L’impatto che il virus COVID-19 sta avendo sui costumi sociali degli italiani è oltremodo evidente – basti pensare all’improvvisa impennata nell’uso dello smartworking – e lo sarà ancor di più nei tempi a venire quando, superata la fase di crisi, gli organi di governo saranno chiamati a predisporre politiche programmatiche di prevenzione e contenimento delle epidemie. Politiche decisamente più strutturare e omogenee, differenti da quelle assunte negli ultimi mesi, elaborate con l’intenzione di approntare presidi efficaci e rapidi per contenere la diffusione del virus.
Sarà proprio in quel momento che le Autorità Pubbliche saranno chiamate a compiere scelte legislative di complessa soluzione, di certo non più giustificate da quelle esigenze di eccezionalità che tutt’oggi sono giustamente impiegate per “scagionare” politiche che potrebbero altrimenti apparire repressive o addirittura incostituzionali.
E sarà proprio in quel momento, ancora, che il Legislatore dovrà correttamente contemperare due opposte esigenze pubbliche, entrambe meritevoli di un equo bilanciamento in termini di compressione dei diritti in gioco, e cioè la salute pubblica e il diritto alla privacy. Già ad oggi sono state percepite alcune “avvisaglie”: basti pensare al dilemma circa la conservazione dei dati sanitari di quanti, pazienti, sono stati sottoposti ai test (c.d. tamponi) volti ad accertare l’infezione virale, e alla correlata diatriba sulla gestione dei flussi e dell’interscambio dei suddetti; all’acquisizione coatta di dati sanitari tramite i c.d. scanner termini; al tracciamento degli spostamenti degli infettati, etc.
Su tutti, però, aleggia un quesito-madre, dalla cui risposta dipende anche la legittimità degli altri, subordinati e, in una qualche misura, dipendenti; una risposta emblematica per comprendere il bilanciamento dei diritti di cui sopra, e cioè: potranno essere riconosciuti poteri di acquisizioni e gestione dei dati anche ai privati?
Detto altrimenti, fermo restando l’obbligatorietà del cittadino al rispetto degli interventi di azione pubblica (es. test obbligatorio nelle zone ad alto rischio), i datori di lavoro, persone fisiche o giuridiche che siano, potranno imporre misure coercitive di controllo al solo fine di impedire la diffusione virale? Un dipendente di una società sarà tenuto a illustrare i propri spostamenti? Il gestore di un centro ludico o di una discoteca potrà richiedere un test all’ingresso dei locali? È evidente che la risposta al presente dilemma, positiva o meno che sia, farà trasparire la percezione che la società, per il tramite dei propri rappresentati, ha avuto dell’evento COVID-19.
Ebbene, ad oggi è complesso riuscire a dare una risposta fondata a un simile quesito. Molto, se non tutto, dipenderà dall’evoluzione (e, si spera, arresto) della pandemia, dal tasso di mortalità che causerà e dall’impatto sull’economia, nonché, per concludere, da un’infinita serie di fattori più o meno importanti. Certamente una “bozza” di risposta è stata fornita dallo stesso Garante della Privacy che, interrogato al riguardo, si è espresso in maniera chiara e precisa.
Infatti, in un comunicato stampa del 2 marzo, questi riporta di “sta[r] ricevendo numerosi quesiti da parte di soggetti pubblici e privati in merito alla possibilità di raccogliere, all’atto della registrazione di visitatori e utenti, informazioni circa la presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti, come misura di prevenzione dal contagio”.
E nel far ciò, fornisce anche una risposta che non lascia dubbi quando afferma che “la finalità di prevenzione dalla diffusione del Coronavirus deve infatti essere svolta da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato”, e poi aggiunge che “l’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate”.
Detto ciò, però, lascia intravedere la possibilità che, in futuro, possa esprimersi diversamente. In particolar modo, è alquanto significativo rilevare che invita “tutti i titolari del trattamento [quindi anche i privati] ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute […] senza effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”. In altri termini, da quanto esposto può evincersi una regola di generale applicazione per cui, in futuro, potrebbe aprirsi anche ai privati la facoltà di accertare lo stato di salute di soggetti altri purché ciò avvenga legittimamente, e cioè nell’ambito delle coordinate normative previste e da prevedere.
Detto altrimenti, quel che l’Authority vuol forse dire è che, in occasioni sporadiche – e sicuramente ampiamente giustificate da elementi di fatto incontestabili – i privati possono agire autonomamente al fine di impedire danni alla salute pubblica (nel caso di specie, diffusione dell’infezione), purché sulla scorta di un provvedimento autorizzativo che deponga in tal senso.
Tuttavia, tale ricostruzione incontra un limite attinente al mondo del lavoro – quantomeno per adesso – nella parte del provvedimento in cui si afferma che “i datori di lavoro devono invece astenersi dal raccogliere, a priori e in modo sistematico e generalizzato […] informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa”. Tale inciso merita sicuramente un approfondimento.
In proposito, infatti, sorge spontaneo un quesito: può negarsi a priori una simile opzione per il futuro in caso di aggravamento dello status quo dell’ormai pandemia? E come agire considerato che “permangono altresì i compiti del datore di lavoro relativi alla necessità di comunicare agli organi preposti l’eventuale variazione del rischio “biologico” derivante dal Coronavirus per la salute sul posto di lavoro e gli altri adempimenti connessi alla sorveglianza sanitaria sui lavoratori per il tramite del medico competente, come, ad esempio, la possibilità di sottoporre a una visita straordinaria i lavoratori più esposti”? Come conciliare, insomma, le due opposte esigenze di tutela della privacy e sicurezza dei luoghi di lavoro?
