Il Garante per la protezione dei dati personali ha aggiornato FAQ pubblicate sul proprio sito istituzionale, relative alle problematiche connesse all’emergenza Coronavirus in ambito lavorativo, fornendo ulteriori chiarimenti e indicazioni per il corretto trattamento dei dati personali da parte dei datori di lavoro.

In particolare, rispetto a quanto già comunicato con Newsletter – n. 31/2019 del 7/9/2019, il Garante è intervenuto ulteriormente sulla possibilità, per il datore di lavoro, di rendere nota l’identità del dipendente affetto da Covid-19 agli altri lavoratori, nonché sulla possibilità di utilizzare applicativi di tracciamento.

Possibilità per il datore di lavoro di trattare i dati personali del dipendente affetto da Covid-19 o che ne presenta i sintomi

Il Garante chiarisce che sebbene, di regola, il datore di lavoro non possa venire a conoscenza di dati personali relativi alle specifiche patologie di cui sono affetti i lavoratori, che possono essere trattati solo da professionisti sanitari (es. medici di base, specialisti, medico competente), nel contesto dell’attuale emergenza epidemiologica, possono verificarsi casi in cui il datore di lavoro può lecitamente venire a conoscenza dell’identità del dipendente affetto da Covid-19 o che presenta sintomi compatibili con il virus.
In particolare, alla luce del quadro normativo vigente, il datore di lavoro può trattare i dati personali del dipendente affetto da Covid-19 o che ne presenta i sintomi e può conoscere la condizione di positività al Covid-19:

– quando ne venga informato direttamente dal lavoratore, sul quale grava l’obbligo di segnalare qualsiasi situazione di pericolo per la salute e sicurezza sui luoghi di lavoro, come la manifestazione di sintomi influenzali; o

– nei limiti in cui sia necessario al fine di prestare la collaborazione all’autorità sanitaria per la ricostruzione degli eventuali contatti stretti con altre persone nel contesto lavorativo; o

– ai fini della riammissione sul luogo di lavoro del lavoratore già risultato positivo all’infezione da Covid-19.

Al di fuori dei suddetti casi, normativamente previsti, il datore di lavoro non può trattare dati sulla salute del lavoratore e comunicare gli stessi a soggetti terzi.
Il datore di lavoro non può, inoltre, conoscere l’esito degli esami diagnostici disposti dal medico competente, tra i quali anche i test sierologici.
Resta fermo che, ove all’esito del test sierologico sia disposta l’effettuazione di un tampone che attesti la positività al virus, il datore di lavoro potrà conoscere, oltre alla valutazione del medico competente in merito all’inidoneità al servizio, anche l’identità del dipendente nei casi sopra elencati.

Possibilità di utilizzare applicativi con funzionalità di “contact tracing” in ambito aziendale

Il Garante chiarisce che la funzionalità di “contact tracing”, prevista da alcuni applicativi al dichiarato fine di ricostruire, in caso di contagio, i contatti significativi avuti in un determinato periodo di tempo ed allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi, è − allo stato − disciplinata unicamente dall’art. 6, d.l. 30.4.2020, n. 28.

Il datore di lavoro, tuttavia, può ricorrere all’utilizzo di applicativi, allo stato disponibili sul mercato, che non comportano il trattamento di dati personali riferiti a soggetti identificati o identificabili. Ciò si verifica nel caso in cui il dispositivo utilizzato non sia associato o associabile, anche indirettamente (es. attraverso un codice o altra informazione), all’interessato né preveda la registrazione dei dati trattati. In particolare, il Garante fa riferimento ad applicazioni che effettuano il conteggio del numero delle persone che entrano ed escono da un determinato luogo, attivando un “semaforo rosso” al superamento di un prestabilito numero di persone contemporaneamente presenti; oppure alle funzioni di taluni dispositivi indossabili che emettono un avviso sonoro o una vibrazione in caso di superamento della soglia di distanziamento fisico prestabilita (dunque senza tracciare chi indossa il dispositivo e senza registrare alcuna informazione). In questi casi spetta comunque al titolare verificare il grado di affidabilità dei sistemi scelti, predisponendo misure da adottare in caso di malfunzionamento dei dispositivi o di falsi positivi o negativi.