Il 4 maggio 2020, in Italia, avrà inizio la c.d. “Fase 2” che prevede la riapertura della gran parte delle attività produttive e commerciali.

Rimane tuttavia necessario per ogni datore di lavoro rispettare il “Protocollo di intesa sulla regolamentazione delle misure per il contrasto ed il contenimento del virus COVID-19 negli ambienti di lavoro”, siglato di intesa dal Governo e dalle parti sociali, il 24 marzo 2020.

Tra le prescrizioni imposte dal Protocollo di intesa vi è altresì la necessità del rilevamento della temperatura corporea per tutti coloro, dipendenti, collaboratori, clienti e fornitori, che abbiano accesso all’azienda. Qualora ad un individuo venga rilevata una temperatura superiore ai 37,5°, il datore di lavoro è tenuto a vietargli l’accesso ai locali aziendali, registrando i suoi dati al fine di motivare le ragioni del divieto.

Lo stesso individuo è poi tenuto a contattare immediatamente il proprio medico curante per gli opportuni accertamenti.

Oltre alla necessità di misurare la temperatura, il datore di lavoro, all’atto dell’accesso alla propria azienda, può sempre richiedere il rilascio di un’autodichiarazione attestante l’assenza di rapporti con soggetti positivi al virus COVID-19 e la non sottoposizione all’obbligo di quarantena sanitaria domiciliare.

È evidente che la raccolta di queste informazioni implichi un trattamento di dati personali che deve avvenire sempre nel rispetto di quanto disposto dal Reg. UE 2016/679 e dal D.Lgs. n. 196/2003, così come novellato dal D.Lgs. n. 101/2018.

Occorre pertanto stilare un’adeguata informativa da esporre all’ingresso dei locali aziendali e di cui sarebbe comunque opportuno fare firmare a dipendenti, collaboratori, clienti e fornitori una copia per presa visione.

Nell’informativa bisogna innanzitutto indicare i dati di contatto del Titolare del trattamento, ossia colui che effettua la raccolta di dati personali. A tale proposito, va precisato che il Titolare del trattamento non coincide con il datore di lavoro inteso come persona fisica, bensì con la sua azienda. Si parla cioè di persona giuridica, la quale, a sua volta, può coincidere con la persona fisica nell’ipotesi di imprese individuali o di liberi professionisti.

Tra i recapiti del Titolare del trattamento va altresì specificato quello utile nel caso in cui l’interessato intenda rivolgergli delle richieste o far valere propri diritti, in merito allo specifico trattamento effettuato.

Nell’informativa va poi specificato quale sia il trattamento posto in essere, ossia per quale motivo vengano raccolti determinati dati personali dell’interessato. Nel caso specifico, i dati dell’interessato, come sopra già ribadito, vengono raccolti al fine del rilevamento della temperatura corporea, necessario per motivare o meno l’accesso ai reparti aziendali.

Ogni trattamento dev’essere suffragato da una legittima base giuridica. Detto in altri e più chiari termini, la raccolta dei dati personali è lecita solo nella misura in cui sia sorretta da un’idonea fonte normativa.

Tornando al caso in esame, il datore di lavoro ha la necessità di rilevare la temperatura in quanto glielo impone la legge. Nell’informativa occorrerà quindi indicare, come base giuridica, il rispetto di un obbligo legale, ex art. 6, comma 1, lett. c) del Reg. UE 2016/679, e si potrà anche rimandare alla specifica normativa nazionale di riferimento.

Altro dato imprescindibile dell’informativa, attiene alla tipologia di dati trattati nel caso in cui si richieda il rilascio di un’autodichiarazione o si debbano registrare i dati del soggetto a cui sia stata rilevata una temperatura corporea superiore ai 37,5°. Sul punto, il Reg. UE 2016/679 impone il rispetto del c.d. principio di minimizzazione dei dati, secondo cui vanno raccolti unicamente i dati pertinenti rispetto alla tipologia di trattamento da effettuare.

Ne consegue che nell’esempio di cui sopra, al soggetto a cui sia impedito legittimamente l’accesso all’azienda per aver contratto una temperatura superiore ai 37,5°, sarà sufficiente richiedere il nome ed il cognome, la data ed il luogo di nascita oltre che la residenza ed un valido recapito telefonico. Non sarà invece pertinente la richiesta di indicare la presenza di patologie pregresse o la situazione reddituale.

Quando si effettua una raccolta di dati occorre, inoltre, tenere a mente che tali dati raccolti non possono essere conservati a vita ma unicamente fintanto che persistono le finalità, ossia le ragioni, alla base del trattamento. La conservazione dei dati raccolti e relativi a coloro a cui sia stato impedito l’ingresso in azienda, in quanto aventi temperatura corporea superiore ai 37,5°, permarrà pertanto fino a quando rimangano in vigore le prescrizioni imposte dal Governo in materia di contrasto e di contenimento alla diffusione del virus COVID-19.

Cessate tali disposizioni legislative, i dati precedentemente raccolti per tale finalità andranno immediatamente cancellati, essendo venuta meno la ragione che ne aveva giustificato la raccolta.

Occorre altresì specificare nell’informativa se tali dati vengano raccolti in via cartacea o automatizzata, perché, in ipotesi, inseriti all’interno di un database gestionale.

Importante è altresì mettere l’interessato nella condizione di conoscere quali persone possano entrare in contatto con i suoi dati. Si pensi ad esempio ad un dipendente incaricato dal datore di lavoro di misurare la temperatura all’ingresso in azienda e a registrare i nomi di coloro a cui si stato negato l’accesso. Questo soggetto dovrà essere stato preventivamente designato per iscritto dal Titolare del trattamento ad effettuare tale raccolta di dati.

Qualora invece occorra isolare un dipendente o altro soggetto che abbia già fatto ingresso in azienda e a cui solo in un secondo momento sia stata misurata una temperatura superiore ai 37,5°, è probabile che di questo evento venga informato altresì il medico competente dell’azienda, che, essendo un soggetto esterno che svolge un trattamento per conto del Titolare, va nominato obbligatoriamente Responsabile del trattamento. Il medico competente che venga a conoscenza di questa tipologia di dati raccolti, così come ogni Autorità preposta ai controlli in materia sanitaria, quali USL e diramazioni territoriali dell’INL, debbono essere menzionati nell’informativa.

Se i dati raccolti dovessero essere trasferiti all’estero, ossia fuori dal territorio della Comunità Europea, occorre indicare nell’informativa quali siano gli Stati destinatari di tali dati ed in forza di quali accordi internazionali avvenga il trasferimento.    

Infine e non da ultimo, vanno sempre elencati tutti i diritti riconosciuti all’interessato, quali il diritto di avere accesso ai propri dati personali, il diritto a richiederne la cancellazione se non sussiste più il motivo che ne aveva giustificato la raccolta, il diritto di opposizione nel caso in cui si ritenga siano stati raccolti dati non pertinenti in violazione del principio di minimizzazione, ecc.

Alla luce della complessità della materia è altamente consigliabile farsi assistere da un esperto nella stesura dell’informativa privacy.