Garante per la protezione dei dati personali. Documento di indirizzo. Vaccinazione nei luoghi di lavoro: indicazioni generali per il trattamento dei dati personali (allegato al Provvedimento n. 198 del 13 maggio 2021).

di E. Torrisi

Il Garante per la protezione dei dati personali ha adottato un “documento di indirizzo” (si v. il testo qui di seguito pubblicato) sulla vaccinazione nei luoghi di lavoro per fornire indicazioni generali sul trattamento dei dati personali, in attesa di una definitiva regolazione della materia. L’attivazione di luoghi straordinari di vaccinazione anti Covid-19 negli ambienti di lavoro, prevista dal “Protocollo nazionale” del 6 aprile 2021, è un’azione di sanità pubblica: di conseguenza la responsabilità e la supervisione dell’intero processo restano in capo al Servizio sanitario regionale e l’esecuzione deve avvenire nel rispetto delle norme sulla protezione dei dati. Anche per la vaccinazione nei luoghi di lavoro deve garantirsi il rispetto del riparto di competenze tra medico competente e datore di lavoro, già messo in evidenza nel documento sul ruolo del medico competente in materia di sicurezza sul luogo di lavoro (disponibile sul sito dell’Autorità)..

Nel documento di indirizzo il Garante precisa che le principali attività di trattamento dati -dalla raccolta delle adesioni, alla somministrazione, alla registrazione nei sistemi regionali dell’avvenuta vaccinazione- devono essere effettuate dal medico competente o da altro personale sanitario appositamente individuato.

Difatti, nel quadro delle norme a tutela della dignità e della libertà dei lavoratori nei luoghi di lavoro, non è consentito al datore di lavoro raccogliere direttamente dai dipendenti, dal medico compente, o da altri professionisti sanitari o strutture sanitarie, informazioni relative all’intenzione del lavoratore di aderire alla vaccinazione o alla somministrazione del vaccino e ad altri dati relativi alle sue condizioni di salute.

Tenuto conto dello squilibrio del rapporto tra prestatore e datore di lavoro, il consenso del lavoratore non può costituire un presupposto valido per trattare i dati sulla vaccinazione, così come non è consentito far derivare alcuna conseguenza dall’adesione o meno alla campagna vaccinale.

Garante per la protezione dei dati personali. Documento di indirizzo. Vaccinazione nei luoghi di lavoro: indicazioni generali per il trattamento dei dati personali (allegato al Provvedimento n. 198 del 13 maggio 2021)

