Il diritto alla privacy ai tempi del coronavirus: come comportarsi

Stefano Bacchiocchi* 

L’ondata di conseguenze che l’epidemia da Covid-19 porta con sé non si limita al lato sanitario ed economico, ma coinvolge anche quello normativo.

I decreti che si susseguono, infatti, stanno comprimendo significativamente alcuni diritti fondamentali; i nostri studi ed i nostri clienti sono a rischio anche da questo punto di vista.

Ad esempio, sono stati compressi la libertà di circolazione, di soggiorno ed espatrio, di riunione, di esercizio dei culti religiosi, di insegnamento, di garanzia e obbligo di istruzione e di iniziativa economica.

Anche il diritto alla riservatezza, all’identità personale e alla protezione dei dati personali subiscono forti conseguenze.

Deve essere chiaro che, pur in un periodo di estrema emergenza, questi diritti possono essere in qualche modo limitati e/o compressi, ma mai abrogati.

Anche i datori di lavoro devono rendersi conto che il diritto alla privacy non è secondo agli altri diritti costituzionalmente garantiti: ci deve essere un bilanciamento con tutti gli interessi in gioco.

Esistono almeno due aspetti da considerare: quello delle misure “generali” per tutta la popolazione e quello, più circoscritto, delle misure pensate per le aziende e i lavoratori. Come conciliare quindi le esigenze legate all’emergenza COVID-19 con il diritto alla privacy?

Per quanto riguarda le misure “generali” per la popolazione, possiamo fare ben poco: in una situazione in continua evoluzione non è possibile conoscerne a priori né gli impatti né le tecnologie che verranno messe in campo. Possiamo però dare uno sguardo alle idee e proposte che sono state messe al vaglio in questi mesi, in modo da trarne un utile schema di comportamento.

Anche nel nostro Paese, infatti, si parla di istituire un monitoraggio tramite smartphone con l’utilizzo del GPS e delle celle dati: di fatto si tratta di un’applicazione che i cittadini potranno scaricare sul proprio “device” al fine di tracciarne gli spostamenti; come appare evidente, si tratta di una sorveglianza massiva, digitale e invasiva, ragion per cui si starebbe pensando di utilizzare la tecnologia su base volontaria.

Si parla anche della possibilità, già concreta, di organizzare un monitoraggio tramite richiesta di informazioni alle società che trattano big data (Google, ecc.): la richiesta di dati avviene tramite questionari che raccolgono gli spostamenti e le abitudini dei contagiati, attraverso domande puntuali; i dati sono qualitativamente più articolati, ma meno facili da ottenere e da elaborare.

Come si può notare, al di là della soluzione che verrà adottata, rimane la questione della privacy.

Sul punto, Antonello Soro (garante privacy) in un’intervista ad un quotidiano nazionale ha chiarito che non esistono «preclusioni assolute nei confronti di determinate misure in quanto tali», specificando che «vanno studiate molto attentamente  le modalità più opportune», valutando «benefici attesi e costi anche in termini di sacrifici delle nostre libertà».

Si ricorda che per il GDPR (nuovo regolamento europeo, alla base di ogni normativa privacy ora in vigore) l’uso di questi dati è ammesso nel rispetto di alcune condizioni.

Venendo agli studi professionali, è indubbio che i nostri clienti operanti in settori ed attività più esposte al rischio contagio saranno anche quelli più interessati da possibili problematiche legate alla privacy.

La Regione Lombardia, ad esempio, ha previsto la misurazione della temperatura corporea ai dipendenti: (testuale dal sito della Regione Lombardia) “Ai supermercati, alle farmacie, nei luoghi di lavoro, a partire dalle strutture sanitarie e ospedaliere nonché agli Enti e Amministrazioni pubbliche si raccomanda a cura del gestore/titolare di provvedere alla rilevazione della temperatura corporea”.

La rilevazione della temperatura corporea, unita agli altri dati identificativi, costituisce un trattamento di dati personali e, pertanto, ciò deve avvenire nel rispetto del Regolamento europeo in materia di protezione dei dati personali.

Si elenca qui di seguito l’iter da seguire per adempiere correttamente a questa procedura, ricorrendo anche ai protocolli istituzionali in essere:

• dopo la rilevazione della temperatura, non registrare il dato acquisito. Soltanto nell’eventualità in cui sia necessario documentare le ragioni che hanno impedito l’accesso ai locali aziendali, sarà possibile identificare l’interessato e registrare il superamento della soglia di temperatura;
• fornire l’informativa sul trattamento dei dati personali.

Quanto ai contenuti dell’informativa, il Protocollo specifica che:

• come finalità del trattamento, potrà essere indicata la prevenzione dal contagio;
• come base giuridica, potrà essere indicata l’implementazione dei protocolli di sicurezza anti-contagio;
• per i tempi dell’eventuale conservazione dei dati, si potrà fare riferimento al termine dello stato d’emergenza.

Come dovrebbe essere ovvio, tali dati non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative come ad esempio nel caso della richiesta da parte dell’Autorità sanitaria per la ricostruzione della filiera degli eventuali spostamenti e contatti di un lavoratore.

Si prevede, altresì, di definire le misure di sicurezza e organizzative volte a proteggere i dati ed in particolare, sotto il profilo organizzativo, occorre individuare i soggetti preposti al trattamento e fornire loro le istruzioni necessarie.

Si ricorda a tal proposito di raccogliere solo i dati strettamente necessari rispetto alla prevenzione del contagio.

Ad esempio:

• in caso di richieste relative ai contatti con persone risultate positive al virus, non si potrà avere accesso ad informazioni aggiuntive in merito alla persona risultata positiva;
• in caso di richieste di informazioni sulla provenienza da zone a rischio, non si potranno ottenere informazioni non necessarie in merito alle modificazioni ed alle caratteristiche dei luoghi.

Valgono poi tutte le ordinarie regole di sicurezza come pseudoniminizzazione, criptazione ecc.

Si consiglia inoltre di adottare un canale di comunicazione riservato e specifico in accordo con il medico del lavoro. I soggetti destinati a ricevere le predette informazioni dovranno essere sottoposti all’obbligo di riservatezza.

I datori di lavoro devono invece astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa.

La finalità di prevenzione dalla diffusione del Coronavirus deve infatti essere svolta da soggetti che esercitano queste funzioni in modo qualificato. In altre parole, la raccolta di informazioni relative ai sintomi ed agli spostamenti di ogni individuo spettano agli operatori sanitari, alla protezione civile e, più in generale, agli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.

È comunque valevole l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro.

È altresì opportuno che il datore di lavoro inviti i propri dipendenti a fare tali comunicazioni predisponendo canali dedicati. È compito del datore di lavoro comunicare agli organi preposti l’eventuale variazione del rischio biologico.

È poi importante che tutte le operazioni di implementazione siano condivise con il DPO aziendale, se nominato, e/o con i responsabili privacy che eventualmente sono coinvolti nel trattamento dei dati personali.

Trattandosi del trattamento di dati particolari (rilevanti lo stato di salute), si rende necessaria anche una DPIA (valutazione del rischio privacy), redatta da professionisti specializzati nella normativa privacy, da cui possano emergere eventuali criticità.

Tutte le attività che vengono attivate in questo periodo devono essere quindi proporzionate e limitate nel tempo; pertanto è auspicabile che vengano tempestivamente smantellate al termine del periodo di crisi.

* Odcec Brescia