Obblighi in materia di Green Pass e protezione dei dati personali

Ovvero cosa fare e non fare a partire dal 15 ottobre:

L’entrata in vigore del D.L. n.127/2021 che ha introdotto l’obbligo di impiego delle certificazioni verdi Covid-19 in ambito lavorativo privato, oltre che pubblico, impone al datore di lavoro di verificare la validità delle certificazioni verdi dei dipendenti e dei collaboratori esterni.

Per rimediare a modalità organizzative che richiederebbero tempi di controllo maggiori, si stanno diffondendo pratiche che prevedono la raccolta di elenchi del personale accompagnato dal possesso o meno del Green Pass, o addirittura dalla condizione da cui deriva tale certificazione (somministrazione del vaccino, avvenuta guarigione da Covid-19 o esecuzione di un test antigenico). Tuttavia, tali attività si pongono in aperto contrasto con quanto previsto dalla normativa vigente in materia.

L’art. 13 comma 5 del DPCM 17 giugno 2021 dichiara espressamente che “l’attività di verifica delle certificazioni verdi Covid-19 non comporta, in alcun caso, raccolta dei dati dell’intestatario in qualunque forma”.

Il Garante della Privacy ha ribadito che la raccolta e la conservazione del Green Pass, o anche semplicemente della data di scadenza dello stesso, così come la richiesta di invio del documento con modalità elettroniche (tipo email o app di messaggistica), rappresentano una violazione della disciplina in materia di protezione dei dati.

Sono innumerevoli, infatti, i principi del GDPR che vengono violati: dal principio di liceità, per cui la raccolta di queste informazioni non è supportata da idonea base giuridica, al principio di minimizzazione dei dati, raccolti in maniera eccedente rispetto alle finalità indicate dalla norma, nonché il principio di esattezza del dato rispetto alla validità del Green Pass, poiché questo potrebbe diventare in futuro revocabile prima della sua data di scadenza.

Non possiamo, quindi, creare una lista di nominativi associata al possesso o meno del Green Pass, neanche qualora venga garantito un periodo breve di conservazione di questi dati.

Leggendo il D.L. n.127/2021 di concerto con il DPCM e le altre norme in materia di prevenzione del contagio da Covid-19 ricaviamo altre indicazioni rispetto agli obblighi da rispettare in fase di verifica del Green Pass. Oltre all’esclusione della raccolta in qualunque forma, da parte dei soggetti verificatori, dei dati dell’intestatario della certificazione dobbiamo ricordare che:

1. La verifica del Green Pass può avvenire soltanto attraverso app certificate per cui la scansione del QR code consenta unicamente di controllare la validità dello stesso e di conoscere le generalità dell’intestatario, senza rendere visibili le informazioni che ne hanno determinato l’emissione;
2. Sono autorizzati a verificare i Green Pass i datori di lavoro o le persone da essi delegati con atto formale di nomina, recante le necessarie istruzioni sull’esercizio delle attività di controllo delle certificazioni. Sarà quindi necessario che il datore di lavoro elabori una nomina per ciascuno dei dipendenti che verrà impiegato nel nuovo servizio, come “addetto delegato alla verifica delle certificazioni verdi Covid-19”. Tale nomina dovrà contenere precise istruzioni sullo strumento da utilizzare per i controlli e dovrà chiarire che l’attività di verifica delle certificazioni non deve comportare, in alcun caso, la raccolta dei dati e dei documenti dell’intestatario. La verifica dei Green Pass da parte di persone non debitamente nominate comporterebbe una violazione della norma;
3. Definire entro il 15 ottobre p.v. modalità operative che garantiscano la verifica delle certificazioni verdi, preferibilmente al momento dell’accesso ai luoghi di lavoro. I controlli dovranno essere effettuati in modo da assicurare piena conformità alla normativa anche del personale che si recherà presso sedi di aziende clienti. In questo ultimo caso sarà comunque rimessa anche alla responsabilità del committente la verifica della validità del Green Pass del personale esterno.

Il Garante ha specificato che il trattamento dei dati personali, in relazione alla verifica della validità delle certificazioni verdi Covid-19, non produrrà illecito sanzionabile solo se sarà conforme alla disciplina sopra indicata e nel rispetto norme in materia di protezione dei dati personali

In conclusione è necessario: