No. Gli istituti scolastici possono trattare i dati, anche relativi a categorie particolari^(1), di insegnanti, alunni (anche minorenni), e genitori nell’ambito delle proprie finalità istituzionali e non devono chiedere agli interessati di prestare il consenso al trattamento dei propri dati, neanche in relazione alla didattica a distanza, attivata a seguito della sospensione delle attività formative delle scuole di ogni ordine e grado. Peraltro, il consenso di regola non costituisce una base giuridica idonea per il trattamento dei dati in ambito pubblico e nel contesto del rapporto di lavoro.

(1) Vale a dire i dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici, relativi alla salute o alla vita sessuale o all’orientamento sessuale.

Sì. Gli istituti scolastici sono tenuti ad assicurare la trasparenza del trattamento informando, con un linguaggio facilmente comprensibile anche dai minori, gli interessati (alunni, studenti, genitori e docenti) in merito, in particolare, ai tipi di dati e alle modalità di trattamento degli stessi, ai tempi di conservazione e alle altre operazioni di trattamento, specificando che le finalità perseguite sono limitate esclusivamente all’erogazione della didattica a distanza, sulla base dei medesimi presupposti e con garanzie analoghe a quelli della didattica tradizionale.

Spetta alle autorità sanitarie competenti informare i contatti stretti del contagiato, al fine di attivare le previste misure di profilassi. L’istituto scolastico è tenuto a fornire alle istituzioni competenti, le informazioni necessarie, affinché le stesse possano ricostruire la filiera dei contatti del contagiato, nonché, sotto altro profilo, ad attivare le misure di sanificazione recentemente disposte.

Per effetto della sospensione dell’attività didattica e delle riunioni degli organi collegiali in presenza, sono state attivate modalità di didattica a distanza e il ricorso al lavoro agile con riguardo ai servizi amministrativi. Per le medesime ragioni legate all’emergenza, anche alla luce delle indicazioni del Ministro per la pubblica amministrazione e del Ministero dell’Istruzione, ogni forma di riunione nell’ambito delle attività indifferibili deve essere svolta con modalità telematiche.

Il Garante ha già fornito alcune indicazioni alle scuole per orientare scelte consapevoli riguardo alle piattaforme da impiegare, sulla base delle garanzie offerte dai fornitori, in considerazione degli specifici rischi anche per i dati personali dei docenti.

Le strutture sanitarie territorialmente competenti possono promuovere campagne di screening sulla positività al Covid-19, in contesti a rischio contagio, come quello scolastico. La partecipazione degli alunni ai test può avvenire solo su base volontaria.

In tal caso, la titolarità del trattamento effettuato nell’ambito delle predette attività di screening resta in capo alla struttura sanitaria (la AUSL e non l’istituto scolastico) che lo promuove e che, pertanto, è l’unica legittimata a raccogliere le adesioni e a comunicare i risultati alla famiglia.

Il ruolo della scuola, anche nell’ambito delle proprie funzioni istituzionali, deve essere quello di promozione, supporto, nonché di intermediazione tra struttura sanitaria e famiglie, senza di regola raccolta di dati personali.

Laddove, in ragione di peculiari esigenze locali legate al contesto emergenziale, le strutture sanitarie ritengano necessario avvalersi degli istituti scolastici per la raccolta delle adesioni ai predetti screening, le scuole potranno trattare, per conto delle strutture sanitarie, in qualità di responsabili del trattamento (art. 28 del Regolamento), unicamente i dati degli alunni necessari ad agevolare l’organizzazione degli screening.

Nei diversi casi in cui, ai fini dello svolgimento delle attività di prevenzione connesse alla gestione dell'emergenza sanitaria in atto, la struttura sanitaria reputi indispensabile acquisire dagli istituti scolastici gli elenchi degli alunni iscritti cui rivolgere l’invito a effettuare i predetti screening, la comunicazione dei nominativi è ammissibile, fino al termine dello stato di emergenza, ai sensi e nei limiti di quanto previsto dall’art. 17-bis, comma 2, del d.l. n. 18/2020.

È inoltre opportuno che le modalità di esecuzione delle predette campagne presso i locali scolastici assicurino il rispetto della libertà di scelta individuale, evitando di suscitare disagio negli alunni o creare disparità tra gli stessi per effetto della partecipazione o meno allo screening prediligendo l’effettuazione delle operazioni in prossimità dell’orario di ingresso o al termine delle lezioni.

Tra le misure di prevenzione e contenimento del contagio che le istituzioni scolastiche devono adottare in base al quadro normativo vigente (cfr. Protocollo d’intesa del Ministero dell’Istruzione n. 87 del 6 agosto 2020) vi è, in particolare, quella di informare studenti e famiglie in merito al divieto di fare ingresso nei locali scolastici:

a. in presenza di temperatura superiore ai 37.5°

b. se provenienti da zone a rischio

c. se si è stati a contatto con persone positive al virus nei 14 giorni precedenti.

Le scuole non possono, nell'ambito dei cosiddetti "Patti di corresponsabilità" o attraverso altra modulistica, imporre invece alle famiglie e agli alunni di dichiarare periodicamente l’assenza di tali impedimenti all’accesso ai locali scolastici, ma, come indicato dall’Istituto Superiore di Sanità nel Rapporto n. 58/2020, possono invece richiedere alle famiglie di collaborare, informando il dirigente scolastico o il referente scolastico per COVID-19, circa:

a. eventuali assenze per motivi sanitari al fine di individuare eventuali focolai;

b. il caso in cui un alunno risulti contatto stretto di un caso confermato COVID-19.

Resta salvo quanto previsto dalla disciplina in materia di tutela della salute e della sicurezza nei luoghi di lavoro del personale scolastico (art. 20 del d.lgs. 9 aprile 2008, n. 81; v. FAQ del Garante - Trattamento dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria).

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

Come già chiarito dal Ministero dell'istruzione (https://www.istruzione.it/rientriamoascuola/domandeerisposte.html; v. FAQ n. 7 della sezione n.7 "Gestione di casi sospetti e focolai"), misurare a casa la temperatura corporea prima di recarsi a scuola è una regola importante per tutelare la propria salute e quella degli altri. Consente infatti di prevenire la possibile diffusione del contagio nel tragitto casa-scuola, sui mezzi di trasporto utilizzati, quando si attende di entrare a scuola, o in classe (cfr. Protocollo del 6 agosto 2020 cit.).

Il "Protocollo di sicurezza per la ripresa dei servizi educativi e delle scuole dell'infanzia", stabilisce poi che “qualora le Regioni e i singoli enti locali lo dispongano, nei servizi educativi, va favorita la misurazione della temperatura corporea in entrata dei bambini, di tutto il personale docente e ausiliario presente nella struttura e dei c.d. “fornitori” (cfr. par. 2 Protocollo cit.).

In ogni caso, la misurazione della temperatura corporea va effettuata nella gestione di casi di alunni sintomatici durante l’orario scolastico all’interno dell’istituto scolastico.

Considerato che la rilevazione della temperatura corporea, quando è associata all’identità dell’interessato, costituisce un trattamento di dati personali (art. 4, par. 1, 2) ai sensi del Regolamento (UE) 2016/679), non è invece ammessa la registrazione della temperatura rilevata associata al singolo alunno.

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

Nell’ambito della didattica digitale integrata il docente può mettere a disposizione degli studenti, anche per il tramite delle piattaforme utilizzate a tali fini, materiali didattici consistenti anche in proprie video lezioni, su specifici argomenti, per la consultazione e i necessari approfondimenti da parte degli alunni.

Diversamente non è invece ammessa la video registrazione della lezione a distanza in cui si manifestano le dinamiche di classe. Ciò in quanto l’utilizzo delle piattaforme deve essere funzionale a ricreare lo “spazio virtuale” in cui si esplica la relazione e l’interazione tra il docente e gli studenti, non diversamente da quanto accade nelle lezioni in presenza (cfr. FAQ del Garante “Scuola e privacy” in www.gpdp.it; vedi anche la sezione dedicata a “L'utilizzo degli strumenti e la tutela dei dati” delle richiamate “Linee guida in materia di didattica digitale integrata e tutela della privacy: indicazioni generali”).

Si raccomanda, inoltre, di adottare accorgimenti al fine di minimizzare i rischi derivanti da un uso improprio o dalla perdita di controllo dei materiali e delle videolezioni resi disponibili dai docenti sulla piattaforma, con possibile pregiudizio della protezione dei dati e di altri diritti (ad es. il diritto d’autore). In particolare, è opportuno regolamentare la funzionalità di registrazione audio-video e di download dei relativi documenti e fornire specifiche istruzioni ai soggetti autorizzati all’accesso (studenti, altri docenti, altro personale scolastico) per evitare che i materiali siano oggetto di comunicazione o diffusione impropri (ad esempio mediante la loro pubblicazione anche su blog o su social network, nei casi in cui siano accessibili sia da soggetti determinati che da chiunque).

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

Quando la creazione di un account personale è necessaria per l’utilizzo di piattaforme per la didattica digitale integrata, il trattamento dei dati personali, riconducibile alle funzioni istituzionalmente assegnate all'istituzione scolastica, è ammesso purché vengano attivati, per impostazione predefinita, i soli servizi strettamente necessari allo svolgimento dell’attività didattica e non deve essere richiesto il consenso dell’utente (studente, genitore o docente) o la sottoscrizione di un contratto. Non è comunque ammessa l’attivazione automatica di servizi o funzionalità ulteriori, non necessari a fini didattici (es. geolocalizzazione o sistemi di social login).

Nella configurazione degli account associati a studenti e/o docenti, occorre, tra l'altro, adottare adeguate procedure di identificazione e di autenticazione informatica degli utenti, utilizzare robusti processi di assegnazione agli utenti di credenziali o dispositivi di autenticazione (es. evitando la pre-impostazione di password facilmente conoscibili), definire password policy adeguate e differenziate in funzione degli specifici rischi del trattamento e attribuire di profili di autorizzazione che assicurino l’accesso selettivo ai dati.

Al fine di evitare l'uso scorretto e accrescere la consapevolezza nell'utilizzo dei servizi online per la didattica, è opportuno che le scuole effettuino campagne di sensibilizzazione rivolte a studenti e loro familiari, nonché forniscano istruzioni a docenti, e altro personale, sulle corrette modalità di fruizione dei predetti servizi nel rispetto dei diritti altrui.

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

No, la diffusione dei dati relativi alla composizione delle classi sul sito web istituzionale non è consentita in quanto, secondo l’art.2-ter del Codice in materia di protezione dei dati personali, la diffusione dei dati personali è lecita solo se disposta espressamente dalla norma di legge o, nei casi previsti dalla legge, di regolamento.

Pertanto, le istituzioni scolastiche che intendano garantire in via preventiva la conoscibilità di tali dati dovranno utilizzare modalità idonee ad assicurare la tutela dei dati personali e i diritti degli interessati.

A tal fine i nominativi degli studenti distinti per classe potranno essere resi noti per le classi prime delle scuole di ogni ordine e grado, tramite apposita comunicazione all'indirizzo e-mail fornito dalla famiglia in fase di iscrizione all'a.s. 2020-2021, mentre per le classi successive, ove ritenuto necessario, l’elenco degli alunni potrà essere reso disponibile nell'area documentale riservata del registro elettronico a cui accedono tutti gli studenti della classe di riferimento.

In caso di comunicazione tramite e-mail, dovrà essere prestata particolare attenzione a inviare la stessa a ciascun destinatario con un messaggio personalizzato oppure a inviarla utilizzando il campo denominato “copia conoscenza nascosta” (ccn) al fine di non divulgare gli indirizzi e-mail forniti dalle famiglie.

Inoltre, si raccomanda di predisporre uno specifico “disclaimer” con cui si evidenzia che i predetti dati personali non possono essere oggetto di comunicazione o diffusione (ad esempio mediante la loro pubblicazione su blog o su social network).

Comunque, secondo una prassi ormai consolidata è consentita la pubblicazione al tabellone esposto nella bacheca scolastica dei nominativi degli studenti distinti per classe. In relazione all'avvio del prossimo anno scolastico, al fine di evitare assembramenti e garantire le necessarie misure di sicurezza e distanziamento, il dirigente scolastico predispone una calendarizzazione degli accessi ai tabelloni dell’istituzione scolastica e ne dà preventiva comunicazione alle famiglie degli alunni.

Tale modalità di pubblicazione del tabellone in relazione al prossimo anno scolastico dovrebbe essere adottata in via residuale solo qualora l’istituzione scolastica sia sprovvista di registro elettronico o sia impossibilitata ad utilizzare strumenti di comunicazione telematica dei dati.

In tutti i casi gli elenchi relativi alla composizione delle classi, resi disponibili con le modalità sopra indicate, devono contenere i soli nominativi degli alunni e non devono riportare informazioni relative allo stato di salute degli studenti o altri dati personali non pertinenti (es. luogo e data di nascita, ecc.).

Sia in caso di pubblicazione nel registro elettronico sia nel caso di pubblicazione attraverso i tabelloni esposti nella bacheca scolastica, il dirigente scolastico definisce il tempo massimo di pubblicazione che comunque non deve eccedere 15 giorni.

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

No, attraverso le dichiarazioni sostitutive non è possibile autocertificare il proprio o l’altrui stato di salute. L’art. 49 del DPR 445/2000 prevede infatti la non sostituibilità dei certificati medici e sanitari.

Pertanto, le istituzioni scolastiche, per il contrasto e il contenimento della diffusione del virus Covid-19, sono tenute ad attuare le misure già previste nel Protocollo d’intesa del Ministero dell’Istruzione n. 87 del 6 agosto 2020. In particolare, tale Protocollo prevede che i dirigenti scolastici, per prevenire la diffusione del virus, siano tenuti a rendere edotti, attraverso un’apposita comunicazione, il personale, gli studenti e le famiglie degli alunni circa le regole fondamentali di igiene che devono essere adottate in tutti gli ambienti della scuola.

Nello specifico, le informazioni da rendere riguardano: l’obbligo di rimanere al proprio domicilio in presenza di temperatura oltre i 37.5°, il divieto di fare ingresso nei locali scolastici se provenienti da zone a rischio o se si è stati a contatto con persone positive al virus nei 14 giorni precedenti, mantenere il distanziamento fisico di un metro, osservare le regole di igiene delle mani e tenere comportamenti corretti sul piano dell’igiene, etc.

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

Sì. In generale, il Garante per la protezione dei dati personali ha già chiarito che risulta giustificata la richiesta da parte dell'́amministrazione di appartenenza di documentazione relativa all'́effettuazione di visite mediche, prestazioni specialistiche o accertamenti clinici, quando il dipendente richiede di usufruire di permessi per le assenze correlate a tali esigenze(cfr. "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14 giugno 2007, punto 8.2, ultimo capoverso). Pertanto il dirigente scolastico, in qualità di datore di lavoro, ai fini della giustificazione dell’assenza dal servizio, è legittimato all’acquisizione del documento che attesta la sottoposizione a una prestazione sanitaria specialistica, che il dipendente, in base alla legge e nei casi previsti dalla contrattazione collettiva di settore, è tenuto a produrre. Resta salvo che ove dalla attestazione prodotta dal dipendente sia possibile risalire al tipo di prestazione sanitaria da questo ricevuta, l’amministrazione scolastica, salva la conservazione del documento in base agli obblighi di legge, dovrà astenersi dall’utilizzare tali informazioni per altre finalità, nel rispetto dei principi di protezione dei dati(v. tra gli altri, il principio di limitazione della finalità di cui all’art. 5, par.1, lett. b), del Regolamento UE 2016/679) e non potrà chiedere al dipendente conferma dell’avvenuta vaccinazione (si veda FAQ del Garante Privacy n. 1 sezione "Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo").

Appare opportuno ribadire che il giustificativo per l'assenza dal lavoro per malattia dovuta a prestazioni sanitarie specialistiche o per altro permesso previsto dalla contrattazione collettiva di settore non deve recare informazioni sulla tipologia della prestazione specialistica effettuata dal dipendente.

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

In base al quadro normativo vigente il lavoratore può chiedere, nell'ambito della sorveglianza sanitaria, l'effettuazione di una visita con il medico competente (art.41 d.lgs 81/2008) il quale potrà in quella sede trattare anche le informazioni relative alla vaccinazione effettuata. Lo stesso valuterà, nel rispetto dei protocolli applicabili per il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro (v. par. 12 Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro del 24 aprile 2020) e delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, se tenerne conto in sede di valutazione dell’idoneità alla mansione specifica.

In tal caso il medico competente si limiterà a trasmettere al datore di lavoro la sola informazione relativa al giudizio di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in esso riportato (si vedano le FAQ del Garante Privacy sul "Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo").

*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html

Le scuole secondarie di I e II grado e gli istituti di istruzione e formazione professionale (IeFP), nell’ipotesi in cui in una classe si siano verificati due casi positivi, in qualità di titolari del trattamento, possono trattare i dati presenti nella documentazione fornita dagli alunni per dimostrare la sussistenza dei requisiti per lo svolgimento in presenza dell’attività didattica (conclusione del ciclo vaccinale primario e guarigione da meno di centoventi giorni, effettuazione della dose di richiamo) assicurando che le verifiche dei suddetti requisiti siano effettuate quotidianamente:

- per il periodo previsto dalla legge (10 giorni) e nei confronti dei soli studenti che fruiscano della didattica in presenza;

- esclusivamente per assicurare lo svolgimento della didattica in presenza nei suddetti casi, con esclusione di ogni altra finalità;

- secondo modalità che assicurino la sicurezza e l’integrità dei dati;

- senza acquisizione preventiva della relativa documentazione (certificato vaccinale o di guarigione, green pass) che deve essere esclusivamente esibita dall’alunno all’atto del controllo;

- nel caso di esibizione del green pass, utilizzando esclusivamente l’App di verifica C-19 (modalità rafforzata);

- da personale autorizzato e istruito.

Il titolare deve astenersi dal raccogliere e conservare la predetta documentazione (certificato vaccinale o di guarigione, green pass) nonché dall’intraprendere iniziative che comportino la diffusione dell’elenco degli alunni che svolgono la didattica in presenza o da remoto.

In base al quadro normativo vigente l’esecuzione gratuita di test antigenici rapidi è prevista per gli alunni delle scuole secondarie di primo e secondo grado, sottoposti ad autosorveglianza, dietro prescrizione del medico di medicina generale o del pediatra di libera scelta, nonché per i soggetti che non possono ricevere o completare la vaccinazione anti SARS-CoV-2, sulla base di idonea certificazione medica. In relazione alla fascia di età dell’interessato è inoltre prevista l’esecuzione di test a prezzi calmierati.

