Un punto di riferimento per fornire le informazioni utili per costituire, allestire e gestire i vaccini nei luoghi di lavoro, con l’obiettivo di rendere più sicura la prosecuzione delle attività commerciali e produttive, accrescendo il livello di sicurezza negli ambienti di lavoro. Si tratta del Protocollo nazionale per la realizzazione dei piani aziendali finalizzati all’attivazione di punti straordinari di vaccinazione anti SARS-CoV-2/Covid-19 nei luoghi di lavoro sottoscritto il 6 aprile dal Governo e dalle Parti Sociali, che hanno anche siglato il “Protocollo condiviso di aggiornamento delle misure per il contrasto e il contenimento della diffusione del virus SARS-CoV-2/COVID-19 negli ambienti di lavoro”, che aggiorna, rinnova e sostituisce le previsioni contenute nel Protocollo del 14 marzo 2020 ed aggiornato in data 24 aprile 2020. Un tema dagli importanti risvolti privacy, su cui si è espresso anche il Garante.
Il protocollo nazionale, unitamente al documento del 08 aprile u.s. dell’INAIL contenente “Indicazioni ad interim per la vaccinazione anti-SARS-CoV-2/COVID19 nei luoghi di lavoro”, che costituisce parte integrante del predetto Protocollo, si configura per i datori di lavoro quali linee guida da seguire per consentire una rapida realizzazione della campagna vaccinale ed accrescere i livelli di sicurezza nelle realtà lavorative pubbliche e private. La somministrazione riguarderà tutti i lavoratori interessati, con qualsiasi tipologia di contratto, e potrà avvenire in azienda, presso strutture sanitarie private e, nei casi previsti, in quelle dell’INAIL.
Indice degli argomenti
Vaccinazione sul posto di lavoro, gli obiettivi dell’iniziativa
I costi per la realizzazione e la gestione dei piani aziendali, compresa la somministrazione, sono a carico dell’azienda, mentre la fornitura dei vaccini, dei dispositivi per la somministrazione (siringhe/aghi) e la messa a disposizione degli strumenti formativi e della piattaforma per la registrazione delle vaccinazioni sono a carico dei servizi sanitari regionali. L’iniziativa oggetto del Protocollo “costituisce un’attività di sanità pubblica che si colloca nell’ambito del Piano strategico nazionale per la vaccinazione anti-SARS-CoV-2/Covid-19 predisposto dal Commissario Straordinario per l’attuazione e il coordinamento delle misure di contenimento e contrasto dell’emergenza epidemiologica”.
Regione Lazio e ransomware, lieto fine amaro: troppi errori fatti
Inoltre, il Protocollo e le sopra menzionate “Indicazioni ad interim per la vaccinazione anti-SARS-CoV-2/COVID19 nei luoghi di lavoro” dell’INAIL sottolineano la natura volontaria dell’adesione all’iniziativa, prevedendo, tra i presupposti ritenuti “imprescindibili” ai fini della realizzazione della stessa, tra l’altro, la disponibilità dei vaccini, la presenza e la disponibilità del medico competente o di altro personale sanitario (anche privato e, in taluni casi, il possibile ricorso ai medici operanti presso i servizi territoriali di INAIL), l’adesione consapevole e informata da parte delle lavoratrici e dei lavoratori, la “tutela della privacy” e la prevenzione di ogni forma di discriminazione delle lavoratrici e dei lavoratori.
In tale quadro, l’iniziativa di consentire l’attivazione di punti vaccinali sui luoghi di lavoro, comportando trattamenti di dati personali, anche relativi alla salute dei lavoratori ai sensi dell’art. 4, n. 15 del GDPR, se da un lato può rappresentare un’opportunità per supportare la campagna vaccinale e per rendere più semplice, per i lavoratori, l’accesso alla vaccinazione, dall’altra dovrà essere attuata nel rispetto della disciplina in materia di protezione dei dati (ovvero del GDPR e del Codice in materia di protezione dei dati personali), delle norme emanate nel contesto dell’emergenza epidemiologica in corso, nonché delle disposizioni nazionali più specifiche e di maggior garanzia previste dall’ordinamento nazionale a tutela della dignità e della libertà dell’interessato sui luoghi di lavoro (ai sensi di quanto disposto dall’art. 88 del GDPR e dall’art. 113 del Codice in materia di protezione dei dati personali).
