Covid 19 e Lavoro: il VADEMECUM 2020 del datore di lavoro per sicurezza e privacy!

Alcuni CONSIGLI per aumentare il LIVELLO di SICUREZZA degli “SmartWorker”:

• Disincentivate l’utilizzo di dispositivi personali (Byod) e dotate lo “Smartworker” di dispositivi aziendali o comunque KIT già predisposti dall’azienda e non liberamente modificabili dall’utente;
• Per connessioni ai server aziendali abilitate VPN con protezioni che garantiscano alti livelli di security (mediante firewall di fascia adeguata e configurati correttamente);
• Stabilite Policy aziendali per l’uso di password complesse e difficili da violare per le connessioni da remoto (consigliata l’autenticazione a due fattori es password+sms o password+token fisico);
• Disabilitate la navigazione libera ed incontrollata su Internet al di fuori dei siti utili per il lavoro;
• Utilizzate soluzioni di videoconferenza evitando possibilmente quelle “free”;
• Limitate le credenziali da “Amministratore” (in particolare per chi lavora da remoto) solo per gli utenti che non ne possono fare a meno;

Modalità d’INGRESSO in AZIENDA

Tra gli obblighi che l’Azienda deve osservare, attraverso le modalità più idonee ed efficaci, vi è quello di informare tutti i lavoratori e chiunque entri in azienda circa le disposizioni delle Autorità, consegnando e/o affiggendo cartelli informativi all’ingresso e nei luoghi maggiormente visibili dei locali aziendali.

Il CARTELLO da affiggere in azienda deve contenere le seguenti ISTRUZIONI:

• l’obbligo di rimanere al proprio domicilio in presenza di febbre (oltre 37.5°) o altri sintomi influenzali e di chiamare il proprio medico di famiglia e l’autorità sanitaria;
• l’obbligo di dichiarare tempestivamente laddove, anche successivamente all’ingresso, sussistano condizioni di potenziale pericolo (sintomi di influenza, temperatura, provenienza da zone a rischio o contatto con persone positive al virus nei 14 giorni precedenti, etc). In tali casi, infatti, i provvedimenti dell’Autorità impongono di informare il medico di famiglia e l’Autorità sanitaria e di rimanere al proprio domicilio;
• l’impegno a rispettare tutte le disposizioni delle Autorità e del Datore di lavoro nel fare accesso in azienda (in particolare, mantenere la distanza di sicurezza, osservare le regole di igiene delle mani e tenere comportamenti corretti sul piano dell’igiene);
• l’impegno a informare tempestivamente e responsabilmente il datore di lavoro della presenza di qualsiasi sintomo influenzale durante l’espletamento della prestazione lavorativa, avendo cura di rimanere ad adeguata distanza dalle persone presenti;
• l’ingresso in azienda di lavoratori già risultati positivi all’infezione da COVID 19 dovrà essere preceduto da una preventiva comunicazione avente ad oggetto la certificazione medica da cui risulti di essersi sottoposto al tampone e di aver avuto esito negativo, secondo le modalità previste e rilasciata dal dipartimento di prevenzione territoriale di competenza.

PUNTO 2 del DPCM del 24 Aprile 2020

La più importante novità introdotta nell’ultimo DPCM è la “raccomandazione” di rilevare la temperatura corporea prima di entrare in azienda ovvero:

• “Il personale, prima dell’accesso al luogo di lavoro potrà essere sottoposto al controllo della temperatura corporea. Se tale temperatura risulterà superiore ai 37,5°, non sarà consentito l’accesso ai luoghi di lavoro”. Tale prescrizione sarà da attuare sia per i Clienti sia per tutti i soggetti — prestatori d’opera — i quali prestino la propria attività professionale nei locali aziendali, vale a dire tutti i Collaboratori anche non alle dipendenze dell’Organizzazione.

• Modalità di accesso dei fornitori esterni o terzi: dovranno essere individuate procedure di ingresso, transito e di uscita, al fine di ridurre le occasioni di contatto con il personale, garantendo la distanza personale di almeno un metro. Si dovrà limitare l’ingresso di visitatori esterni e si dovrà prevedere servizi igienici dedicati a tali persone, diversi da quelli utilizzati dai dipendenti.

