Protocollo condiviso del 14 marzo 2020 – novità in materia di privacy

Sabato 14 marzo 2020 è stata annunciata dalle principali associazioni datoriali ed organizzazioni sindacali la sottoscrizione del «Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro».

Si tratta di un documento molto importante in quanto copre, sotto un profilo eminentemente pratico, molti aspetti relativi alla sicurezza nei luoghi di lavoro sui quali diverse società si erano interrogate subito dopo l’entrata in vigore delle misure di emergenza.

Tuttavia è bene sottolineare che questo Protocollo, sebbene firmato con notevole rapidità in attuazione dell’art. 1, comma 1, n. 9) del DPCM dell’11 marzo 2020, non rappresenta una fonte normativa, ma esclusivamente un protocollo di intesa volto a favorire buone pratiche e misure di contenimento del virus nei luoghi di lavoro (non ha, ad esempio, assunto la veste di un Accordo Interconfederale).

Al fine di comprendere meglio il contenuto del suddetto protocollo, passiamo in rassegna gli aspetti più importanti fornendo alcune prime interpretazioni delle sue disposizioni.

Perché è stato adottato il Protocollo?

L’obiettivo è quello di favorire il contrasto e il contenimento della diffusione del Coronavirus, attraverso linee guida condivise che possano agevolare le imprese nell’adozione di protocolli di sicurezza anti-contagio e minimizzare i possibili contrasti tra imprese e organizzazioni sindacali.

Cosa prevede?

Vengono introdotte misure, rivolte a datori di lavoro e personale dipendente, che seguono la logica della precauzione e che attuano le prescrizioni del legislatore e le indicazioni dell’Autorità sanitaria.

Quali misure sono state introdotte in materia di privacy?

I datori di lavoro possono misurare la temperatura corporea ai dipendenti prima dell’accesso al luogo di lavoro.

Se la temperatura risulterà superiore a 37,5°, i dipendenti interessati:

• non potranno accedere al luogo di lavoro;
• verranno momentaneamente isolati e muniti di mascherine, con tutte le dovute garanzie a tutela della loro riservatezza e dignità;
• non dovranno recarsi al Pronto Soccorso e/o all’infermeria di sede;
• dovranno contattare nel più breve tempo possibile il proprio medico curante e attenersi alle indicazioni che riceveranno.

Quindi posso misurare la temperatura ai miei dipendenti?

Sì, è possibile misurare la temperatura, ma la conservazione dei dati identificativi dell’interessato e del superamento della soglia prevista (37,5°) è possibile solo se necessario a documentare le ragioni che hanno precluso l’accesso al luogo di lavoro

Ci sono degli accorgimenti particolari da adottare?

La misurazione della temperatura deve avvenire rispettando la normativa in materia di trattamento di dati personali, a partire dall’obbligo di fornire un’informativa (anche oralmente, ma con ogni conseguente difficoltà probatoria nel caso in cui venga chiesto di dimostrare di averla effettivamente fornita ).

Nell’informativa devono essere indicati, in particolare:

• come finalità del trattamento, la prevenzione dal contagio da COVID-19;

• come base giuridica, l’adempimento dell’obbligo di legge di implementare i protocolli di sicurezza anti-contagio ai sensi dell’art. art. 1, paragrafo 7, lettera (d) del DPCM 11 marzo 2020;
• come tempo di conservazione dei dati, laddove si debba procedere alla conservazione, tutto il periodo di durata dello stato d’emergenza.

Il Protocollo non precisa la deroga applicabile al divieto di trattamento delle categorie particolari di dati personali di cui all’art. 9 GDPR (comunque da indicare nell’informativa): anche tenendo conto del considerando 46 del GDPR, si può ritenere che siano applicabili le lettere (b), (g), (h) e/o (i) del secondo paragrafo dell’art. 9 GDPR.

 

Tra gli ulteriori obblighi a carico dei datori di lavoro/titolari del trattamento, il Protocollo menziona espressamente quelli di implementare adeguate misure di sicurezza (anche in virtù del chiaro disposto del DPCM dell’11 marzo 2020 che impone alle imprese ancora legittimate ad operare di adottare stringenti protocolli sanitari anti-contagio) e di individuare e autorizzare debitamente i soggetti designati al trattamento, fornendo loro le dovute istruzioni.

