IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il Regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio del 14 giugno 2021 su un quadro per il rilascio, la verifica e l'accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell'UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-19;

VISTO il decreto-legge 22 aprile 2021, n. 52, convertito, con modificazioni, dalla legge 17 giugno 2021, n. 87, recante “Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da Covid-19”, come, da ultimo, modificato dagli artt. 1 e 3 del decreto-legge 21 settembre 2021, n. 127, recante “Misure urgenti per assicurare lo svolgimento in sicurezza del lavoro pubblico e privato mediante l'estensione dell'ambito applicativo della certificazione verde COVID-19 e il rafforzamento del sistema di screening”, che hanno introdotto gli artt. 9-quinquies (“Impiego delle certificazioni verdi COVID-19 nel settore pubblico”) e 9-septies (“Impiego delle certificazioni verdi COVID-19 nel settore privato”), e dagli artt. 1, 2 e 3 del decreto-legge 8 ottobre 2021, n. 139, recante “Disposizioni urgenti per l'accesso alle attività culturali, sportive e ricreative, nonché per l'organizzazione di pubbliche amministrazioni e in materia di protezione dei dati personali”;

VISTO il decreto del Presidente del Consiglio dei ministri del 17 giugno 2021 recante “Disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19»”, come, da ultimo, modificato con decreto del Presidente del Consiglio dei ministri del 10 settembre 2021 con l’introduzione di specifiche modalità di verifica del possesso da parte del personale scolastico della certificazione verde Covid-19 in corso di validità;

VISTO il provvedimento n. 229 del 9 giugno 2021 (doc. web n. 9668064), con il quale il Garante ha reso il parere sul predetto schema di decreto del Presidente del Consiglio dei ministri, adottato il 17 giugno 2021, di attuazione della Piattaforma nazionale-DGC per l'emissione, il rilascio e la verifica del Green Pass;

VISTO il provvedimento n. 306 del 31 agosto 2021 (doc. web n. 9694010), con il quale il Garante ha reso il parere sullo schema di decreto del Presidente del Consiglio dei ministri, adottato il 10 settembre 2021, che ha introdotto specifiche modalità di verifica del possesso da parte del personale scolastico della certificazione verde Covid-19 in corso di validità;

VISTO l’art. 9-quinquies del citato decreto-legge 22 aprile 2021, n. 52, il quale prevede, in particolare, che:

“Dal 15 ottobre 2021 e fino al 31 dicembre 2021, termine di cessazione dello stato di emergenza, al fine di prevenire la diffusione dell'infezione da SARS-CoV-2, al personale delle amministrazioni pubbliche di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, al personale di cui all'articolo 3 del predetto decreto legislativo, al personale delle Autorità amministrative indipendenti, ivi comprese la Commissione nazionale per la società e la borsa e la Commissione di vigilanza sui fondi pensione, della Banca d'Italia, nonché degli enti pubblici economici e degli organi di rilievo costituzionale, ai fini dell'accesso ai luoghi di lavoro, nell'ambito del territorio nazionale, in cui il predetto personale svolge l'attività lavorativa, è fatto obbligo di possedere e di esibire, su richiesta, la certificazione verde COVID-19 di cui all'articolo 9, comma 2. […]” (comma 1);

“La disposizione di cui al comma 1 si applica altresì a tutti i soggetti che svolgono, a qualsiasi titolo, la propria attività lavorativa o di formazione o di volontariato presso le amministrazioni di cui al comma 1, anche sulla base di contratti esterni” (comma 2);

“I datori di lavoro del personale di cui al comma 1 sono tenuti a verificare il rispetto delle prescrizioni di cui ai commi 1 e 2. Per i lavoratori di cui al comma 2 la verifica sul rispetto delle prescrizioni di cui al comma 1, oltre che dai soggetti di cui al primo periodo, è effettuata anche dai rispettivi datori di lavoro” (comma 4);

