In base al Regolamento UE n. 679/2016 [GDPR] e alla normativa di settore in materia di salute e sicurezza sul lavoro [D. Lgs. n. 81/2008], il datore di lavoro può trattare i dati sanitari dei propri dipendenti per adempiere ai propri doveri di sorverglianza sanitaria, ma non può avere diretta conoscenza delle patologie del dipendente e dunque del contenuto delle cartelle sanitarie, informazioni che restano note al solo medico competente, il quale deve limitarsi a comunicare al datore di lavoro la mera idoneità/inidoneità al lavoro del dipendente o limitazioni alla mansione specifica.
Secondo l’art. 25 comma 1 lett. c del D.Lgs. n. 81/2008, infatti, è il Medico Competente che “… istituisce, aggiorna e custodisce, sotto la propria responsabilità, una cartella sanitaria e di rischio per ogni lavoratore sottoposto a sorveglianza sanitaria. Tale cartella è conservata con salvaguardia del segreto professionale e, salvo il tempo strettamente necessario per l’esecuzione della sorveglianza sanitaria e la trascrizione dei relativi risultati, presso il luogo di custodia concordato al momento della nomina del medico competente”; in base poi all’art. 53 comma 4 del medesimo decreto n. 81 rubricato “Tenuta della documentazione”, tutta la documentazione sanitaria relativa al lavoratore “… sia su supporto cartaceo che informatico, deve essere custodita nel rispetto del decreto legislativo 30 giugno 2003, n. 196 [n.d.r. come modificato dal D. Lgs. 101/2018], in materia di protezione dei dati personali” e dunque nel rispetto di quanto previsto dal Regolamento UE n. 679/2016.
Queste le regole generali riguardo al trattamento dei dati sanitari dei dipendenti da parte del datore di lavoro, tuttavia, in occasione dell’emergenza sanitaria, le misure di contenimento della diffusione del Covid-19, quali quelle previste dal Protocollo di regolamentazione per il contrasto e la diffusione del virus Covid-19 negli ambienti di lavoro condiviso tra Governo e Parti sociali, come aggiornato il 24 aprile 2020, il cui rispetto è disposto dalla ancora vigente normativa emergenziale, hanno previsto alcune deroghe alla succitata disciplina generale; in base a tali deroghe e unicamente per finalità connesse al contenimento del rischio di diffusione del virus Covid-19, il datore di lavoro può lecitamente venire a conoscenza di informazioni riferite allo stato di salute dei propri dipendenti ricollegate al virus e quindi apprendere l’identità del dipendente affetto dal coronavirus, che ne presenta la sintomatologia o che ne è guarito.
Tra gli obblighi imposti al datore di lavoro per scongiurare il rischio di diffusione del coronavirus, vi è ad esempio quello del rilevamento della temperatura corporea ai propri dipendenti all’ingresso della sede di lavoro. E questo è un primo caso in cui il datore di lavoro è autorizzato, derogando alla disciplina generale di settore, a conoscere direttamente il dato sanitario del dipendente ricollegato al virus.
Il Protocollo citato prescrive infatti che al superamento della soglia di 37.5 gradi, al dipendente deve essere impedito l’accesso ai locali di lavoro. La temperatura corporea è un dato di natura sanitaria che nell’odierna situazione di emergenza, il datore di lavoro può raccogliere e trattare, ma può conservare, ricollegandolo all’identità del soggetto cui la stessa temperatura si riferisce, solo se essa supera la soglia fissata dalla disciplina emergenziale. Esclusivamente in tale circostanza, infatti, il datore di lavoro può registrare tale informazione per motivare il divieto di accesso nei locali di lavoro e per adempiere ai successivi obblighi previsti, quale quello di isolamento del dipendente e collaborazione con le autorità sanitarie. Il Protocollo prescrive infatti che le persone in tale condizione devono essere momentaneamente isolate e fornite di mascherine, non dovranno recarsi al Pronto Soccorso e/o nelle infermerie di sede, ma dovranno contattare nel più breve tempo possibile il proprio medico curante e seguire le sue indicazioni.