Vaccinazioni per i lavoratori, le indicazioni del Garante privacy
Infatti, in questo contesto eccezionale occorre che ciascuno dei soggetti coinvolti nella realizzazione e gestione del piano vaccinale (datore di lavoro, medico competente o altro personale sanitario individuato) operi nell’ambito e nei limiti previsti dalla rispettiva disciplina applicabile, che ne costituisce la base giuridica, evitando la confusione di ruoli che può dare adito a una circolazione illecita di informazioni, che potrebbe determinare effetti lesivi dei diritti e delle libertà degli interessati. Con riferimento al tema delle vaccinazioni sui luoghi di lavoro, il Garante con il provvedimento n. 198 del 13 maggio 2021 ha adottato un documento di indirizzo per fornire indicazioni generali sul trattamento dei dati personali, in attesa di un definitivo assetto regolatorio.
Nel predetto documento il Garante sottolinea che la realizzazione dei piani vaccinali per l’attivazione di punti straordinari di vaccinazione anti Covid-19 nei luoghi di lavoro, prevista dal Protocollo nazionale del 6 aprile 2021, costituisce un’iniziativa di sanità pubblica e, pertanto, la responsabilità generale e la supervisione dell’intero processo rimangono in capo al Servizio sanitario regionale e dovrà essere attuata nel rispetto della disciplina sulla protezione dei dati.
Inoltre, nel suddetto documento il Garante evidenzia che nel quadro dall’ordinamento vigente, deve essere sempre assicurato il rispetto del tradizionale riparto di competenze tra il datore di lavoro ed il medico competente, la cui importanza è ribadita dal Garante anche in un altro documento, pubblicato anch’esso sul sito in data 14 maggio 2021, e denominato “Protezione dei dati: il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale”. Tale documento, in linea di continuità con la posizione assunta dal Garante nel corso del tempo, individua proprio nella titolarità del trattamento dei dati, attribuita al medico dal quadro normativo di settore (es. D.lgs. 81/2008), il principale elemento di garanzia per gli interessati sui luoghi di lavoro, salva l’eventuale individuazione di altre figure di professionisti sanitari, in aggiunta o in luogo del medico competente.
In tale documento, il Garante ribadisce, infatti, che non è comunque consentito al datore di lavoro raccogliere tramite il medico compente, altri professionisti sanitari o strutture sanitarie, direttamente dagli interessati, informazioni in merito a tutti gli aspetti relativi alla vaccinazione, ivi compresa l’intenzione o meno della lavoratrice e del lavoratore di aderire alla campagna, alla avvenuta somministrazione del vaccino e ad altri dati relativi alle condizioni di salute del lavoratore.
Infatti, il Garante evidenzia che il trattamento dei dati relativi alle vaccinazioni è necessario per finalità di medicina preventiva e di medicina del lavoro (art. 9, par.2, lett. h) e par. 3 del GDPR). Tali trattamenti sono infatti espressamente affidati, esclusivamente, a professionisti sanitari (es. medico competente, altro personale medico o medici INAIL), in quanto presuppone valutazioni cliniche (fin dalla fase di individuazione delle dosi e della tipologia dei vaccini sulla base delle condizioni personali e dell’anamnesi degli interessati) e comporta operazioni (quali la somministrazione e la registrazione) che, per propria natura, presuppongono necessariamente la competenza tecnica di personale sanitario dotato di specifica formazione.
Il divieto di trattamento dei dati
Il Garante rileva poi nel documento che la vaccinazione nei luoghi di lavoro deve avvenire con il supporto strumentale ed economico dei datori di lavoro ai quali è demandato il compito di promuovere l’iniziativa della vaccinazione presso i luoghi di lavoro fornendo, in particolare, alla generalità dei dipendenti, le indicazioni utili relative alle complessive caratteristiche del servizio vaccinale usufruibile in azienda e sottoposto alla supervisione dell’azienda sanitaria di riferimento, ad esempio, rendendo disponibile, anche sulla rete intranet, documenti esplicativi. Tali attività di sensibilizzazione potranno avvenire con il supporto del medico competente, anche promuovendo apposite iniziative di comunicazione e informazione sulla vaccinazione anti SARS-CoV-2/Covid-19 ai lavoratori.
Tuttavia, nell’ambito dello svolgimento di tale attività di supporto resta salvo il divieto, per il datore di lavoro, di trattare i dati personali relativi a tutti gli aspetti connessi alla vaccinazione dei propri dipendenti (secondo quanto chiarito sopra). Inoltre, tenuto conto dello squilibrio del rapporto tra titolare e interessato nel particolare contesto lavorativo, il consenso dei dipendenti non può costituire un valido presupposto di liceità ed, altresì, non è consentito far derivare alcuna conseguenza, né positiva né negativa, in ragione della libera scelta del lavoratore in ordine all’adesione o meno alla campagna vaccinale.
