Il Garante Privacy ha pubblicato un documento di indirizzo sulla vaccinazione nei luoghi di lavoro fornendo indicazioni generali per il trattamento dei dati personali.
In attesa di un assetto regolatorio definitivo, il Garante fornisce le seguenti principali indicazioni generali:
– l’accesso alla vaccinazione in azienda dovrà essere attuata nel rispetto della disciplina in materia di protezione dei dati (Regolamento (UE) 679/2016 e Codice in materia di protezione dei dati personali), delle norme emanate nel contesto dell’emergenza epidemiologica in corso, nonché delle disposizioni nazionali più specifiche e di maggior garanzia previste dall’ordinamento nazionale a tutela della dignità e della libertà dell’interessato sui luoghi di lavoro (art. 88 Regolamento e 113 Codice).
– deve essere sempre assicurato il rispetto del tradizionale riparto di competenze tra il medico competente e il datore di lavoro sempre richiamato dal Garante e da ultimo ribadito nell’ambito del documento denominato: Protezione dei dati: il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale. Tale documento, in linea di continuità con la posizione assunta dal Garante nel corso del tempo, individua proprio nella titolarità del trattamento dei dati, attribuita al medico dal quadro normativo di settore (es. d.lgs. 81/2008), il principale elemento di garanzia per gli interessati sui luoghi di lavoro.
– non è comunque consentito al datore di lavoro raccogliere, direttamente dagli interessati, tramite il medico compente, altri professionisti sanitari o strutture sanitarie, informazioni in merito a tutti gli aspetti relativi alla vaccinazione, ivi compresa l’intenzione o meno della lavoratrice e del lavoratore di aderire alla campagna, alla avvenuta somministrazione (o meno) del vaccino e ad altri dati relativi alle condizioni di salute del lavoratore (v. art. 9, par. 2, lett. b) e 88 Regolamento; art. 113 del Codice; d. lgs. n. 81/2008; Protocollo condiviso di aggiornamento delle misure per il contrasto e il contenimento della diffusione del virus SARSCoV-2/COVID-19 negli ambienti di lavoro del 6 aprile 2021; art. 5, l. 20.5.1970, n. 300; cfr. FAQ sul “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”, doc. web n. 9543615, spec. 1 e 2).
– non è peraltro consentito far derivare alcuna conseguenza, né positiva né negativa, in ragione della libera scelta del lavoratore in ordine all’adesione o meno alla campagna vaccinale (Corte di Giustizia, Grande Sezione, sentenza 11 settembre 2018, causa C-68/17: “il principio della parità di trattamento in materia di occupazione e di condizioni di lavoro [..] trova la sua fonte in diversi atti internazionali e nelle tradizioni costituzionali comuni agli Stati membri, ma ha il solo obiettivo di stabilire, in queste stesse materie, un quadro generale per la lotta alle discriminazioni fondate su diversi motivi, tra i quali la religione o le convinzioni personali”; v. le specifiche disposizioni nazionali che vietano al datore di lavoro trattare dati “non pertinenti” e “non attinenti alla valutazione dell’attitudine professionale del lavoratore” , art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276, fatte salve dall’art.113 del Codice)
Per quanto concerne le singole fasi della vaccinazione in azienda, il Garante precisa:
– Raccolta delle adesioni e prenotazione delle dosi
Il datore di lavoro, all’atto della presentazione del piano vaccinale aziendale all’ASL territorialmente competente, dovrà limitarsi, sulla base delle indicazioni fornite dal professionista sanitario, a indicare esclusivamente il numero complessivo dei vaccini necessari per la realizzazione dell’iniziativa e non dovranno essere presenti elementi in grado di rivelare l’identità dei lavoratori aderenti all’iniziativa.
Nei casi in cui, al fine di raccogliere le informazioni in merito all’adesione dei dipendenti al servizio vaccinale presso l’azienda, vengano utilizzati strumenti (ad es. applicativi informatici) del datore di lavoro, nel rispetto del principio di responsabilizzazione, dovranno essere adottate le misure tecniche e organizzative affinché il trattamento sia conforme alla normativa di settore (cfr. artt. 24 e 25 del Regolamento), garantendo, ad esempio, che i dati personali relativi alle adesioni e all’anamnesi dei dipendenti non entrino, neanche accidentalmente, nella disponibilità del personale preposto agli uffici, o analoghe funzioni aziendali, che svolgono compiti datoriali (es. risorse umane, uffici disciplinari) e in generale a uffici o altro personale che trattano i dati dei dipendenti per finalità di gestione del rapporto di lavoro.
– Pianificazione delle vaccinazioni
Il datore di lavoro, attraverso le competenti funzioni interne, potrà fornire al professionista sanitario indicazioni e criteri in ordine alle modalità di programmazione delle sedute vaccinali, senza però trattare dati personali relativi alle adesioni di lavoratrici e lavoratori identificati o identificabili. Il professionista sanitario, tenendo conto, ove possibile, delle indicazioni fornite, potrà elaborare il calendario delle sedute vaccinali, anche alla luce del numero e della tipologia dei vaccini resi disponibili dalla struttura sanitaria pubblica.
– Somministrazione e registrazione del vaccino
Gli ambienti selezionati per la somministrazione del vaccino dovranno avere caratteristiche tali da evitare per quanto possibile di conoscere, da parte di colleghi o di terzi, l’identità dei dipendenti che hanno scelto di aderire alla campagna vaccinale. Per quanto possibile nei luoghi prescelti dovrebbero essere adottate misure volte garantire la riservatezza e la dignità del lavoratore, anche nella fase immediatamente successiva alla vaccinazione, prevenendo l’ingiustificata circolazione di informazioni nel contesto lavorativo o comportamenti ispirati a mera curiosità.
– Giustificazione delle assenze
Quando la vaccinazione viene eseguita durante il servizio, il tempo necessario alla medesima è equiparato a tutti gli effetti all’orario di lavoro. In tal caso si potrà quindi procedere alla giustificazione dell’assenza, ove richiesto, con le modalità ordinarie stabilite nei contratti collettivi nazionali applicabili, ovvero mediante rilascio da parte del soggetto che somministra la vaccinazione all’interessato di un’attestazione di prestazione sanitaria indicata in termini generici.
Resta salvo che ove dall’attestazione prodotta dal dipendente sia possibile risalire al tipo di prestazione sanitaria da questo ricevuta, il datore di lavoro, salva la conservazione del documento in base agli obblighi di legge, dovrà astenersi dall’utilizzare tali informazioni per altre finalità nel rispetto dei principi di protezione dei dati (v. tra gli altri, il principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b), del Regolamento) e non potrà chiedere al dipendente conferma dell’avvenuta vaccinazione o chiedere l’esibizione del certificato vaccinale (cfr. FAQ del Garante Privacy n. 1 sezione “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”).