La privacy al tempo del coronavirus: dalla tutela della salute pubblica alla liceità delle precauzioni aziendali

Si assiste in particolare ad una massiva mobilitazione degli enti locali e pubblici che hanno ordinato la chiusura di scuole, università, luoghi ricreativi e sportivi, previsto coprifuoco e disposto esami clinici a centinaia di famiglie (senza considerare le aree critiche, per le quali è disposto il divieto di accesso o di uscita ed i cui varchi sono costantemente sorvegliati dalle forze dell’ordine e dall’esercito).

Non solo. Anche i privati – aziende o associazioni industriali - hanno pensato di contribuire a contrastare il fenomeno sottoponendo i propri dipendenti a scanner termici che raccolgono dati particolari, come la temperatura (gli stessi utilizzati negli aeroporti ed ereditati dalle esperienze della Sars prima e dell’Ebola poi), nonché chiedendo agli stessi, ai consulenti e visitatori, di sottoscrivere autocertificazioni nelle quali si dichiara non solo di non aver visitato recentemente aree a rischio, ma anche di non aver incontrato persone provenienti da tali aree, o addirittura, che abbiano avuto una temperatura pari o superiore a 37.2 nelle ultime due settimane.

La normativa oggi vigente prevede infatti la possibilità di trattare i c.d. dati particolari, fra cui rientrano le informazioni relative allo stato di salute, anche in assenza di consenso dell’interessato ogniqualvolta “il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri […]” (art. 9, par. 2, lett. i), del Regolamento UE n. 679/2016). In altre parole, come confermato dal parere della stessa Autorità Garante per la Protezione dei Dati Personali, la necessità di salvaguardare la sicurezza e la salute dei cittadini consente una compressione della loro riservatezza in favore di ingerenze più o meno estese da parte delle autorità (occorre però sottolineare come l’Autorità abbia considerato adeguata l’ingerenza nella più intima sfera privata delle persone solo per il periodo di vigenza dello stato di emergenza sancito dal Consiglio dei Ministri evidenziando come al termine di tale periodo sarà necessario ridurre i trattamenti di dati personali che si sono avviati).

Lo stesso non può dirsi però per le aziende e le associazioni industriali.

In primo luogo, i soggetti privati non godono infatti dell’esenzione dall’obbligo di richiesta del consenso degli interessati (consenso che, per sua natura, deve essere libero consentendo all’interessato di rifiutare di fornire le informazioni e facendo così venir meno l’utilità del trattamento). Ne’ tanto meno dall’obbligo di fornire informativa.

In secondo luogo, appare ignorato il principio di minimizzazione del trattamento: quale sarebbe la necessità  dell’autodichiarazione? perché quest’ultima dovrebbe essere resa da soggetti individuati? quale la sua utilità? come verrebbe azionata in giudizio una autodichiarazione falsa? chi conserverebbe il documento e per quanto tempo? quali sarebbero i diritti esperibili dall’interessato? In altre parole, qual sarebbe il valore aggiunto di un trattamento mediante un’autocertificazione – e della conseguente raccolta di dati personali – rispetto ad una semplice comunicazione indirizzata a una serie di destinatari non individuati? 

Come noto, infatti, la protezione dei dati personali ruota intorno al dogma della c.d. minimizzazione, ossia la necessità di chiedersi anzitutto se non sia possibile perseguire uno scopo con un minor trattamento di dati personali, o addirittura evitando tale trattamento. Cosa che, nel caso di specie, ben potrebbe avvenire sostituendo il modulo di autocertificazione con una comunicazione ai dipendenti, oppure con un avviso affisso all’ingresso dell’azienda attraverso cui si invita chiunque abbia soggiornato in aree a rischio o presenti sintomi a non entrare nella sede.

Ed il risultato di prevenzione non sarebbe forse pressoché identico?

Inoltre, occorre valutare approfonditamente tutti gli altri profili legali che potrebbero nascere da queste autocertificazioni e che richiedono la valutazione circa il valore giuridico del documento, nonché la necessità di dimostrare la veridicità delle informazioni indicate. 

Insomma, una valutazione di impatto sul tema sarebbe d’obbligo.

Ma invece di procedere in tal senso, complice l’emergenza, il desiderio comune par essere quello di rivivere il Decameron, sostituendo le novelle di Boccaccio con un moderno smart-working ed attendendo al sicuro la fine della peste. Ops! Del coronavirus.