“I datori di lavoro di cui al comma 4, primo periodo, definiscono, entro il 15 ottobre 2021, le modalità operative per l'organizzazione delle verifiche di cui al comma 4, anche a campione, prevedendo prioritariamente, ove possibile, che tali controlli siano effettuati al momento dell'accesso ai luoghi di lavoro, e individuano con atto formale i soggetti incaricati dell'accertamento e della contestazione delle violazioni degli obblighi di cui ai commi 1 e 2. Le verifiche delle certificazioni verdi COVID-19 sono effettuate con le modalità indicate dal decreto del Presidente del Consiglio dei ministri adottato ai sensi dell'articolo 9, comma 10. Il Presidente del Consiglio dei ministri, su proposta dei Ministri per la pubblica amministrazione e della salute, può adottare linee guida per la omogenea definizione delle modalità organizzative di cui al primo periodo. Per le regioni e gli enti locali le predette linee guida, ove adottate, sono definite d'intesa con la Conferenza unificata di cui all'articolo 8 del decreto legislativo 28 agosto 1997, n. 281” (comma 5);

“Il personale di cui al comma 1, nel caso in cui comunichi di non essere in possesso della certificazione verde COVID-19 o qualora risulti privo della predetta certificazione al momento dell'accesso al luogo di lavoro, al fine di tutelare la salute e la sicurezza dei lavoratori nel luogo di lavoro, è considerato assente ingiustificato fino alla presentazione della predetta certificazione e, comunque, non oltre il 31 dicembre 2021, termine di cessazione dello stato di emergenza, senza conseguenze disciplinari e con diritto alla conservazione del rapporto di lavoro. Per i giorni di assenza ingiustificata di cui al primo periodo non sono dovuti la retribuzione né altro compenso o emolumento, comunque denominati” (comma 6);

“L'accesso del personale ai luoghi di lavoro di cui al comma 1 in violazione degli obblighi di cui ai commi 1 e 2, è punito con la sanzione di cui al comma 8 e restano ferme le conseguenze disciplinari secondo i rispettivi ordinamenti di appartenenza” (comma 7);

“In caso di violazione delle disposizioni di cui al comma 4, di mancata adozione delle misure organizzative di cui al comma 5 nel termine previsto, nonché per la violazione di cui al comma 7, si applica l'articolo 4, commi 1, 3, 5 e 9, del decreto-legge 25 marzo 2020, n. 19, convertito, con modificazioni, dalla legge 22 maggio 2020, n. 35. Resta fermo quanto previsto dall'articolo 2, comma 2-bis, del decreto-legge 16 maggio 2020, n. 33, convertito, con modificazioni, dalla legge 14 luglio 2020, n. 74. Per le violazioni di cui al comma 7, la sanzione amministrativa prevista dal comma 1 del citato articolo 4 del decreto-legge n. 19 del 2020 è stabilita in euro da 600 a 1.500” (comma 8);

VISTO l’art. 9-septies del citato decreto-legge 22 aprile 2021, n. 52, il quale prevede, in particolare, che:

“Dal 15 ottobre 2021 e fino al 31 dicembre 2021, termine di cessazione dello stato di emergenza, al fine di prevenire la diffusione dell'infezione da SARS-CoV-2, a chiunque svolge una attività lavorativa nel settore privato è fatto obbligo, ai fini dell'accesso ai luoghi in cui la predetta attività è svolta, di possedere e di esibire, su richiesta, la certificazione verde COVID-19 di cui all'articolo 9, comma 2. […]” (comma 1);

“La disposizione di cui al comma 1 si applica altresì a tutti i soggetti che svolgono, a qualsiasi titolo, la propria attività lavorativa o di formazione o di volontariato nei luoghi di cui al comma 1, anche sulla base di contratti esterni” (comma 2);

