Il nuovo Protocollo sottoscritto il 14 marzo scorso tra le Parti sociali fornisce utili indicazioni operative dirette ad agevolare le imprese nell’adozione di misure di sicurezza anti-contagio. I datori di lavoro possono effettuare alcuni trattamenti sui dati dei lavoratori, ma a condizione che siano rispettate le prescrizioni della vigente normativa privacy.
Il 14 marzo 2020, su invito del Presidente del Consiglio dei Ministri e dei Ministri competenti, è stato sottoscritto tra le Parti sociali il «Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro».
Detto Protocollo – nato in attuazione della misura ex art. 1, c. 1, n. 9, del DPCM 11 marzo 2020 che raccomandava intese tra organizzazioni datoriali e sindacali in relazione alle attività professionali e alle attività produttive – fornisce numerosi indicazioni operative dirette ad agevolare le imprese nell’adozione di protocolli di sicurezza anti-contagio, con particolare riferimento agli obblighi informativi del datore di lavoro, alle modalità di ingresso in azienda, alla pulizia e sanificazione dei luoghi di lavoro, all’organizzazione aziendale ecc.
In questo breve contributo ci limiteremo a trattare le novità introdotte dal Protocollo in tema di trattamento dei dati personali, anche alla luce del recente intervento del Garante Privacy del 2 marzo 2020, che aveva sconsigliato l’effettuazione da parte dei datori di lavoro di accertamenti “fai-da-te” sulle condizioni di salute di dipendenti, collaboratori e fornitori.
Nel paragrafo dedicato al trattamento dei dati personali, il Protocollo prevede espressamente che il personale, prima dell’accesso al luogo di lavoro, possa essere sottoposto al controllo della temperatura corporea, così da poterne impedire l’ingresso nel caso in cui questa dovesse risultare superiore ai 37,5°.
Come noto, la rilevazione della temperatura corporea costituisce un trattamento di dati personali e, pertanto, deve avvenire nel pieno rispetto della vigente normativa in tema privacy. Sotto tale aspetto, il Protocollo suggerisce di rilevare la temperatura senza, tuttavia, registrare il dato acquisito, salvo che l’identificazione dell’interessato e la registrazione del superamento della soglia siano necessari a documentare le ragioni per le quali non è stato consentito l’ingresso in azienda. L’interessato che subisca tale trattamento dei propri dati personali ha il diritto di ottenere l’informativa privacy dal titolare, la quale potrà essere fornita oralmente e potrà essere limitata alle sole informazioni di cui l’interessato non sia già in possesso in ragione del rapporto sottostante.
Il Protocollo fornisce utili indicazioni anche quanto alla finalità del trattamento in questione (prevenzione dal contagio da COVID-19), alla sua base giuridica (implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. 1, n. 7, lett. d) del DPCM 11 marzo 2020, in conformità con l’art. 6, c. 1, lett. e) e l’art. 9, c. 2, lett. b), del GDPR) ed al termine di conservazione dei dati (termine dello stato di emergenza).
Risulta evidente come detto trattamento rappresenti una deroga al generico divieto di trattare i c.d. dati particolari, ex art. 9, c. 1, del GDPR (tra i quali vi rientrano certamente quelli relativi alla salute), derivante dalla previsione di cui al comma 2, lett. b), del medesimo articolo: [Il divieto non si applica se si verifica uno dei seguenti casi:] il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato.
Il Protocollo precisa che i dati particolari così rilevati possono essere trattati esclusivamente per la finalità di prevenzione dal contagio da COVID-19 e non possono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative. Tra i casi in cui è ammessa la comunicazione dei dati rientra certamente quello in cui sia l’Autorità Sanitaria a richiederli, ad esempio al fine di ricostruire la filiera degli eventuali contatti stretti di un lavoratore risultato positivo al coronavirus.
Tra le altre indicazioni operative, il Protocollo prevede che possa essere disposto l’isolamento momentaneo del soggetto con una temperatura corporea superiore al limite consentito, ma è onere dal datore di lavoro assicurare che detto isolamento avvenga con modalità tali da garantire la riservatezza e la dignità del lavoratore. Le stesse cautele devono essere garantite al lavoratore che abbia comunicato all’ufficio responsabile del personale di aver avuto contatti con soggetti risultati positivi al coronavirus, nonché nel caso di allontanamento del lavoratore che, durante l’attività lavorativa, sviluppi sintomi riconducibili al COVID-19.
Il Protocollo suggerisce, inoltre, di definire le misure di sicurezza e organizzative adeguate a proteggere i dati trattatati per la finalità in esame. Quanto alle misure di sicurezza, il Protocollo non fa menzioni specifiche e, pertanto, ci si deve rifare a tutto quanto previsto dall’art. 32 del GDPR. Sotto il profilo organizzativo, invece, il Protocollo suggerisce al datore di lavoro (titolare del trattamento) di individuare i soggetti preposti al trattamento e fornire loro tutte le istruzioni necessarie.
Tutte le accortezze menzionate devono essere tenute anche nel caso in cui il datore di lavoro richieda ai lavoratori una dichiarazione attestante la non provenienza dalle zone a rischio epidemiologico o l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19, in quanto l’acquisizione di detta dichiarazione costituisce un trattamento di dati. In tal senso, il Protocollo consiglia di raccogliere solo i dati necessari, adeguati e pertinenti alla prevenzione del contagio da COVID-19.