Sicurezza e Privacy

La Privacy è uno dei diritti fondamentali dell’uomo nell’età dell’informazione ed è protetta dalla Dichiarazione Universale dei diritti dell’Uomo, dal International Covenant on Civil and Political Rights, dalla Convenzione Europea per la Protezione dei Diritti dell’Uomo e delle Libertà fondamentali, trovando specifico riconoscimento nel Codice della Privacy (D.Lgs. 196/2003).

Il 30 aprile 2008, come abbiamo più volte detto in precedenza, è stato pubblicato sulla Gazzetta Ufficiale n. 101, il D.Lgs. n. 81 del 9 aprile 2008, in attuazione dell’art. 1 della Legge n. 123 del 3 agosto 2007, in materia di tutela della salute e della sicurezza nei posti di lavoro, denominato ”Testo Unico sulla Sicurezza nei posti di lavoro” o “TUSL”.

Sia il datore di lavoro pubblico che quello privato devono svolgere alcuni trattamenti di dati in applicazione della disciplina in materia di igiene e sicurezza del lavoro.

Tale disciplina, che attua anche alcune direttive comunitarie e si colloca nella cornice più ampia delle misure necessarie a tutelare l’integrità psico-fisica dei lavoratori, pone direttamente in capo al medico competente in materia di igiene e sicurezza nei luoghi di lavoro la sorveglianza sanitaria obbligatoria (e, ai sensi del D.Lgs. n. 81/08, il correlato trattamento dei dati contenuti in cartelle cliniche).

Il legame tra il Testo unico sulla Sicurezza nei posti di lavoro ed il Codice Privacy va ricercato nell’attuazione delle misure di sicurezza aziendali: osservare le norme del primo mette al sicuro l’azienda per quanto riguarda il contesto ambientale ed è un buon punto di partenza per attuare le norme del secondo.

Il D.Lgs. n. 81 del 9 aprile 2008 (TUSL) contiene numerosi riferimenti al Codice Privacy:

• l’art. 1 (Finalità), al co. 3, stabilisce che “gli atti, i provvedimenti e gli adempimenti attuativi” del TUSL devono essere conformi al Codice Privacy;
• l’art. 8 (Sistema Informativo Nazionale per la Prevenzione nei luoghi di lavoro – SINP), al co. 3, definisce l’INAIL come titolare del trattamento del SINP e, al co. 7, impone che l’accesso ai dati e la loro diffusione avvenga secondo le norme di cui al Codice Privacy;
• l’art. 25 (Obblighi del Medico competente), al co. 1, richiede che la comunicazione dei dati al datore di lavoro, lett. d), ed all’ISPELS, lett. f), avvenga secondo le modalità previste dal Codice Privacy;
• l’art. 50 (Attribuzioni del Rappresentante dei Lavoratori per la Sicurezza), al co. 6, obbliga il RLS all’osservanza di quanto previsto in merito dal Codice Privacy;
• l’art. 53 (Tenuta della documentazione), al co. 4, stabilisce che tutta la documentazione, sia in formato elettronico che cartaceo, deve essere custodita secondo le norme previste dal Codice Privacy;
• l’art. 243 (Registro di esposizione e cartelle sanitarie), al co. 7, ribadisce che i registri di esposizione, le annotazioni individuali e le cartelle sanitarie e di rischio sono custoditi e trasmessi secondo le norme di cui al Codice Privacy.

I dati da trattare

Il datore di lavoro deve svolgere alcuni trattamenti di dati in applicazione della disciplina in materia di igiene e sicurezza del lavoro (art. 1, D.Lgs. n. 81/2008 e successive modificazioni e integrazioni):

