Le nuove linee guida del Garante per la protezione dei dati personali sulle vaccinazioni Covid-19 nei luoghi di lavoro

Il Garante per la protezione dei dati personali (Garante) ha pubblicato due documenti di indirizzo per fornire delle linee guida dettagliate sulle attività di trattamento dei dati nell'ambito delle campagne di vaccinazione sul posto di lavoro e sul ruolo del "medico competente".

Le nuove linee guida confermano il principio generale già contenuto nelle FAQ del Garante: il datore di lavoro non è autorizzato a raccogliere alcuna informazione relativa alle vaccinazioni (compresa la volontà del dipendente di vaccinarsi o l’avvenuta, o meno, vaccinazione del dipendente), né direttamente dall'interessato, né indirettamente attraverso il medico competente o altri operatori sanitari.

In particolare, il Garante ha ulteriormente chiarito che:

• il datore di lavoro non deve trattare le informazioni relative alle vaccinazioni, nemmeno se il dipendente ha prestato il proprio consenso (ai sensi dell'art. 6 GDPR). Il consenso dei dipendenti difficilmente costituisce un’idonea base giuridica in quanto, a causa dello squilibrio insito nel rapporto datore di lavoro-lavoratore, molto probabilmente il consenso non sarà mai effettivamente libero (come invece dovrebbe essere, per essere validamente prestato e raccolto);
• il trattamento dei dati relativi alle vaccinazioni Covid-19, essendo dati relativi alla salute e, come tali, categorie speciali di dati personali, è legittimo quando "necessario ai fini della medicina preventiva o professionale, per la valutazione della capacità lavorativa del dipendente, la diagnosi medica, la prestazione di assistenza sanitaria o sociale o di cure o la gestione di sistemi e servizi di assistenza sanitaria o sociale sulla base del diritto dell'Unione o degli Stati membri o in virtù di un contratto con un professionista della salute" e "quando tali dati sono trattati da o sotto la responsabilità di un professionista soggetto all'obbligo del segreto professionale ai sensi del diritto dell'Unione o degli Stati membri o di norme stabilite da organismi nazionali competenti o da un'altra persona parimenti soggetta a un obbligo di segretezza ai sensi del diritto dell'Unione o degli Stati membri o di norme stabilite da organismi nazionali competenti" (ai sensi dell'articolo 9, par. 2, lett. h e par. 3 GDPR). In breve, tali dati devono essere trattati solo da professionisti sanitari, come il medico competente;
• durante il trattamento dei dati sanitari, il medico competente agisce come autonomo titolare del trattamento (e, in quanto tale, il medico competente non deve seguire le istruzioni del datore di lavoro per il trattamento dei dati);
• il datore di lavoro deve cooperare con il medico competente (ad esempio, sensibilizzando i dipendenti sulle vaccinazioni Covid-19), senza che tale cooperazione serva ad eludere il divieto di raccolta di dati relativi alla salute dei dipendenti in violazione della normativa giuslavoristica e privacy;
• l'unica informazione che il datore di lavoro può raccogliere ai fini della promozione di una campagna vaccinale, è il numero di dipendenti che hanno aderito alla campagna vaccinale stessa;
• il datore di lavoro non deve essere in grado di identificare i dipendenti che aderiscono alla campagna vaccinale, e deve implementare (anche in base al principio di accountability) misure tecniche e organizzative idonee a ridurre il rischio di raccolta di dati non necessari e di diffusione di informazioni ad altri dipendenti (ad esempio, il datore di lavoro deve fornire ai dipendenti gli strumenti per comunicare la loro volontà di essere vaccinati direttamente alle strutture sanitarie coinvolte nella campagna di vaccinazione; i luoghi di lavoro da dedicare alla somministrazione delle vaccinazioni devono essere strutturati in modo da garantire la riservatezza dei dipendenti che vengono vaccinati);
• anche se il periodo di tempo necessario per ricevere la vaccinazione durante l'orario di lavoro è considerato come orario di lavoro, il datore di lavoro non deve chiedere al dipendente alcuna conferma della vaccinazione e non deve esigere l'esibizione del certificato di avvenuta vaccinazione.