L’articolo, attraverso una disamina della normativa in materia di protezione dei dati personali e dei provvedimenti di urgenza emanati per contenere l’emergenza in atto, si propone di riflettere sul bilanciamento dei diritti in gioco e sulla consapevolezza che la prevalenza di un diritto rispetto all’altro non comporta una totale e irragionevole compressione del diritto ritenuto cedevole.
La recente e repentina diffusione in Italia del Coronavirus ha portato il Governo ad emanare molteplici provvedimenti emergenziali, da cui sono scaturiti nuovi obblighi e limitazioni, nell’ambito di una situazione temporanea e derogatoria rispetto alla disciplina ordinaria.
Tali scelte di natura emergenziale sono state condotte secondo logiche di bilanciamento tra i vari diritti in gioco e riflessioni sulla prevalenza o cedevolezza di determinate normative rispetto ad altre.
Le libertà e i diritti in gioco (libertà di circolazione, di associazione, d’impresa, diritti dei lavoratori, diritto alla protezione dei dati personali), infatti, sono cedevoli rispetto alla tutela della salute, dichiarata all’art. 32 della Costituzione come fondamentale diritto dell’individuo e interesse della collettività. Nel presente articolo ci focalizzeremo in particolare sul bilanciamento tra privacy e diritto alla salute.
È ben noto che il diritto alla salute deve essere garantito anche nell’ambiente di lavoro. Non a caso, l’esigenza di contemperare la protezione dei dati personali con la tutela della salute ha generato divergenze e difficoltà interpretative e applicative soprattutto negli ambienti di lavoro, con particolare riguardo alla gestione dei rapporti con dipendenti, fornitori, utenti o visitatori da parte di aziende o enti. Tale situazione di incertezza ha richiesto, in data 2 marzo 2020, un intervento chiarificatore del Garante per la protezione dei dati personali: i datori di lavoro devono “astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa”, in quanto tali finalità devo essere perseguite e realizzate dai soli soggetti a ciò istituzionalmente e qualificatamente incaricati nell’ambito del settore sanitario e della protezione civile. Il successivo Protocollo condiviso di regolamentazione del 14 marzo 2020 sembra aver allargato l’ambito d’azione, tuttavia, come vedremo di seguito, sarà opportuno leggerlo ed applicarlo in maniera combinata e integrata con le indicazioni del Garante del 2 marzo e con i principi generali in materia di protezione dei dati personali, specie la minimizzazione (riferita sia alla quantità e tipologia dei dati raccolti che alla loro conservazione) e il principio di necessità e adeguatezza alle finalità perseguite.
Lo stato di confusione, anche al di fuori dei confini nazionali, ha richiesto altresì l’intervento del Comitato europeo (EDPB) che ha emesso in data 16 marzo una propria dichiarazione al riguardo ed una successiva guida. L’EDPB ha ribadito che le norme sulla protezione dei dati personali non ostacolano le misure implementate nella lotta alla diffusione della pandemia e che la base giuridica che permette ad aziende e autorità di raccogliere dati personali necessari e pertinenti non è il consenso dell’interessato, bensì i motivi di interesse pubblico nel settore della sanità pubblica, la tutela di un interesse vitale (artt. 6 e 9 del GDPR) o l’osservanza di un obbligo di legge.
Il datore di lavoro è tenuto all’osservanza delle previsioni di cui al DL 81/08 e all’art. 2087 c.c., adottando nell’esercizio dell’impresa le misure necessarie a tutelare l’integrità fisica e la personalità morale dei lavoratori. Pertanto un’interpretazione estensiva dell’art. 2087 consentirebbe al datore di lavoro di adottare misure volte a presidiare l’attuale rischio per il diritto alla salute, prevalente sul diritto alla protezione dei dati personali: muovendo da questo assunto, anche la rilevazione della temperatura, effettuata con particolari precauzione e modalità di riserbo che analizzeremo a breve, potrebbe essere una misura adeguata ai sensi dell’art. 2087.
Operare un bilanciamento richiede, tuttavia, l’adozione di comportamenti e adempimenti che assicurino, per quanto possibile, anche l’aderenza alle previsioni normative risultate cedevoli. Per questo i titolari del trattamento saranno chiamati ad adeguare la propria documentazione privacy, le misure di sicurezza adottate, nonché gli ulteriori adempimenti richiesti dalla normativa. Sarà necessario valutare la resa di informative ad hoc o integrare quelle già esistenti; attenzionare in particolar modo la retention dei dati raccolti nel contesto emergenziale; qualora il trattamento dati in siffatto contesto comporti l’esecuzione di nuove operazioni occorrerà aggiornare il registro dei trattamenti ed eventualmente effettuare valutazioni di impatto; andranno implementate misure di sicurezza adeguate ai trattamenti effettuati; potrà essere necessario implementare le infrastrutture IT (soprattutto nei casi in cui il ricorso allo smart working ne abbia causato un affaticamento) e rivedere i contratti con i fornitori (responsabili esterni), ricordando in tutti i casi precedentemente elencati di coinvolgere, ove necessario, il DPO.
Tornando alla rilevazione della temperatura corporea in tempo reale sarà necessario che il dato acquisito non venga aggregato ad altri o utilizzato per effettuare operazioni di mappatura, ma sia per l’esclusiva finalità di valutazione dell’ammissione o non ammissione nell’ambiente di lavoro, tenendo conto che il dato andrà registrato solo in caso di temperatura superiore ai 37,5°C, diversamente dovrà essere immediatamente distrutto. I dati dovranno essere trattati per le sole finalità necessarie alla prevenzione e al contenimento dell’emergenza in corso, comunicati ai soli enti/autorità istituzionalmente preposti alla gestione dell’emergenza sanitaria in atto e conservati fino alla cessazione dello stato di emergenza (in tema di data retention si segnala che l’ordinanza del Ministero della Salute del 21 febbraio 2020 raccomanda di distruggere la documentazione e le informazioni acquisite nella gestione dell’emergenza trascorsi sessanta giorni dalla raccolta, ove non pertinenti a casi sospetti). La rilevazione della temperatura può essere effettuata anche da personale interno dell’azienda, purché specificamente autorizzato e soggetto ad istruzioni impartite ai sensi dell’art. 29 del GDPR. All’interessato dovrà essere resa l’informativa privacy, indicando come base giuridica la necessità di ottemperare al DPCM 11/3/2020 e ai protocolli anti-contagio, nonché tutte le ulteriori specifiche informazioni circa finalità e modalità del trattamento. Tale informativa può essere resa nella modalità di integrazione/supplemento della complessiva informativa privacy relativa al trattamento dei dati nell’ambito dei rapporti di lavoro e collaborazione.
Per quanto concerne l’accesso ai luoghi di lavoro il Protocollo prevede le modalità di accesso in azienda sia per i lavoratori sia per fornitori. I luoghi di lavoro rappresentano spazi privati con riferimento ai quali il datore di lavoro può a disporre le misure ritenute più idonee a garantire la sicurezza e la salute dei dipendenti e dei soggetti tutti che vi transitano. L’attuale situazione di emergenza necessita di una pronta e adeguata gestione delle persone che accedono ai locali aziendali, il tutto inserito nell’ambito delle procedure di controllo degli accessi già in vigore in azienda.
In caso di richiesta di attestazione circa la provenienza da zone a rischio epidemiologico e l’assenza di contatti con soggetti positivi, negli ultimi 14 giorni, è bene astenersi dal richiedere informazioni aggiuntive sulla persona risultata positiva ed in merito alle specificità dei luoghi di permanenza.