• Documento di Valutazione dei rischi (DVR): questo documento, oltre a raccogliere tutti i dati sulla valutazione dei rischi inerenti l’attività dell’azienda e le procedure di sicurezza per ridurre la probabilità di infortunio sul luogo di lavoro, contiene anche i dati personali dei lavoratori (nome, cognome, luogo, data di nascita, residenza, caratteristiche psicofisiche, eventuali malattie professionali, dati sulla idoneità alla mansione, ecc.) e dell’azienda (stato dei luoghi, planimetrie, documentazione sull’impiantistica, ecc.). Tale documento è redatto dal Datore di Lavoro in collaborazione con il Responsabile del Servizio di Prevenzione e Protezione (RSPP), il Medico Competente e il Rappresentante dei Lavoratori per la Sicurezza (RLS). Non possono essere quindi comunicati dati personali del dipendente (ad esempio, quelli inerenti alla circostanza di un’avvenuta assunzione, allo status o alla qualifica ricoperta, all’irrogazione di sanzioni disciplinari, a trasferimenti del lavoratore come pure altre informazioni contenute nei contratti individuali di lavoro) a terzi quali associazioni (anche di categoria), conoscenti, familiari e parenti.
• Visite mediche periodiche: queste sono conseguenziali all’analisi dei rischi aziendali e vengono tabellate e programmate all’interno del DVR aziendale. Tale disciplina, che attua anche alcune direttive comunitarie e si colloca nella cornice più ampia delle misure necessarie a tutelare l’integrità psico-fisica dei lavoratori, pone direttamente in capo al medico competente in materia di igiene e sicurezza nei luoghi di lavoro la sorveglianza sanitaria obbligatoria (e, ai sensi del D.Lgs. n. 81/2008, il correlato trattamento dei dati contenuti in cartelle cliniche). In questo ambito il medico competente effettua accertamenti preventivi e periodici sui lavoratori (art. 33 d.P.R. n. 303/1956; D.Lgs. n. 81/2008) e istituisce (curandone l’aggiornamento) una cartella sanitaria e di rischio (in conformità alle prescrizioni contenute negli articoli del D.Lgs. n. 81/2008) i cui dati riassunti vengono classificati e inseriti nel DVR.

NOTA: Per completezza si sottolinea che detta cartella è custodita presso l’azienda ”con salvaguardia del segreto professionale, e consegnata in copia al lavoratore stesso al momento della risoluzione del rapporto di lavoro, ovvero quando lo stesso ne fa richiesta”; in caso di cessazione del rapporto di lavoro le cartelle sono trasmesse all’Istituto superiore prevenzione e sicurezza sul lavoro-Ispesl, in originale e in busta chiusa. 

• In relazione a tali disposizioni, al medico competente è consentito trattare dati sanitari dei lavoratori anche mediante annotazione nelle cartelle sanitarie e di rischio, e curando le opportune misure di sicurezza (in collaborazione con DL, RSPP e RLS) per salvaguardare la segretezza delle informazioni trattate. Il datore di lavoro è tenuto, su parere del medico competente (o qualora quest’ultimo lo informi di anomalie imputabili all’esposizione a rischio), ad adottare le misure preventive e protettive per i lavoratori interessati; in questo specifico contesto il datore di lavoro può accedere al giudizio di idoneità del lavoratore allo svolgimento di date mansioni, anziché alle specifiche patologie accertate.
• Corsi di formazione ex artt. 36 e 37 del D.Lgs. 81/2008: in linea generale il datore di lavoro pubblico può utilizzare informazioni sensibili relative al proprio personale in attuazione della normativa in materia di instaurazione e gestione di rapporti di lavoro di qualunque tipo, per finalità di formazione, nonché per concedere benefici economici e altre agevolazioni (artt. 112, 95 e 68 del Codice).
• Nomine per incarichi specifici: non è di regola lecito diffondere informazioni personali riferite a singoli lavoratori o liberi professionisti attraverso la loro pubblicazione in comunicazioni e documenti interni affissi nei luoghi di lavoro o atti e circolari destinati alla collettività dei lavoratori, come nelle ipotesi di informazioni riguardanti contratti individuali di lavoro, trattamenti economici o accessori percepiti, assenze dal lavoro per malattia, ferie, permessi, iscrizione e/o adesione di singoli dipendenti ad associazioni.

In questo panorama si inserisce il problema della violazione del Codice della Privacy posto in essere dalla Committenza negli appalti pubblici e privati. È prassi costante, difatti, la richiesta, da parte di quest’ultima, di invio di copie di documentazione coperte dalla normativa succitata.