Questo aspetto è stato già evidenziato dal Garante nelle FAQ sul trattamento dei dati relativi alla vaccinazione anti-Covid nel contesto lavorativo, pubblicate sul sito web istituzionale nel mese di febbraio u.s., ove lo stesso aveva evidenziato, con riferimento alla possibilità o meno per il datore di lavoro di chiedere conferma ai propri dipendenti dell’avvenuta vaccinazione, che “Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19. Ciò non è consentito dalle disposizioni dell’emergenza e dalla disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro. Il datore di lavoro non può considerare lecito il trattamento dei dati relativi alla vaccinazione sulla base del consenso dei dipendenti, non potendo il consenso costituire in tal caso una valida condizione di liceità in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo (considerando 43 del Regolamento)”.
Il Green Pass
Pertanto, il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l’avvenuta vaccinazione anti Covid-19. Quindi, non può, ad esempio, chiedere al lavoratore di mostrare il Green pass dal 15 giugno. Le informazioni non possono essere scambiate nemmeno con il consenso del lavoratore. «Il datore di lavoro — spiega il Garante — non può considerare lecito il trattamento dei dati relativi alla vaccinazione sulla base del consenso dei dipendenti, non potendo il consenso costituire in tal caso una valida condizione di liceità in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo».
La prenotazione delle dosi
Con riferimento alla attività di raccolta delle adesioni e prenotazione delle dosi il Garante, nel predetto documento, specifica che, tenuto conto che l’informazione relativa all’adesione volontaria da parte della lavoratrice e del lavoratore deve essere trattata solo dal professionista sanitario opportunamente individuato, il datore di lavoro, all’atto della presentazione del piano vaccinale aziendale all’ASL territorialmente competente, dovrà limitarsi, sulla base delle indicazioni fornite dal professionista sanitario, a indicare esclusivamente il numero complessivo dei vaccini necessari per la realizzazione dell’iniziativa. Nel piano, elaborato con il supporto del professionista sanitario e presentato dal datore di lavoro, inoltre, non dovranno essere presenti elementi in grado di rivelare l’identità dei lavoratori aderenti all’iniziativa. Il professionista sanitario (o la struttura sanitaria di riferimento), una volta che siano state raccolte le adesioni, procederà a pianificare le sedute vaccinali, adottando, nel trattamento dei dati, delle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio ai sensi dell’art. 32 del GDPR, potendo a tal fine avvalersi del supporto, anche economico, del datore di lavoro in base a quanto indicato al punto 8 del Protocollo.
Nei casi in cui, al fine di raccogliere le informazioni in merito all’adesione dei dipendenti al servizio vaccinale presso l’azienda, vengano utilizzati strumenti (ad es. applicativi informatici) del datore di lavoro, nel rispetto del principio di responsabilizzazione, dovranno essere adottate le misure tecniche e organizzative affinché il trattamento sia conforme alla normativa di settore, garantendo, ad esempio, che i dati personali relativi alle adesioni e all’anamnesi dei dipendenti non entrino, neanche accidentalmente, nella disponibilità del personale preposto agli uffici, o analoghe funzioni aziendali, che svolgono compiti datoriali (es. risorse umane, uffici disciplinari) e in generale a uffici o altro personale che trattano i dati dei dipendenti per finalità di gestione del rapporto di lavoro. Nei casi in cui il datore di lavoro ricorra a strutture sanitarie private ovvero, in assenza del medico competente, alle strutture territoriali dell’INAIL, lo stesso adotterà iniziative per consentire ai dipendenti, qualora intendano aderire all’iniziativa, di rivolgersi direttamente alle predette strutture.
La pianificazione delle vaccinazioni
Per quanto riguarda la pianificazione delle vaccinazioni il Garante sottolinea che tenuto conto della necessità di assicurare il regolare ed efficiente svolgimento dell’attività lavorativa alla luce delle concrete caratteristiche – dimensionali e organizzative – di ciascuna realtà produttiva, il datore di lavoro, attraverso le competenti funzioni interne, potrà fornire al professionista sanitario indicazioni e criteri in ordine alle modalità di programmazione delle sedute vaccinali, senza però trattare dati personali relativi alle adesioni di lavoratrici e lavoratori identificati o identificabili.
Con riguardo alla somministrazione e registrazione del vaccino il Garante evidenzia che tale operazione “è riservata ad operatori sanitari in grado di garantire il pieno rispetto delle prescrizioni sanitarie adottate per tale finalità e in possesso di adeguata formazione per la vaccinazione anti SARS-CoV-2/Covid-19” in base a quanto disposto al punto 9 del Protocollo e deve essere effettuata all’interno dei locali, individuati dal datore di lavoratore nel rispetto dei requisiti indicati nelle “Indicazioni ad interim”, con la supervisione dell’autorità sanitaria competente.