“I datori di lavoro di cui al comma 1 sono tenuti a verificare il rispetto delle prescrizioni di cui ai commi 1 e 2. Per i lavoratori di cui al comma 2 la verifica sul rispetto delle prescrizioni di cui al comma 1, oltre che dai soggetti di cui al primo periodo, è effettuata anche dai rispettivi datori di lavoro” (comma 4);

“I datori di lavoro di cui al comma 1, definiscono, entro il 15 ottobre 2021, le modalità operative per l'organizzazione delle verifiche di cui al comma 4, anche a campione, prevedendo prioritariamente, ove possibile, che tali controlli siano effettuati al momento dell'accesso ai luoghi di lavoro, e individuano con atto formale i soggetti incaricati dell'accertamento delle violazioni degli obblighi di cui ai commi 1 e 2. Le verifiche delle certificazioni verdi COVID-19 sono effettuate con le modalità indicate dal decreto del Presidente del Consiglio dei ministri adottato ai sensi dell'articolo 9, comma 10” (comma 5);

“I lavoratori di cui al comma 1, nel caso in cui comunichino di non essere in possesso della certificazione verde COVID-19 o qualora risultino privi della predetta certificazione al momento dell'accesso al luogo di lavoro, al fine di tutelare la salute e la sicurezza dei lavoratori nel luogo di lavoro, sono considerati assenti ingiustificati fino alla presentazione della predetta certificazione e, comunque, non oltre il 31 dicembre 2021, termine di cessazione dello stato di emergenza, senza conseguenze disciplinari e con diritto alla conservazione del rapporto di lavoro. Per i giorni di assenza ingiustificata non sono dovuti la retribuzione né altro compenso o emolumento, comunque denominato” (comma 6);

“Per le imprese con meno di quindici dipendenti, dopo il quinto giorno di assenza ingiustificata di cui al comma 6, il datore di lavoro può sospendere il lavoratore per la durata corrispondente a quella del contratto di lavoro stipulato per la sostituzione, comunque per un periodo non superiore a dieci giorni, rinnovabili per una sola volta, e non oltre il predetto termine del 31 dicembre 2021” (comma 7);

“L'accesso di lavoratori ai luoghi di lavoro di cui al comma 1 in violazione degli obblighi di cui ai commi 1 e 2, è punito con la sanzione di cui al comma 9 e restano ferme le conseguenze disciplinari secondo i rispettivi ordinamenti di settore” (comma 8);

“In caso di violazione delle disposizioni di cui al comma 4 o di mancata adozione delle misure organizzative di cui al comma 5 nel termine previsto, nonché per la violazione di cui al comma 8, si applica l'articolo 4, commi 1, 3, 5 e 9, del decreto-legge 25 marzo 2020, n. 19, convertito, con modificazioni, dalla legge 22 maggio 2020, n. 35. Resta fermo quanto previsto dall'articolo 2, comma 2-bis, del decreto-legge 16 maggio 2020, n. 33, convertito, con modificazioni, dalla legge 14 luglio 2020, n. 74. Per le violazioni di cui al comma 8, la sanzione amministrativa prevista dal comma 1 del citato articolo 4 del decreto-legge n. 19 del 2020 è stabilita in euro da 600 a 1.500” (comma 9);

VISTO, inoltre, quanto previsto dai predetti articoli con riguardo alla non applicazione delle predette disposizioni “ai soggetti esenti dalla campagna vaccinale sulla base di idonea certificazione medica rilasciata secondo i criteri definiti con circolare del Ministero della salute” (artt. 9-quinquies, comma 3, e 9-septies, comma 3, del citato decreto-legge 22 aprile 2021, n. 52);

VISTO l’art. 5 del decreto-legge 21 settembre 2021, n. 127, che ha modificato l’art. 9 del decreto-legge 22 aprile 2021, n. 52, intervenendo sulla durata e sulle condizioni per il rilascio della certificazione verde Covid-19, nonché prevedendo che la stessa possa essere emessa anche in caso di “avvenuta guarigione dopo la somministrazione della prima dose di vaccino o al termine del prescritto ciclo”;

