[resaula]

Tale diritto nazionale deve rispettare il diritto dell'Unione in materia di protezione dei dati e dei principi di effettività, necessità e proporzionalità. Al riguardo, il decreto da convertire oggi risulta obiettivamente carente per quanto concerne i principi di proporzionalità e efficacia. La misura, che nasce a protezione dei lavoratori e a prevenzione della diffusione del contagio, non opera di fatto una differenziazione in base al rischio specifico di contagio a cui un lavoratore è soggetto e, per conseguenza, non appare proporzionata una disposizione che ponga sullo stesso piano soggetti a stesso rischio, lavoratori i cui compiti implichino inevitabilmente contatti stretti con altre persone e quelli che - a titolo di esempio - lavorano all'aperto in strutture così ampie, come ad esempio i capannoni, dove il distanziamento è insito nella organizzazione aziendale, ovvero individualmente in uffici senza contatti con il pubblico. Differenziare le misure per categorie di rischio non è soltanto regola di buonsenso e conformità con il principio unionale di proporzionalità, ma risulta altresì indispensabile per consentire di decongestionare il carico di lavoro di farmacie e punti tampone attualmente oberati di tali incombenze in misura tale da creare un'obiettiva difficoltà per gli utenti che necessitino di fornire prova dell'esame diagnostico ogni due giorni. Per quanto concerne l'efficacia della misura, consentire la possibilità di controllo a campione ne fa venire evidentemente meno lo scopo sanitario, visto che i lavoratori che sanno di non essere soggetti a verifica al momento dell'ingresso potrebbero benissimo entrare accettando il rischio di una sanzione pur essendo sprovvisti del certificato Covid. Se obiettivo della misura sanitaria è quello di prevenire la diffusione del contagio, il controllo a campione non soddisfa il criterio dell'efficacia e se si aggiunge che tra i lavoratori in possesso del certificato Covid vi sono soggetti vaccinati non testati nelle ultime quarantotto ore, il rischio contagio tende ancora più ad aumentare, tenuto conto che è ormai acquisito al patrimonio conoscitivo il principio - fatto proprio anche dal Consiglio d'Europa nel paragrafo 8 della risoluzione 2383/21 - secondo cui il soggetto vaccinato (in quanto potenzialmente infettivo) non può andare esente dall'onere di esibire un recente test di negatività al virus SARS-CoV-2. Questo adempimento consentirebbe altresì il pieno rispetto della direttiva UE 54/2000 sulla protezione dei lavoratori dagli agenti biologici, tra i quali dal 2020 è incluso il predetto virus. La nota della Commissione europea si sofferma poi sugli aspetti relativi alla protezione dei dati personali, esplicitando come la normativa nazionale non possa estendere il diritto di richiedere l'esibizione della certificazione Covid a soggetti diversi da quelli individuati dall'ultimo capoverso dell'articolo 10 del regolamento UE 953/2021 (soggetti autorizzati, in ambito "domestico", ai controlli in materia sanitaria sono, ad esempio, i reparti NAS dei Carabinieri e non certo i soggetti privati quali i datori di lavoro). Nella citata nota è scritto che la normativa interna deve essere conforme al diritto dell'Unione in materia di protezione dei dati e non esclusivamente al GDPR. Pertanto l'articolo 10, comma 3 del regolamento (UE) 953/2021, quale disposizione del diritto unionale in materia di protezione dei dati personali, va senz'altro ricompreso tra le norme poste a presidio della privacy , il cui rispetto - come chiarito dalla Commissione - è condizione necessaria per consentire usi domestici dei certificati Covid. Altro profilo di criticità, già evidenziato in sede di conversione del decreto-legge n. 111 del 2021, era quello inerente alla piattaforma software per il controllo dei certificati Covid in uso presso le scuole, ove l'utilizzo dei codici fiscali per verificare il possesso di un certificato valido ha consentito ai dirigenti di desumere implicitamente informazioni che il regolamento UE 953/2021 impedisce di condividere, in particolare quelle concernenti lo stato di vaccinazione. Analogo rischio si pone con l'estensione di tale modalità di controllo in tutti gli ambiti lavorativi, anche perché la piattaforma verifica lo stato di validità del certificato dei lavoratori attraverso il loro codice fiscale ed è pertanto inverosimile che tale processo non finisca per raccogliere e conservare dati, pratica che il predetto regolamento dell'Unione europea vieta. Al riguardo, sembra invece che sia stato costituito presso Sogei un vero e proprio archivio dei dati relativi a vaccinazione, guarigione ed esito test, come confermato da Beppe Grillo in una recente intervista su «il Fatto Quotidiano». Si spera che all'Assemblea non sfugga come le affermazioni rese lascino aperti interrogativi non da poco, quali il collegamento dei server della predetta piattaforma, chi li gestisca e a quali informazioni tali soggetti avrebbero accesso. Si tratta di dubbi che dovrebbero senz'altro venire dissipati prima di consentire l'ingresso della previsione normativa nell'ordinamento nazionale, visti i contrasti con la normativa europea che autorizza esclusivamente le applicazioni operanti in modalità di sola lettura del QR code. Al riguardo, anche l'utilizzo dell'applicazione C19 determina criticità nel momento in cui acquisisce il QR code sia perché i dati possono essere agevolmente oggetto di captazione da parte dell'operatore con, ad esempio, screenshot e lettura con App estere che accedono a tutto il dataset del codice QR, sia perché - si apprende - è necessaria la connessione alla Rete per verificare l'autenticità del code . Ciò implica inevitabilmente uno scambio dati con un server remoto e una banca dati. Questa pratica si appalesa essere in violazione dell'ultimo capoverso dell'articolo 10, comma 3, del regolamento UE 953/2021, ove previsto che: «I dati personali consultati a norma del presente paragrafo non sono conservati». Del resto, che la verifica dell'autenticità dei certificati non debba richiedere l'accesso remoto a un server è espressamente previsto dall'articolo 3, comma 2, del predetto regolamento, che così dispone: «Tali certificati sono di facile utilizzo e contengono un codice a barre interoperabile che consente di verificarne l'autenticità, la validità e l'integrità». Pertanto, l'autenticità del certificato è insita nel codice QR e non necessita di essere verificata on line interrogando un database remoto. In tale eventualità occorrerebbe la prestazione di consenso al dataset da parte dell'interessato. Come anticipato dalla lettera della Direzione giustizia della Commissione europea si evince che l'uso domestico dei certificati Covid è consentito esclusivamente se conformi alle norme a presidio della protezione dei dati personali e non qualora si sia verificata una violazione di quest'ultima o alla violazione non sia possibile più porre rimedio (come è accaduto: i dirigenti scolastici ormai a conoscenza di quali dipendenti sono vaccinati e quali no, i dati dei QR code sono conservati presso database contenuti in server non esattamente localizzati, la loro lettura consentita con App freeware disponibili on-line che estraggono l'intero dataset delle informazioni in essi contenuti, l'utilizzo delle certificazioni Covid in modalità non conformi ai regolamenti UE 679/16 e 953/21, articolo 10, comma 3, deve essere immediatamente interrotto, impedendo che possano proseguire in ambito lavorativo verifiche affette e caratterizzate da un tal grado di illegalità.