1.Premessa. La realizzazione dei piani vaccinali finalizzati all’attivazione di punti straordinari di vaccinazione anti SARS-CoV-2/Covid-19 nei luoghi di lavoro è stata prevista dal “Protocollo nazionale per la realizzazione dei piani aziendali finalizzati all’attivazione di punti straordinari di vaccinazione anti SARS-CoV-2/Covid-19 nei luoghi di lavoro”, firmato in data 6 aprile 2021 dal Governo e dalle parti sociali, e dalle allegate “Indicazioni ad interim per la vaccinazione anti-SARS-CoV-2/COVID19 nei luoghi di lavoro”, al fine di perseguire la duplice esigenza di concorrere alla rapida attuazione della campagna vaccinale e, in pari tempo, accrescere i livelli di sicurezza nelle realtà lavorative pubbliche e private. L’iniziativa che forma oggetto del Protocollo “costituisce un’attività di sanità pubblica che si colloca nell’ambito del Piano strategico nazionale per la vaccinazione anti-SARS-CoV-2/Covid-19 predisposto dal Commissario Straordinario per l’attuazione e il coordinamento delle misure di contenimento e contrasto dell’emergenza epidemiologica” (punto 1 protocollo cit.). Al riguardo infatti il Decreto del Ministero della salute 2 gennaio 2021 cha adotta il “Piano strategico nazionale dei vaccini per la prevenzione delle infezioni da Sars/cov-2” nonché il documento allegato “Vaccinazione anti SARS-COV-2/COVID 19 -Piano strategico- Elementi per preparazione e di implementazione della strategia vaccinale” prevedono che “con l’aumentare della disponibilità dei vaccini […] il modello organizzativo vedrà via via un maggiore articolazione sul territorio […] incluso il coinvolgimento […] dei medici competenti delle aziende” (all. n. 1 p. 8 e 9). La piena attuazione e l’implementazione delle vaccinazioni nei luoghi di lavoro, pubblici e privati, dipenderanno dunque da una serie di fattori contingenti (primo tra tutti, la disponibilità dei vaccini) e di scelte (modelli organizzativi) ancora non del tutto definiti e rimessi a valutazioni che dovranno necessariamente tenere conto dell’andamento generale di una complessa operazione di rilievo nazionale. La vaccinazione nei luoghi di lavoro, peraltro, “rappresenta un’opportunità aggiuntiva rispetto alle modalità ordinarie dell’offerta vaccinale che sono e saranno sempre garantite, nel rispetto delle tempistiche dettate dal piano nazionale di vaccinazione, qualora il lavoratore non intenda aderire” a tale modalità di vaccinazione presso i luoghi di lavoro (cfr. p. 3, “Indicazioni ad interim”). I citati documenti sottolineano poi la natura volontaria dell’adesione all’iniziativa, prevedendo, tra i presupposti ritenuti “imprescindibili” ai fini della realizzazione della stessa, tra l’altro, la disponibilità dei vaccini, la presenza e la disponibilità del medico competente o di altro personale sanitario (anche privato e, in taluni casi, il possibile ricorso ai medici operanti presso i servizi territoriali di Inail), l’adesione consapevole e informata da parte delle lavoratrici e dei lavoratori, la “tutela della privacy” e la prevenzione di ogni forma di discriminazione delle lavoratrici e dei lavoratori (cfr. indicazioni ad interim pag. 3, punti 3, 5 e 6). In tale quadro, l’iniziativa di consentire l’attivazione di punti vaccinali sui luoghi di lavoro, comportando trattamenti di dati personali, anche relativi alla salute dei lavoratori (art. 4, n. 15 del Regolamento), se da un lato può rappresentare un’opportunità per supportare la campagna vaccinale e per rendere più semplice, per i lavoratori, l’accesso alla vaccinazione, dall’altra dovrà essere attuata nel rispetto della disciplina in materia di protezione dei dati (Regolamento (UE) 679/2016 e Codice in materia di protezione dei dati personali), delle norme emanate nel contesto dell’emergenza epidemiologica in corso, nonché delle disposizioni nazionali più specifiche e di maggior garanzia previste dall’ordinamento nazionale a tutela della dignità e della libertà dell’interessato sui luoghi di lavoro (art. 88 Regolamento e 113 Codice). Anche in questo contesto eccezionale occorre infatti che ciascuno dei soggetti coinvolti nella realizzazione e gestione del piano vaccinale (datore di lavoro, anche in forma associata, medico competente o altro personale sanitario individuato) operi nell’ambito e nei limiti previsti dalla rispettiva disciplina applicabile, che ne costituisce la base giuridica, evitando la confusione di ruoli che può dare adito a una circolazione illecita di informazioni, che potrebbe determinare effetti lesivi dei diritti e delle libertà degli interessati. In particolare, nel quadro dall’ordinamento vigente, anche alla luce delle specifiche disposizioni adottate nella attuale fase emergenziale, deve essere sempre assicurato il rispetto del tradizionale riparto di competenze tra il medico competente e il datore di lavoro sempre richiamato dal Garante e da ultimo ribadito nell’ambito del documento denominato: Protezione dei dati: il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale. Tale documento, in linea di continuità con la posizione assunta dal Garante nel corso del tempo, individua proprio nella titolarità del trattamento dei dati, attribuita al medico dal quadro normativo di settore (es. d.lgs. 81/2008), il principale elemento di garanzia per gli interessati sui luoghi di lavoro. L’evoluzione del quadro nazionale legato all’emergenza epidemiologica ha confermato la centralità della figura del medico competente nel contrasto e nel contenimento della diffusione del virus SARS-CoV-2 nel contesto lavorativo (cfr., da ultimo, Protocollo condiviso di aggiornamento delle misure per il contrasto e il contenimento della diffusione del virus SARSCoV-2/COVID-19 negli ambienti di lavoro del 6 aprile 2021, che ha aggiornato il protocollo del 24 aprile 2020). Allo stesso modo la centralità di tale ruolo di raccordo, tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo, viene ribadito, allo stato, anche con riguardo alla vaccinazione sui luoghi di lavoro (cfr. protocollo e “Indicazioni ad interim” cit.), salva l’eventuale individuazione, nell’evoluzione del quadro regolatore legato al piano nazionale vaccini, di altre figure di professionisti sanitari, in aggiunta o in luogo del medico competente. In tale quadro, non è comunque consentito al datore di lavoro raccogliere, direttamente dagli interessati, tramite il medico compente, altri professionisti sanitari o strutture sanitarie, informazioni in merito a tutti gli aspetti relativi alla vaccinazione, ivi compresa l’intenzione o meno della lavoratrice e del lavoratore di aderire alla campagna, alla avvenuta somministrazione (o meno) del vaccino e ad altri dati relativi alle condizioni di salute del lavoratore (v. art. 9, par. 2, lett. b) e 88 Regolamento; art. 113 del Codice; d. lgs. n. 81/2008; Protocollo condiviso di aggiornamento delle misure per il contrasto e il contenimento della diffusione del virus SARSCoV-2/COVID-19 negli ambienti di lavoro del 6 aprile 2021; art. 5, l. 20.5.1970, n. 300; cfr. FAQ sul “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”, doc. web n. 9543615, spec. 1 e 2).