VISTA la nota dell’8 ottobre 2021, con la quale il Ministero della salute ha trasmesso lo schema di decreto del Presidente del Consiglio dei ministri, da adottare di concerto con il Ministro della salute, il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro dell'economia e delle finanze, concernente “Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021, recante «Disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19"»”, corredato dei relativi allegati tecnici (allegati A, B, C e H) che ne costituiscono parte integrante, successivamente emendato in data 11 ottobre 2021, al fine di acquisire il prescritto parere del Garante ai sensi del Regolamento;

CONSIDERATO che il predetto schema di decreto si compone di un articolo che introduce nuove modalità per assicurare un efficace ed efficiente processo di verifica, anche automatizzato, del possesso delle certificazioni verdi Covid-19 nell'ambito lavorativo pubblico e privato, prevedendo, in particolare:

l’introduzione di “specifiche modalità automatizzate di verifica delle certificazioni verdi COVID-19 in ambito lavorativo”, descritte in un nuovo allegato H (comma 1, lett. h) e m), dello schema);

l’individuazione dei soggetti che, nei diversi contesti lavorativi pubblici e privati, sono deputati alle attività di verifica del possesso delle certificazioni verdi Covid-19 da parte del personale, che devono essere “incaricati con atto formale recante le necessarie istruzioni sull'esercizio dell'attività di verifica” (comma 1, lett. n) e o), dello schema);

il coordinamento con quanto, da ultimo, previsto dall’art. 3 del decreto-legge 8 ottobre 2021, n. 139, che ha introdotto l’art. 9-octies (“Modalità di verifica del possesso delle certificazioni verdi COVID-19 nei settori pubblico e privato ai fini della programmazione del lavoro”) nel decreto-legge 22 aprile 2021, n. 52 – che ha stabilito che “in caso di richiesta da parte del datore di lavoro, derivante da specifiche esigenze organizzative volte a garantire l'efficace programmazione del lavoro, i lavoratori sono tenuti a rendere le comunicazioni di cui al comma 6 dell'articolo 9-quinquies e al comma 6 dell'articolo 9-septies con un preavviso necessario a soddisfare le predette esigenze organizzative" – prevedendo che la predetta comunicazione venga effettuata “con l’anticipo strettamente necessario e comunque non superiore alle 48 ore” (comma 1, lett. q), dello schema);

la messa a disposizione da parte del Ministero della salute in favore dei datori di lavoro, pubblici e privati, di specifiche funzionalità che consentono una “verifica quotidiana e automatizzata del possesso delle certificazioni verdi in corso di validità del personale effettivamente in servizio, di cui è previsto l’accesso ai luoghi di lavoro”, stabilendo che la stessa sia effettuata, “senza rivelare le ulteriori informazioni conservate, o comunque trattate, nell'ambito della Piattaforma nazionale-DGC”, attraverso:

a) “l’utilizzo di un pacchetto di sviluppo per applicazioni (Software Development Kit-SDK), rilasciato dal Ministero della Salute con licenza open source, che consente di integrare nei sistemi di controllo degli accessi, inclusi quelli di rilevazione delle presenze, le funzionalità di verifica della Certificazione verde COVID-19, mediante la lettura del QR code”;

b) “una interazione, in modalità asincrona, tra la Piattaforma NoiPA, realizzata dal Ministero dell'economia e delle finanze per la gestione del personale delle pubbliche amministrazioni, e la PN-DGC per la verifica del possesso delle Certificazioni verdi COVID-19 in corso di validità da parte dei dipendenti pubblici degli enti aderenti a NoiPA”;

c) “una interazione, in modalità asincrona, tra il Portale istituzionale INPS, e la PN-DGC, per la verifica del possesso delle Certificazioni verdi COVID-19 in corso di validità da parte dei dipendenti dei datori di lavoro, con più di 50 dipendenti, sia privati che pubblici non aderenti a NoiPA”;

