Con il diffondersi in Europa del virus SARS-CoV-2 (\u201cCoronavirus\u201d), non sono mancati gli interventi delle autorit\u00e0 di controllo europee volti a fornire indicazioni e chiarimenti sui limiti della raccolta, della condivisione e dell’uso dei dati personali relativi alla salute dei cittadini in relazione alle misure adottate dai governi nazionali per gestire l’emergenza sanitaria.<\/p>\n\n\n\n
Il Regolamento UE 2016\/679 (\u201cGDPR\u201d) contiene plurimi riferimenti al trattamento dei dati personali degli interessati quando \u2013 come sta avvenendo per il contenimento della diffusione del Coronavirus \u2013 sono in gioco interessi vitali delle persone o sono coinvolti rilevanti motivi di interesse pubblico. Il Considerando 46 del GDPR si riferisce esplicitamente alla liceit\u00e0 di alcuni trattamenti \u201cnecessari per tenere sotto controllo l’evoluzione di epidemie\u201d.<\/p>\n\n\n\n
Si osserva come, nel contesto di un’epidemia, la liceit\u00e0 del trattamento dei c.d. dati particolari, tra i quali rientrano quelli relativi alla salute, \u00e8 prevista altres\u00ec dal Considerando 52 del GDPR. Tale previsione prevede la possibilit\u00e0 di derogare al generale divieto di trattamento dei dati personali particolari, qualora il trattamento sia previsto dal diritto dell’Unione o degli Stati membri \u201cper finalit\u00e0 di sicurezza sanitaria, controllo e allerta, prevenzione o controllo di malattie trasmissibili e altre minacce gravi alla salute\u201d.<\/p>\n\n\n\n
Inoltre, ulteriori previsioni relative alla liceit\u00e0 del trattamento dei dati personali in una situazione emergenziale, si rinvengono negli artt. 6 e 9 del GDPR. In particolare, l’art. 9, para. 2, lett. i) del GDPR prevede la liceit\u00e0 del trattamento di dati personali particolari quando sia \u201cnecessario per motivi di interesse pubblico nel settore della sanit\u00e0 pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero [\u2026]\u201d e previsto dal diritto dell’Unione o dalla normativa nazionale.<\/p>\n\n\n\n
In questo contesto normativo, le autorit\u00e0 di controllo europee hanno chiarito come contemperare l’esigenza di gestione dell’emergenza sanitaria in atto con quella afferente alla salvaguardia della riservatezza degli interessati.<\/p>\n\n\n\n
Tratto comune alle indicazioni fornite dalle autorit\u00e0 garanti europee si rinviene, in primo luogo, nel rilievo che la normativa applicabile in materia di protezione dei dati personali non costituisce un ostacolo alla tutela della salute pubblica. Inoltre, nell’invito rivolto ai titolari del trattamento, pubblici e privati, al rispetto dei principi di cui all’art 5 del GDPR attenendosi alle specifiche indicazioni fornite dalle autorit\u00e0 competenti.<\/p>\n\n\n\n
Infine particolare attenzione, anche in considerazione della moltitudine di quesiti ricevuti dalle autorit\u00e0 di controllo, \u00e8 stata data al trattamento dei dati personali particolari nell’ambito del rapporto lavorativo in ottemperanza alle prescrizioni del GDPR e della normativa nazionale in materia di igiene, salute e sicurezza.<\/p>\n\n\n\n
In particolare, il Garante per la Protezione dei Dati Personali (il \u201cGarante<\/strong>\u201d), con nota del 2 marzo 2020, ha chiarito che i datori di lavoro \u201cdevono astenersi dal raccogliere, a priori e in modo sistematico e generalizzato [\u2026] informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti pi\u00f9 stretti o comunque rientranti nella sfera extra lavorativa\u201d. Al fine di prevenire la diffusione del Coronavirus, la raccolta delle informazioni relative ai sintomi manifestati dai cittadini e agli spostamenti di quest’ultimi spetta alle competenti autorit\u00e0 sanitarie.<\/p>\n\n\n\n Il Garante ricorda tuttavia che il lavoratore \u00e8 obbligato a segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro. A tal fine il Garante ha suggerito ai datori di lavoro di predisporre canali dedicati per la comunicazione da parte dei dipendenti.<\/p>\n\n\n\n Con l’art. 14 del decreto legge n. 14\/2020, in vigore dal 10 marzo 2020, sono state dettate previsioni ad hoc<\/em> per il trattamento dei dati personali nel corrente contesto emergenziale al fine di facilitare la raccolta e la comunicazione dei dati personali dei cittadini, tra le autorit\u00e0 competenti nonch\u00e9 di assicurare la diagnosi e l’assistenza sanitaria dei contagiati, fatto salvo il rispetto dei principi generali di cui all’art. 5 del GDPR.