ADEMPIMENTI del DATORE DI LAVORO in materia di Trattamento Dati Personali

Focalizzandoci sugli aspetti relativi alla Privacy, pur non tralasciando aspetti maggiormente pertinenti alla sicurezza (D.lgs. 81/2008), come ad esempio la necessità di redigere un DVR ovvero il Documento di Valutazione Rischi da epidemia COVID-19, il datore di lavoro si trova quindi necessariamente a dover trattare dati personali e dati sanitari provenienti:

• dalla rilevazione della temperatura corporea dei propri dipendenti oppure dalla sopravvenuta positività o sospetta tale da COVID-19 nelle forme conosciute;
• dalla comunicazione resa dal dipendente di aver avuto contatti, al di fuori del contesto aziendale, con soggetti positivi al COVID-19 o, per contro;
• dalla comunicazione della sua negatività, attraverso una dichiarazione attestante la non provenienza dalle zone a rischio epidemiologico;
• dalla comunicazione, attraverso una dichiarazione, in merito all’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19;
• da misure da porre in essere per la gestione di una persona sintomatica in azienda.

Informativa Privacy

Come ogni trattamento dati il Datore di lavoro (Titolare del trattamento) deve fornire la relativa INFORMATIVA (Art. 13 del Gdpr) che, nel DPCM, è indicato che potrebbe anche essere fornita oralmente ma, in osservanza del principio di Accountability, si raccomanda di fornirla per iscritto, sempre nell’ottica della massima trasparenza e nel caso si debba poi documentare.

Gli ELEMENTI ESSENZIALI che deve contenere l’informativa Privacy, così come sono indicati nel DPCM per il COVID-19, sono:

• la finalità del trattamento individuata nella prevenzione dal contagio da COVID-19;
•  base giuridica sarà l’implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. art. 1, n. 7, lett. d) del DPCM 11 marzo 2020;
•  termine di conservazione dei dati per il quale occorrerà fare riferimento al termine dello stato d’emergenza, fatta salva la tutela dei diritti in sede giudiziaria, per obblighi normativi o per espressa richiesta dell’interessato.

Registro dei Trattamenti e Valutazione d’impatto

Una volta predisposta l’informativa sul trattamento dei dati andrà di conseguenza aggiornato il registro dei trattamenti (art. 30 gdpr) con l’aggiunta dei nuovi trattamenti che il Titolare intende adottare e la relativa valutazione d’impatto che dovrà tener conto della natura particolare dei dati personali trattati.Si precisa che la valutazione d’impatto (DPIA) dovrebbe essere condotta in merito all’adozione di strumenti sofisticati che adottano tecnologie biometriche come, ad esempio telecamere a infrarossi, Termoscanner automatici, o rilevatori di mascherine.

MISURE ORGANIZZATIVE e di RISERVATEZZA

Sotto il profilo organizzativo, occorre individuare i soggetti preposti al trattamento e fornire loro le istruzioni necessarie.

A tal fine, si ricorda che i dati possono essere trattati esclusivamente per finalità di prevenzione dal contagio da COVID-19 e non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative (es. in caso di richiesta da parte dell’Autorità sanitaria per la ricostruzione della filiera degli eventuali “contatti stretti di un lavoratore risultato positivo al COVID-19).

Nei seguenti CASI SPECIFICI di trattamento:

• ISOLAMENTO MOMENTANEO – dovuto al superamento della soglia di temperatura;
• CONTATTI con soggetti risultati POSITIVI al COVID-19 – comunicato dal dipendente all’Ufficio Responsabile o all’incaricato designato del trattamento;
• ALLONTANAMENTO dal LAVORO durante l’attività lavorativa – nel caso il lavoratore sviluppi febbre e sintomi di infezione respiratoria.

Oppure in caso di:

• DICHIARAZIONE attestante la non provenienza dalle zone a rischio epidemiologico e l’assenza di contatti, negli ultimi 14 giorni, con soggetti risultati positivi al COVID-19

• Rispetto del Principio di limitazione della finalità (art. 5, par. 1, lett. b), GDPR): il Protocollo ricorda che i dati possono essere trattati esclusivamente per finalità di prevenzione dal contagio da COVID-19 e non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative. Il trattamento per la finalità sopraevidenziata appare una esplicita deroga al divieto ex art 9, par. 1, GDPR di trattare le categorie particolari di dati personali – tra le quali i dati relativi alla salute – riconducibile al caso del par. 2, lett. b), dello stesso articolo.