Tale dilemma diviene ancora più problematico alla luce dell’art. 2087 c. c., in ragione del quale vi è una sorta di diritto/dovere del datore di lavoro di agire nel miglior modo possibile per tutelare la salubrità dei locali di lavoro e la salute dei propri dipendenti. Tuttavia, è vero anche che il problema ad oggi sembra non essere di concreta e attuale importanza, o quantomeno non è azzardato affermare che lo è in misura inferiore a quanto si potrebbe presumere.
In primo luogo, infatti, si consideri che le difficoltà datoriali a garantire ambienti salutari possono essere agilmente arginate facendo leva sul disposto dell’art. 20 del D.lgs 81/2008, secondo cui “ogni lavoratore deve prendersi cura della propria salute e sicurezza e di quella delle altre persone presenti sul luogo di lavoro, su cui ricadono gli effetti delle sue azioni o omissioni, conformemente alla sua formazione, alle istruzioni e ai mezzi forniti dal datore di lavoro”; tuttavia, ciò comunque non rimette al datore di lavoro alcun potere, anzi: il dovere di agire in tale senso è attribuito al solo lavoratore.
Tale ultimo scoglio è però superato dal “Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro”, siglato in data 14 marzo dalle organizzazioni datoriali e sindacali, su invito del Presidente del Consiglio dei Ministri e di altri esponenti del Governo. Ai fini di nostro interesse, l’art. 2 del detto documento prevede dapprima che “il personale, prima dell’accesso al luogo di lavoro potrà essere sottoposto al controllo della temperatura corporea”, e poi che “il datore di lavoro informa preventivamente il personale, e chi intende fare ingresso in azienda, della preclusione dell’accesso a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al COVID-19 o provenga da zone a rischio secondo le indicazioni dell’OMS”, entrambe circostanze che presuppongono un trattamento di dati personali, seppur appartenenti a categorie differenti.
Nel far ciò, peraltro, le parti hanno posto l’attenzione e l’accortezza dovute nel contemperamento dei diritti in gioco – da un lato la salute dei luoghi di lavoro e, dall’altro, la riservatezza delle informazioni – suggerendo, rispettivamente nelle note 1 e 2, corrette indicazioni pratiche e giuridiche per il legittimo trattamento dei dati personali.
A conti fatti, insomma, sembra che le suddette abbiano adottato misure in palese contrasto con quanto statuito dal Garante della Privacy che, ricordiamo, aveva ammonito “i datori di lavoro […] dal raccogliere, a priori e in modo sistematico e generalizzato […] informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa”. Pertanto, nel valutare la legittimità di tali interventi alla luce delle indicazioni della detta Authority, occorre soffermarsi su diversi profili di interesse.
In primo luogo, occorre tenere in debito conto che il Governo ha conferito “carta bianca” alle parti ai fini dell’individuazione delle misure aziendali di contrasto al COVID-19, rimettendo loro, così facendo, una sorta di discrezionalità tecnica nell’applicazione e graduazione dei presidi sanitari. Insomma, a voler utilizzare una terminologia impropria ma efficace, potrebbe parlarsi di una sorta di “intervento legislativo delegato” che, stando così le cose, trova comunque un fondamento giuridico nell’art. 1, comma 1, num. 9, del decreto del Presidente del Consiglio dei Ministri dell’11 marzo 2020, il quale autorizza “intese” in tema di attività produttive e nel perimetro delle raccomandazioni già enucleate. Non trattasi, dunque, di un potere scevro di qualsiasi forma di controllo o vigilanza.
Alla luce di ciò, sembra dunque che siano soddisfatte le esigenze di legalità richieste dal Garante quando afferma che “tutti i titolari del trattamento [quindi anche i privati] ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute […] senza effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”.
Peraltro, si tenga anche in considerazione che un valido supporto normativo all’azione delle parti è altresì fornito da un’interpretazione estensiva dell’art. 9, comma 2, lett. i) del GDPR, secondo cui possono trattarsi dati dell’interessato anche senza il suo consenso qualora ciò sia necessario “per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale”.
Infine, accantonando per un attimo argomentazioni di natura squisitamente giuridica, una terza e ultima considerazione emerge dall’esame dei momenti storici di adozione dei detti interventi. Le parole del Garante della Privacy risalgono, come visto, alla data del 2 marzo, e cioè a un momento storico in cui la gravità dell’epidemia – poi definita pandemia per i drammatici livelli di diffusione raggiunti – non era tanto intensa quanto quella che poi, in data 14 marzo, ha “costretto” le parti datoriali e sindacali all’adozione del detto Protocollo.
In altri termini, vuol dirsi che, nonostante quanto disposto dal Garante, le misure adottate sono pienamente valide e legittime. Pertanto, non può rinvenirsi nel comunicato di quest’ultimo un limite alla loro operatività per il semplice fatto che lo stesso si fondava su di una situazione di fatto decisamente meno complessa, tanto a livello sociale quanto epidemiologico, rispetto a quella che successivamente ha “giustificato” l’adozione del Protocollo.
A questo punto, non possiamo fare altro che attendere con forte curiosità scientifica un ulteriore intervento in materia dell’Authority.
di FC Law Firm
FC Law Firm è uno studio professionale che presta consulenza e assistenza legale a società ed enti. Opera prevalentemente nei settori assicurativo, finanziario e bancario, assistendo il cliente in sede giudiziale e stragiudiziale, nella risoluzione di problematiche attinenti al diritto commerciale, societario e della privacy, nella gestione e organizzazione dei sistemi di controllo interni, nella corporate governance e nella compliance aziendale – [email protected]