Sicuramente, il Committente o il Responsabile dei lavori, anche nel caso di affidamento dei lavori ad un’unica impresa, deve verificare l’idoneità tecnico-professionale dell’impresa affidataria, delle imprese esecutrici e dei lavoratori autonomi in relazione alle funzioni o ai lavori da affidare, con le modalità di cui all’All. XVII del D.Lgs. 81/08, ma il Legislatore, per quanto su esposto, ha chiarito che il D.L. ha solo l’obbligo di esibire (e non di dare copia) i documenti del richiamato All. XVII del D.Lgs. 81/08.

Analizzando più nello specifico la norma, l’art. 1, 3 co., D.Lgs. 81/08 e smi, dispone che “gli atti, i provvedimenti e gli adempimenti attuativi del presente decreto sono effettuati nel rispetto dei principi del D.Lgs. 30 giugno 2003, n. 196.”. Inoltre, l’art. 53, 4 co., D.Lgs. 81/08, specifica che: “la documentazione, sia su supporto cartaceo che informatico, deve essere custodita nel rispetto del D.Lgs. 30 giugno 2003, n. 196, in materia di protezione dei dati personali.”.

L’unica eccezione alla suddetta normativa è l’art. 26, 4 e 5 co., Codice della Privacy, che statuisce: “4. I dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante: (…)

d) quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall’autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona condotta di cui all’art. 111. 5. I dati idonei a rivelare lo stato di salute non possono essere diffusi”.

I princìpi di necessità e di indispensabilità

Nel perseguire tali finalità occorre, comunque, rispettare i princìpi di necessità e di indispensabilità che impongono di ridurre al minimo l’utilizzo di dati personali e, quando non si possa prescindere dall’uso di informazioni personali sensibili o giudiziarie, di trattare dati solo in riferimento ai tipi di dati e di operazioni indispensabili in relazione alla specifica finalità di gestione del rapporto di lavoro (artt. 3 e 22 del Codice).

Denunce di infortunio sul lavoro

Gli enti di assistenza possono conoscere gli elenchi delle denunce di infortunio sul lavoro relative agli assistiti che abbiano conferito il proprio mandato. Alcune amministrazioni comunali hanno chiesto al Garante se un istituto nazionale di assistenza sociale possa visionare le denunce di infortunio sul lavoro che i datori di lavoro segnalano al Sindaco in quanto autorità locale di pubblica sicurezza.

Nella risposta il Garante ha osservato che il D.Lgs. n.135 del 1999, che integra la legge sulla privacy, ha previsto un’articolata disciplina per il trattamento di dati sensibili da parte dei soggetti pubblici. Tale disciplina, nell’ambito del rapporto di lavoro, ha individuato, fra le rilevanti finalità di interesse pubblico, l’adempimento di specifici obblighi o compiti previsti in materia di igiene e sicurezza sul lavoro.

Il medesimo decreto consente, sulla base della normativa specifica in materia, agli istituti di patronato ed assistenza sociale, alle associazioni di categorie e agli ordini professionali, di conoscere, anche per via telematica, i dati di coloro che hanno subito infortuni sul lavoro, ma soltanto nel caso in cui abbiano ricevuto un esplicito mandato di assistenza.

Invece, sia la normativa in materia di igiene e sicurezza sul lavoro, sia il testo unico in materia di assicurazione obbligatoria contro gli infortuni sul lavoro, non prevedono che gli istituti di assistenza sociale, che hanno personalità giuridica di diritto privato, possano accedere, anche solo per presa visione, alla globalità degli elenchi delle denunce di infortunio sul lavoro detenuti dal Sindaco, quale autorità locale di pubblica sicurezza.

La competenza, affidata agli enti di patronato per lo svolgimento di attività di informazione, consulenza e assistenza in materia di sicurezza e salute sui luoghi di lavoro, non è infatti una circostanza idonea a consentire la conoscibilità da parte degli enti stessi della globalità dei suddetti elenchi delle denunce di infortunio.

GIURISPRUDENZA: Nelle amministrazioni pubbliche spetta agli organi di direzione politica procedere all’individuazione dei soggetti cui attribuire la qualità di datore di lavoro, con la conseguenza che in mancanza di tale individuazione permane in capo a suddetti organi l’indicata qualità, anche ai fini dell’eventuale responsabilità per la violazione della normativa antinfortunistica. (Fattispecie in cui è stata riconosciuta la responsabilità del sindaco che non aveva provveduto ad attribuire ad alcuno la qualità datoriale né, tantomeno, aveva nominato il responsabile del servizio di prevenzione e protezione). (Cassazione penale, sez. IV, 23/04/2013, n. 35295).

