Source: https://www.giustiziainsieme.it/it/diritto-dell-emergenza-covid-19/935-privacy-e-lavoro-nello-scenario-dell-emergenza-da-covid-19
Timestamp: 2020-06-07 03:25:50+00:00
Document Index: 138402792

Matched Legal Cases: ['art 9', 'art. 14', 'art. 13', 'art. 5', 'art. 15', 'art. 14']

​Privacy e lavoro nello scenario dell’emergenza da Covid-19 - Giustizia Insieme
​Privacy e lavoro nello scenario dell’emergenza da Covid-19
Scritto da Caterina Del Federico
di Caterina Del Federico*
Nell’odierno scenario emergenziale non si sta perdendo occasione per mettere la privacy - argomento di grande successo negli ultimi anni - al centro del dibattito. Ciò con riferimento ai più svariati aspetti: alle tecnologie utilizzate per tracciare gli spostamenti dei cittadini[2], all’utilizzo dei big data e dell’intelligenza artificiale quale strumento di ausilio al contrasto del virus[3], ancora, con riferimento al trattamento dei dati personali dei lavoratori[4].
Si cerca di testare l’adeguatezza del tessuto normativo italiano con riguardo a tale ultimo aspetto. Va sottolineato che il trattamento dei dati personali riguardanti informazioni legate al Covid-19 non ha ad oggetto “semplici” dati personali, ma dati “sensibili” in quanto riguardanti la salute dei cittadini, che rientrano nell’ambito dell’art 9 GDPR, rubricato “Categorie particolari di dati”[5].
1. Le previsioni del DL 9 marzo 2020 in materia di trattamento dei dati personali
Sul tema va senza dubbio richiamato il Decreto Legge n. 14 del 9 marzo 2020[6], che dedica l’art. 14, rubricato “Disposizioni sul trattamento dei dati personali nel contesto emergenziale”, a questo specifico profilo.
È interessante notare che l’ultimo comma del Decreto prevede che al termine dello stato di emergenza “i soggetti di cui al comma 1 debbano adottare misure idonee al fine di ricondurre i trattamenti di dati personali, effettuati nel contesto dell’emergenza, all’ambito delle ordinarie competenze e delle regole che disciplinano i trattamenti dei dati personali”[7]. Le deroghe, dunque, hanno durata limitata all’emergenza.
2. Lo specifico problema del trattamento dei dati personali dei lavoratori: il Protocollo condiviso e la conformità al Comunicato del Garante
Il Protocollo prevede che al momento dell’accesso i lavoratori potranno essere sottoposti in tempo reale al controllo della temperatura corporea[8]. Come specificato in nota al Protocollo, “la rilevanza della temperatura corporea costituisce un trattamento di dati personali e, pertanto, deve avvenire ai sensi della disciplina privacy vigente”. Viene dunque suggerita la modalità con cui svolgere l’operazione: il dato va registrato solo se ciò risulti necessario a documentare le ragioni che hanno impedito l’accesso ai locali aziendali.
In relazione ai tempi di conservazione dei dati, in conformità con l’art. 13, par. 2, lett. a) del GDPR, viene fatto esplicito riferimento al “termine dello stato di emergenza”[9]. A tal proposito, si ricorda che, nel rispetto del principio di finalità ex art. 5, par. 1, lett. b), del GDPR, i dati possono essere trattati esclusivamente per prevenzione dal contagio da Covid-19 e non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative.
Alla nota 2 del Protocollo, ancora, si specifica che qualora si richieda il rilascio di una dichiarazione attestante la non provenienza dalle zone a rischio epidemologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al Covid-19, va prestata attenzione alla disciplina sul trattamento dei dati personali, poiché l’acquisizione della dichiarazione costituisce un trattamento di dati. A tal fine si applicano tutte le indicazioni sopra riportate[10].
Si torna, dunque, a ribadire quanto aveva già affermato il Garante per la protezione dei dati personali il 2 marzo ultimo scorso con un comunicato stampa in cui affermava il divieto per iniziative “fai da te” in relazione alla raccolta dei dati personali nell’emergenza Covid-19, richiamando il rispetto dei principi del GDPR e il carattere emergenziale del momento attuale[11].
3. La dichiarazione dello European Data Protection Board
A confermare quanto detto è intervenuto il 16 marzo lo European Data Protection Board (EDPB)[12], dichiarando con chiarezza: “le norme sulla protezione dei dati (come il GDPR) non ostacolano le misure nazionali adottate nella lotta contro la pandemia di coronavirus”.
Il documento richiama altresì l’art. 15 dell’e-privacy Directive[13], che permette agli Stati membri di introdurre misure legislative che limitano i diritti e gli obblighi di cui agli artt. 5 e 6 della stessa[14], se volte a garantire la salvaguardia della difesa, della sicurezza nazionale e di quella pubblica. Ebbene, certamente la tutela della salute pubblica rientra nell’accezione di sicurezza nazionale e, o, di pubblica sicurezza.
A corroborare quanto detto si richiamano, da ultimo, le parole del Presidente del Garante Antonello Soro in un’intervista con l’ANSA: “i diritti possono, in contesti emergenziali, subire limitazioni anche incisive, ma queste devono essere proporzionali alle esigenze specifiche e temporalmente limitate. La forza della democrazia è anche nella sua resilienza: nella sua capacità cioè di modulare le deroghe alle regole ordinarie, in ragione delle necessità, inscrivendole in un quadro di garanzie certe e senza cedere a improvvisazioni. Il limite dell'emergenza è insomma nel suo non essere autonoma fonte del diritto ma una circostanza che il diritto deve normare, pur con eccezioni e regole duttili, per distinguersi tanto dalla forza, quanto dall'arbitrio”[15].
Si tenga presente, in un simile scenario, che “il diritto alla salute, ormai unanimemente riconosciuto anche dal punto di vista sostanziale oltre che formale, è l’unico fondamentale, essendo evidente a chiunque che soltanto la sua tutela può consentire il godimento degli altri”[16].
[1] Si segnala che il presente contributo è stato pubblicato il giorno 19 marzo 2020 sulla rivista online Ius in Itinere.
[2] A titolo esemplificativo, è quanto accade oggi in Israele. Sul punto si v. l’articolo del Sole 24 ore, nella rubrica “tecnologia e privacy” e intitolato Dall’antiterrorismo al coronavirus: così un’azienda israeliana traccia l’epidemia. L’articolo è stato visionato al link https://www.ilsole24ore.com/art/dall-antiterrorismo-coronavirus-cosi-un-azienda-israeliana-traccia-l-epidemia-ADFT74D in data 18.3.2020.
[3] È quanto successo in Cina nel periodo emergenziale, in sui tra le tante misure adottate si pensi a quella secondo cui sul posto di lavoro i dipendenti possono essere sottoposti a particolari controlli e a test sanitari in qualsiasi momento, oppure gli può essere richiesto di consegnare un travel verification report ovvero un registro degli spostamenti recenti da richiedere direttamente alla propria compagnia telefonica, che lo ricaverà dai dati GPS e WiFi e lo invierà al cliente per la presentazione in azienda. Si v., tra i tanti, In Coronavirus Fight, China Gives Citizens a Color Code, With Red Flag, in New York Times, visionato al link https://www.nytimes.com/2020/03/01/business/china-coronavirus-surveillance.html in data 18.3.2020.
[4] Da ultimo si v. il Protocollo emanato il 14 marzo 2020.
[5] Sul punto si v. lo specifico contributo di A. Cataleta, Categorie particolari di dati: le regole generali e i trattamenti specifici, in G. Finocchiaro (a cura di) La protezione dei dati personali in Italia: Regolamento UE n. 679/2016 e d.lgs. 10 agosto 2018, n. 101, Zanichelli, 2019.
[6] Si tratta del d.l. n. 14 del 9 marzo 2020, pubblicato in Gazzetta Ufficiale e vigente al 10 marzo 2020, recante Disposizioni urgenti per il potenziamento del Servizio sanitario nazionale in relazione all’emergenza Covid-19. Le sue disposizioni si applicano a soggetti pubblici e privati che operano nell’ambito del Sistema Sanitario Nazionale (SSN), fino al 3 aprile 2020.
[7] In tal senso l’ultimo comma dell’art. 14 d.l. 9 marzo cit.
[8] Punto 2 del Protocollo, rubricato “Modalità di ingresso in azienda”.
[9] Si v. la nota 1, punto 3 del Protocollo.
[10] Si v. la nota 1 del Protocollo.
[11] Il Comunicato stampa è consultabile sul sito del Garante al seguente link: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9282117.
[12] Statement of the EDPB Chair on the processing of personal data in context of the COVD-19 outbreak, consultabile sul sito ufficiale dello European Data Protection Board al link https://edpb.europa.eu/news/news/2020/statement-edpb-chair-processing-personal-data-context-covid-19-outbreak_it.
[13] Il riferimento è alla Direttiva 2002/58/CE del 12 luglio 2002, il cui testo è disponibile sulla Gazzetta ufficiale delle Comunità europee al seguente link: https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32002L0058&from=EN.
[14] Rispettivamente rubricati “Riservatezza delle comunicazioni” e “Dati sul traffico”.
[15] La dichiarazione del Presidente del Garante è consultabile sul sito ufficiale al seguente link: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9292565.
[16] G. Villanacci, Il diritto alla salute e il principio di precauzione, al link: https://www.corriere.it/opinioni/20_marzo_17/diritto-salute-824fdea6-687c-11ea-9725-c592292e4a85.shtml, visitato in data 18.3.2020.