2.Base giuridica del trattamento. Nel premettere che le previsioni del citato protocollo e delle “Indicazioni ad interim”, nella misura in cui trovino conferma nel piano vaccinale e nelle ordinanze del commissario straordinario, dovranno essere recepite con specifici atti normativi (anche in allegato agli stessi, secondo una tecnica normativa frequentemente utilizzata nel periodo emergenziale), così da poter integrare, dal punto di vista della protezione dei dati, la base giuridica del trattamento, si precisa che, in attesa di questa evoluzione regolatrice, rispetto alla quale il Garante si riserva di fornire il proprio contributo come previsto dal Regolamento (UE) 679/2016, si ritiene necessario fornire in ogni caso, fin da questa prima fase, talune prime indicazioni. Il trattamento dei dati relativi alle vaccinazioni è necessario per finalità di medicina preventiva e, in pari tempo, di medicina del lavoro (art., 9, par.2, lett. h) e par. 3 del Regolamento). Tali trattamenti sono infatti espressamente affidati, anche dal protocollo e dalle Indicazioni ad interim, esclusivamente a professionisti sanitari (es. medico competente, altro personale medico o medici Inail – di seguito, congiuntamente, “il professionista sanitario”). Il trattamento dei dati relativi alla vaccinazione presuppone valutazioni cliniche (fin dalla fase di individuazione delle dosi e della tipologia dei vaccini sulla base delle condizioni personali e dell’anamnesi degli interessati) e comporta operazioni (somministrazione e registrazione) che, per propria natura, presuppongono necessariamente la competenza tecnica di personale sanitario dotato di specifica formazione. In questo contesto, i richiamati documenti presuppongono altresì che la vaccinazione nei luoghi di lavoro avvenga con il supporto strumentale ed economico dei datori di lavoro, anche in forma associata, ai quali è altresì demandato il compito di promuovere l’iniziativa della vaccinazione presso i luoghi di lavoro fornendo, in particolare, alla generalità dei dipendenti, le indicazioni utili relative alle complessive caratteristiche del servizio vaccinale usufruibile in azienda e sottoposto alla supervisione dell’azienda sanitaria di riferimento, ad esempio, rendendo disponibile, anche sulla rete intranet, documenti esplicativi. Tali attività di sensibilizzazione potranno avvenire con il supporto del medico competente, anche promuovendo apposite iniziative di comunicazione e informazione sulla vaccinazione anti SARS-CoV-2/Covid-19 (cfr. par. 7 protocollo cit. e pag. 7 “Indicazioni ad interim” cit.). Anche nell’ambito dello svolgimento delle attività di supporto resta salvo il divieto, per il datore di lavoro, di trattare i dati personali relativi a tutti gli aspetti connessi alla vaccinazione dei propri dipendenti (cfr. quanto chiarito al precedente punto 1). Inoltre, tenuto conto dello squilibrio del rapporto tra titolare e interessato nel particolare contesto lavorativo, il consenso dei dipendenti non può costituire un valido presupposto di liceità (cfr. considerando 43 del Regolamento). Sulla base dello stato della regolazione attualmente in vigore e stante la libertà di scelta da parte delle persone in ambito vaccinale (1)  non è peraltro consentito far derivare alcuna conseguenza, né positiva né negativa, in ragione della libera scelta del lavoratore in ordine all’adesione o meno alla campagna vaccinale (2).

