FAQ protezione dei dati e sicurezza sul lavoro

Dati anagrafici e di mansione per DVR, nomine e formazione; attestati e registri di presenza ai corsi; dati su infortuni e quasi incidenti; dati di esposizione (rumore, agenti chimici e cancerogeni); giudizi di idoneità; dati sanitari della sorveglianza sanitaria; immagini se ci sono telecamere. I dati sanitari sono «categorie particolari» (art. 9 GDPR) e richiedono tutele rafforzate.

No. I trattamenti necessari per adempiere gli obblighi del D.Lgs. 81/2008 si basano sull’obbligo di legge (art. 6, par. 1, lett. c GDPR) e, per i dati sanitari, sulle finalità di medicina del lavoro e sugli obblighi in materia di diritto del lavoro (art. 9, par. 2, lett. b e h). Il consenso nel rapporto di lavoro, peraltro, è raramente libero. Serve invece un’informativa chiara (art. 13) che spieghi quali dati si trattano, perché, per quanto tempo e con chi sono condivisi.

No. Il datore di lavoro riceve dal medico competente il giudizio di idoneità alla mansione, con eventuali limitazioni o prescrizioni, ma non diagnosi né esiti degli accertamenti. La cartella sanitaria e di rischio è istituita, aggiornata e custodita dal medico competente con salvaguardia del segreto professionale, nel luogo concordato con il datore di lavoro (art. 25, comma 1, lett. c, D.Lgs. 81/2008). Anche il certificato di malattia trasmesso all’azienda non contiene la diagnosi.

Secondo le indicazioni del Garante per la protezione dei dati personali, il medico competente tratta i dati sanitari dei lavoratori come titolare autonomo, in virtù dei compiti che gli assegna direttamente la legge. Il datore di lavoro resta titolare degli altri dati (nomine, formazione, giudizi di idoneità ricevuti). Conviene definire per iscritto come si scambiano le informazioni, dove sono custodite le cartelle e cosa succede alla cessazione dell’incarico del medico.

Per il tempo previsto dalla legge o necessario alla finalità. Esempi: la cartella sanitaria dei lavoratori esposti ad agenti cancerogeni va conservata fino alla cessazione del rapporto e poi trasmessa all’INAIL, che la conserva per 40 anni dalla fine dell’esposizione (art. 243); registri e documenti di formazione conviene conservarli almeno per la durata del rapporto e oltre, perché servono a dimostrare l’adempimento in caso di contestazioni. I tempi vanno indicati nel registro dei trattamenti e nell’informativa.

Sì, nei limiti necessari: i fornitori che trattano dati per conto dell’azienda (consulente, software per la gestione delle scadenze, ente di formazione per gli attestati) vanno nominati responsabili del trattamento con un contratto conforme all’art. 28 GDPR. Ai fornitori vanno trasmessi solo i dati che servono: per organizzare un corso bastano nome, mansione e codice fiscale, non i dati sanitari.

Il RLS ha diritto di accedere al DVR e alla documentazione aziendale sui rischi (art. 50) e riceve dal medico competente, in occasione della riunione periodica, i risultati anonimi collettivi della sorveglianza sanitaria (art. 25, comma 1, lett. i). Non ha diritto ai dati sanitari individuali. I documenti consegnati al RLS vanno quindi predisposti in forma aggregata quando contengono informazioni sulla salute.

Una perdita o un accesso non autorizzato ai dati (ad esempio cartelle sanitarie lasciate accessibili o inviate al destinatario sbagliato) è un data breach: va valutato e, se comporta un rischio per i lavoratori, notificato al Garante entro 72 ore (art. 33 GDPR). Le sanzioni amministrative del GDPR per le violazioni più gravi arrivano fino a 20 milioni di euro o al 4% del fatturato annuo mondiale (art. 83).