d) “una interoperabilità applicativa, in modalità asincrona, tra i sistemi informativi di gestione del personale delle amministrazioni pubbliche con almeno 1.000 dipendenti, anche con uffici di servizio dislocati in più sedi fisiche, e la PN-DGC, per la verifica del possesso delle Certificazioni verdi COVID-19 in corso di validità da parte dei propri dipendenti” (comma 1, lett. q), dello schema);

la possibilità che il predetto pacchetto di sviluppo per applicazioni sia impiegato “anche in ambiti diversi da quello lavorativo” e sia “utilizzato come riferimento per la realizzazione di ulteriori librerie software” a condizione che sia conforme “alle medesime specifiche tecniche e ai requisiti del pacchetto di sviluppo per applicazioni” e “sia preventivamente rilasciato il codice sorgente con licenza open source di dette librerie sulla piattaforma utilizzata dal Ministero della Salute” (comma 1, lett. q), dello schema);

l’individuazione del ruolo assunto dai diversi soggetti che, a vario titolo, trattano i dati del personale interessato dalle attività di verifica previste dalla legge mediante le nuove funzionalità messe a disposizione dal Ministero della salute (comma 1, lett. r), dello schema);

CONSIDERATO, inoltre, che il predetto schema di decreto include anche ulteriori adeguamenti alla sopravvenuta normativa in materia di certificazioni verdi Covid-19, prevedendo, in particolare, che:

il Sistema TS renda disponibile all’AVN e alle regioni e province autonome informazioni di dettaglio sulle infezioni successive alla vaccinazione e sull’avvenuta o meno emissione della certificazione verde, nonché al Ministero della salute informazioni utili per fornire assistenza tecnica agli interessati che si rivolgono al numero di pubblica utilità (1500) (comma 1, lett. i), dello schema);

la Piattaforma nazionale-DGC tenga conto delle nuove disposizioni sulla durata e sulle condizioni per il rilascio della certificazione verde Covid-19 e sia aggiornata con le informazioni relative alla guarigione di soggetti già vaccinati (comma 1, lett. a), b), c), f) e j), dello schema e nuovi allegati A, B e C allo schema);

CONSIDERATO che lo schema di decreto in esame tiene conto delle interlocuzioni intercorse con l’Ufficio del Garante al fine di assicurare, nel rispetto della libertà di scelta in ambito vaccinale, sia il corretto adempimento degli obblighi di verifica da parte dei datori di lavoro pubblici e privati, derivanti dai citati artt. 9-quinquies e 9-septies del decreto-legge 22 aprile 2021, n. 52, sia il rispetto della disciplina di protezione dei dati personali e della disciplina di settore, europea e nazionale, in materia di certificazioni verdi;

CONSIDERATO, in particolare, che, in base al richiamato quadro normativo, i datori di lavoro devono limitarsi a verificare il mero possesso della certificazione verde Covid-19 da parte del solo “personale effettivamente in servizio, di cui è previsto l’accesso ai luoghi di lavoro”, senza acquisire dati che possano, anche indirettamente, rivelare condizioni di salute o convinzioni personali, assicurando:

la tutela dei diritti e delle libertà delle persone fisiche sin dalla fase “di sviluppo, progettazione, selezione e utilizzo di applicazioni, servizi e prodotti basati sul trattamento di dati personali o che trattano dati personali per svolgere le loro funzioni” (cfr. cons. 78 del Regolamento), atteso che il datore di lavoro, in qualità di titolare del trattamento, anche quando utilizza prodotti o servizi realizzati da terzi, è tenuto a valutare e comprovare, nel rispetto dei principi di responsabilizzazione e della protezione dei dati fin dalla progettazione e per impostazione predefinita, la conformità del trattamento ai principi generali del Regolamento e, in particolare:

