Durante l’iter di conversione del DL 127/2021, che ha introdotto l’obbligo del possesso e dell’esibizione della certificazione verde ai fini dell’accesso ai luoghi in cui si svolge l’attività lavorativa nel settore privato, è stata inserita, all’art. 3, comma 5, una disposizione che consente ai lavoratori di richiedere di consegnare al proprio datore di lavoro copia della propria certificazione verde COVID-19 venendo conseguentemente esonerati dai relativi controlli da parte del datore di lavoro.
Subito dopo l’approvazione, in prima lettura del DDL di conversione, il Garante per la protezione dei dati personali ha inviato a Governo e Parlamento una segnalazione formale evidenziando le seguenti criticità:
- 1. l’impossibilità di rilevare l'eventuale condizione di positività sopravvenuta come conseguenza del venir meno dei controlli a seguito della consegna di copia del green pass al datore di lavoro;
- 2. il contrasto con il divieto di conservazione e raccolta dei dati personali relativi al certificato verde (Considerando 48 del Reg. UE 2021/953, art.13, comma 5, del DPCM 17 giugno 2021 e s.m.i.);
- 3. il fatto che il consenso implicito del lavoratore (volontaria consegna del certificato verde) non può ritenersi un valido presupposto di liceità del trattamento (Considerando 43 del Reg. UE 2018/679) qualora esista un evidente squilibrio tra l'interessato e il titolare del trattamento, come nel caso del rapporto lavorativo.
Da ultimo, il Garante ha sottolineato che “la conservazione dei certificati imporrebbe l'adozione, da parte datoriale, di misure tecniche e organizzative adeguate al grado di rischio connesso al trattamento, con un non trascurabile incremento degli oneri”.
Questo è l’aspetto sul quale è necessario che i datori di lavoro pongano attenzione per decidere se aderire o meno all’eventuale richiesta dei propri dipendenti di consegnare copia del green pass.
Ricordiamo anzitutto che la disposizione prevede unicamente la possibilità per i lavoratori di “richiedere di consegnare” il certificato verde, ma non la possibilità per il datore di lavoro di richiederne la consegna, né l'obbligo di accettare la richiesta.
Pertanto, le imprese hanno la possibilità di valutare l'opportunità o meno di dare attuazione alla disposizione citata, considerato che:
- non si può escludere che la disposizione appena approvata possa subire, a seguito delle indicazioni del Garante, delle modifiche;
- le imprese che intendano dare attuazione alla norma dovranno adottare “misure tecniche e organizzative” idonee ad assicurare “la integrità e riservatezza” dei dati contenuti nel certificato verde (art. 5 del Reg.UE 679/2021) e la corretta gestione dei certificati consegnati;
- l’eventuale attuazione della norma comporterà, inoltre, per il datore di lavoro un duplice impegno: da un lato, mantenere le attuali procedure di verifica per quei lavoratori che non volessero consegnare il certificato verde, dall'altro strutturarsi per rispondere alle esigenze di coloro i quali, invece, scelgano di consegnare il certificato.
Le imprese che dovessero optare per l’acquisizione di copia della certificazione, per rispettare la normativa vigente in materia di privacy, dovranno comunque:
- eseguire una valutazione d'impatto privacy (DPIA), poiché con il certificato verde acquisirebbero categorie particolari di dati;
- a valle della DPIA, adottare misure per mitigare i rischi;
- fornire adeguata informativa ai sensi dell’art. 13 del Reg.UE 679/2021;
- nominare il Delegato interno del trattamento;
- aggiornare il Registro delle attività di trattamento;
- aggiornare il Documento che descrive le modalità operative per l'organizzazione delle verifiche del certificato verde, redatto ai sensi del comma 5 dell’art.9-septies del D.L. 52/2021.
Spetterà infine alle imprese, in assenza di indicazioni ufficiali, individuare le procedure operative che intenderanno adottare in sede di raccolta dei certificati (richiesta preventiva del dipendente, busta chiusa/forma cartacea, conservazione dei certificati in armadi chiusi a chiave o in database salvato in locale, etc.) e, conseguentemente, adeguare le misure di sicurezza al rischio connesso al tipo di trattamento effettuato.
