di Giacomo Conti e Giordano Serrra
“Più contagiosa che la peste, la paura si diffonde in un batter d’occhio”. – Nikolaj Gogol
“Coronavirus”, “Privacy”, ”Tracciamento degli spostamenti”, “droni per la videosorveglianza dei cittadini” “Limitazioni delle libertà fondamentali” and so on…
Quali sono i leit motif dietro a queste affermazioni?
Una scomposizione a fattore comune delle seguenti affermazione sottende quattro elementi fondamentali solo apparentemente scollegati fra di loro: psicosi, profilassi, protocolli e privacy.
Analizziamo, quindi, la relazione fra questi fattori: La stampa ha contribuito a creare un clima generale di ansia e psicosi collettiva inondandoci di dati sul contagio da Coronavirus a mo’ di bollettino di guerra (psicosi), il Governo e le Autorità Locali, come reazione alla psicosi creatasi hanno posto in essere misure di contenimento, più o meno maldestre, per contrastare il fenomeno del contagio aumentando la psicosi (profilassi). In questo contesto critico, hanno proliferato iniziative, pubbliche e private, che hanno inciso sui nostri spostamenti e su altri nostri diritti fondamentali compresa, la privacy intesa nel suo senso più puro: ossia il nostro diritto a non vedere invasa la nostra sfera privata da indebite ingerenze pubbliche e private (right to be left alone).
Tutti noi dovremmo sacrificare, del resto, una parte dei nostri diritti fondamentali a favore del bene collettivo e comune e per evitare la propagazione del contagio.
Tuttavia, sorge spontaneo chiedersi se davvero le iniziative pubbliche e private che sono proliferate limitando i nostri diritti fondamentali siano funzionali a raggiungere il bene comune oppure se le profilassi “fai da te” siano frutto di una poco funzionale psicosi che limita inutilmente i nostri diritti e contribuisce ad aumentare il clima di psicosi generale.
Molte Pubbliche Amministrazioni e Imprese private hanno elaborato spontaneamente, a mo’ di anticorpi al Covid-19, moduli autocertificazione attraverso i quali raccolgono numerosi dati sullo stato di salute dei propri dipendenti, dati relativi agli spostamenti dove viene richiesto di dichiarare di non avere visitato le cosiddette “zone rosse”, dati relativi alla situazione familiare dove si richiede di non aver avuto contatto con coloro che vivono o sono stati in tali zone e, da ultimo, di non aver registrato una temperatura corporea superiore ai 37,2 C° nelle ultime due settimane.
Si pone quindi l’interrogativo se questi “anticorpi” di dubbia utilità e funzionalità che incidono sulla privacy di milioni di persone siano stati elaborati da corrette prassi di profilassi oppure se siano una risposta maldestra al fenomeno di psicosi che si è venuto a creare.
Queste prassi, i cui problemi sono evidenti, hanno richiesto l’intervento istituzionale da parte del Garante della Protezione dei Dati Personali.
L’Autorità ha, in primo luogo, chiarito che il trattamento dati per finalità di prevenzione dalla diffusione del Coronavirus deve essere svolto da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato. In questo senso, l’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.
In secondo luogo, è stato precisato che i datori di lavoro devono astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa. Il tutto, fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro
Il Garante non ha, però, chiarito il dubbio fondamentale che veniva posto, ossia se anche i datori di lavoro possano trattare per finalità legate alla tutela della salute e sicurezza sul lavoro i dati, anche di carattere particolare, relativi all’infezione di Covid-19.
In questo senso, è venuto in parziale soccorso l’EDPB (European Data Protection Board o Comitato Europeo per la Protezione dei Dati) che ha fornito parziali delucidazioni su questo delicato aspetto.
Andrea Jelinek, l’attuale presidente del Comitato, ha precisato che “Data protection rules (such as GDPR) do not hinder measures taken in the fight against the coronavirus pandemic. However, I would like to underline that, even in these exceptional times, the data controller must ensure the protection of the personal data of the data subjects. Therefore, a number of considerations should be taken into account to guarantee the lawful processing of personal data.” In lingua italiana:“Le norme sulla protezione dei dati (come il GDPR) non ostacolano le misure prese nella lotta contro la pandemia di Coronavirus. Tuttavia, vorrei sottolineare che, in questi tempi eccezionali, il Titolare del trattamento dei dati deve garantire la protezione dei dati personali degli interessati. Pertanto, numerose considerazioni dovrebbero essere assunte per garantire il trattamento legale dei dati personali”.
Una corretta applicazione del GDPR esige, pertanto, una limitazione dei dati personali degli interessati al trattamento, ma questo non si può risolvere in una indiscriminata invasione della sfera personale del dipendente e, pertanto, queste iniziative fai da te devono essere arginate o, meglio, gestite nel rispetto della legalità e del principio di accountability.
Giusta, pertanto, la considerazione del Garante che inibisce le “iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”.
Il Governo, avvertendo l’esigenza di contemperare il diritto alla privacy con quello alla salute dei soggetti interessati, ha adottato il cosiddetto “Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro”, anche passando attraverso le rappresentanze sindacali.
Il Protocollo concede ai datori di lavoro la possibilità di rilevare la temperatura corporea del personale, suggerisce alcuni accorgimenti nelle modalità di raccolta e conservazione dei dati.
Le disposizioni del protocollo invitano, in particolare, stabiliscono che il Titolare deve:
– conservare il dato raccolto non oltre il termine necessario e, comunque, non oltre il tempo giustificato per fare fronte all’emergenza (limitazione del tempo del trattamento),
– fornire immediatamente un’informativa sul trattamento dei dati ad hoc (trasparenza),
– individuare immediatamente il personale da impiegare per la raccolta del dato particolare, a procedere con la sua formazione e ad attuare senza ritardo tutte quelle contromisure idonee a proteggere i dati conservati (misure tecniche e organizzative).
Da ultimo, in caso di allontanamento dell’interessato dal luogo di lavoro per esigenze legate alla tutela della salute, questa delicata operazione deve essere effettuata con estrema delicatezza nel rispetto della dignità umana del dipendente.
A ben vedere, il Protocollo non rappresenta altro che una declinazione dei principi generali del GDPR che vengono declinati per fare fronte all’emergenza Covid-19 e si basa, in particolare, sui principi di accountability e di minimizzazione dei dati raccolti e del tempo della conservazione e di legalità del trattamento.
Fermo il rispetto delle regole imposte dal Protocollo, per rispettare le norme a protezione dei dati personali occorre, rispettare le norme dettate dal GDPR e dal buon senso.
In questo senso, sarà opportuno:
– mappare il trattamento a registro che dovrà essere debitamente aggiornato,
– adottare procedure organizzative adeguate a fronteggiare i rischi per i diritti e per le libertà fondamentali degli interessati che il trattamento dei dati da infezione Covid-19 pone,
– effettuare, verosimilmente, una valutazione di impatto,
– sentire il parere del DPO ove nominato o di un esperto della materia per gestire le criticità derivanti dal trattamento.
In altri termini, nulla di diverso da quanto ci richiedeva, già prima dell’affermarsi dell’emergenza Covid-19, il GDPR che, mai come in questi frangenti, rappresenta un baluardo dei nostri diritti fondamentali.