Dr. Pietro Cusati (giurista-giornalista)
Roma,19 Febbraio 2021. Il datore di lavoro non può chiedere ai dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19, neanche con il consenso del dipendente o tramite il medico compente. Non è consentito dalla disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro né dalle disposizioni sull’emergenza sanitaria. Nemmeno il medico competente può comunicare al datore di lavoro i nominativi dei dipendenti vaccinati. Il medico competente,infatti, può trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica. Il datore di lavoro può invece acquisire, in base al quadro normativo vigente, i soli giudizi di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in essi riportati .Solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario nazionale e locale e lo specifico contesto lavorativo e nel rispetto delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, può trattare i dati personali relativi alla vaccinazione dei dipendenti e, se del caso, tenerne conto in sede di valutazione dell’idoneità alla mansione specifica. Solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario e il contesto lavorativo, può trattare i dati personali relativi alla vaccinazione dei dipendenti. Il datore di lavoro deve quindi limitarsi ad attuare, sul piano organizzativo, le misure indicate dal medico competente nei casi di giudizio di parziale o temporanea inidoneità. Le informazioni sullo stato di salute possono essere comunicate a terzi solo sulla base di un presupposto giuridico o su indicazione della persona interessata, previa delega scritta. Le strutture sanitarie sono tenute al pieno rispetto dei principi di correttezza e trasparenza, adottando misure tecniche e organizzative utili non solo a proteggersi da attacchi informatici, ma anche a evitare violazioni di dati personali, in particolare quelli più delicati, come quelli sulla salute troppo spesso causate da inadeguate procedure gestionali. Infatti il Garante per la Privacy ha sanzionato due strutture sanitarie e una ASL per le violazioni di dati personali causati non da attacchi informatici esterni, ma da procedure inadeguate e da semplici errori materiali del personale che avevano comunicato informazioni sulla salute alle persone sbagliate. Le strutture sanitarie devono adottare tutte le misure tecniche e organizzative necessarie per evitare che i dati dei loro pazienti siano comunicati per errore ad altre persone. Un Ospedale Toscano ha ricevuto la sanzione di diecimila euro per aver spedito via posta, al paziente sbagliato, una relazione medica contenente le informazioni sulla salute di un’altra coppia. Anche un Ospedale dell’Emilia-Romagna ha ricevuto la sanzione di diecimila euro per aver consegnato a dei pazienti cartelle cliniche contenenti dati e referti riferibili ad altre persone. In entrambi i casi le sanzioni sono state calcolate tenendo conto che le strutture sanitarie hanno immediatamente dimostrato un elevato grado di cooperazione con il Garante per la Privacy e che gli episodi sono risultati isolati e non volontari. Le due strutture hanno anche pianificato ulteriori misure tecniche e organizzative per ridurre al minimo l’errore umano.Un terzo caso riguarda invece una Asl dell’Emilia-Romagna, dove una paziente aveva esplicitamente richiesto – sottoscrivendo un apposito modulo – che nessun soggetto esterno, neppure i familiari, fosse informato sul suo stato di salute. Il modulo, però, era stato inserito all’interno della cartella clinica. Un’infermiera del reparto dove la donna stava seguendo delle terapie, non essendo a conoscenza della richiesta, invece che contattarla sul telefono cellulare privato, aveva chiamato il numero di casa registrato nell’anagrafe aziendale, parlando così con un familiare. Anche in questo caso, l’Azienda ha riconosciuto gli errori che hanno causato il data breach. Si è impegnata quindi ad implementare un sistema informatizzato di gestione dei numeri di telefono dei pazienti ricoverati, e a predisporre una modulistica unica con la quale i pazienti potranno esprimere la loro eventuale volontà di comunicare informazioni sul proprio stato di salute ai terzi, introducendo una specifica policy aziendale. La Asl, che ha subito anche una richiesta di risarcimento danni da parte della paziente, dovrà pagare per la violazione una sanzione di cinquantamila euro.