MEDICO COMPETENTE e DATORE di LAVORO: come cambiano i ruoli con l’emergenza COVID 19

Il DPCM del 14.03 e successivi investirà il Medico Competente di maggiori compiti e responsabilità in quanto dovrà collaborare in maniera proattiva ed istruire il Datore di Lavoro sulle misure da adottare nell’ambito del Protocollo di Sorveglianza sanitaria.

Il Datore di lavoro dal canto suo dovrà sollecitare, se necessario, il Medico, in merito all’approvazione della lista delle misure poste in atto per ridurre le possibilità di contagio.

Infatti la definizione del Protocollo di Sorveglianza Sanitaria è a diretto carico del Medico il quale riveste un ruolo fondamentale nella definizione delle misure.

La misurazione della temperatura corporea o altre misure similari, applicate al fine di consentire l’accesso ai locali aziendali, può dirsi legittima e doverosa qualora vi sia una indicazione del medico competente che prescriva una tale misura come idonea a prevenire il rischio secondo criteri e modalità di diligenza e prudenza.

Peraltro, la sola operazione di misurazione della temperatura risulta un’operazione autorizzata direttamente dal DPCM e potrà procedervi il datore di lavoro, anche mediante apparecchi automatici, purché vi sia una valutazione di impatto privacy a monte.

Per altri mezzi diagnostici, ritenuti utili al fine del contenimento della diffusione del virus e della salute dei lavoratori, si ritiene necessario, invece, l’indicazione del medico competente, in considerazione del suo ruolo nella valutazione dei rischi e nella sorveglianza sanitaria.

Tali prescrizioni dovranno confluire nel Protocollo di sicurezza anti-contagio.

L’Ispettorato Nazionale del Lavoro, con messaggio del 13 marzo 2020, ha invitato, ritenendola “utile” per esigenze di natura organizzativa/gestionale, alla redazione, in collaborazione con il Servizio di prevenzione e protezione e con il medico competente, di un piano di intervento o una procedura per un approccio graduale nell’individuazione e nell’attuazione delle misure di prevenzione, basati sul contesto aziendale, sul profilo del lavoratore o soggetto equiparato, assicurando al personale anche adeguati dispositivi di protezione individuale.

Per provvedere, dunque, all’applicazione del paragrafo 12 del Protocollo Condiviso, “nel rispetto della privacy”, si ritiene che:

• il medico competente comunica solo ed esclusivamente i dati indispensabili per tutelare il dipendente, in situazioni particolari, dal rischio di contagio Covid-19, ovvero, si limita alla comunicazione al datore di lavoro la ricorrenza di eventuali situazioni di “fragilità e patologie attuali o pregresse” con riferimento ad uno o più dipendenti, con l’obiettivo di richiedere una particolare protezione per gli stessi; in ogni caso, il medico competente non comunica al datore di lavoro le specificità e/o le origini causali cliniche/sanitarie delle dette “fragilità e patologie attuali o pregresse”, limitandosi a richiedere al datore di lavoro, anche in osservanza delle “indicazioni delle Autorità Sanitarie”, l’adozione di particolari misure di sicurezza e protezione del/dei lavoratore/i oggetto di tutela privilegiata della salute;