Resta inteso che, sebbene la temperatura vada registrata solo se va oltre la soglia dei 37.5 gradi, il datore di lavoro deve comunque rendere l’informativa ex art. 13 prima della misurazione della stessa anche eventualmente utilizzando appositi cartelli apposti all’ingresso dei locali aziendali.
Qualora poi il dipendente debba essere isolato, occorre impiegare delle modalità tali da assicurare il massimo riserbo, nel rispetto della sua dignità.
Il datore di lavoro può venire a conoscenza del dato sanitario del dipendente connesso al Covid-19 anche quando sia il dipendente stesso a comunicare all’azienda tale informazione. Il Protocollo, infatti, al paragrafo 11, impone al lavoratore un preciso obbligo di informare tempestivamente e responsabilmente il proprio datore di lavoro di eventuali condizioni di pericolo, come i sintomi influenzali (questo anche quando tali sintomi si mostrino all’ingresso della sede di lavoro o durante l’esecuzione del lavoro), la provenienza da aree di rischio, eventuali contatti con soggetti affetti da Covid-19, l’affezione da Covid-19 accertata.
In base al proprio generale dovere di protezione della salute dei propri dipendenti che grava sul datore di lavoro ai sensi dell’art. 2087 c.c. e del d.lgs. 81/2008, quest’ultimo può esortare i propri dipendenti ad effettuare siffatte comunicazioni, predisponendo appositi canali dedicati, come può essere un indirizzo email specifico o un numero di telefono cui dovranno rispondere soggetti istruiti e previamente autorizzati a raccogliere unicamente quelle informazioni strettamente necessarie, adeguate e pertinenti alla finalità di contenimento della diffusione del virus e non altre superflue, mantenendo, in ogni caso, la massima riservatezza circa le informazioni ricevute dai dipendenti o anche assegnando tale incarico ad un delegato presso l’ufficio del personale che pure va autorizzato e appositamente istruito in merito.
Trattandosi di informazioni di natura sanitaria dovranno inoltre essere previste delle misure adeguate di conservazione dei dati acquisiti, ricordando che, terminata la finalità del trattamento, tali informazioni dovranno essere distrutte o anonimizzate.
Un terzo caso in cui il datore di lavoro può conoscere lo stato di salute del dipendente ricollegato al virus è quello in cui la positività al Covid-19 venga accertata dalle autorità sanitarie a seguito dell’effettuazione di un tampone oro/nasofaringeo. Il datore di lavoro è infatti chiamato a collaborare con le autorità, anche con l’intervento del medico competente, per ricostruire i contatti stretti che l’eventuale contagiato abbia avuto con altre persone nell’ambiente di lavoro. Secondo quanto stabilito dal paragrafo 11 del Protocollo del 24 aprile 2020, infatti, nel periodo dell’indagine, l’azienda potrà chiedere agli eventuali possibili contatti stretti di lasciare cautelativamente lo stabilimento, secondo le indicazioni dell’Autorità sanitaria.
Infine, il datore di lavoro, per consentire al lavoratore che eventualmente sia risultato positivo al Covid-19, il reinserimento presso la sede di lavoro, può essere informato in merito al risultato negativo del tampone oro/nasofaringeo, secondo le modalità previste e in base alla documentazione rilasciata dal dipartimento di prevenzione territoriale di competenza.
Quelle innanzi indicate sono le uniche circostanze normativamente stabilite in cui può derogarsi al generale divieto di conoscere direttamente lo stato di salute dei propri dipendenti; solo in questi casi, pertanto, al datore di lavoro è concesso di venire a conoscenza di informazioni di natura sanitaria riferite ai propri dipendenti, ma sempre e ad ogni modo, ricollegate al Covid-19, esclusivamente per il fine di contenere il contagio e dunque per il più generale scopo di assicurare la salute e la sicurezza dei luoghi di lavoro e in adempimento agli obblighi di assistenza alla sanità pubblica.
Al di fuori dei suddetti casi, lo si rammenta, il datore di lavoro non può trattare direttamente dati sulla salute del lavoratore o comunicare gli stessi a soggetti terzi, quali anche le autorità sanitarie.