In tali casi, le strutture abilitate a eseguire i suddetti test sono autorizzate a trattare i dati personali necessari a comprovare la sussistenza dei requisiti di legge (es. certificato di esenzione, fascia di età, alunni in autosorveglianza), presenti nella documentazione fornita dagli interessati, senza richiedere ulteriori informazioni (es. stato vaccinale).

Tutti i professionisti sanitari possono raccogliere le informazioni che ritengono necessarie nell’ambito delle attività di cura dei loro pazienti, ivi comprese quelle legate alla presenza di sintomi da COVID-19. Come ogni altro operatore sanitario, i dentisti sono inoltre tenuti a osservare le disposizioni emergenziali, in continua evoluzione, in merito alle misure di profilassi volte a prevenire e a limitare il contagio da COVID-19.

Resta fermo che l’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano invece agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.

L’azienda può indicare le regole che i soggetti in isolamento devono seguire durante il periodo di quarantena con le modalità che ritiene più efficaci, nel rispetto della riservatezza degli interessati. Nel caso in cui utilizzi la posta elettronica per comunicare contemporaneamente a tutti i soggetti le disposizioni che sono tenuti a osservare, dovrà avere cura di inserire l’indirizzo dei destinatari dell’e-mail nel campo denominato “copia conoscenza nascosta” (ccn), al fine di evitare che tutti i destinatari della predetta comunicazione vengano a conoscenza dell’indirizzo e-mail degli altri soggetti posti in isolamento

Si, in quanto l'operatore di sanità pubblica, al fine di determinare le misure di contenimento di contagio più opportune, è chiamato a ricostruire la filiera dei contati stretti del soggetto risultato positivo al COVID 19.

Le strutture sanitarie, in conformità al principio di accountability, possono individuare le modalità che ritengono più opportune ed efficaci per fornire informazioni sullo stato di salute ai familiari dei pazienti COVID 19 che non sono in grado di comunicare in via autonoma. In tale contesto, nulla osta che la struttura di ricovero dedichi un numero verde per fornire tali informazioni, prevedendo adeguate misure per identificare le persone effettivamente legittimate a conoscere le informazioni sullo stato di salute del familiare ricoverato.

Le disposizioni adottate nel corso dell’emergenza epidemiologica da COVID 19, hanno previsto che nei casi di sospetto o accertato decesso da Covid 19, gli operatori del servizio funebre debbano adottare particolari precauzioni, analoghe a quelle già previste per il decesso di persone con malattie infettive e diffusive, al fine di evitare l’ulteriore contagio. Nulla osta, pertanto, che, a tal fine, la struttura sanitaria ove è avvenuto il decesso comunichi all’impresa funebre lo stato di positività al COVID 19 del defunto.

Al fine di evitare che i cittadini si rechino presso gli studi dei medici di base per ritirare le ricette, l’ordinanza della protezione civile del 19 marzo 2020 ha previsto che il medico possa trasmettere all’assistito la ricetta per posta elettronica, via SMS o telefonicamente.

Nel caso di invio tramite e-mail, il promemoria della ricetta sarà allegato al messaggio e non inserito come testo nel corpo del messaggio stesso.

Nel caso di comunicazione telefonica o tramite sms, sarà invece sufficiente comunicare all’assistito il solo Numero della Ricetta Elettronica prescritta.

Il Garante ha espresso parere favorevole sullo schema di decreto del Ministero dell’economia e delle finanze secondo cui l’assistito che abbia ricevuto dal medico gli estremi della ricetta per posta elettronica, via sms o telefonicamente, può comunicarla, con le stesse modalità, alla farmacia.

Lo schema di decreto prevede inoltre che, nel periodo emergenziale, l’assistito possa delegare il medico a inviare la ricetta direttamente alla farmacia, tramite posta elettronica o attraverso lo stesso sistema che genera la ricetta.

Allo stato lo schema di decreto sottoposto al parere del Garante non è stato ancora adottato dal Mef.

La disciplina vigente vieta la diffusione dei dati relativi alla salute. Tale divieto non è stato derogato dalla normativa d’urgenza sull’emergenza epidemiologica da Covid-19.

Pertanto, le aziende sanitarie e qualsiasi altro soggetto pubblico o privato non possono diffondere, attraverso siti web o altri canali, i nominativi dei casi accertati di Covid-19 o dei soggetti sottoposti alla misura dell’isolamento per finalità di contenimento della diffusione dell’epidemia.

Si, le disposizioni adottate per l’emergenza sanitaria da COVID 19, hanno previsto la possibilità di effettuare controlli della temperatura corporea a tutti i passeggeri di voli europei e internazionali in arrivo negli aeroporti italiani, al fine di individuare le eventuali misure necessarie ai fini del contenimento dell’Epidemia da Coronavirus.

Gli screening sierologici per il Covid-19 possono essere promossi dai Dipartimenti di prevenzione della regione nei confronti delle categorie di soggetti considerati a maggior rischio di contagio e diffusione del Covid-19. Tra tali categorie di soggetti vi sono gli operatori sanitarie e le forze dell’ordine. La partecipazione di tali soggetti ai test può avvenire solo su base volontaria.

I risultati possono essere utilizzati dalla struttura sanitaria che ha effettuato il test per finalità di diagnosi e cura dell’interessato e per disporre le misure di contenimento epidemiologico previste dalla normativa d’urgenza in vigore (es. isolamento domiciliare), nonché per finalità di sanità pubblica da parte del dipartimento di prevenzione regionale.

Tali trattamenti di dati devono essere tenuti distinti da quelli effettuati nell’ambito dell’effettuazione di test sierologici per Covid-19 per finalità di sicurezza e salute sul luogo di lavoro.

I servizi assistenziali comunali a favore della popolazione (es. consegna di beni di prima necessità o di farmaci) possono essere offerti su richiesta degli interessati, pubblicizzando, con i canali ritenuti più efficaci, le modalità di attivazione del servizio (ad es. numero verde), senza raccogliere, dunque, gli elenchi dei soggetti posti in isolamento domiciliare tenuti dalle Aziende Sanitarie competenti.

In primo luogo, infatti, non tutti i soggetti in isolamento domiciliare potrebbero essere interessati a fruire di tali servizi, poiché tali esigenze potrebbero, ad esempio, essere assolte dalla famiglia o da altre reti sociali scelte dall’interessato.

In secondo luogo, la modalità di attivazione “a richiesta” dei servizi citati potrebbe garantirne la fruizione anche ai soggetti che, pur non essendo in isolamento domiciliare, sono maggiormente a rischio di contagio o non possono usufruire di reti familiari o sociali (anziani, invalidi, malati cronici)

Ai fini dell’attribuzione delle risorse economiche ai soggetti che versano in condizioni di difficoltà economiche nel contesto dell’emergenza Covid-19, i Comuni hanno predisposto dei moduli con cui autocertificare il possesso dei requisiti previsti per ottenere le misure di sostegno. Tali moduli devono prevedere la raccolta dei soli dati indispensabili alla verifica dei presupposti (es. reddito, fruizione di altri aiuti, composizione nucleo familiare, etc.) e non anche informazioni non necessarie o non pertinenti per ottenere il beneficio richiesto.

Con specifico riferimento ai cd. buoni spesa, alcuni bandi rivolti agli esercizi commerciali prevedono il rimborso del valore nominale dei buoni a fronte della presentazione, da parte degli esercenti, di adeguata documentazione giustificativa (es. buoni spesa in originale e/o gli scontrini fiscali per cui il rimborso è richiesto).

In tale ipotesi, piuttosto che presentare direttamente gli scontrini con i dettagli di spesa, si ritiene preferibile che l’esercizio commerciale presenti un’autodichiarazione sulla conformità dell’utilizzo dei buoni di cui chiede il rimborso, con contestuale impegno a conservare gli scontrini per gli eventuali controlli che il Comune riterrà di effettuare. In tal modo si evita la produzione sistematica di documentazione di dettaglio che, associata all’identità del beneficiario del buono, comporterebbe la comunicazione di dati personali, anche di natura particolare (ad es. acquisti di prodotti alimentari specifici, etc.)

La normativa sulla trasparenza stabilisce l’obbligo di pubblicazione, fra l’altro, dei nominativi dei soggetti destinatari in generale di benefici economici superiori a mille euro nel corso dell’anno solare (quali sovvenzioni, contributi, sussidi o altri vantaggi economici), fermo restando il divieto di diffusione di nel caso in cui da tali dati “sia possibile ricavare informazioni relative allo stato di salute [o] alla situazione di disagio economico-sociale degli interessati" (art. 26, comma 4, d. lgs. n. 33/2013).

Si tratta di un divieto funzionale alla tutela della dignità, dei diritti e delle libertà fondamentali degli interessati, al fine di evitare che soggetti in condizioni disagiate – economiche o sociali – soffrano l’imbarazzo della diffusione di tali informazioni, o possano essere sottoposti a conseguenze indesiderate a causa della conoscenza da parte di terzi della particolare situazione personale.