• il medico competente informa, con qualsiasi mezzo, anche per telefono o con un mezzo di comunicazione elettronica, il dipendente che sta per procedere alla comunicazione di cui al punto 1), assicurandolo sulla tutela della sua salute sul posto di lavoro e allo stesso tempo della sua privacy in merito alle specificità e/o le origini causali cliniche/sanitarie delle “fragilità e patologie attuali o pregresse” che lo riguardano;
• il medico competente procede alla comunicazione al datore di lavoro del nominativo dei lavoratori che meritano una tutela privilegiata della loro salute perché affetti da “fragilità e patologie attuali o pregresse” e raccomanda al datore di lavoro l’adozione di particolari misure di sicurezza e protezione a favore degli stessi;
• il datore di lavoro, sentito il DPO, se nominato, deve istituire un canale dedicato per raccogliere e processare tale comunicazione, dandone immediata informazione al rappresentante dei lavoratori per la sicurezza, affinché questi adotti senza ritardo le misure di sicurezza e protezione raccomandate dal medico competente, così come le “indicazioni delle Autorità Sanitarie”;
• il datore di lavoro, in ossequio ai principi inderogabili della necessità e limitazione, individua il minor numero possibile di autorizzati al trattamento dei dati comunicati dal medico competente per l’adozione delle misure di cui al punto 4); l’autorizzazione può essere impartita anche oralmente;
• il datore di lavoro utilizza i dati comunicati esclusivamente per la tutela della salute del dipendente e al fine di contenere la diffusione del contagio Covid-19 nonché per adottare, al medesimo fine, i necessari provvedimenti organizzativi finalizzati alla tutela della salute dei dipendenti tutti e, in particolare, dei dipendenti affetti da “fragilità e patologie attuali o pregresse” meritevoli di tutela privilegiata;
• il datore di lavoro informa, con qualsiasi mezzo, anche per telefono o con un mezzo di comunicazione elettronica, il dipendente di avere ricevuto la comunicazione del medico competente e che potrà chiederne la cancellazione in qualsiasi momento;
• i dati di cui al precedente punto 1) devono essere conservati in maniera tale che non possano avervi accesso le persone non autorizzate;
• in qualsiasi momento il lavoratore ha il diritto di chiedere, mediante un canale di comunicazione di facile e pronto utilizzo, di accedere ai dati comunicati la cancellazione dei dati;
• in ogni caso, i dati devono essere cancellati dal datore di lavoro al termine dello stato di emergenza di cui alla delibera del Consiglio dei Ministri del 31 gennaio 2020, dandone comunicazione al medico competente, al rappresentante dei lavoratori per la sicurezza e al lavoratore;
• Si ritiene, infine, che il paragrafo 12 del Protocollo Condiviso vada sempre e comunque interpretato ed applicato nel senso quanto più possibile armonizzato, e pertanto se ed in quanto compatibile, con gli obblighi posti a carico del datore di lavoro, del lavoratore e del medico competente, previsti rispettivamente dagli articoli 18, 20 e 25 del D. lgs. 81/2008.

Aggiornamento della Valutazione dei Rischi: il DVR

Il Dipartimento di medicina, epidemiologia, igiene del lavoro e ambientale dell’INAIL, per parte sua, nelle linee guida pubblicate il 23 aprile 2020, ritiene che il DVR vada aggiornato, almeno nella sostanza, anche tramite un’appendice che tenga conto del rischio di esposizione all’agente patogeno.

Per l’RSPP e il Medico Competente è importante coinvolgere DPO (ove presenti) e Responsabili Privacy nell’adozione dei protocolli di sicurezza sanitaria e nell’analisi dei rischi, al fine di individuare ed applicare le corrette procedure anche in tema di Protezione dei Dati Personali.

Responsabilità Civile e Penale del Datore di Lavoro per infezione da COVID19

È importante infine sapere che l’INAIL ha stabilito che, l’Infezione da COVID-19, qualora venga comprovato che sia stata contratta sul luogo di lavoro (ivi compreso il trasferimento da e per), è ricondotta ad INFORTUNIO sul LAVORO ma, solo in caso di grave dolo o colpa, può discendere automaticamente l’accertamento della responsabilità civile o penale in capo al datore di lavoro.

Siccome la questione aveva sollevato non poche e giustificate apprensioni scatenando svariati dibattiti sul tema, INAIL ha chiarito il 15 Maggio in un comunicato stampa la sua posizione in merito alla Responsabilità Civile e Penale del datore di lavoro per infezione da COVID19.

Il mio WEBINAR “COVID-19 e lavoro” su YouTube

Se vuoi vedere la registrazione del Webinar di Luglio, organizzato in collaborazione con la società di cybersecurity Hermes, lo trovi sul mio canale YouTube al seguente indirizzo:

Fonte documenti e modelli: Federprivacy

RIPRODUZIONE RISERVATA: consentito un utilizzo parziale citando la fonte.