i) i principi di “liceità, correttezza e trasparenza”, di “limitazione della finalità” e di “minimizzazione dei dati”, disattivando le funzioni che non sono compatibili con le finalità del trattamento (cfr. cons. 54 del Regolamento che prevede che “il trattamento dei dati relativi alla salute effettuato per motivi di interesse pubblico non dovrebbe comportare il trattamento dei dati personali per altre finalità da parte di terzi, quali datori di lavoro, compagnie di assicurazione e istituti di credito”) ovvero si pongono in contrasto con specifiche norme di settore previste dall’ordinamento;

ii) il principio di “integrità e riservatezza”, adottando le opportune misure tecniche e organizzative, anche tenuto conto degli specifici rischi per gli interessati nel contesto lavorativo, e impartendo le necessarie istruzioni al fornitore del servizio;

la conformità dei trattamenti necessari alle predette verifiche alle disposizioni nazionali, più specifiche e di maggior tutela, che garantiscono la dignità e la libertà degli interessati sui luoghi di lavoro (art. 88 del Regolamento, art. 113 del Codice in relazione all’art. 8 della l. 20 maggio 1970, n. 300, e all’art. 10 del d.lgs. 10 settembre 2003, n. 276), analogamente a quanto previsto dallo stesso decreto con riguardo alle modalità semplificate di verifica nei confronti del personale scolastico (v., sul punto, provvedimento n. 306 del 31 agosto 2021, doc. web n. 9694010, anche alla luce delle indicazioni fornite dal Garante, anche con documenti di indirizzo a carattere generale; cfr. provvedimento di avvertimento nei confronti della Regione Siciliana del 22 luglio 2021, n. 273, doc. web n. 9683814, ma anche, più in generale, provvedimento n. 198 del 13 maggio 2021 - Documento di indirizzo “Vaccinazione nei luoghi di lavoro: indicazioni generali per il trattamento dei dati personali”, doc. web n. 9585300, documento di indirizzo “Protezione dei dati - Il ruolo del medico competente in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale”, doc. web n. 9585367, e FAQ in materia di “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”, doc. web n. 9543615);

CONSIDERATO, più nel dettaglio, che lo schema in esame tiene conto delle indicazioni fornite dall’Ufficio, nell’ambito delle interlocuzioni informali e delle riunioni, aventi carattere d’urgenza, con i rappresentati del Ministero della salute, del Ministero dell’economia e delle finanze, del Dipartimento della funzione pubblica, del Dipartimento per la trasformazione digitale e dell’Istituto nazionale per la previdenza sociale, volte ad assicurare il rispetto del Regolamento, del Codice e delle richiamate norme di settore, sulla base di una corretta individuazione e valutazione dei rischi elevati che caratterizzano il trattamento in esame nel contesto lavorativo, garantendo, in particolare, che:

siano trattati, in relazione alla specifica finalità del trattamento di cui agli artt. 9-quinquies e 9-septies del d.l. n. 52/2021, esclusivamente i dati necessari alla verifica del possesso della certificazione verde COVID-19 in corso di validità, consentendo di rispettare i principi di liceità, correttezza e trasparenza, di limitazione della finalità, di minimizzazione, nonché della protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5, par. 1, lett. a), b) e c), 25 e 88 del Regolamento e art. 113 del Codice), prevedendo che:

i) l'attività di verifica delle certificazioni verdi Covid-19 non comporti, in alcun caso, la raccolta dei dati dell’intestatario in qualunque forma, a eccezione di quelli strettamente necessari all'applicazione delle conseguenti misure per gli interessati, di cui ai citati artt. 9-quinquies, commi 6 e ss., e 9-septies, commi 6 e ss., derivanti dal mancato possesso della certificazione (art. 1, comma 1, lett. p), dello schema);

