Nel contesto dell’emergenza sanitaria e dell’attuazione della campagna vaccinale nazionale anti-Covid 19, sono stati recentemente pubblicati i protocolli specifici in tema di vaccinazioni sul luogo di lavoro, con l’obiettivo di concorrere alla rapida realizzazione della campagna vaccinale attraverso il coinvolgimento delle attività produttive sull’intero territorio nazionale.
Particolare attenzione va prestata per ciò che concerne il trattamento dei dati personali dei dipendenti, nell’ambito delle attività che il datore di lavoro si troverà a dover gestire, nel caso aderisse a tali protocolli.
Approfondiremo in tal senso le attività richiamate in relazione al trattamento dei dati personali nel contesto dei piani aziendali di vaccinazione di cui ai protocolli:
• “Protocollo Nazionale per la realizzazione dei piani aziendali finalizzati all’attivazione di punti straordinari di vaccinazione anti-SARS-CoV-2/Covid-19 nei luoghi di lavoro” sottoscritto tra le parti sociali il 06.04.2021, su invito del Ministero del Lavoro e delle politiche sociali e del Ministero della Salute;
• “Indicazioni ad interim per la vaccinazione nei luoghi di lavoro anti-SARS-CoV-2/Covid-1” del 08.04.2021, adottate dal Ministero della Salute e il Ministero del lavoro e delle politiche sociali, d’intesa con la Conferenza delle Regioni e delle Province Autonome, con il Commissario Straordinario per il contrasto dell’emergenza epidemiologica ed il contributo dell’INAIL.
Prenotazione vaccino anti covid, come fare Regione per Regione
Cosa prevede il protocollo
In estrema sintesi, il protocollo prevede che i datori di lavoro possano manifestare la disponibilità ad attuare piani aziendali per la predisposizione di punti straordinari di vaccinazione anti-Covid 19 nei luoghi di lavoro, destinati alla somministrazione in favore delle lavoratrici e dei lavoratori che ne abbiano fatto volontariamente richiesta, nel rispetto delle “Indicazioni ad interim” e di ogni altra prescrizione delle Autorità Sanitarie e di eventuali indicazioni specifiche emanate dalle Regioni e dalle Province Autonome per i territori di rispettiva competenza.
I datori di lavoro aderenti all’iniziativa dovranno farsi carico delle attività organizzative della campagna di vaccinazione e dei relativi costi, demandando al medico competente le attività di carattere sanitario, ivi compresa la gestione delle informazioni sanitarie afferenti al singolo dipendente.
I vaccini, i dispositivi per la somministrazione (siringhe e aghi) e gli strumenti informativi formativi previsti per la registrazione delle vaccinazioni eseguite saranno invece messi a disposizione dai Servizi Sanitari Regionali territorialmente competenti.
Il protocollo specifica, quindi, che tutte le attività operative afferenti all’ambito sanitario sono appannaggio del medico competente, mentre la logistica e i costi organizzativi della campagna vaccinale rimangono a carico del datore di lavoro.
Il rischio di trattamento illecito dei dati
In questa separazione di ruoli e responsabilità, potrebbero sorgere situazioni per le quali la commistione tra le attività di raccolta dei dati funzionali all’organizzazione (ad esempio il numero di soggetti da sottoporre a vaccinazione, che dovrà essere evidentemente noto per poter richiedere il corretto numero di vaccini) e le attività di gestione delle informazioni sanitarie dei dipendenti, se non correttamente gestite, potrebbero configurare un trattamento illecito di tali informazioni da parte del datore di lavoro.
Non entreremo nel merito del caso specifico dei lavoratori esercenti le professioni sanitarie e degli operatori di interesse sanitario destinatari della previsione dell’obbligo vaccinale di cui al recente D.L. 1 aprile 2021 n. 44. In tutti gli altri casi, in assenza di una specifica disposizione di legge che obblighi il lavoratore ad effettuare il vaccino, la decisione relativa all’idoneità di un lavoratore rispetto ad una mansione rimane in carico al medico competente.
La posizione del Garante per la Protezione dei dati personali
Sul tema del trattamento dei dati personali nel contesto dei vaccini sul luogo di lavoro, si è già espresso il Garante per la Protezione dei dati personali, per chiarire appositamente questi aspetti, con la recente pubblicazione delle FAQ “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”, nelle quali ha espressamente precisato che il datore di lavoro non potrà chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale (o fornire copia di documenti che comprovino l’avvenuta vaccinazione anti-covid-19), non essendo ciò, allo stato, consentito dalle disposizioni emergenziali e dalla disciplina in materia di sicurezza della salute nei luoghi di lavoro.