<\/p>\n\n\n\n L’Irish Data Protection Commissioner<\/strong> (\u201cIDPC<\/strong>\u201d), in data 6 marzo 2020, ha osservato come la legge sulla protezione dei dati personali non ponga ostacoli per la fornitura di servizi di assistenza sanitaria e per la gestione di questioni di pubblica sicurezza ricordando che le misure adottate per la gestione del Coronavirus, che comportano il trattamento di dati personali, devono essere necessarie e proporzionate oltre che basate sulle indicazioni fornite dalle pubbliche autorit\u00e0 competenti.<\/p>\n\n\n\n L’autorit\u00e0 di controllo irlandese pone particolare attenzione ai principi di (i) trasparenza delle misure adottate nel contesto emergenziale, (ii) riservatezza nella gestione di eventuali contagi nel contesto aziendale, (iii) minimizzazione dei dati personali trattati in attuazione delle misure implementate per impedire la diffusione del Coronavirus, (iv) responsabilizzazione del titolare che deve documentare qualsiasi processo decisionale relativo alle misure attuate per la gestione del Coronavirus.<\/p>\n\n\n\n L’IDPC, con specifico riferimento ai rapporti di lavoro, ritiene giustificata la richiesta del datore di lavoro a dipendenti e visitatori di essere informato qualora quest’ultimi abbiano visitato un’area colpita dall’epidemia ovvero presentino i sintomi del Coronavirus. \u00c8 importante tenere presente che la registrazione di qualsiasi informazione sanitaria deve essere giustificata e deve essere limitata a quanto necessario per consentire al datore di lavoro di ottemperare agli obblighi vigenti in materia di salute e sicurezza sul lavoro.<\/p>\n\n\n\n La Commission Nationale de l’Informatique et des Libert\u00e9s<\/strong> (\u201cCNIL<\/strong>\u201d), in data 6 marzo 2020, si \u00e8 espressa sulle operazioni di trattamento che il datore di lavoro pu\u00f2 o non pu\u00f2 effettuare con riferimento ai dati personali relativi alla salute dei lavoratori nel rispetto delle misure adottate dalle autorit\u00e0 competenti per la gestione del Coronavirus.<\/p>\n\n\n\n Il CNIL, in linea con le indicazioni fornite dalle altre autorit\u00e0 di controllo europee, ha specificato che \u201ci datori di lavoro devono astenersi dal raccogliere in modo sistematico e generalizzato, o attraverso richieste individuali, informazioni relative alla ricerca di possibili sintomi manifestati da un dipendente e dai suoi parenti\u201d.<\/p>\n\n\n\n Il CNIL ha inoltre suggerito una serie di attivit\u00e0 che i datori di lavoro possono effettuare nel trattare i dati personali relativi alla salute dei propri dipendenti tra cui quella di (i) formare il personale per rivolgersi individualmente al datore o alle autorit\u00e0 competenti in caso di possibile esposizione al virus, (ii) predisporre i canali di comunicazione dedicati per le predette informazioni e (iii) promuovere il lavoro a distanza.<\/p>\n\n\n\n In caso di segnalazione del lavoratore di sospetta esposizione con il virus, il datore di lavoro pu\u00f2 registrare e comunicare all’autorit\u00e0 sanitaria competente l’identit\u00e0 della persona che si teme sia stata esposta al contagio, la data dell’evento e le misure organizzative adottate dal datore.<\/p>\n\n\n\n Resta fermo l’obbligo dei dipendenti, ai sensi della normativa nazionale applicabile, di preservare con tutti i mezzi possibili la salute e la sicurezza degli altri e di s\u00e9 stessi, il che significa che essi \u201cdevono informare il loro datore di lavoro in caso di sospetto contagio\u201d.<\/p>\n\n\n\n L’Information Commissioner’s Office<\/strong> (\u201cICO<\/strong>\u201d), in data 12 marzo 2020, ha condiviso tramite il proprio sito web istituzionale alcune indicazioni sul trattamento dei dati personali in relazione alla gestione del Coronavirus.<\/p>\n\n\n\n I chiarimenti resi dall’ICO si sono focalizzati sulla gestione dei rapporti lavorativi. Infatti l’ICO, ha posto l’attenzione sulla necessaria adozione di misure di sicurezza adeguate per la modalit\u00e0 di lavoro a distanza e sulle necessit\u00e0 di tutelare la riservatezza del personale nella gestione di eventuali contagi nella realt\u00e0 aziendale. Particolare attenzione \u00e8 stata posta al principio di minimizzazione, ex art. 5 del GDPR, con riferimento alla raccolta dei dati personali relativi alla salute del personale e di eventuali visitatori ed \u00e8 stato ritenuto lecito chiedere a quest’ultimi se abbiano visitato un’area colpita dall’epidemia ovvero se presentino sintomi del Coronavirus.<\/p>\n\n\n\n L’ICO ha infine osservato che la normativa applicabile in materia non impedisce alle organizzazioni sanitarie di contattare i cittadini per trasmettere informazioni relative alla tutela della salute pubblica, n\u00e9 agli enti pubblici di condividere dati personali relativi alla salute dei cittadini e nemmeno al datore di lavoro di comunicare alle autorit\u00e0 sanitarie i dati personali relativi alla salute dei lavoratori.