ii) con specifico riguardo all’uso del pacchetto di sviluppo per applicazioni (SDK), delle librerie software e delle soluzioni da esse derivate, il trattamento dei dati personali sia effettuato limitatamente alle informazioni pertinenti e alle operazioni strettamente necessarie alla verifica della validità delle certificazioni verdi Covid-19, introducendo il divieto di conservare il codice a barre bidimensionale (QR code) delle certificazioni verdi Covid-19 sottoposte a verifica, nonché di estrarre, consultare, registrare o comunque trattare per finalità ulteriori le informazioni rilevate dalla lettura dei QR code e le informazioni fornite in esito ai controlli, nel rispetto, in caso di utilizzo di tale modalità di verifica da parte del datore di lavoro, delle norme (artt. 88 del Regolamento e 113 del Codice) che vietano il trattamento di informazioni di dettaglio, anche relative alla salute, alla sfera privata o alle convinzioni personali dei soggetti controllati (art. 1, comma 1, lett. q), dello schema);

iii) con riguardo invece alla verifica delle certificazioni verdi mediante la Piattaforma NoiPA (prevista per le amministrazioni pubbliche aderenti), il Portale istituzionale INPS (prevista per i datori di lavoro, con più di 50 dipendenti, sia privati che pubblici non aderenti a NoiPA) o interoperabilità applicativa (prevista per le amministrazioni pubbliche con più di 1.000 dipendenti), la Piattaforma nazionale-DGC consenta ai soggetti tenuti ai controlli di visualizzare la sola informazione, di tipo booleano, relativa al possesso di una certificazione verde COVID-19 in corso di validità, evitando che il trattamento abbia a oggetto le ulteriori informazioni conservate, o comunque trattate, nell’ambito della Piattaforma nazionale-DGC (art. 1, comma 1, lett. q), dello schema e paragrafi 3, 4 e 5 dell’allegato H allo schema);

iv) i soggetti tenuti ai controlli nell’ambito del contesto lavorativo pubblico e privato possano utilizzare la predetta funzionalità per la sola finalità di verifica quotidiana del possesso delle certificazioni verdi Covid-19 in corso di validità, ai sensi dei citati artt. 9-quinquies e 9-septies, esclusivamente con riguardo al personale effettivamente in servizio per cui è previsto l’accesso al luogo di lavoro nel giorno in cui è effettuata la verifica, escludendo i dipendenti assenti per specifiche causali (es. ferie, malattie, permessi) o che svolgono la prestazione lavorativa in modalità agile (paragrafi 3, 4 e 5 dell’allegato H allo schema);

nelle more del rilascio e dell’eventuale aggiornamento delle certificazioni verdi Covid-19 da parte della Piattaforma nazionale-DGC, i soggetti interessati possano comunque avvalersi dei documenti rilasciati, in formato cartaceo o digitale, dalle strutture sanitarie pubbliche e private, dalle farmacie, dai laboratori di analisi, dai medici di medicina generale e dai pediatri di libera scelta che attestano o refertano una delle condizioni che determinano l’emissione della certificazione verde Covid-19 (art. 1, comma 1, lett. q), dello schema);

nel caso in cui, all’esito delle verifiche effettuate, in modalità asincrona e automatizzata, mediante la Piattaforma NoiPA, il Portale istituzionale INPS o interoperabilità applicativa, l’interessato non risulti in possesso di una certificazione verde Covid-19 in corso di validità, lo stesso abbia diritto di richiedere che la verifica della propria certificazione verde Covid-19 sia nuovamente effettuata al momento dell’accesso al luogo di lavoro mediante l’app VerificaC19 (art. 1, comma 1, lett. q), dello schema);

le operazioni e le modalità di trattamento siano descritte accuratamente nell’allegato H allo schema, con specifico riferimento alla messa a disposizione da parte del Ministero della salute delle informazioni relative alle certificazioni verdi Covid-19 in corso di validità del personale in servizio presso i datori di lavoro pubblici e privati, al fine di assicurare un trattamento lecito, corretto e trasparente (artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e art. 17-bis del d.l. 17 marzo 2020, n. 18);