Nel caso di benefici economici superiori a mille euro nell’anno solare, spetta all’ente locale, titolare del trattamento, valutare quando le informazioni di contesto rivelino dati sulla salute ovvero l’esistenza di un disagio economico o sociale dell’interessato e non procedere, di conseguenza, alla pubblicazione di dati o altre informazioni idonee ad identificarlo. In ogni caso, nel rispetto del principio di minimizzazione dei dati rispetto alla finalità perseguita, non risulta giustificato pubblicare dati quali, l’indirizzo di abitazione o la residenza, il codice fiscale, le coordinate bancarie dove sono accreditati i contributi o i benefici economici (codici IBAN), la ripartizione degli assegnatari secondo le fasce dell’equivalente-Isee, l’indicazione di analitiche situazioni reddituali, di condizioni di bisogno o di peculiari situazioni abitative, etc

La disciplina vigente vieta la diffusione dei dati relativi alla salute. Tale divieto non è stato derogato dalla normativa d’urgenza sull’emergenza epidemiologica da Covid-19.

Pertanto, le aziende sanitarie, le prefetture, i comuni e qualsiasi altro soggetto pubblico o privato non possono diffondere, attraverso siti web o altri canali, i nominativi dei casi accertati di Covid-19 o dei soggetti sottoposti alla misura dell’isolamento per finalità di contenimento della diffusione dell’epidemia o per il contrasto di “fake news”.

L’attività di sorveglianza sanitaria dei soggetti posti in isolamento domiciliare consiste in un intervento di sanità pubblica, che deve essere realizzato da operatori sanitari in grado di valutare, in relazione alle condizioni di salute del soggetto, gli interventi sanitari più opportuni. Le disposizioni d’urgenza adottate pongono infatti in capo a “l'operatore di sanità pubblica” l’obbligo di provvedere “a contattare, quotidianamente, per avere notizie sulle condizioni di salute, la persona in sorveglianza” (art. 3, comma 6, d.p.c.m. 8 marzo 2020; art. 2, comma 6, d.p.c.m. 4 marzo u.s.).

Le prefetture, che hanno il compito di controllare che la misura dell’isolamento domiciliare sia effettivamente rispettata, possono avvalersi delle forze di polizia, deputate -eventualmente- anche ad adottare i provvedimenti sanzionatori connessi al mancato rispetto delle predette misure di isolamento.

Le forze di polizia locale possono venire a conoscenza dei dati identificativi dei soggetti posti in isolamento, qualora la Prefettura deleghi loro la predetta attività di controllo. In tal caso, la Prefettura potrà comunicare alla polizia locale insistente sul territorio comunale, i dati dei soggetti nei cui confronti ha delegato l’attività di controllo sul rispetto della misura di isolamento domiciliare

La verifica sull’attuazione delle misure emergenziali è assicurata dalle Prefetture avvalendosi delle Forze di polizia, tra le quali la polizia locale (artt. 3 e 5 l. n. 65/1986).

Il personale di polizia locale preposto ai controlli su strada deve anche assicurare il rispetto delle restrizioni dei movimenti delle persone sul territorio, effettuando il controllo delle autodichiarazioni, rese dai cittadini, provvedendo anche all’accertamento delle violazioni e all’irrogazione delle sanzioni amministrative o, nei casi più gravi, alla trasmissione delle notizie di reato alle autorità competenti.

Gli accertamenti sulla veridicità delle dichiarazioni - rese ai sensi degli artt. 46 e 47 del d.P.R. 445/2000 sul modello ministeriale - riguardano anche la dichiarazione di “non essere sottoposto alla misura della quarantena ovvero di non essere risultato positivo al COVID-19” e devono poter essere effettuati, da tutte le forze di polizia, sui dati aggiornati tenuti dalle Aziende sanitarie competenti.

In ragione della gravità delle conseguenze che possono derivare agli interessati dall’esito di tali verifiche, della temporaneità delle misure di isolamento e della variabilità delle stesse (per es. a seguito di tampone negativo), tali controlli devono essere necessariamente effettuati con modalità che garantiscano l’esattezza dei dati e il loro aggiornamento. Devono, pertanto, essere implementate soluzioni che consentano a tutte le Forze di polizia la possibilità di interrogare puntualmente i predetti elenchi con riferimento alla presenza della misura dell’isolamento domiciliare nei confronti del soggetto controllato. Nulla osta che tale interrogazione sia fatta presso ciascuna delle strutture sanitarie dislocate sul territorio ovvero, in modo coordinato, presso un ufficio a ciò deputato della Prefettura.

L’Istituto Superiore della Sanità (ISS) ha dettato precise raccomandazioni (rapporto n. 3/2020, REV. 2 del 31 maggio 2020) circa il corretto conferimento e smaltimento dei rifiuti nello stato emergenziale in atto, rivolte non solo ai soggetti positivi o in isolamento ma a tutti gli attori coinvolti nella gestione dei rifiuti (operatori ecologici, volontari) e all’intera popolazione, raccomandando, in particolare, che, nelle abitazioni in cui sono presenti soggetti positivi o in quarantena, sia interrotta la raccolta differenziata, ove in essere, e che tutti i rifiuti domestici siano considerati indifferenziati e, pertanto, raccolti e conferiti insieme.

Nel caso in cui il soggetto positivo, o in isolamento, non possa far ritirare i rifiuti da qualcuno che si faccia carico del loro conferimento o con altre modalità previste sul territorio (ad es. azienda affidataria del servizio di raccolta), l’ISS ha raccomandato anche di istituire un servizio dedicato di ritiro da parte di operatori addestrati (es. Protezione Civile, Esercito, Croce Rossa, ecc.).

I Comuni, nonché le aziende affidatarie del servizio di raccolta, sulla base di segnalazioni delle autorità sanitarie o in conseguenza delle richieste di assistenza degli interessati, possono, pertanto, venire a conoscenza dei dati personali dei soggetti positivi o in isolamento, che dovranno essere necessariamente aggiornati ed esatti.

Al fine di consentire a tutti gli addetti la facile identificazione di tali rifiuti, l’ISS ha, altresì raccomandato, laddove possibile, di utilizzare sacchi e/o contenitori di colore differente da quelli già utilizzati per rifiuti di altro tipo. Ciò al fine di salvaguardare la salute pubblica e la sicurezza dei lavoratori impiegati nel servizio di raccolta e smaltimenti dei rifiuti.

Ciò premesso, per quanto non rientri nella stretta competenza del Garante l’indicazione delle esatte modalità differenziate di raccolta dei rifiuti prodotti da soggetti positivi o in isolamento, si ritiene che i Comuni debbano, in ogni caso, effettuare le proprie scelte organizzative tenendo nella dovuta considerazione l’esigenza di rispettare la riservatezza degli interessati, in un’ottica di proporzionalità e minimizzazione del potenziale impatto sugli stessi.

Conseguentemente, tenuto conto delle dimensioni territoriali, delle risorse disponibili, del numero dei contagi, nonché delle modalità ordinarie di raccolta dei rifiuti (cassonetti stradali o condominiali, porta a porta o sistema misto), tale scelta dovrà adeguatamente bilanciare le esigenze sanitarie con il diritto alla riservatezza. Dovranno essere, pertanto, individuate adeguate soluzioni organizzative tese a evitare l’esposizione a terzi della situazione degli interessati (ad es. preavviso telefonico prima del passaggio degli addetti alla raccolta; previsione di brevi finestre temporali per il ritiro o ritiro in orari notturni, riducendo così il tempo di permanenza del contenitore o del sacco in prossimità dell’abitazione; ove possibile, individuare punti di raccolta isolati).

Sono pervenute richieste di parere in merito alla possibilità di riscontrare positivamente istanze di accesso formulate da consiglieri comunali, ai sensi dell’art. 43 del t.u.e.l., agli elenchi o a singoli nominativi di cittadini risultati positivi al covid-19, o per i quali è stato ordinato l’isolamento domiciliare.

Al riguardo, si evidenzia preliminarmente che il diritto di accesso riconosciuto ai consiglieri dall’art. 43, cit., è direttamente funzionale non tanto alla soddisfazione di un proprio interesse personale, quanto alla cura di un interesse pubblico connesso all’espletamento del mandato e che la documentazione alla quale si chiede di accedere deve essere strettamente funzionale all’esercizio della funzione «di indirizzo e di controllo politico–amministrativo» propria del consiglio dell’ente locale, e alle prerogative attribuite singolarmente al consigliere stesso.

Nel richiamare le particolari garanzie previste dalla normativa in materia di protezione dei dati personali per il trattamento dei dati relativi alla salute (art. 9 Reg.; artt. 2-sexies e 2-septies del Codice) e le sanzioni previste in caso di illecita comunicazione o diffusione (art. 83, par. 5, del Reg.; artt. 2-septies, comma 8, e 166, comma 2, Codice) si ricorda che una recente pronuncia del Consiglio di Stato ha escluso l’accesso dei consiglieri ai nominativi dei dati relativi ai soggetti beneficiari contributi economici legati all’emergenza da Covid-19. È stato infatti ritenuto che la conoscenza dei nominativi non apportasse un’utilità concreta ed aggiuntiva e non fosse supportata da quel nesso di strumentalità necessaria con le funzioni di indirizzo politico-amministrativo, comportando, quindi, un inutile sacrificio del diritto alla riservatezza degli interessati, con possibile violazione della normativa in materia di protezione dei dati personali (Cons. Stato, Sez. V, 11 febbraio 2021, n. 2089).

Si ritiene, pertanto, che il predetto approccio debba essere seguito – a maggior ragione – per le categorie particolari di dati o per informazioni particolarmente delicate come gli elenchi dei nominativi dei soggetti positivi al covid-19 o in isolamento domiciliare.

