Coronavirus e privacy. Cosa prevede il GDPR sui luoghi di lavoro?

– Cosa prevedono le disposizioni del Garante

Il Garante Privacy premette che la normativa d’urgenza adottata per far fronte all’emergenza Coronavirus prevede che chiunque abbia soggiornato negli ultimi 14 gg nelle zone a rischio epidemiologico e nelle cosiddette “zone rosse” debba comunicarlo direttamente, oppure tramite il proprio medico di base, all’azienda sanitaria territoriale ai fini dei necessari accertamenti. I datori di lavoro nello specifico devono astenersi dal raccogliere informazioni rientranti nella sfera extra lavorativa del dipendente (es. sintomi influenzali suoi o dei suoi contatti più stretti). Il Garante Privacy specifica infatti che la finalità di prevenzione dalla diffusione del Coronavirus può essere perseguita da soggetti che “istituzionalmente esercitano queste funzioni in modo qualificato“: esclusivamente gli operatori sanitari e la protezione civile sono competenti nel far rispettare la normativa d’urgenza adottata per fronteggiare il Coronavirus.

– Quai sono i compiti in capo ai titolari del trattamento dati e dei datori di lavoro ?

Il Garante Privacy invita quindi tutti i titolari del trattamento al rispetto delle indicazioni del Ministero della Salute e delle istituzioni competenti per la diffusione del Coronavirus e a “non effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori” che non siano previste o disposte dagli organi competenti, come per esempio le regole previste per l’accesso ai visitatori in locali aperti al pubblico. Rimangono in capo al datore di lavoro gli adempimenti connessi alla sorveglianza sanitaria sui lavoratori, tramite il medico competente: il datore di lavoro potrà quindi, per esempio, sottoporre ad una visita straordinaria i lavoratori più esposti. Il datore di lavoro, inoltre, ha il compito di comunicare agli organi preposti l’eventuale variazione del rischio biologico derivante dal Coronavirus per la salute sul posto di lavoro, anche invitando i propri dipendenti a segnalare situazioni di pericolo attraverso appositi canali. Resta fermo infatti l’obbligo in capo ai lavoratori di segnalare al datore di lavoro eventuali situazioni di pericolo per la salute e sicurezza sui luoghi di lavoro.

– Indicazioni utili sul cosa fare

Il 14 marzo 2020, Cgil, Cisl e Uil hanno sottoscritto con il Governo presso la Presidenza del Consiglio un protocollo di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro. Nel protocollo si stabilisce, quindi, la possibilità di trattamento dati relativamente ai rischi Covid-19 da parte delle aziende italiane. L’adozione del protocollo di regolamentazione ha importanti implicazioni sul fronte privacy e protezione dei dati personali. Il protocollo, infatti, definisce la possibilità negli ambienti di lavoro di:

Misurazione della temperatura corporea
Redazione di una dichiarazione attestante la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti con soggetti colpiti da COVID-19

Il protocollo di sicurezza definisce, quindi, la possibilità di raccolta e trattamento dei dati personali relativamente a:

Stato di salute: il lavoratore deve informare tempestivamente e responsabilmente il datore di lavoro della presenza di qualsiasi sintomo influenzale durante l’espletamento della prestazione lavorativa, avendo cura di rimanere ad adeguata distanza dalle persone presenti.
Misurazione temperatura corporea: il personale, i fornitori e gli addetti alle pulizie prima di accedere al luogo di lavoro potranno essere sottoposti al controllo della temperatura corporea. Se tale temperatura risulterà superiore ai 37,5°, non sarà consentito l’accesso al luogo di lavoro. Le persone in tale condizione – nel rispetto delle indicazioni riportate in nota – saranno momentaneamente isolate e dotate di mascherine; non dovranno recarsi al Pronto Soccorso e/o nelle infermerie di sede, ma dovranno contattare nel più breve tempo possibile il proprio medico curante e seguire le sue indicazioni.

Secondo quanto definito dal protocollo di regolamentazione negli ambienti di lavoro, è possibile rilevare la temperatura corporea a dipendenti, fornitori, manutentori e addetti alla pulizia. La rilevazione in tempo reale della temperatura corporea costituisce un trattamento di dati personali e, pertanto, deve avvenire ai sensi della disciplina privacy vigente (Regolamento Privacy UE 2016/679 – GDPR).

Ai fini di una maggior tutela degli interessati oggetto del rilevamento dei dati personali, si suggerisce ai titolari del trattamento di:

Rilevare la temperatura e non registrare il dato acquisto. È possibile identificare l’interessato e registrare il superamento della soglia di temperatura solo qualora sia necessario a documentare le ragioni che hanno impedito l’accesso ai locali aziendali.
Fornire l’informativa sul trattamento dei dati personali. Si ricorda che l’informativa può omettere le informazioni di cui l’interessato è già in possesso e può essere fornita anche oralmente. Quanto ai contenuti dell’informativa, con riferimento alla finalità del trattamento potrà essere indicata la prevenzione dal contagio da COVID-19 e con riferimento alla base giuridica può essere indicata l’implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. art. 1, n. 7, lett. d) del DPCM 11 marzo 2020. Con riferimento alla durata dell’eventuale conservazione dei dati si può far riferimento al termine dello stato d’emergenza.
Definire le misure di sicurezza e organizzative adeguate a proteggere i dati personali. In particolare, sotto il profilo organizzativo, occorre individuare i soggetti preposti al trattamento e fornire loro le istruzioni necessarie. A tal fine, si ricorda che i dati possono essere trattati esclusivamente per finalità di prevenzione dal contagio da COVID-19 e non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative (es. in caso di richiesta da parte dell’Autorità sanitaria per la ricostruzione della filiera degli eventuali “contatti stretti di un lavoratore risultato positivo al COVID-19”).
Qualora si richieda il rilascio di una dichiarazione attestante la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19, si ricorda di prestare attenzione alla disciplina sul trattamento dei dati personali, poiché l’acquisizione della dichiarazione costituisce un trattamento dati.

Va ridotto, per quanto possibile, l’accesso ai visitatori. Qualora fosse necessario l’ingresso di visitatori esterni (impresa di pulizie, manutenzione, ecc.), gli stessi dovranno sottostare a tutte le regole aziendali, ivi comprese quelle per l’accesso ai locali aziendali sopra descritte.

Seguici e condividi 🙂