La tutela della privacy e la protezione dei dati dei dipendenti nell’ambito dell’emergenza Covid-19

Lo scorso 2 marzo 2020, il Garante della Privacy ha pubblicato un comunicato al fine di riscontrare, tra le altre, le numerose richieste pervenute da datori di lavoro pubblici e privati circa la possibilità di raccogliere informazioni sulla presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti dei dipendenti, ed in particolar modo sulla possibilità di acquisire, da parte dei dipendenti, una “autodichiarazione” in ordine alla assenza di sintomi influenzali, e vicende relative alla sfera privata.

In tale contesto, il Garante – dopo avere rammentato che la normativa d’urgenza adottata dal Governo prevede, per chiunque negli ultimi quattordici giorni abbia soggiornato nelle zone a rischio epidemiologico nonché nei comuni individuati dalle più recenti disposizioni normative, l’obbligo di comunicarlo alle Asl territoriali (anche per il tramite del medico di base), essendo la finalità di prevenzione dalla diffusione del Coronavirus affidata esclusivamente agli organi e ai soggetti che svolgono istituzionalmente queste funzioni – ha espressamente sancito l’obbligo in capo al datore di lavoro di astenersi dall’assumere iniziative “fai da te” nella raccolta di tali dati, sia in relazione all’assunzione di informative a priori e in modo sistematico e generalizzato, sia attraverso specifiche richieste al singolo lavoratore circa la presenza di eventuali sintomi influenzali suoi o dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa.

La raccolta di tali dati sensibili compete, infatti, solamente agli operatori sanitari e alla Protezione Civile.

Rimane in ogni caso fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro (ad esempio segnalando di provenire da un’area a rischio o di avvertire dell’insorgenza di qualsiasi sintomo influenzale durante l’espletamento dell’attività lavorativa); fermo restando altresì l’obbligo del dipendente di rimanere al proprio domicilio in presenza di febbre o di altri sintomi influenzali. Inoltre, nel caso in cui il lavoratore, nel corso dell’attività lavorativa, venga a relazionarsi con un caso sospetto di coronavirus, lo stesso, anche per il tramite del datore di lavoro, deve provvedere a comunicare la circostanza ai servizi competenti, e ad attenersi alle indicazioni di prevenzione fornite dagli operatori sanitari interpellati.

Il datore di lavoro, da parte sua, è tenuto ad adottare le misure necessarie a garantire la salute e la sicurezza dei dipendenti sui luoghi di lavoro, facendo in particolar modo riferimento a quanto stabilito nel “Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid 19 negli ambienti di lavoro” sottoscritto tra le parti sociali in data 14 marzo 2020.

Con particolare riferimento alle problematiche legate alla privacy, il Protocollo, circa le disciplinate modalità di ingresso in azienda, ed in particolare alla prevista possibilità da parte del datore di lavoro di sottoporre il personale al controllo della temperatura corporea prima dell’accesso al luogo di lavoro, evidenzia che il trattamento di tali dati personali deve avvenire nel rispetto della disciplina della privacy vigente (e quindi del GDPR e del Codice Privacy) e, a tal fine, suggerisce di: 1) rilevare la temperatura senza registrare il dato acquisito; 2) fornire ai dipendenti l’informativa sul trattamento dei dati personali, ove si dovrà avere cura di indicare anche la finalità di prevenzione dal contagio da Covid-19 e di indicare i relativi limiti di durata del trattamento legata all’emergenza; 3) definire le misure di sicurezza e organizzative adeguate a proteggere i dati, anche individuando i soggetti preposti al trattamento, ai quali dovranno essere fornite le necessarie istruzioni; 4) in ogni caso (ad esempio, nel caso di isolamento temporaneo dovuto al superamento della soglia di temperatura), assicurare modalità tali da garantire la riservatezza e la dignità del lavoratore.

Il Protocollo, in linea con i principi espressi dal Garante della Privacy, prevede inoltre che, qualora il datore di lavoro intenda richiedere il rilascio di una dichiarazione attestante la non provenienza dalla zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19, occorre prestare particolare attenzione alla normativa sul trattamento dei dati personali, poiché l’acquisizione della dichiarazione costituisce un trattamento di dati. Si raccomanda, pertanto, anche in questo caso, di limitarsi a eventualmente rilevare la temperatura all’ingresso senza registrare il dato acquisito e di aver cura, per il resto, di raccogliere solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da Covid-19 (ad esempio, astenendosi dal richiedere informazioni aggiuntive in merito alla persona risultata positiva con la quale l’interessato abbia avuto contatti negli ultimi 14 giorni o dal richiedere al dipendente informazioni aggiuntive in merito alla specificità dei luoghi delle eventuali zone a rischio frequentate negli ultimi 14 giorni).

In definitiva, al fine di rispettare la privacy dei dipendenti, il datore di lavoro è tenuto, oltre ad aggiornare il Documento di Valutazione dei rischi (DVR): a) all’elaborazione di una informativa corretta, secondo i canoni stabiliti dalla normativa in materia di privacy e avendo cura di prendere altresì in considerazione tutti gli aspetti previsti dal Protocollo; b) alla nomina formale dei soggetti individuati e autorizzati al trattamento di queste tipologie di dati; c) ad adottare ogni soluzione necessaria a garantire la riservatezza e la dignità del lavoratore.