoscenza degli interessati attraverso la selezione di modalità adeguate dal momento che, a differenza dei lavoratori, non può essere impiegata la bacheca aziendale.
Non è di secondaria importanza già in fase di progettazione considerare con attenzione quali dati debbano essere oggetto di trattamento onde garantire il rispetto del principio di minimizzazione e le modalità di raccolta e archiviazione in sicurezza degli stessi.
NOTE
Art, 38 par. 1 GDPR. ↑
D.lgs. 81/08. ↑
Come da art. 39 par. 2 GDPR. ↑
Considerando n. 4. ↑
Ai sensi dell’art. 2-quaterdecies Cod. Privacy. ↑
Come previsto dal d.lgs. 231/01. ↑
Come previsto dall’art. 4 L. 300/1970. ↑
Quali gli artt. 5 e 8 L. 300/1970. ↑