Tale orientamento (che conduce a un’esclusione dell’accesso dei consiglieri ai predetti dati personali), oltre che per le motivazioni sopra richiamate, risulta confermato anche dalla particolare tutela di tali informazioni prevista dalla disciplina statale proprio sull’emergenza in corso.

L’art. 17-bis del D.L. 17/03/2020, n. 18, infatti, ha previsto che, fino al termine dello stato di emergenza, solo i soggetti operanti nel Servizio nazionale della protezione civile e i soggetti attuatori, nonché altri soggetti tra cui quelli deputati a monitorare e a garantire l'esecuzione delle misure disposte ai sensi dell'art. 2 del d.l. n. 19/2020, possono effettuare trattamenti, ivi inclusa la comunicazione reciproca, dei dati personali, anche relativi alla salute, che risultino necessari all'espletamento delle funzioni ad essi attribuite nell'ambito dell'emergenza. Tali trattamenti devono essere effettuati adottando misure appropriate a tutela dei diritti e delle libertà degli interessati e nel rispetto dei princìpi di cui all'articolo 5 del Regolamento (UE) 2016/679.

Pertanto, i dati personali dei soggetti positivi al COVID-19 o in isolamento domiciliare - la cui titolarità in capo all’Azienda sanitaria è finalizzata all’adozione delle misure di profilassi, di diagnosi e di assistenza sanitaria dei contagiati nonché per la gestione emergenziale del Servizio sanitario nazionale - sono comunicati o messi a disposizione dei soli Sindaci, nella misura in cui risultino “necessari all’espletamento delle funzioni ad essi attribuite nell’ambito dell’emergenza determinata dal diffondersi del COVID-19”, tra le quali rientra, quella di “monitorare e garantire l'esecuzione delle misure disposte ai sensi dell'articolo 2 del decreto-legge 25 marzo 2020, n. 19” (art. 17- bis cit.), sotto il coordinamento della Prefettura. Spetta poi ai Sindaci e ai Prefetti rendere disponibili tali informazioni – “adottando misure appropriate a tutela dei diritti e delle libertà degli interessati e nel rispetto dei princìpi di cui all'articolo 5 del citato regolamento (UE) 2016/679, tra cui si configura il principio di minimizzazione, secondo cui i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (art. 5, par. 1, lett. c) del Regolamento)” - soltanto agli operatori, alle strutture comunali di servizi e alle forze di polizia (inclusa la polizia locale) direttamente coinvolte negli interventi, nel rigoroso rispetto delle funzioni e delle competenze loro assegnate per la gestione dell’emergenza.

Ciò premesso, si evidenzia che, attesa la stretta funzionalizzazione dei dati relativi ai soggetti positivi al covid-19 o in isolamento domiciliare trasmessi dalle Asl ai Sindaci unicamente ai fini della gestione di attività legate all’emergenza - cui non sembrano potersi ascrivere le funzioni esercitate dai consiglieri -, il Comune potrebbe eventualmente valutare un riscontro delle richieste ricevute senza comunicare dati identificativi o informazioni che consentano l’identificazione (anche indiretta) dei soggetti interessati, fornendo invece dati aggregati, relativi al periodo di interesse. Ciò, in ogni caso, solo nell’ipotesi in cui la richiesta sia formulata dal consigliere sul presupposto dell’art. 43 del TUEL che evidenzi l’indispensabilità di tali informazioni per l’acquisizione del quadro conoscitivo necessario a permettere allo stesso di valutare, con piena efficacia, l’operato dell’amministrazione nonché per esprimere un voto consapevole sulle questioni del consiglio.

Il diritto riconosciuto ai consiglieri dall’art. 43, del d.lgs. n. 267/2000 (t.u.e.l.) – che prevede che “i consiglieri comunali e provinciali hanno diritto di ottenere dagli uffici, rispettivamente, del comune e della provincia, nonché dalle loro aziende ed enti dipendenti, tutte le notizie e le informazioni in loro possesso, utili all'espletamento del proprio mandato” –  è direttamente funzionale non tanto alla soddisfazione di un proprio interesse personale, quanto alla cura di un interesse pubblico connesso all’espletamento del mandato. La documentazione richiesta deve essere strettamente funzionale all’esercizio della funzione «di indirizzo e di controllo politico–amministrativo», propria del consiglio dell’ente locale, e alle prerogative attribuite singolarmente al consigliere stesso, tra le quali non rientra quella di sostituirsi al singolo interessato né un riesame di legittimità di singoli provvedimenti.

Tale diritto può, quindi, essere esercitato anche riguardo a informazioni sull’erogazione dei benefici economici stanziati dai Comuni nell’ambito della gestione dell’emergenza, ma sempre nel rispetto dei presupposti di stretta funzionalizzazione sopra richiamati nonché dei principi e delle regole applicabili al trattamento dei dati personali (vedi FAQ 10).

È da escludere, quindi, che tale diritto possa essere esercitato attraverso istanze generiche oppure meramente emulative, o che possano concretizzarsi in un eccessivo e minuzioso controllo dei singoli atti degli stessi uffici, allontanandosi dalla presupposta finalità di indirizzo e controllo politico-amministrativo.

L’ente locale, anche a fronte del riconoscimento di un rapporto di strumentalità tra le informazioni o la documentazione richiesta dal consigliere e la funzione di indirizzo e controllo politico-amministrativo, è tenuto a effettuare un’attenta valutazione sulle informazioni da rilasciare, in particolar modo quando, come nel caso in esame, vengano in rilievo altri interessi tutelati dall’ordinamento, quali quelli alla riservatezza e alla protezione dei dati personali. Il diritto di accesso del consigliere, infatti, per quanto ampio, non può configurarsi come un diritto illimitato e non può essere soddisfatto con modalità tali che comportino un pregiudizio di altri interessi meritevoli di tutela, richiedendo all’ente locale un "ragionevole bilanciamento" fra i diversi diritti.

Nel caso in cui la richiesta di accesso riguardi documentazione contenente dati personali – es. elenchi dei soggetti destinatari dei cd. buoni alimentari, buoni spesa, contributi economici, documentazione istruttoria degli uffici, copia delle istanze presentate, della documentazione allegata, etc. – l’amministrazione destinataria dell’istanza dovrà applicare correttamente i principi in materia di protezione dei dati personali, e in particolare, quello di “minimizzazione dei dati”, valutazione che deve essere particolarmente stringente nel caso di accesso a  categorie particolari di dati personali (es. situazioni di handicap) oppure a dati relativi a condanne penali o reati (artt. 9 e 10 del Regolamento UE 2016/679).

In applicazione di tali principi, il diritto di accesso dei consiglieri potrebbe essere validamente soddisfatto consentendo l’accesso alle sole informazioni che risultano indispensabili per lo svolgimento del mandato (cfr. provv. del Garante 25 luglio 2013, doc. web n. 2604062), fornendo, ad esempio, dati resi anonimi o aggregati idonei a fornire il quadro conoscitivo necessario a permettere al consigliere di valutare, con piena efficacia, l’operato dell’amministrazione nonché per esprimere un voto consapevole sulle questioni del consiglio.

A tal proposito, il Consiglio di Stato ha recentemente affermato che la conoscenza dei nominativi di coloro che hanno presentato le domande non appare legata da quel nesso di strumentalità necessaria con le funzioni di indirizzo politico-amministrativo, non rientrando tra i compiti dei consiglieri quello “di sostituirsi al singolo interessato né [quello di effettuare] un riesame di legittimità di singoli provvedimenti”. La comunicazione di tali dati, oltre a non rivestire un’utilità concreta ed aggiuntiva, comporta un inutile sacrificio del diritto alla riservatezza degli interessati, con possibile violazione della normativa in materia di protezione dei dati personali (Cons. Stato, Sez. V, 11 febbraio 2021, n. 2089, cit.).

Pertanto, considerato che la documentazione relativa all’erogazione di contributi economici nell’ambito dell’emergenza da Covid-19 (es. buoni spesa, buoni alimentare, etc.), può comprendere dati relativi al nucleo famigliare, alla presenza di persone con handicap, alla giacenza economica postale/bancaria, alla situazione lavorativa, alla titolarità di altre misure di sostegno al reddito, mutui, affitti e finanziamenti, il Comune potrebbe fornire informazioni di dettaglio sull’attività di erogazione svolta dagli uffici, comunicando l’ammontare complessivo dei contributi stanziati e di quelli erogati, il numero delle domande presentate, dei beneficiari ammessi, delle istanze respinte, trattate, da esaminare, omettendo però l’indicazione dei nominativi degli interessati o altri dati idonei ad identificarli.

Nell’attuale situazione legata all’emergenza epidemiologica, si sono susseguiti, in tempi assai ravvicinati, in ragione dell’aggravarsi dello scenario nel contesto nazionale, numerosi interventi normativi e  conseguenti atti di indirizzo emanati dalle istituzioni competenti che, al fine di individuare misure urgenti in materia di contenimento e gestione dell'emergenza epidemiologica, hanno stabilito che, i datori di lavoro, le cui attività non sono sospese, sono tenuti a osservare le misure per il contenimento e la gestione dell’emergenza epidemiologica contenute nel Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro tra Governo e parti sociali del 14 marzo 2020^.(1)

In particolare, il citato Protocollo prevede la rilevazione della temperatura corporea del personale dipendente per l’accesso ai locali e alle sedi aziendali, tra le misure per il contrasto alla diffusione del virus che trovano applicazione anche nei confronti di utenti, visitatori e clienti nonché dei fornitori, ove per questi ultimi non sia stata predisposta una modalità di accesso separata (cfr. Protocollo par. 2 e 3 e nota n. 1).

Analoghi protocolli di sicurezza, con riguardo alle attività pubbliche non differibili o ai servizi pubblici essenziali, sono stati stipulati dal Ministro per la pubblica amministrazione con le sigle sindacali maggiormente rappresentative nella pubblica amministrazione (come il Protocollo di accordo per la prevenzione e la sicurezza dei dipendenti pubblici in ordine all’emergenza sanitaria da “Covid-19” del 3 e 8 aprile 2020) in quanto le misure per la sicurezza del settore privato sono state ritenute coerenti con le indicazioni già fornite dallo stesso Ministro con la direttiva n. 2/2020 e con la Circolare n. 2/2020.

In ragione del fatto che la rilevazione in tempo reale della temperatura corporea, quando è associata all’identità dell’interessato, costituisce un trattamento di dati personali (art. 4, par. 1, 2) del Regolamento (UE) 2016/679), non è ammessa la registrazione del dato relativo alla temperatura corporea rilevata, bensì, nel rispetto del principio di “minimizzazione” (art. 5, par.1, lett. c) del Regolamento cit.), è consentita la registrazione della sola circostanza del superamento della soglia stabilita dalla legge e comunque quando sia necessario documentare le ragioni che hanno impedito l’accesso al luogo di lavoro.

Diversamente nel caso in cui la temperatura corporea venga rilevata a clienti (ad esempio, nell’ambito della grande distribuzione) o visitatori occasionali anche qualora la temperatura risulti superiore alla soglia indicata nelle disposizioni emergenziali non è, di regola, necessario registrare il dato relativo al motivo del diniego di accesso.

(1) Come aggiornato in data 24 aprile 2020

In base alla disciplina in materia di tutela della salute e della sicurezza nei luoghi di lavoro il dipendente ha uno specifico obbligo di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro (art. 20 del d.lgs. 9 aprile 2008, n. 81). Al riguardo la direttiva n.1/2020 del Ministro per la pubblica amministrazione ha specificato che in base a tale obbligo il dipendente pubblico e chi opera a vario titolo presso la P.A. deve segnalare all’amministrazione di provenire (o aver avuto contatti con chi proviene) da un’area a rischio. In tale quadro il datore di lavoro può invitare i propri dipendenti a fare, ove necessario, tali comunicazioni anche mediante canali dedicati.

Tra le misure di prevenzione e contenimento del contagio che i datori di lavoro devono adottare in base al quadro normativo vigente, vi è la preclusione dell’accesso alla sede di lavoro a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al COVID-19 o provenga da zone a rischio secondo le indicazioni dell’OMS. A tal fine, anche alla luce delle successive disposizioni emanate nell’ambito del contenimento del contagio (v. Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro sottoscritto il 14 marzo 2020 fra il Governo e le parti sociali), è possibile richiedere una dichiarazione che attesti tali circostanze anche a terzi (es. visitatori e utenti).

In ogni caso dovranno essere raccolti solo i dati necessari, adeguati e pertinenti rispetto alla prevenzione del contagio da Covid-19, e astenersi dal richiedere informazioni aggiuntive in merito alla persona risultata positiva, alle specifiche località visitate o altri dettagli relativi alla sfera privata.

Le disposizioni normative per il contenimento e la gestione dell’emergenza epidemiologica e le indicazioni operative fornite dalle istituzioni competenti impongono di limitare la presenza del personale negli uffici mediante, prevalentemente, il ricorso al lavoro agile. Con riguardo ai compiti che richiedono la necessaria presenza sul luogo di lavoro, è previsto che le amministrazioni svolgano le attività strettamente funzionali alla gestione dell’emergenza e quelle “indifferibili”, anche con riguardo “all’utenza esterna”. Pertanto, le attività di ricevimento o di erogazione diretta dei servizi al pubblico devono essere garantite con modalità telematica o comunque con modalità tali da escludere o limitare la presenza fisica negli uffici (ad es. appuntamento telefonico o assistenza virtuale), ovvero, predisponendo accessi scaglionati, anche mediante prenotazioni di appuntamenti.

Nel rispetto dei principi di protezione dei dati (art. 5 Regolamento UE 2016/679) la finalità di fornire agli utenti recapiti utili a cui rivolgersi per assistenza o per essere ricevuti presso gli uffici, può essere utilmente perseguita pubblicando i soli recapiti delle unità organizzative competenti (numero di telefono e indirizzo PEC) e non quelli dei singoli funzionari preposti agli uffici. Ciò, anche in conformità agli obblighi di pubblicazione concernenti l’organizzazione delle pubbliche amministrazioni.

In capo al medico competente permane, anche nell’emergenza, il divieto di informare il datore di lavoro circa le specifiche patologie occorse ai lavoratori.

Nel contesto dell’emergenza gli adempimenti connessi alla sorveglianza sanitaria sui lavoratori da parte del medico competente, tra cui rientra anche la possibilità di sottoporre i lavoratori a visite straordinarie, tenuto conto della maggiore esposizione al rischio di contagio degli stessi, si configurano come vera e propria misura di prevenzione di carattere generale, e devono essere effettuati nel rispetto dei principi di protezione dei dati personali e rispettando le misure igieniche contenute nelle indicazioni del Ministero della Salute (cfr. anche Protocollo condiviso del 14 marzo 2020)⁽¹⁾.

Nell’ambito dell’emergenza, il medico competente collabora con il datore di lavoro e le RLS/RLST al fine di proporre tutte le misure di regolamentazione legate al Covid-19 e, nello svolgimento dei propri compiti di sorveglianza sanitaria, segnala al datore di lavoro “situazioni di particolare fragilità e patologie attuali o pregresse dei dipendenti” (cfr. paragrafo 12 del predetto Protocollo).

Ciò significa che, nel rispetto di quanto previsto dalle disposizioni di settore in materia di sorveglianza sanitaria e da quelle di protezione dei dati personali, il medico competente provvede a segnalare al datore di lavoro quei casi specifici in cui reputi che la particolare condizione di fragilità connessa anche allo stato di salute del dipendente ne suggerisca l’impiego in ambiti meno esposti al rischio di infezione. A tal fine, non è invece necessario comunicare al datore di lavoro la specifica patologia eventualmente sofferta dal lavoratore.

In tale quadro il datore di lavoro può trattare, nel rispetto dei principi di protezione dei dati (v. art. 5 Regolamento UE 2016/679), i dati personali dei dipendenti solo se sia normativamente previsto o disposto dagli organi competenti ovvero su specifica segnalazione del medico competente, nello svolgimento dei propri compiti di sorveglianza sanitaria.

(1) Come aggiornato in data 24 aprile 2020

I datori di lavoro, nell’ambito dell’adozione delle misure di protezione e dei propri doveri in materia di sicurezza dei luoghi di lavoro, non possono comunicare il nome del dipendente o dei dipendenti che hanno contratto il virus a meno che il diritto nazionale lo consenta.

In base al quadro normativo nazionale il datore di lavoro deve comunicare i nominativi del personale contagiato alle autorità sanitarie competenti e collaborare con esse per l’individuazione dei “contatti stretti” al fine di consentire la tempestiva attivazione delle misure di profilassi.

Tale obbligo di comunicazione non è, invece, previsto in favore del Rappresentante dei lavoratori per la sicurezza, né i compiti sopra descritti rientrano, in base alle norme di settore, tra le specifiche attribuzioni di quest’ultimo.

Il Rappresentante dei lavoratori per la sicurezza,  proprio nella fase dell’attuale emergenza epidemiologica, dovrà continuare a svolgere i propri compiti consultivi, di verifica e di coordinamento, offrendo la propria collaborazione al medico competente e al datore di lavoro (ad esempio, promuovendo l'individuazione delle misure di prevenzione più idonee a tutelare la salute dei lavoratori nello specifico contesto lavorativo; aggiornando il documento di valutazione dei rischi; verificando l’osservanza dei protocolli interni).

Il Rappresentate dei lavoratori per la sicurezza quando nell’esercizio delle proprie funzioni venga a conoscenza di informazioni- che di regola tratta in forma aggregata ad es. quelle riportate nel documento di valutazione dei rischi- rispetta le disposizioni in materia di protezione dei dati nei casi in cui sia possibile, anche indirettamente, l’identificazione di taluni interessati.

No. In relazione al fine di tutelare la salute degli altri lavoratori, in base a quanto stabilito dalle misure emergenziali, spetta alle autorità sanitarie competenti informare i “contatti stretti” del contagiato, al fine di attivare le previste misure di profilassi.

Il datore di lavoro è, invece, tenuto a fornire alle istituzioni competenti e alle autorità sanitarie le informazioni necessarie, affinché le stesse possano assolvere ai compiti e alle funzioni previste anche dalla normativa d’urgenza adottata in relazione alla predetta situazione emergenziale (cfr. paragrafo 12 del predetto Protocollo).

La comunicazione di informazioni relative alla salute, sia all’esterno che all’interno della struttura organizzativa di appartenenza del dipendente o collaboratore, può avvenire esclusivamente qualora ciò sia previsto da disposizioni normative o disposto dalle autorità competenti in base a poteri normativamente attribuiti (es. esclusivamente per finalità di prevenzione dal contagio da Covid-19 e in caso di richiesta da parte dell’Autorità sanitaria per la ricostruzione della filiera degli eventuali “contatti stretti di un lavoratore risultato positivo).

Restano ferme le misure che il datore di lavoro deve adottare in caso di presenza di persona affetta da Covid-19, all’interno dei locali dell’azienda o dell’amministrazione, relative alla pulizia e alla sanificazione dei locali stessi, da effettuarsi secondo le indicazioni impartite dal Ministero della salute (v. punto 4 del Protocollo condiviso).

Si, ma solo se disposta dal medico competente e, in ogni caso, nel rispetto delle indicazioni fornite dalle autorità sanitarie, anche in merito all’affidabilità e all’appropriatezza di tali test.

Solo il medico competente, infatti, in quanto professionista sanitario, tenuto conto del rischio generico derivante dal Covid-19 e delle specifiche condizioni di salute dei lavoratori sottoposti a sorveglianza sanitaria, può stabilire la necessità di particolari esami clinici e biologici  e suggerire l’adozione di mezzi diagnostici, qualora ritenuti utili al fine del contenimento della diffusione del virus e della salute dei lavoratori (cfr. par. 12 del Protocollo condiviso tra il Governo e le Parti sociali aggiornato il 24 aprile 2020).

Resta fermo che le informazioni relative alla diagnosi o all’anamnesi familiare del lavoratore non possono essere trattate dal datore di lavoro (ad esempio, mediante la consultazione dei referti o degli esiti degli esami), salvi i casi espressamente previsti dalla legge. Il datore di lavoro può, invece, trattare i dati relativi al giudizio di idoneità alla mansione specifica e alle eventuali prescrizioni o limitazioni che il medico competente può stabilire come condizioni di lavoro. 

Le visite e gli accertamenti, anche ai fini della valutazione della riammissione al lavoro del dipendente, devono essere posti in essere dal medico competente o da altro personale sanitario, e, comunque, nel rispetto delle disposizioni generali che vietano al datore di lavoro di effettuare direttamente esami diagnostici sui dipendenti.

Resta fermo che i lavoratori possono liberamente aderire alle campagne di screening avviate dalle autorità sanitarie competenti a livello regionale relative ai test sierologici Covid-19, di cui siano venuti a conoscenza anche per il tramite del datore di lavoro, coinvolto dal dipartimento di prevenzione locale per veicolare l’invito di adesione alla campagna tra i propri dipendenti (cfr. FAQ n. 10 - Trattamento dati nel contesto sanitario nell’ambito dell’emergenza sanitaria).

I datori di lavoro possono offrire ai propri dipendenti, anche sostenendone in tutto o in parte i costi, l’effettuazione di test sierologici presso strutture sanitarie pubbliche e private (es. tramite la stipula o l’integrazione di polizze sanitarie ovvero mediante apposite convenzioni con le stesse), senza poter conoscere l’esito dell’esame.

Sebbene, di regola, i dati personali relativi alle specifiche patologie di cui sono affetti i lavoratori possano essere trattati solo da professionisti sanitari (es. medici di base, specialisti, medico competente) e non anche dal datore di lavoro, quest’ultimo, in taluni casi, nel contesto dell’attuale emergenza epidemiologica, può lecitamente venire a conoscenza dell’identità del dipendente affetto da Covid-19 o che presenta sintomi compatibili con il virus.

Ciò, in particolare, può verificarsi quando ne venga informato direttamente dal dipendente, sul quale grava l’obbligo di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro. Coerentemente il Protocollo condiviso tra il Governo e Parti sociali aggiornato il 24 aprile 2020, la cui osservanza è prescritta dalla normativa dell’emergenza, prevede specifici obblighi informativi del lavoratore in favore del datore di lavoro laddove sussistano condizioni di pericolo, come i sintomi influenzali (si vedano anche gli analoghi protocolli stilati in ambito pubblico e quelli relativi a specifici settori, quali cantieri, trasporti e logistica); ciò anche quando tali sintomi si manifestino all’ingresso della sede di lavoro o durante la prestazione lavorativa (cfr. Protocollo condiviso, es. parr. 1, 2 e 11). A tal fine, il datore di lavoro può quindi invitare i propri dipendenti a fare tali comunicazioni agevolando le modalità di inoltro delle stesse, anche predisponendo canali dedicati, tenendo conto del proprio generale obbligo di tutelare l'integrità fisica dei prestatori di lavoro, ai sensi dell’art. 2087 c.c. e del d.lgs. 81/2008 (cfr., anche FAQ n. 2).

Il datore di lavoro potrebbe, inoltre, venire a conoscenza dello stato di positività al Covid-19 accertato dalle autorità sanitarie a seguito dell’effettuazione di un tampone oro/nasofaringeo, nell’ambito della collaborazione che è tenuto a prestare a tali autorità, anche con il coinvolgimento del medico competente, per la ricostruzione degli eventuali contatti stretti con altre persone nel contesto lavorativo (cfr. par. 11 del Protocollo del 24 aprile 2020).

Il datore di lavoro può, altresì, conoscere lo stato di avvenuta negativizzazione del tampone oro/nasofaringeo, ai fini della riammissione sul luogo di lavoro dei lavoratori già risultati positivi all’infezione da Covid-19, secondo le modalità previste e la documentazione rilasciata dal dipartimento di prevenzione territoriale di competenza (cfr. par. 2 e 12 del Protocollo del 24 aprile 2020).⁽¹⁾

In questi casi, dunque, il datore di lavoro può trattare i dati relativi ai sintomi o alla positività al Covid-19 del lavoratore per la finalità di salute e sicurezza dei luoghi di lavoro o per adempire agli obblighi di collaborazione con gli operatori di sanità pubblica.

Al di fuori dei casi normativamente previsti, il datore di lavoro non può, invece, trattare dati sulla salute del lavoratore e comunicare gli stessi a soggetti terzi (cfr. FAQ nn. 5, 6).

In base alle norme in materia di sorveglianza sanitaria, non derogate da quelle dell’emergenza, il datore di lavoro non può, inoltre, conoscere l’esito degli esami diagnostici disposti dal medico competente, tra i quali anche i test sierologici, che non consentono, peraltro, di diagnosticare l’infezione (cfr. FAQ n. 7).

Resta fermo che, ove all’esito del test sierologico sia disposta l’effettuazione di un tampone che attesti la positività al virus, il datore di lavoro potrà conoscere, oltre alla valutazione del medico competente in merito all’inidoneità al servizio, anche l’identità del dipendente nei casi sopra esplicitati (cfr. Protocollo condiviso, parr. 1, 2, 11 e 12), di seguito riepilogati.

Alla luce del quadro normativo vigente, il datore di lavoro può quindi trattare i dati personali del dipendente affetto da Covid-19 o che ne presenta i sintomi e può conoscere la condizione di positività al Covid-19:

- quando ne venga informato direttamente dal lavoratore; o

- nei limiti in cui sia necessario al fine di prestare la collaborazione all’autorità sanitaria; o

- ai fini della riammissione sul luogo di lavoro del lavoratore già risultato positivo all’infezione da Covid-19.

La funzionalità di “contact tracing”, prevista da alcuni applicativi al dichiarato fine di poter ricostruire, in caso di contagio, i contatti significativi avuti in un periodo di tempo commisurato con quello individuato dalle autorità sanitarie in ordine alla ricostruzione della catena dei contagi ed allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi, è − allo stato − disciplinata unicamente dall’art. 6, d.l. 30.4.2020, n. 28.

Sì, il datore di lavoro può ricorrere all’utilizzo di applicativi, allo stato disponibili sul mercato, che non comportano il trattamento di dati personali riferiti a soggetti identificati o identificabili. Ciò nel caso in cui il dispositivo utilizzato non sia associato o associabile, anche indirettamente (es. attraverso un codice o altra informazione), all’interessato né preveda la registrazione dei dati trattati.

Si pensi alle applicazioni che effettuano il conteggio del numero delle persone che entrano ed escono da un determinato luogo, attivando un “semaforo rosso” al superamento di un prestabilito numero di persone contemporaneamente presenti; oppure alle funzioni di taluni dispositivi indossabili che emettono un avviso sonoro o una vibrazione in caso di superamento della soglia di distanziamento fisico prestabilita (dunque senza tracciare chi indossa il dispositivo e senza registrare alcuna informazione). Si pensi, altresì, ad applicativi collegati ai tornelli di ingresso che, attraverso un rilevatore di immagini, consentono l’accesso solo a persone che indossano una mascherina (senza registrare alcuna immagine o altra informazione). In questi casi spetta comunque al titolare verificare il grado di affidabilità dei sistemi scelti, predisponendo misure da adottare in caso di malfunzionamento dei dispositivi o di falsi positivi o negativi.

I promotori e i centri di sperimentazione possono trattare dati personali, anche relativi alla salute dei pazienti affetti da Covid-19, per lo svolgimento di sperimentazioni cliniche dei medicinali (quali ad esempio gli studi clinici sperimentali sui medicinali di fase I, II, III e IV, gli studi osservazionali sui farmaci e i programmi di uso terapeutico compassionevole), strettamente necessari per contrastare e studiare la pandemia in corso, sulla base del consenso degli interessati, ovvero di un altro presupposto giuridico, ai sensi dell’art. 9, par. 2 del Regolamento, in conformità al diritto dell’Unione o nazionale per motivi di interesse pubblico rilevante, per motivi di interesse pubblico nel settore della sanità pubblica e per fini di ricerca scientifica (art. 9, par. 2, lett. a), g), i) e j) del Regolamento).

