Il ruolo del datore di lavoro e del medico competente nell'ambito del Covid-19
Dall'inizio della pandemia da Covid-19 il Garante per la protezione dei dati personali ("Garante Privacy"), pur riconoscendo l'interesse preminente alla tutela della salute, è intervenuto a garanzia della protezione dei dati personali. In un contesto del tutto emergenziale, il Garante Privacy ha introdotto un regime eccezionale e derogatorio volto ad attribuire al datore di lavoro un certo margine di elasticità per il trattamento dei dati – anche particolari - dei lavoratori (es. dati contenuti all'interno di autodichiarazioni circa contatti stretti con positivi o soggiorni in Paesi vietati dall'OMS nei ultimi 14 giorni, dati sulla temperatura corporea pur senza annotazione del dato relativo alla salute).
Tuttavia, il Garante Privacy è sempre intervenuto sottolineando il ruolo del Medico Competente, già centrale in materia di salute e sicurezza sul lavoro, e ancora di più chiave nel contesto emergenziale.
Fermo quanto indicato nelle FAQ del febbraio 2021, visto il Protocollo per il piano di vaccinazione del 6 aprile u.s. e le annesse Indicazioni ad interim dell'INAIL, il Garante Privacy ha adottato il provvedimento n. 198 del 13 maggio 2021 : anche in quest'ultimo provvedimento, il protagonista si conferma il Medico Competente.
Il Medico Competente rimane l'unico soggetto legittimato al trattamento dei dati. Il datore di lavoro non può raccogliere presso gli interessati, ovvero per il tramite di terzi, informazioni relative all'adesione alla campagna di vaccinazione, alla somministrazione del vaccino o altri dati relativi alla salute del lavoratore. Il datore di lavoro può soltanto conoscere il numero complessivo dei vaccini necessari e fornire al professionista sanitario indicazioni e criteri in ordine alle modalità di programmazione delle sedute vaccinali.
Il datore di lavoro ha il compito, però, di promuovere l'iniziativa della vaccinazione presso i luoghi di lavoro fornendo, in particolare, ai lavoratori le indicazioni utili relative al servizio di vaccinazione in azienda, anche con il supporto del Medico Competente, ad esempio, rendendo disponibile, anche sulla rete intranet, documenti esplicativi.
Il trattamento dei dati relativi alle vaccinazioni è necessario per finalità di medicina preventiva e di medicina del lavoro. Per effettuare tali operazioni di dati personali, il medico competente deve:
- istituire un registro dei trattamenti (art. 30 del GDPR);
- rendere l'informativa agli interessati (art. 14 del GDPR);
- implementare le misure di sicurezza (artt. 32-34 del GDPR).
Il Medico Competente non deve nominare un Responsabile della protezione dei dati (artt. 37-39 del GDPR).
Il Medico Competente può avvalersi del supporto, anche economico, del datore di lavoro.
Nel rispetto del principio di responsabilizzazione, deve essere garantita la limitazione degli accessi e l'indisponibilità dei dati da parte del datore di lavoro, anche mediante ricorso alla cifratura degli stessi dati. Dovrà essere regolamentato, limitatamente a tali profili, il rapporto tra le parti ai sensi dell'art. 28 del GDPR.
Fonte: Il Sole 24 Ore - di Flavia Terenzi
