In relazione alla richiesta di parere formulata, relativa all'attivita' di controllo dei green pass di dipendenti e visitatori, ed in particolare in merito alla possibilità di tenere un registro dei soggetti controllati, con o senza esito del controllo, lo Scrivente Servizio Protezione Dati (DPO), rileva quanto segue.

• allo stato attuale del quadro normativo e regolatorio, non risulta legittima la tenuta di un Registro generale dei soggetti controllati (con o senza l'indicazione dell'esito), in quanto non conforme alla normativa del GDPR;
• l'operazione di trattamento legittima è, per contro, la sola COMUNICAZIONE IMMEDIATA del preposto al controllo, all’ufficio competente del nominativo del personale al quale non è stato consentito l’accesso per mancato superamento della verifica della certificazione verde. L’ufficio competente è autorizzato a trattare i dati personali dei soggetti segnalati dal preposto al controllo, ai soli fini di procedere agli adempimenti conseguenti. Non va, conseguentemente, tenuto neppure un registro dei soggetti segnalati.

Le motivazioni del parere sono di seguito indicate.
La materia oggetto del quesito risulta disciplinata dalle seguenti fonti normative e/o regolamentari:

• LINEE GUIDA IN MATERIA DI CONDOTTA DELLE PUBBLICHE AMMINISTRAZIONI PER L’APPLICAZIONE DELLA DISCIPLINA IN MATERIA DI OBBLIGO DI POSSESSO E DI ESIBIZIONE DELLA CERTIFICAZIONE VERDE COVID-19 DA PARTE DEL PERSONALE, Paragrafo 1.2 ("Modalità e soggetti preposti al controllo"), secondo cui: "Qualora all’atto delle modalità di accertamento sopra descritte il lavoratore risulti non essere in possesso della certificazione verde Covid-19: a) in caso di accertamento svolto all’accesso della struttura, a campione o a tappeto, con o senza l’ausilio di sistemi automatici: il personale preposto al controllo vieterà al lavoratore senza green pass valido l’accesso alla struttura, invitandolo ad allontanarsi. Il preposto al controllo comunica con immediatezza, all’ufficio competente il nominativo del personale al quale non è stato consentito l’accesso; (...)"
• D.L. n. 127/2021 ("Misure urgenti per assicurare lo svolgimento in sicurezza del lavoro pubblico e privato mediante l'estensione dell'ambito applicativo della certificazione verde COVID-19 e il rafforzamento del sistema di screening").

Dal quadro normativo in precedenza delineato si ricava, nel merito, quanto segue. Nello specifico caso in esame:

• allo stato attuale della regolamentazione, non sussiste il presupposto (base giuridica) per la tenuta di un registro generale dei soggetti controllati (con o senza l'indicazione dell'esito del controllo), in quanto in relazione alle Linee guida, ed in relazione al D.L. n. 127/2021 è fatto divieto di memorizzare o utilizzare, per finalità ulteriori, le informazioni rilevate dalla lettura dei QR-code e le informazioni fornite in esito ai controlli;
• è l'ufficio competente, appositamente individuato dall'ente a procedere agli adempimenti conseguenti alla segnalazione, a seguito dell'operazione di comunicazione dei dati personali dei soggetti per i quali il controllo ha fornito esito negativo, non risultando necessario, a tal fine, la tenuta di un registro generale.