Sarebbe opportuno che la raccolta di queste informazioni sia sollecitata ai lavoratori nella forma di autodichiarazione di non essere un pericolo per la salute e la sicurezza del luogo di lavoro (complementare all’obbligo, in capo ai lavoratori di cui all’art. 20 lett.e) del DL 81/08). Anche in questo caso sarà poi necessario osservare particolari accorgimenti per la tutela dei dati personali: la raccolta deve avvenire attraverso canali dedicati e ad opera di personale autorizzato; tali informazioni avente carattere eccezionale non possono essere aggregate ai database già presenti in azienda e deputati all’ordinaria gestione del rapporto di lavoro, ma devono essere conservate in un apposito repository che, una volta superata l’emergenza, dovrà essere limitato nell’uso e impiegato solo nell’eventuale esigenza di rendicontare e comprovare le azioni poste in essere nella gestione della crisi.
Con riferimento, invece, alla collaborazione con le Autorità e all’interscambio di informazioni, l’art. 14 del DL 9 marzo 2020, n. 14 legittima ed estende gli ambiti di trattamento di dati personali (compresa la comunicazione) anche sanitari e giudiziari, da parte dei soggetti tassativamente elencati nel comma 1 (in primis Protezione strutture sanitarie). Al comma 2, tuttavia, è previsto che tale comunicazione dei dati personali a soggetti pubblici e privati diversi di quelli di cui al comma 1, può essere effettuata se indispensabile ai fini dello svolgimento delle attività connesse alla gestione dell’emergenza in atto (ad es. per la ricostruzione della mappa di un possibile contagio). Le previsioni di cui al su menzionato decreto rappresentano la base giuridica su cui fondare la comunicazione di dati personali strettamente necessarie alla gestione dell’emergenza COVID-19. Tuttavia l’ipotesi di una comunicazione alle istituzioni di dati del dipendente da parte del proprio datore di lavoro va considerata come residuale, nel caso in cui l’interessato sia impossibilitato a fornirle direttamente e sussistano le condizioni di necessità e pertinenza. Discorso nettamente diverso nel caso di condivisione e scambio dei dati personali dei dipendenti con i partner commerciali: le aziende dovranno individuare scrupolosamente la base giuridica a fondamento di questa comunicazione, in assenza della quale, la condivisione di informazioni risulterebbe illegittima.
Resta fermo ad ogni modo il rispetto dei principi generali in materia di trattamento dei dati personali di cui all’art. 5 del GDPR, in particolare la minimizzazione e limitazione della conservazione. Tant’è vero che al termine dello stato di emergenza, il decreto prescrive che dovranno essere adottate misure idonee a ricondurre i trattamenti effettuati nel contesto dell’emergenza all’ambito delle ordinarie competenze e regole che disciplinano il trattamento dei dati personali.
Giova ricordare, infatti, che alla fine di questo periodo emergenziale – che ci auguriamo sia il più vicino possibile – le imprese e gli enti potrebbero essere chiamati a dimostrare, anche su base documentale, che le decisioni prese e i trattamenti effettuati siano conformi ai principi di cui all’art. 5, compresa l’accountability.
Quadro normativo di riferimento
- Regolamento UE 679/2016 (GDPR), normativa italiana di adeguamento in materia di protezione dei dati personali e provvedimenti dell’Autorità applicabili.
- Comunicato stampa del Garante Privacy “Coronavirus: no a iniziative “fai da te” nella raccolta dei dati” del 2 marzo 2020
- Statement of the EDPB Chair on the processing of personal data in the context of the COVID-19 outbreak
- Statuto dei Lavoratori, Legge 300/70 e s.m.i. e D.L. 81/08
- Ordinanza del Ministero della Salute del 21 febbraio 2020
- Decretazione di urgenza in materia di gestione dell’emergenza epidemiologica da COVID-19 (in particolare il D.L. 9 marzo 2020, n.14)
- Protocollo condiviso di regolamentazione del 14 marzo 2020
di Rosanna Celella