In tema di tutela della sicurezza e della salute nei luoghi di lavoro negli enti locali, la qualifica di datore di lavoro spetta al dirigente responsabile del corrispettivo servizio tecnico, individuato dall’organo di governo, ma la posizione di garanzia e la responsabilità di quest’ultimo, con riguardo alla messa in sicurezza degli impianti di proprietà dell’ente, non è esclusa allorchè il rischio consegua da scelte di indirizzo ovvero da atti o condotte omissive dell’organo politico, che abbiano privato il dirigente della reale autonomia di spesa, e sempre che la situazione di pericolo sia in concreto conosciuta o conoscibile dai titolari delle posizioni apicali. (In applicazione di tale principio la Corte ha annullato per carenza di motivazione la sentenza di condanna dell’assessore comunale preposto al settore, ritenuto responsabile, unitamente al dirigente dell’ufficio tecnico comunale, del decesso dei lavoratori durante i lavori di spurgo di un impianto di depurazione, in quanto la sua posizione di garanzia era stata desunta dalla sola delega e dal fatto che, essendo il depuratore uno degli impianti più importanti del comune, le vicende relative alla sua cura e manutenzione non potevano sfuggire alla sua attenzione). (Cassazione penale, sez. IV, 07/06/2016, n. 30557).

Comunicazione di dati personali tra soggetti pubblici

Come noto, la comunicazione tra soggetti pubblici di dati personali, diversi da quelli sensibili e giudiziari, è ammessa se espressamente prevista da norma di legge o di regolamento oppure, in mancanza di tale norma, qualora risulti comunque necessaria per lo svolgimento di funzioni istituzionali; in quest’ultimo caso, il titolare deve effettuare una preventiva comunicazione al Garante (artt. 19, co. 2, e 39 del Codice della Privacy).

La disciplina in materia di tutela della salute e della sicurezza nei luoghi di lavoro prevede la possibilità per il datore di lavoro di adottare modelli di organizzazione e di gestione aziendale che consentano di dare effettivo adempimento agli obblighi a tutela dei lavoratori in tale settore.

NOTA: Per es., il personale universitario è da considerarsi, ai fini dell’applicazione della disciplina di settore, ricompreso nella definizione di “lavoratore” di cui all’art. 2, co. 1, lett. a) del D.Lgs. n. 81/2008.

All’interno di tale cornice normativa, pertanto, ai sensi degli artt. 19, co. 2 e 39 co. 2 del Codice della Privacy, considerata la mancanza di un’espressa previsione di legge o di regolamento che in via diretta ammetta la comunicazione di dati tra soggetti pubblici, si potrà lecitamente porre in essere le necessarie operazioni di trattamento, acquisendo le informazioni di carattere personale che risultino comunque pertinenti e non eccedenti in vista delle dichiarate finalità (art. 11, co. 1, lett. d) del Codice della Privacy).

Con riguardo invece all’indicazione tra i dati suscettibili di comunicazione delle informazioni relative allo stato di “maternità” delle lavoratrici, occorre precisare che, ai fini dell’applicazione della disciplina di protezione dei dati personali, va considerato dato relativo allo stato di salute (art. 4, co. 1, lett. d) del Codice della Privacy) l’informazione relativa all’interdizione dal lavoro delle lavoratrici in stato di gravidanza ai sensi dell’art. 17 co. 2, lett. a), D.Lgs. n. 151/2001.

NOTA: In ragione delle “gravi complicanze della gravidanza o [a] persistenti forme morbose che si presume possano essere aggravate dallo stato di gravidanza”, fattispecie in relazione alla quale i competenti uffici della Direzione Provinciale del Lavoro e della Asl dispongono l’interdizione dal lavoro delle lavoratrici in stato di gravidanza fino al periodo di astensione c.d. obbligatoria. (sul punto, Provv. del 27 giugno 2013, doc. web n. 2576686).