Quando, a causa di particolari e comprovate ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato oppure rischia di pregiudicare gravemente il conseguimento delle finalità della ricerca e non è quindi possibile acquisire il consenso degli interessati al trattamento dei dati personali, i titolari del trattamento sono tenuti, laddove possibile, a raccogliere tale consenso, previa idonea informativa, presso chi esercita legalmente la potestà di questi ultimi, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l’interessato (in analogia con quanto previsto dal punto 4.11.2 delle prescrizioni relative al trattamento dei dati genetici, allegato 4 al provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, doc. web n. 9124510).

Qualora, per specifiche e comprovate ragioni, non sia possibile acquisire il consenso informato al trattamento dei dati personali, neanche presso terzi, ovvero ciò rischi di pregiudicare gravemente il buon esito della ricerca (si pensi al trattamento di dati riferiti a pazienti defunti o ricoverati in reparti di terapia intensiva), i titolari che intendano svolgere trattamenti di dati personali che riguardano esclusivamente studi sperimentali e gli usi compassionevoli dei medicinali per uso umano, per la cura e la prevenzione del virus Covid-19, non sono obbligati, in forza della normativa relativa alla presente fase emergenziale, alla preventiva sottoposizione del progetto di ricerca, nonché della relativa valutazione di impatto, alla consultazione preventiva del Garante di cui all’art. 110 del Codice in materia di protezione dei dati personali.

Il Ministero della salute, sulla base della normativa emanata in fase emergenziale, il 1° aprile 2020, ha adottato un bando per invitare gli Istituti di ricovero e cura a carattere scientifico (IRCCS) a presentare progetti di ricerca medica, finanziati attraverso i fondi per la ricerca corrente degli IRCCS, finalizzati a migliorare la comprensione dell’epidemia Covid-19, contribuire a una gestione clinica più efficiente dei pazienti infetti e migliorare le possibilità e l’efficacia dei trattamenti terapeutici a disposizione delle strutture del Servizio Sanitario Nazionale.

I trattamenti di dati personali anche relativi alla salute svolti dagli IRCCS beneficiari dei predetti fondi, nell’ambito delle ricerche finalizzate al contrasto della pandemia, possono essere svolti senza il consenso degli interessati, in quanto ineriscono alle funzioni di rilevante interesse pubblico attribuite, tra gli altri, anche ai soggetti del Servizio sanitario nazionale. I predetti IRCSS che trattano dati personali nell’ambito delle ricerche mediche finanziate dal Ministero non devono, pertanto, effettuare gli adempimenti previsti dall’art. 110 del Codice.

L’App per il tracciamento digitale dei contatti dei contagiati da Covid 19 è stata disciplinata dall’art. 6 del decreto legge 30 aprile 2020, n. 28 che ha istituito il Sistema nazionale di allerta Covid uniformando, a livello nazionale, il quadro di garanzie poste a tutela degli interessati.

La norma rappresenta un adeguato presupposto giuridico per introdurre tale misura di sanità pubblica e soddisfa i requisiti previsti dal Regolamento (UE) 2016/679 (articoli6, par.1, lett. e) e 9, par. 2, lett. g) e, in particolare, lett. i)) e dal Codice (articoli 2-ter e 2-sexies).

Il Ministero della Salute, ai sensi del citato art. 6 del d.l. 28/2020, ha condotto la valutazione d’impatto prevista dall’art. 35 del Regolamento e il Garante ha successivamente autorizzato il trattamento effettuato attraverso l’App Immuni (provvedimento adottato il 1° giugno 2020 - doc. web. n. 9356568).

No, la norma prevede che l’App sia installata dagli interessati su base volontaria.

L’adesione al sistema di allerta deve essere infatti frutto di una scelta realmente libera da parte dell’interessato che deve essere adeguatamente informato e deve poter confidare nella trasparenza del trattamento. La volontarietà dell’adesione dell’interessato è assicurata in ogni fase del trattamento effettuato dal Ministero della salute, come ribadito dal Garante sia nel parere sulla norma (cfr. parere del 29 aprile 2020 - doc. web n. 9328050) che nell’autorizzazione dell’App Immuni (cfr. provvedimento del 1° giugno 2020 - doc. web n. 9356568).

La mancata installazione dell’App, seppure priva l’interessato della possibilità di ricevere avvisi automatici sugli eventuali contatti a rischio, non determina conseguenze negative, né può rappresentare la condizione per l’esercizio di diritti o per usufruire di determinati servizi o beni.

No, tanto è vero che la norma nazionale che ha introdotto il sistema di Allerta Covid, attraverso il tracciamento digitale dei contatti, ha stabilito che le persone non possono essere obbligate a installare l’App e che la mancata installazione non può comportare alcuna conseguenza pregiudizievole per gli interessati ovvero incidere sull’esercizio dei diritti fondamentali, quale, in particolare, la libertà di circolazione (art. 16 Cost.)

La normativa d’urgenza adottata per il Covid 19 ha previsto misure rigorose per lo svolgimento delle visite mediche, al fine di favorire l’adozione di misure di protezione per il paziente e per il personale sanitario, nonché per garantire il distanziamento interpersonale tra gli stessi pazienti.

In tale contesto, le strutture sanitarie che intendono avvalersi di strumenti di telemedicina (App di telediagnosi, teleconsulto, teleassistenza e telemonitoraggio utilizzate dal personale medico) per effettuare diagnosi o terapie a distanza, non devono richiedere uno specifico consenso al trattamento dei dati personali dell’interessato, in quanto si tratta di una diversa modalità di svolgimento del rapporto medico-paziente (cfr. in particolare art. 9, par.2, lett. h) e par. 3 del Regolamento).

Il titolare del trattamento dovrà in ogni caso provvedere a effettuare la valutazione di impatto (art. 35 del Regolamento), fornire all’interessato un’informativa completa con riferimento al trattamento dei dati effettuato attraverso la predetta App, nonché assicurare il rispetto dei principi di integrità, riservatezza ed esattezza dei dati trattati anche attraverso tale specifica modalità di trattamento.

No, il Servizio Sanitario Nazionale deve garantire la prestazione sanitaria anche a coloro che non possano o non intendano installare App di telemedicina. La prestazione in tal caso sarà erogata nel rispetto delle disposizioni e dei protocolli adottati per assicurare il rispetto delle misure di protezione individuale.

Premesso che le App di tracciamento devono avere una adeguata base normativa e rispettare i criteri già definiti a livello nazionale, le App, volte a fornire servizi diversi dalla telemedicina o comunque non strettamente necessari alla cura (App divulgative; App per la raccolta di informazioni sullo stato di salute della popolazione di un dato territorio), che comportino il trattamento di dati personali, possono essere utilizzate, in linea generale, solo previo consenso libero, specifico, esplicito e informato dell’interessato (cfr. provvedimento del 7 marzo 2019 - doc. web n. 9091942).

Le App devono trattare solamente i dati strettamente necessari a perseguire le finalità del trattamento evitando di raccogliere dati eccedenti (es. quelli relativi all’ubicazione del dispositivo mobile dell’utente) e limitandosi a richiedere permessi per l’accesso a funzionalità o informazioni presenti nel dispositivo, solo se indispensabili. Nell’ambito delle relative valutazioni di impatto sarà, inoltre, necessario valutare attentamente, tra l’altro, la liceità e i rischi derivanti dall’eventuale trasferimento di dati a terze parti (es. social login, notifiche push, ecc.), soprattutto se stabilite al di fuori dell’Unione Europea.

NO. Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19. Ciò non è consentito dalle disposizioni dell’emergenza e dalla disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro.

Il datore di lavoro non può considerare lecito il trattamento dei dati relativi alla vaccinazione sulla base del consenso dei dipendenti, non potendo il consenso costituire in tal caso una valida condizione di liceità in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo (considerando 43 del Regolamento).

NO. Il medico competente non può comunicare al datore di lavoro i nominativi dei dipendenti vaccinati. Solo il medico competente può infatti trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica (artt. 25, 39, comma 5, e 41, comma 4, d.lgs. n. 81/2008).

Il datore di lavoro può invece acquisire, in base al quadro normativo vigente, i soli giudizi di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in essi riportati (es. art. 18 comma 1, lett. c), g) e bb) d.lgs. n. 81/2008).

Nell’attesa di un intervento del legislatore nazionale che, nel quadro della situazione epidemiologica in atto e sulla base delle evidenze scientifiche, valuti se porre la vaccinazione anti Covid-19 come requisito per lo svolgimento di determinate professioni, attività lavorative e mansioni, allo stato, nei casi di esposizione diretta ad "agenti biologici" durante il lavoro, come nel contesto sanitario che comporta livelli di rischio elevati per i lavoratori e per i pazienti, trovano applicazione le “misure speciali di protezione” previste per taluni ambienti lavorativi (art. 279 nell’ambito del Titolo X del d.lgs. n. 81/2008).

In tale quadro solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo e nel rispetto delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, può trattare i dati personali relativi alla vaccinazione dei dipendenti e, se del caso, tenerne conto in sede di valutazione dell’idoneità alla mansione specifica.

Il datore di lavoro dovrà invece limitarsi ad attuare le misure indicate dal medico competente nei casi di giudizio di parziale o temporanea inidoneità alla mansione cui è adibito il lavoratore (art. 279, 41 e 42 del d.lgs. n.81/2008).