Né tale trattamento potrà ritenersi lecito sulla base del consenso dei dipendenti, come erroneamente si potrebbe essere portati a credere, non costituendo il consenso prestato dal dipendente al datore di lavoro, una valida condizione di liceità in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo – vedi considerando n. 43 del GDPR).
Ricordiamo in tal senso, il che il datore di lavoro non potrà comunque chiedere al medico competente di conoscere il nominativo dei dipendenti vaccinati, ma dovrà determinare limitare le proprie decisioni organizzative, in funzione del giudizio di idoneità alla mansione specifica del lavoratore e le eventuali relative prescrizioni e/o limitazioni indicate nel giudizio, come previsto dagli articoli 25, 39 comma 5 e 41 del D.lgs. 81/2008.
Il Garante ha precisato, inoltre, che solo il medico competente può trattare i dati sanitari dei lavoratori e, tra questi, anche le informazioni relativi alla vaccinazione (che non possono essere comunicate dal medico competente al datore di lavoro).
Con specifico riferimento ai recenti protocolli e indicazioni sopra richiamati, relativi all’attivazione di punti straordinari di vaccinazione anti-Covid-19 nei luoghi di lavoro, essi riportano che:
• “Le procedure finalizzate alla raccolta delle adesioni dei lavoratori interessati alla somministrazione del vaccino dovranno essere realizzate e gestite nel pieno rispetto della scelta volontaria rimessa esclusivamente alla singola lavoratrice e al singolo lavoratore, delle disposizioni in materia di tutela della riservatezza, della sicurezza delle informazioni raccolte ed evitando, altresì, ogni forma di discriminazione delle lavoratrici e dei lavoratori coinvolti” (punto n. 8 del Protocollo sopra indicato);
• “Il medico competente fornisce ai lavoratori adeguate informazioni sui vantaggi e sui rischi connessi alla vaccinazione e sulla specifica tipologia di vaccino, assicurando altresì l’acquisizione del consenso informato del soggetto interessato, il previsto triage preventivo relativo allo stato di salute e la tutela della riservatezza dei dati.” (punto 9 del protocollo) e “Il medico competente, nel rispetto delle vigenti disposizioni per la tutela della riservatezza dei dati personali, assicura la registrazione delle vaccinazioni eseguite mediante gli strumenti messi a disposizione dai Servizi Sanitari Regionali” (punto 11 del protocollo);
• “Ai fini della istituzione dei punti vaccinali territoriali e della realizzazione della campagna vaccinale nei luoghi di lavoro, costituiscono presupposti imprescindibili: […] 6. la tutela della privacy e la prevenzione di ogni forma di discriminazione delle lavoratrici e dei lavoratori” (pag. 3 Indicazioni ad interim);
• “L’adesione da parte della lavoratrice / del lavoratore è volontaria ed è raccolta a cura del medico competente, o del personale sanitario opportunamente individuato, che potrà valutare preliminarmente specifiche condizioni di salute, nel rispetto della privacy, che indirizzino la vaccinazione in contesti sanitari specifici della Azienda Sanitaria di riferimento, che ne assicura la necessaria presa in carico” (pag. 5 Indicazioni ad interim);
Ne risulta che il trattamento dei dati dei dipendenti relativi al proprio stato vaccinale, in quanto dato particolare ex art. 9 GDPR, debba essere effettuato dal medico competente – e non già dal datore di lavoro – a partire dalle richieste di adesione alla campagna vaccinale.
Conclusioni
Riassumendo quindi, per una corretta gestione della campagna vaccinale, il datore di lavoro dovrebbe trattare solo ed esclusivamente i dati numerici (ossia il numero dei dipendenti aderenti) che occorrano per organizzare tutte le attività di gestione e logistica connesse alla realizzazione del punto vaccinale aziendale.
Tali informazioni potranno essere raccolte dal medico competente e comunicate al datore di lavoro, oppure raccolte direttamente dal datore di lavoro in modo anonimo, ad esempio con l’ausilio di strumenti spesso già utilizzati nelle aziende per la raccolta di feedback.
Per la raccolta di tali informazioni in modo anonimo, infatti, si può ricorrere a specifiche piattaforme software oppure al semplice sistema della raccolta in modalità cartacea in apposito contenitore. Chiaramente in funzione delle dimensioni dell’organizzazione sarà maggiormente indicata una soluzione piuttosto che l’altra.
Il medico competente dovrà invece trattare tutte le informazioni sanitarie del caso, fornendo apposita informativa sul trattamento dei dati sanitari (da non confondere con l’informativa relativa al consenso informato prevista per la prestazione sanitaria) direttamente ai soggetti interessati, ossia ai lavoratori.