3.Raccolta delle adesioni e prenotazione delle dosi. Tenuto conto che, in base alla specifica disciplina di riferimento, l’informazione relativa all’adesione volontaria da parte della lavoratrice e del lavoratore deve essere trattata solo dal professionista sanitario opportunamente individuato – “che potrà valutare preliminarmente specifiche condizioni di salute, nel rispetto della privacy, che indirizzino la vaccinazione in contesti sanitari specifici della Azienda Sanitaria di riferimento, che ne assicura la necessaria presa in carico” (cfr. p. 5 “Indicazioni ad interim”) nonché ai fini dell’individuazione del numero delle dosi e della tipologia di siero/vaccino -, il datore di lavoro, all’atto della presentazione del piano vaccinale aziendale all’ASL territorialmente competente, dovrà limitarsi, sulla base delle indicazioni fornite dal professionista sanitario, a indicare esclusivamente il numero complessivo dei vaccini necessari per la realizzazione dell’iniziativa (cfr. punto 5 protocollo cit. che menziona la necessaria “programmazione dell’attività di distribuzione”). Nel piano, elaborato con il supporto del professionista sanitario e presentato dal datore di lavoro, non dovranno essere presenti elementi in grado di rivelare l’identità dei lavoratori aderenti all’iniziativa. Il professionista sanitario (o la struttura sanitaria di riferimento), una volta che siano state raccolte le adesioni, procederà a pianificare le sedute vaccinali, adottando, nel trattamento dei dati, delle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio (art. 32 del Regolamento), potendo a tal fine avvalersi del supporto, anche economico, del datore di lavoro (punto 8 protocollo cit.). Nei casi in cui, al fine di raccogliere le informazioni in merito all’adesione dei dipendenti al servizio vaccinale presso l’azienda, vengano utilizzati strumenti (ad es. applicativi informatici) del datore di lavoro, nel rispetto del principio di responsabilizzazione, dovranno essere adottate le misure tecniche e organizzative affinché il trattamento sia conforme alla normativa di settore (cfr. artt. 24 e 25 del Regolamento), garantendo, ad esempio, che i dati personali relativi alle adesioni e all’anamnesi dei dipendenti non entrino, neanche accidentalmente, nella disponibilità del personale preposto agli uffici, o analoghe funzioni aziendali, che svolgono compiti datoriali (es. risorse umane, uffici disciplinari) e in generale a uffici o altro personale che trattano i dati dei dipendenti per finalità di gestione del rapporto di lavoro (sul punto si veda par. 8 del documento “Protezione dei dati: il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale”, cit.). Nei casi in cui il datore di lavoro ricorra a strutture sanitarie private ovvero, in assenza del medico competente, alle strutture territoriali dell’Inail, lo stesso adotterà iniziative per consentire ai dipendenti, qualora intendano aderire all’iniziativa, di rivolgersi direttamente alle predette strutture.

4.Pianificazione delle vaccinazioni. Tenuto conto della necessità di assicurare il regolare ed efficiente svolgimento dell’attività lavorativa alla luce delle concrete caratteristiche – dimensionali e organizzative – di ciascuna realtà produttiva, il datore di lavoro, attraverso le competenti funzioni interne, potrà fornire al professionista sanitario indicazioni e criteri in ordine alle modalità di programmazione delle sedute vaccinali, senza però trattare dati personali relativi alle adesioni di lavoratrici e lavoratori identificati o identificabili. Tenendo conto, ove possibile, delle indicazioni fornite, il professionista sanitario potrà elaborare il calendario delle sedute vaccinali, anche alla luce del numero e della tipologia dei vaccini resi disponibili dalla struttura sanitaria pubblica e nel rispetto delle “indicazioni tecniche e delle buone pratiche relative a conservazione, preparazione e somministrazione del vaccino” (pp. 5 e 6 “Indicazioni ad interim”).