Tanto premesso, posto che la procedura “semplificata” che il Codice prevede agli artt. 19, co. 2 e 39, co. 1, lett. a) e 2, trova applicazione per la comunicazione da parte dei soggetti pubblici dei soli dati personali diversi da quelli sensibili, il trattamento (tra cui la “comunicazione”, art. 4, co. 1, lett. a) ed l) del Codice della Privacy) delle menzionate informazioni e di eventuali altri dati sensibili – che deve comunque avvenire “secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell’interessato” (art. 22, co. 1, del Codice della Privacy) – potrà essere effettuato esclusivamente in presenza di espressa disposizione di legge nella quale siano specificati, non solo i tipi di dati che possono essere trattati e la natura delle operazioni eseguibili, ma anche le finalità di rilevante interesse pubblico perseguite (art. 20, co. 1, del Codice della Privacy). Ove la legge non specifichi la tipologia di dati e di operazioni eseguibili le stesse, in base al richiamato quadro normativo, dovranno necessariamente essere specificate nei regolamenti per il trattamento dei dati sensibili e giudiziari di cui all’art. 20, co. 2, del Codice della Privacy.

Pertanto ove nell’adempimento di specifici obblighi in capo alle amministrazioni interessate si renda necessario provvedere alla comunicazioni anche di siffatte informazioni ovvero di altri dati sensibili (art. 4, co. 1, lett. d), del Codice della Privacy) si potrà provvedere, se del caso, ad eventuali aggiornamenti dei rispettivi regolamenti per il trattamento dei dati sensibili e giudiziari previo parere del Garante.

Medico competente

Un altro argomento che va trattato riguarda il medico competente che effettua accertamenti preventivi e periodici sui lavoratori e istituisce (curandone l’aggiornamento) una cartella sanitaria e di rischio (in conformità alle prescrizioni contenute nel D.Lgs. n. 81/08).

Detta cartella è custodita presso l’amministrazione pubblica o privata ”con salvaguardia del segreto professionale, e consegnata in copia al lavoratore stesso al momento della risoluzione del rapporto di lavoro, ovvero quando lo stesso ne fa richiesta”; in caso di cessazione del rapporto di lavoro le cartelle sono trasmesse all’Istituto superiore prevenzione e sicurezza sul lavoro-Ispesl, in originale e in busta chiusa.

In relazione a tali disposizioni, al medico competente è consentito trattare dati sanitari dei lavoratori anche mediante annotazione nelle cartelle sanitarie e di rischio, e curando le opportune misure di sicurezza per salvaguardare la segretezza delle informazioni trattate. Ciò, quale che sia il titolare del trattamento effettuato a cura del medico.

Alle predette cartelle il datore di lavoro non può accedere, dovendo soltanto concorrere ad assicurarne un’efficace custodia nei locali della società o P.A. (anche in vista di possibili accertamenti ispettivi da parte dei soggetti istituzionalmente competenti) ma, come detto, “con salvaguardia del segreto professionale”.

Il datore di lavoro pubblico e privato è tenuto, su parere del medico competente (o qualora quest’ultimo lo informi di anomalie imputabili all’esposizione a rischio), ad adottare le misure preventive e protettive per i lavoratori interessati; in questo specifico contesto il datore di lavoro può accedere al giudizio di idoneità del lavoratore allo svolgimento di date mansioni, anziché alle specifiche patologie accertate.

Il medico può farsi assistere da personale sanitario, anche dipendente dello stesso datore di lavoro (pubblio o privato), che deve essere designato quale incaricato del trattamento dei dati personali impartendo ad esso specifiche istruzioni per salvaguardare la segretezza delle informazioni trattate (art. 30 del Codice della Privacy). In tal caso, a prescindere da quale sia il titolare del trattamento e dagli eventuali obblighi in tema di segreto d’ufficio, il medico competente deve predisporre misure idonee a garantire il rispetto del segreto professionale da parte dei propri collaboratori che non siano tenuti per legge al segreto professionale, mettendoli ad esempio a conoscenza di tali disposizioni e delle relative sanzioni (art. 10 del codice di deontologia medica del 16 dicembre 2006; art. 4 del codice deontologico per gli infermieri del maggio del 1999).