MISURE EMERGENZA COVID-19 E PRIVACY: PROFILI DI LEGITTIMITÀ
Con l’emergenza Coronavirus, molte aziende si sono attivate con misure straordinarie di precauzione, come l’obbligo per il dipendente e il visitatore di autocertificare per iscritto di non aver visitato recentemente aree a rischio, ma anche di non aver incontrato persone provenienti da tali aree o, addirittura, di non aver avuto una temperatura pari o superiore a 37,2 nelle ultime due settimane.
Queste iniziative pongono importanti dubbi sulla loro legittimità e compatibilità con le norme in materia di privacy.
Infatti, come confermato dal Garante Privacy, la necessità di salvaguardare la sicurezza e la salute dei cittadini consente una compressione della loro riservatezza per motivi straordinari e di pubblico interesse, ma tale principio non può dirsi applicabile tout court alle aziende private, che non godono dell’esenzione dall’obbligo di richiesta del consenso degli interessati.
Inoltre, adottando queste misure si ignora il principio di minimizzazione del trattamento, cioè la raccolta della quantità minima e necessaria di dati.
Occorre quindi valutare tutti i profili legali che potrebbero nascere dalla raccolta dei dati inseriti nelle autocertificazioni.
In particolare, queste ultime richiedono la valutazione circa il valore giuridico del documento, nonché la necessità di dimostrare la veridicità delle informazioni indicate.
Quindi, bisogna domandarsi quale possa essere l’utilità di sottoporre la persona alla specifica autocertificazione e quale sia il beneficio della conseguente raccolta di dati personali rispetto a una più semplice comunicazione indirizzata a una serie di destinatari non individuati?
La normativa ruota intorno alla necessità di perseguire uno scopo con un minor trattamento di dati personali possibile, se non addirittura evitandolo.
Cosa che, in questo specifico caso, ben potrebbe avvenire con una semplice sostituzione del modulo di autocertificazione con una comunicazione ai dipendenti, oppure con un avviso affisso all’ingresso dell’azienda con cui si invita chiunque abbia soggiornato in aree a rischio o presenti sintomi a non entrare nella sede.
Il Garante Privacy, con nota del 2 marzo 2020, ha chiarito gli aspetti legati alla raccolta di dati nell’ambito delle misure adottate con finalità di contenimento del COVID-19 determinando un “no a iniziative fai da te nella raccolta dei dati”.
Numerosi sono stati gli appelli e i quesiti da parte di soggetti pubblici e privati in merito alla possibilità di raccogliere, all’atto della registrazione di visitatori e utenti, informazioni circa la presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti, come misura di prevenzione dal contagio.
Molte anche le richieste di chiarimenti da parte dei di datori di lavoro pubblici e privati che hanno chiesto al Garante la possibilità di acquisire una “autodichiarazione” da parte dei dipendenti in ordine all’assenza di sintomi influenzali, e vicende relative alla sfera privata.
Al riguardo, il Garante ha specificato che la normativa d’urgenza adottata nelle ultime settimane prevede che chiunque negli ultimi 14 gg abbia soggiornato nelle zone a rischio epidemiologico, nonché nei comuni individuati dalle più recenti disposizioni normative, debba comunicarlo alla azienda sanitaria territoriale, anche per il tramite del medico di base, che provvederà agli accertamenti previsti come, ad esempio, l’isolamento fiduciario.
I datori di lavoro devono invece astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa.
La finalità di prevenzione dalla diffusione del Coronavirus deve infatti essere svolta da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato.
L’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.
Resta fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro.
Nel caso in cui, nel corso dell’attività lavorativa, il dipendente che svolge mansioni a contatto con il pubblico (es. URP, prestazioni allo sportello) venga in relazione con un caso sospetto di Coronavirus, lo stesso, anche tramite il datore di lavoro, provvederà a comunicare la circostanza ai servizi sanitari competenti e ad attenersi alle indicazioni di prevenzione fornite dagli operatori sanitari interpellati.
Le autorità competenti hanno, inoltre, già previsto le misure di prevenzione generale alle quali ciascun titolare dovrà attenersi per assicurare l’accesso dei visitatori a tutti i locali aperti al pubblico nel rispetto delle disposizioni d’urgenza adottate.
Pertanto, il Garante, accogliendo l’invito delle istituzioni competenti a un necessario coordinamento sul territorio nazionale delle misure in materia di Coronavirus, ha invitato tutti i titolari del trattamento ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute e dalle istituzioni competenti per la prevenzione della diffusione del Coronavirus, senza effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti.
Ma vi è di più.
Anche nelle FAQ presenti nel proprio sito istituzionale, il Garante ribadisce che tra le misure di prevenzione e contenimento del contagio che i datori di lavoro devono adottare in base al quadro normativo vigente, vi è la preclusione dell’accesso alla sede di lavoro a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al COVID-19 o provenga da zone a rischio secondo le indicazioni dell’OMS.
A tal fine, anche alla luce delle successive disposizioni emanate nell’ambito del contenimento del contagio (v. Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro sottoscritto il 14 marzo 2020 fra il Governo e le parti sociali), è possibile (quindi non obbligatorio) richiedere una dichiarazione che attesti tali circostanze anche a terzi (es. visitatori e utenti).
In ogni caso dovranno essere raccolti solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da Covid-19, e astenersi dal richiedere informazioni aggiuntive in merito alla persona risultata positiva, alle specifiche località visitate o altri dettagli relativi alla sfera privata.
Camilla Picca
RIPRODUZIONE RISERVATA