Va premesso che, nell'ambito dell'emergenza sanitaria del coronavirus, secondo le indicazioni del Comitato europeo per la protezione dei dati - EDPB, è particolarmente pertinente:

• l'applicazione dei principi di proporzionalità e di minimizzazione dei dati.

Il datore di lavoro dovrebbe chiedere informazioni sanitarie soltanto nella misura consentita dal diritto nazionale. In particolare, il Comitato ritiene che gli articoli 6 e 9 del RGPD consentano il trattamento dei dati personali, comprese le categorie particolari di dati, da parte di autorità pubbliche competenti (ad es. autorità sanitarie pubbliche), in particolare quando esso ricada nell'ambito delle competenze che il diritto nazionale attribuisce a tale autorità pubblica e nel rispetto delle condizioni sancite dal RGPD.

Il RGPD prevede anche deroghe al divieto di trattamento di talune categorie particolari di dati personali, come i dati sanitari, se ciò è necessario per motivi di interesse pubblico rilevante nel settore della sanità pubblica (articolo 9.2, lettera i), sulla base del diritto dell'Unione o nazionale, o laddove vi sia la necessità di proteggere gli interessi vitali dell'interessato (articolo 9.2.c), poiché il considerando 46 fa esplicito riferimento al controllo di un'epidemia.

In definiva la richiesta ai visitatori o ai dipendenti di fornire dati personali, comprese le categorie particolari di dati come le informazioni sanitarie specifiche nel contesto del COVID-19, è lecita se risponde alle condizioni suddette e, specificatamente, se rispetta proporzionalità e minimizzazione dei dati.

Fonte: Autorità Garante