<\/p>\n\n\n\n L’Agencia Espa\u00f1ola de Protecci\u00f3n de Datos<\/strong> (\u201cAEPD<\/strong>\u201d), in data 12 marzo 2020, ha pubblicato quella che risulta essere \u2013 ad oggi \u2013 la guida pi\u00f9 completa in relazione al trattamento dei dati personali relativi alla salute nella gestione di un’emergenza sanitaria.<\/p>\n\n\n\n L’AEPD analizza gli artt. 6 e 9 del GDPR quali condizioni di liceit\u00e0 del trattamento dei dati personali in una situazione di emergenza ritenendo, nello specifico, che tali disposizioni autorizzino il trattamento necessario per la salvaguardia degli interessi vitali sia dell’interessato che di altra persona fisica (tutte quelle persone suscettibili di essere contagiate nella propagazione di un’epidemia).<\/p>\n\n\n\n L’AEPD prosegue osservando come per il trattamento dei dati personali relativi alla salute debba sussistere una delle condizioni di cui all’art. 9, paragrafo 2 del GDPR sulla base di quanto disposto dal diritto dell’Unione o degli Stati membri.<\/p>\n\n\n\n Qualora si concretizzi uno dei casi previsti dall’art. 9, paragrafo 2 del GDPR, il GDPR riconosce ampia libert\u00e0 al titolare che effettui il trattamento dei dati al fine di salvaguardare gli interessi vitali degli interessati, dei terzi nonch\u00e9 l’interesse alla salute pubblica.<\/p>\n\n\n\n Tale trattamento, in una situazione di emergenza sanitaria, dovr\u00e0 avvenire nei limiti e nel rispetto delle indicazioni rese dalle autorit\u00e0 nazionali competenti, che l’AEPD individua nelle autorit\u00e0 sanitarie pubbliche. A tal fine, il titolare del trattamento deve adottare tutte le decisioni necessarie per salvaguardare gli interessi vitali in gioco, gli interessi essenziali nel campo della sanit\u00e0 pubblica e per rispettare gli obblighi di legge.<\/p>\n\n\n\n In conclusione, dalla disamina dei chiarimenti resi dalle autorit\u00e0 dei diversi Stati membri, emerge il generale riconoscimento della liceit\u00e0 del trattamento dei dati personali relativi alla salute con modalit\u00e0 pi\u00f9 ampie e flessibili rispetto a quanto generalmente riconosciuto e concesso ai titolari del trattamento dei dati; purch\u00e9 tale trattamento, avvenga nel rispetto dei principi di cui all’art. 5 del GDPR.<\/p>\n\n\n\n E ci\u00f2 in quanto, anche in un contesto emergenziale, le norme sulla protezione dei dati personali sono finalizzate a salvaguardare un diritto fondamentale e pertanto devono trovare applicazione nella loro interezza.<\/p>\n\n\n\n D’altro canto la lettera stessa del GDPR individua quali siano le garanzie e le regole per effettuare lecitamente il trattamento dei dati personali in situazioni eccezionali, come quella attuale. Pertanto le disposizioni del GDPR non devono e non possono essere utilizzate per ostacolare o limitare l’efficacia delle misure adottate dalle autorit\u00e0 sanitarie competenti.<\/p>\n\n\n\n Resta infine inteso, come confermato dai chiarimenti esaminati, che il trattamento di dati personali in questa particolare situazione dovr\u00e0 comunque essere limitato esclusivamente al contenimento dell’epidemia senza che con l’occasione i dati personali vengano raccolti e trattati per ulteriori finalit\u00e0.<\/p>\n","protected":false},"excerpt":{"rendered":" Con il diffondersi in Europa del virus SARS-CoV-2 (\u201cCoronavirus\u201d), non sono mancati gli interventi delle autorit\u00e0 di controllo europee volti a fornire indicazioni e chiarimenti sui limiti della raccolta, della condivisione e dell’uso dei dati personali relativi alla salute dei cittadini in relazione alle misure adottate dai governi nazionali per gestire l’emergenza sanitaria. Il Regolamento […]<\/p>\n","protected":false},"author":10,"featured_media":3846,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"none","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"both","_seopress_redirections_param":"","_seopress_redirections_type":301,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"iawp_total_views":2,"footnotes":""},"categories":[],"tags":[],"class_list":["post-1821","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1821","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/comments?post=1821"}],"version-history":[{"count":0,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1821\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media\/3846"}],"wp:attachment":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media?parent=1821"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/categories?post=1821"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/tags?post=1821"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}