In ogni caso gli ambienti selezionati per la somministrazione del vaccino dovranno avere caratteristiche tali da evitare per quanto possibile di conoscere, da parte di colleghi o di terzi, l’identità dei dipendenti che hanno scelto di aderire alla campagna vaccinale. Per quanto possibile nei luoghi prescelti dovrebbero essere adottate misure volte garantire la riservatezza e la dignità del lavoratore, anche nella fase immediatamente successiva alla vaccinazione, prevenendo l’ingiustificata circolazione di informazioni nel contesto lavorativo o comportamenti ispirati a mera curiosità. Il datore di lavoro potrà altresì fornire il proprio supporto mettendo a disposizione strumenti informatici per consentire, al personale sanitario addetto alle vaccinazioni, di accedere, con le proprie credenziali, ai sistemi informativi predisposti per la registrazione delle somministrazioni dei vaccini, in conformità a quanto previsto dalle disposizioni di attuazione del piano strategico nazionale vaccini.
Le assenze
Infine, in relazione alla giustificazione delle assenze, il Garante evidenzia che quando la vaccinazione viene eseguita durante il servizio, il tempo necessario alla medesima è equiparato a tutti gli effetti all’orario di lavoro in base a quanto disposto al punto 15 del Protocollo. In tal caso si potrà quindi procedere alla giustificazione dell’assenza, ove richiesto, con le modalità ordinarie stabilite nei contratti collettivi nazionali applicabili, ovvero mediante rilascio da parte del soggetto che somministra la vaccinazione all’interessato di un’attestazione di prestazione sanitaria indicata in termini generici. Resta salvo che ove dall’attestazione prodotta dal dipendente sia possibile risalire al tipo di prestazione sanitaria da questo ricevuta, il datore di lavoro, salva la conservazione del documento in base agli obblighi di legge, dovrà astenersi dall’utilizzare tali informazioni per altre finalità nel rispetto dei principi di protezione dei dati (v. tra gli altri, il principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b), del GDPR) e non potrà chiedere al dipendente conferma dell’avvenuta vaccinazione o chiedere l’esibizione del certificato vaccinale.
In relazione a tale aspetto, il Garante nelle sopra richiamate FAQ ha disposto, con riferimento alla possibilità per il datore di lavoro di chiedere al medico competente i nominativi dei dipendenti vaccinati, che “il medico competente non può comunicare al datore di lavoro i nominativi dei dipendenti vaccinati. Solo il medico competente può infatti trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica (artt. 25, 39, comma 5, e 41, comma 4, D.lgs. n. 81/2008). Il datore di lavoro può invece acquisire, in base al quadro normativo vigente, i soli giudizi di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in essi riportati (es. art. 18 comma 1, lett. c), g) e bb) D.lgs. n. 81/2008)”.
Obbligo di vaccinazione per l’accesso ai luoghi di lavoro
Infine, con riferimento alla possibilità secondo cui la vaccinazione dei dipendenti possa essere richiesta come condizione per l’accesso ai luoghi di lavoro e per lo svolgimento di determinate mansioni, nelle suddette FAQ il Garante ha disposto che nell’attesa di un intervento del legislatore nazionale che, nel quadro della situazione epidemiologica in atto e sulla base delle evidenze scientifiche, valuti se porre la vaccinazione anti Covid-19 come requisito per lo svolgimento di determinate professioni, attività lavorative e mansioni, allo stato, nei casi di esposizione diretta ad “agenti biologici” durante il lavoro, come nel contesto sanitario che comporta livelli di rischio elevati per i lavoratori e per i pazienti, trovano applicazione le “misure speciali di protezione” previste per taluni ambienti lavorativi (art. 279 nell’ambito del Titolo X del d.lgs. n. 81/2008), solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo e nel rispetto delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, può trattare i dati personali relativi alla vaccinazione dei dipendenti e, se del caso, tenerne conto in sede di valutazione dell’idoneità alla mansione specifica.
In tale quadro, il datore di lavoro dovrà invece limitarsi ad attuare le misure indicate dal medico competente nei casi di giudizio di parziale o temporanea inidoneità alla mansione cui è adibito il lavoratore (art. 279, 41 e 42 del D.lgs. n.81/2008).
Conclusione
In conclusione, per una corretta gestione della campagna vaccinale, solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo e nel rispetto delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, può trattare i dati personali relativi alla vaccinazione dei dipendenti, mentre il datore di lavoro dovrà limitarsi a fornire il suo supporto strumentale ed economico, promuovendo l’iniziativa della vaccinazione presso i luoghi di lavoro e fornendo, in particolare, alla generalità dei dipendenti, le indicazioni utili relative alle complessive caratteristiche del servizio vaccinale usufruibile in azienda e sottoposto alla supervisione dell’azienda sanitaria di riferimento.