Anche se non menzionati dal Protocollo, restano gli obblighi di aggiornamento del registro dei trattamenti, di conclusione di accordi sul trattamento dei dati con eventuali responsabili del trattamento e (quantomeno preferibilmente) di esecuzione di una valutazione d’impatto

Posso fare altro, oltre a rilevare la temperatura?

Sì, è possibile anche raccogliere (dal personale dipendente e da terzi) un’autodichiarazione che attesti la non provenienza da zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19, ma sempre nel rispetto della normativa in materia di trattamento di dati personali.

In particolare, è necessario evitare la raccolta di dati eccedenti quelli strettamente necessari al raggiungimento della finalità di prevenzione del contagio da COVID-19.

Ad esempio?

È possibile chiedere se ci sono stati contatti con persone risultate positive al COVID-19, ma non è possibile richiedere informazioni aggiuntive in merito alla persona risultata positiva.

È possibile chiedere una dichiarazione sulla provenienza da zone a rischio epidemiologico, ma non è possibile richiedere informazioni aggiuntive in merito alle specificità dei luoghi.

E se un mio dipendente ha anche altri sintomi, oltre alla febbre?

Nel caso in cui un dipendente manifesti sintomi, deve essere isolato insieme ai colleghi presenti nei medesimi locali seguendo le indicazioni dell’Autorità sanitaria che avvierà, con la collaborazione del datore di lavoro, le indagini necessarie ad individuare eventuali ulteriori contatti stretti.

Il datore di lavoro può, seguendo le indicazioni dell’Autorità sanitaria, anche chiedere ai contatti stretti del contagiato di sospendere in via precauzionale la prestazione lavorativa.

Ma posso comunicare ai miei dipendenti l’identità di un collega contagiato?

In base alle indicazioni fornite dal Protocollo (nonché dal Garante nella comunicazione del 2 marzo 2020), si deve concludere che sia preferibile non comunicare l’identità del contagiato in modo indifferenziato. È necessario affidarsi all’Autorità sanitaria, che condurrà le dovute indagini per individuare le persone da sottoporre a quarantena preventiva e alle quali, quindi, dare un’informazione completa.

Quindi quello che aveva detto il Garante non vale più?

Si può dire che il Protocollo abbia integrato la comunicazione del Garante dello scorso 2 marzo, fermo restando che nessuno dei due documenti è una vera e propria fonte normativa.

Il Garante ha, infatti, ritenuto illegittima una raccolta di dati relativi allo stato di salute e alla presenza di sintomi condotta a priori, in modo sistematico e generalizzato, laddove non prevista da norme di legge o non disposta dagli organi competenti, invitando espressamente “ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute e dalle istituzioni competenti per la prevenzione della diffusione del Coronavirus”..

Il Protocollo ha adottato un approccio coerente, laddove:

• individua l’ambito di trattamenti che possono dirsi consentiti, nel rispetto della normativa privacy, alla luce degli ultimi 3 DPCM (che, successivamente alla comunicazione del Garante, hanno totalmente modificato lo scenario normativo, ad esempio introducendo limitazioni alla circolazione e poi inibendo l’ingresso alle attività lavorative non oggetto di sospensione in tutti quei casi in cui non siano garantiti adeguati livelli di protezione sanitaria e di rispetto della distanza interpersonale di almeno un metro);
• subordina comunque le attività di trattamento alla direzione delle Autorità sanitarie competenti.

È dunque possibile concludere che, stante l’attuale situazione sanitaria e stanti le prescrizioni sanitarie imposte dagli ultimi DPCM, quella deroga “astratta” prima consentita dal Garante sia divenuta attuale, consentendo alle imprese – seppur nell’osservanza delle garanzie previste dalla normativa privacy - di procedere alla misurazione della temperatura al fine di prevenire situazioni critiche per la salute dei dipendenti ancora ammessi a svolgere attività nei luoghi di lavoro.