5.Somministrazione e registrazione del vaccino.  La somministrazione del vaccino “è riservata ad operatori sanitari in grado di garantire il pieno rispetto delle prescrizioni sanitarie adottate per tale finalità e in possesso di adeguata formazione per la vaccinazione anti SARS-CoV-2/Covid-19” (punto 9 protocollo cit.) e deve essere effettuata all’interno dei locali, individuati dal datore di lavoratore nel rispetto dei requisiti indicati nelle “Indicazioni ad interim” (p. 4), con la supervisione dell’autorità sanitaria competente. In ogni caso gli ambienti selezionati per la somministrazione del vaccino dovranno avere caratteristiche tali da evitare per quanto possibile di conoscere, da parte di colleghi o di terzi, l’identità dei dipendenti che hanno scelto di aderire alla campagna vaccinale. Per quanto possibile nei luoghi prescelti dovrebbero essere adottate misure volte garantire la riservatezza e la dignità del lavoratore, anche nella fase immediatamente successiva alla vaccinazione, prevenendo l’ingiustificata circolazione di informazioni nel contesto lavorativo o comportamenti ispirati a mera curiosità. Il datore di lavoro potrà altresì fornire il proprio supporto mettendo a disposizione strumenti informatici per consentire, al personale sanitario addetto alle vaccinazioni, di accedere, con le proprie credenziali, ai sistemi informativi predisposti per la registrazione delle somministrazioni dei vaccini, in conformità a quanto previsto dalle disposizioni di attuazione del piano strategico nazionale vaccini (cfr. pp.4 e 5 “Istruzioni ad interim”)

6.Giustificazione delle assenze. Come stabilito dai citati documenti, quando la vaccinazione viene eseguita durante il servizio, il tempo necessario alla medesima è equiparato a tutti gli effetti all’orario di lavoro (cfr. punto 15 protocollo cit.). In tal caso si potrà quindi procedere alla giustificazione dell’assenza, ove richiesto, con le modalità ordinarie stabilite nei contratti collettivi nazionali applicabili, ovvero mediante rilascio da parte del soggetto che somministra la vaccinazione all’interessato di un’attestazione di prestazione sanitaria indicata in termini generici. Resta salvo che ove dall’attestazione prodotta dal dipendente sia possibile risalire al tipo di prestazione sanitaria da questo ricevuta, il datore di lavoro, salva la conservazione del documento in base agli obblighi di legge, dovrà astenersi dall’utilizzare tali informazioni per altre finalità nel rispetto dei principi di protezione dei dati (v. tra gli altri, il principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b), del Regolamento) e non potrà chiedere al dipendente conferma dell’avvenuta vaccinazione o chiedere l’esibizione del certificato vaccinale (cfr. FAQ del Garante Privacy n. 1 sezione “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”).

Note

(1) Fatta eccezione per quanto previsto con riguardo alla vaccinazione dal personale sanitario, quale requisito essenziale per l’esercizio della professione, dall’art. 4 del d.l. 1° aprile 2021, n. 44 (Misure urgenti per il contenimento dell’epidemia da COVID-19, in materia di vaccinazioni anti SARS-CoV-2, di giustizia e di concorsi pubblici. GU Serie Generale n.79 del 01-04-2021).

(2) Cfr., Corte di Giustizia, Grande Sezione, sentenza 11 settembre 2018, in causa C-68/17: “il principio della parità di trattamento in materia di occupazione e di condizioni di lavoro [..] trova la sua fonte in diversi atti internazionali e nelle tradizioni costituzionali comuni agli Stati membri, ma ha il solo obiettivo di stabilire, in queste stesse materie, un quadro generale per la lotta alle discriminazioni fondate su diversi motivi, tra i quali la religione o le convinzioni personali”; v. le specifiche disposizioni nazionali che vietano al datore di lavoro trattare dati “non pertinenti” e “non attinenti alla valutazione dell’attitudine professionale del lavoratore” , art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276, fatte salve dall’art.113 del Codice.