In data 17 febbraio 2021, l’Autorità garante per la protezione dei dati personali (l’”Autorità” o il “Garante Privacy”) ha pubblicato sul proprio sito internet le FAQ inerenti il trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo (le “FAQ”), disponibili in lingua italiana e inglese. Attraverso la pubblicazione delle FAQ, il Garante Privacy ha voluto rispondere ad alcune domande frequenti in merito al trattamento di dati personali relativi alla salute, con specifico riferimento ai dati relativi alla vaccinazione anti Covid-19, svolto in ambito lavorativo al fine, in particolare, di: In particolare, il Garante Privacy precisa che il datore di lavoro non può acquisire, neanche con il consenso del dipendente o tramite il medico competente, i nominativi del personale vaccinato o la copia delle certificazioni vaccinali. Infatti, sia la disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro sia le disposizioni sull’emergenza sanitaria non riconoscono tale facoltà in capo al datore di lavoro. Ne deriva, pertanto, che il consenso del dipendente non può costituire, in questi casi, una condizione di liceità del trattamento dei dati ai sensi dell’articolo 6, comma 1, lett. a) del Regolamento UE 2016/679 (“GDPR”), in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo. Sul punto, il Garante Privacy richiama quanto previsto dal Considerando 43 del GDPR il quale prevede che “(p)er assicurare la libertà di prestare il consenso, è opportuno che il consenso non costituisca un valido fondamento giuridico per il trattamento dei dati personali in un caso specifico, qualora esista un evidente squilibrio tra l'interessato e il titolare del trattamento, specie quando il titolare del trattamento è un'autorità pubblica e ciò rende pertanto improbabile che il consenso sia stato prestato liberamente in tutte le circostanze di tale situazione specifica. Si presume che il consenso non sia stato liberamente prestato se non è possibile prestare un consenso separato a distinti trattamenti di dati personali, nonostante sia appropriato nel singolo caso, o se l'esecuzione di un contratto, compresa la prestazione di un servizio, è subordinata al consenso sebbene esso non sia necessario per tale esecuzione”. Inoltre, il datore di lavoro non può acquisire tali informazioni neanche tramite il medico competente. Nelle FAQ viene, infatti, previsto che “il medico competente non può comunicare al datore di lavoro i nominativi dei dipendenti vaccinati. Solo il medico competente può infatti trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica (ai sensi degli articoli 25, 39, comma 5, e 41, comma 4, del D.Lgs. 81/2008)” (“Testo Unico in materia di tutela della salute e della sicurezza nei luoghi di lavoro”). In base al quadro normativo vigente, il datore di lavoro può, invece, acquisire i soli giudizi di idoneità alla mansione specifica redatti dal medico competente e le eventuali prescrizioni e/o limitazioni in essi riportati (ad esempio, ai sensi dell’articolo 18 comma 1, lett. c), g) e bb) del D.Lgs. 81/2008). Infine, nelle stesse FAQ, viene fatta chiarezza in merito alla facoltà per i datori di lavoro di richiedere la vaccinazione anti Covid-19 quale condizione per l’accesso ai luoghi di lavoro e per lo svolgimento di determinate mansioni (ad esempio, in ambito sanitario). In merito a questo ultimo tema, in attesa di un intervento del legislatore nazionale che, nel quadro della situazione epidemiologica in atto e sulla base delle evidenze scientifiche, valuti se porre la vaccinazione anti Covid-19 quale requisito per lo svolgimento di determinate professioni, attività lavorative e mansioni, il Garante Privacy precisa infatti che:
