Covid-19: la privacy e la gestione dei lavoratori

Le Autorità Pubbliche visto l’aumento repentino dei casi di contagio da Covid-19 (Coronavirus) nella regione Lombardia e nelle altre regioni italiane, hanno istituito misure urgenti per bloccare la diffusione del virus. Il 31 Gennaio 2020 il Consiglio dei Ministri ha stabilito lo stato di emergenza con durata di 6 mesi (fino al 31 Luglio 2020, con possibile proroga). È importante capire le conseguenze che questa situazione potrebbe portare nel mondo economico giuridico e ai suoi operatori. Valutiamo dunque i vari aspetti. Il Garante per la protezione dei dati personali ha emesso, in data 2 marzo 2020, un provvedimento riguardante la gestione di dati e informazioni dei lavoratori da parte del datore di lavoro, circa la presenza di sintomi da Coronavirus e sugli spostamenti di visitatori, utenti e dipendenti. Sul punto, il Garante ha invitato a non effettuare trattamenti di dati dei lavoratori con carattere sistematico e senza criterio. A questo proposito, il Garante ha sottolineato che le attività di prevenzione dalla diffusione del Covid-19 dovrebbero rimanere in capo alle autorità sanitarie a ciò preposte. Ogni misura di contenimento dovrà essere improntata al rispetto del principio di minimizzazione del trattamento e pertanto potranno essere raccolti solo i dati ritenuti indispensabili per consentire l’operatività delle misure. Sul punto si è pronunciato il Comitato europeo per la protezione dei dati, il quale ha affermato che ogni trattamento da parte dei datori di lavoro deve essere svolto nel rispetto del GDPR e comunque consente di trattare i dati personali del lavoratori, in caso di epidemie, anche per motivi di interesse pubblico o per tutelare interessi vitali o per rispettare obblighi di legge.

Un protocollo per gli ambienti di lavoro

In seguito all’aggravarsi della diffusione del Covid-19, il Governo ha emanato linee guida che richiedono la implementazione di un protocollo da utilizzare negli ambienti di lavoro. L’adozione del protocollo in questione rende possibile una raccolta dei dati dei lavoratori meno stringente, a fronte della adozione da parte del datore di lavoro di una serie di misure. In particolare, i datori di lavoro che lo adotteranno avranno la possibilità di raccogliere una serie di dati, sempre nel rispetto del principio di minimizzazione:

• Raccogliere e chiedere informazioni ai lavoratori, nonché ai visitatori/fornitori e clienti che accedano alle sedi aziendali sugli spostamenti effettuati e sul loro stato di salute, astenendosi però dal richiedere informazioni aggiuntive non necessarie, quali l’identificazione della persona risultata positiva con cui il dichiarante ha avuto contatti o le specificità dei luoghi a contenimento rafforzato da cui proviene;
• Rilevare la temperatura corporea dei soggetti di cui sopra (lavoratori, fornitori, ecc.), senza però registrare il dato acquisito e senza associarlo al soggetto in ingresso, a meno che non sia necessario per documentare le ragioni che hanno impedito l’accesso ai locali aziendali.
• Diffondere informative ai soggetti di cui sopra finalizzate a sottolineare l’obbligo di dichiarare la sussistenza di sintomi influenzali, la provenienza da zone a contenimento rafforzato ovvero il contatto con persona positiva al virus nei 14 giorni precedenti.
• Ove un dipendente risultasse positivo al Covid-19, a seguito di tampone, è tenuto a comunicarlo all’azienda che dovrà procedere ad attivarsi con le autorità sanitarie e dovrà altresì isolare il dipendente ed altri soggetti presenti affinché non entrino in contatto con altre persone. Il datore di lavoro dovrà inoltre svolgere indagini interne e raccogliere informazioni volte ad identificare le persone che siano entrate in stretto contatto con il soggetto positivo, al fine di comunicare tali dati alle autorità sanitarie
• Le operazioni di cui sopra dovranno essere poste in essere con modalità tali da garantire la riservatezza e la dignità del lavoratore;
• Fornire ai soggetti interessati e quindi senz’altro ai lavoratori, anche oralmente, una informativa sul trattamento dei dati personali effettuato in base del protocollo di cui sopra:
• Individuare le misure di sicurezza tecniche e organizzative adeguate a proteggere i dati. In particolare, sotto il profilo organizzativo, l’azienda dovrà individuare e autorizzare (anche oralmente) i soggetti incaricati del trattamento, nonché fornire loro le istruzioni necessarie.
• Rafforzare le misure di sicurezza informatiche per consentire in lavoro in modalità smart working, specie ove i dipendenti usino dispositivi e connessioni di rete personali (e non aziendali) per accedere ai sistemi aziendali, senza rischi e tenere conto del maggior rischio di attacco informatico, monitorando gli avvisi della Polizia Postale.