Fase 2: come trattare i dati sanitari in azienda

Come noto nel corso del mese di marzo, oltre ai molteplici decreti legge in materia di emergenza relativi alla corretta gestione della patologia virale sia in ambito pubblico che privato sono state redatte varie linee guida.

Per esempio il Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti lavoro, o anche le comunicazioni emanate dal Garante Italiano (in primo luogo quella del 2 marzo) e da quello Europeo.

Provvedimenti, linee guida e comunicazioni tutte volte a disciplinare la corretta gestione del rapporto di lavoro e, conseguentemente, dei dati personali (con riferimento soprattutto a quelli sanitari) dei dipendenti.

In particolare, sulla base delle indicazioni su menzionata, intendo proporre alcune soluzioni operative che possano essere di supporto alle aziende che continuando ad operare hanno la necessità di salvaguardare tanto i propri dipendenti che l’azienda medesima.
Sotto questo profilo, pertanto, il presupposto comune che a mio giudizio deve essere portato all’attenzione è che oggi più che mai emerge la forza delle norme previste dal Regolamento 679/16:

1. Adeguata e corretta analisi del rischio;
2.  Predisposizione accurata delle misure tecniche ed organizzative di trattamento.

Appare evidente infatti che le scelte operative che il datore dovrà adottare devono essere guidate da una valutazione dei rischi (in termini di diritti fondamentali e privacy) che una gestione malaccorta dei dati sanitari possa comportare sui dipendenti.

Allo stesso modo, proprio sulla base di quella analisi, compiere le opportune scelte operative.
Pertanto, vale anche la pena sottolineare che le indicazioni che seguiranno hanno una cifra generale poi adattata alla situazione contingente, basti pensare alla fondamentale differenza tra un’azienda chimica ed una metalmeccanica ovvero ad una struttura che abbia adottato sistemi di qualità e sicurezza sul lavoro.

1. 1. Verifica temperatura di chi accede in azienda.
      Predisporre una informativa (preferibilmente esposta all’ingresso, anche se potrebbe essere fornita oralmente) estremamente semplice con indicazione: del Protocollo e della normativa emergenziale, come base giuridica; della finalità di prevenzione dal contagio da COVID-19; l’obbligatorietà; tempi di conservazione; il riferimento ai diritti dell’interessato. Ma soprattutto indicare che il soggetto preposto alla verifica della temperatura si sa stato adeguatamente istruito e formato.
      Consiglierei di affiancare all’informativa anche una copia del Protocollo
   2. Autodichiarazione di non provenienza da zone a rischio o assenza di contatti.
      Avvertire tutto il personale che l’accesso in azienda è precluso a coloro che nei quattordici giorni precedenti siano stati a contatto con persone che hanno contratto il virus o che provengano da zone a rischio. Successivamente richiedere al dipendente una dichiarazione in tal senso. Questa attività è un trattamento dati personali e pertanto ne segue tutti i criteri. Il suggerimento è di inserire nella iniziale comunicazione anche un primo livello di informativa semplificata in relazione a tale trattamento

Trattamento dei dati.
I dati acquisiti tramite verifica della temperatura non vanno registrati (eventualmente indicarlo nell’informativa) ed in caso di riscontro positivo invitare il dipendente all’isolamento ed a contattare il medico di famiglia e/o l’autorità sanitaria competente. Soltanto nell’eventualità in cui sia necessario documentare le ragioni che hanno impedito l’accesso ai locali aziendali sarà possibile identificare l’interessato e registrare il superamento della soglia di temperatura.
Per le autodichiarazioni vanno predisposte le opportune misure di conservazione a tutela della riservatezza dei singoli dipendenti.

Infatti, si fa anche presente che il Protocollo invita il dipendente che riscontri sintomi a farlo presente ed in ogni caso impone al datore di procedere al suo isolamento in base alle disposizioni dell’autorità sanitaria e a quello degli altri presenti dai locali. L’azienda dovrà procedere poi immediatamente ad avvertire le autorità sanitarie competenti.

Le misure di sicurezza.
Attenzione! Va applicato il principio di accountability, quindi, quelle indicate, sono operazioni che devono essere attentamente ponderate e comprovate con nomine, procedure ed istruzioni.
Tutte le attività sopra indicate devono essere poste in essere salvaguardando la massima riservatezza e a tutelare la dignità del lavoratore.
Vanno predisposti opportuni settori (digitali e/o analogici) dove verranno trattati i dati personali acquisiti, predisponendo pertanto le necessarie misure a tutela di indebiti accessi o violazioni. Tale scelta permetterà anche una migliore gestione dei dati a conclusione della fase di emergenza.
A tal proposito si evidenzia come il Garante abbia sottolineato che le basi giuridiche che permettono i su indicati trattamenti sono valide sino al permanere dell’emergenza, successivamente tutti i dati raccolti dovranno essere eliminati (salva la previa comunicazione dei dati alle Autorità indicate)
Con riferimento alle modalità di conservazione si suggerisce il ricorso anche a tecniche di pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione.
Allo stesso tempo vanno redatte le necessarie specifiche istruzioni per i soggetti che, all’interno dell’azienda, saranno nominato a svolgere attività inerente alle verifiche e sopra descritte.
A conclusione di questi brevi suggerimenti va sottolineato che le aziende dovranno apprestare particolare attenzione anche alle fasi successive dell’emergenza in quanto l’allentamento dei controlli sui dati personali trattati potrebbe comportare rilevanti ripercussioni sia nell’ambito dei rapporti di lavoro che sotto il profilo dell’organizzazione aziendali (pensiamo, per esempio, alle verifiche di idoneità in ottica D.Lgs 81/08)