il ruolo assunto dai soggetti coinvolti nel trattamento di dati personali in questione sia correttamente individuato, in relazione alla specifica finalità perseguita, anche al fine di assicurare la trasparenza nei confronti degli interessati, nonché consentire una chiara ripartizione degli obblighi e delle responsabilità previste dal Regolamento, chiarendo che i soggetti tenuti ai controlli (datori di lavoro pubblici e privati) operano in qualità di titolari del trattamento e che il Ministero dell’economia e delle finanze (con riguardo alla funzionalità resa disponibile sulla Piattaforma NoiPA) e l’Istituto nazionale per la previdenza sociale (con riguardo alla funzionalità resa disponibile sul Portale istituzionale INPS) agiscono in qualità di responsabili del trattamento per conto del Ministero della salute ai sensi dell’art. 28 del Regolamento (art. 1, comma 1, lett. r), dello schema);

il personale interessato dal processo di verifica sia opportunamente informato dal proprio datore di lavoro sul trattamento dei dati attraverso una specifica informativa, anche mediante comunicazione resa alla generalità del personale, in conformità agli artt. 5, par. 1, lett. a), 13 e 14 del Regolamento e all’art. 17-bis, comma 5, del d.l. 17 marzo 2020, n. 18 (art. 1, comma 1, lett. r), dello schema);

con riguardo alle funzionalità di verifica rese disponibili sulla Piattaforma NoiPA e sul Portale istituzionale INPS, siano adottate misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento (artt. 5, par. 1, lett. e) e f), 25, 32 e 88 del Regolamento e art. 113 del Codice), assicurando, in particolare, che:

i) i controlli siano effettuati, in modo selettivo, sulla base delle informazioni relative ai rapporti di lavoro in essere, già disponibili nelle banche dati del Ministero dell’economia e delle finanze (limitatamente alle amministrazioni pubbliche aderenti a NoiPA) e dell’Istituto nazionale per la previdenza sociale (con riferimento alla quasi totalità dei datori di lavoro pubblici e privati), garantendo che, per impostazione predefinita, ciascun datore di lavoro possa verificare il possesso della certificazione verde Covid-19 limitatamente al proprio personale (paragrafi 3 e 4 dell’allegato H allo schema);

ii) le operazioni di verifica del possesso delle certificazioni verdi Covid-19 da parte dei soggetti tenuti ai controlli siano oggetto di registrazione in appositi log (conservati per dodici mesi), ad eccezione dell’esito delle singole verifiche relative al possesso o meno di una certificazione verde Covid-19 in corso di validità da parte di ciascun interessato (paragrafi 3.2 e 4.4 dell’allegato H allo schema);

con riguardo alla verifica delle certificazioni verdi Covid-19 mediante interoperabilità applicativa, la stessa sia resa disponibile ai datori di lavoro previa abilitazione e accreditamento, sulla base di apposita convenzione con il Ministero della salute che regoli, tra l’altro, la frequenza e l’ambito delle interrogazioni di verifica delle certificazioni dei lavoratori e individui, in ogni caso, le garanzie e le misure tecniche e organizzative (in particolare, l’accesso selettivo ai dati e il tracciamento delle operazioni di verifica) che dovranno essere adottate dall’amministrazione-datore di lavoro, al fine di garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento e tutele per i diritti e delle libertà dei lavoratori analoghe a quelle previste in caso di utilizzo della Piattaforma NoiPA o del Portale istituzionale INPS (paragrafo 5 dell’allegato H allo schema);

la valutazione di impatto sulla protezione dei dati relativa ai trattamenti connessi all'emissione e alla verifica delle certificazioni verdi COVID-19 sia aggiornata, tenendo conto degli specifici rischi connessi al trattamento di dati personali in esame, effettuato su larga scala e concernente dati relativi alla salute di interessati vulnerabili (dipendenti pubblici e privati), e avendo particolare attenzione alle possibili conseguenze discriminatorie, anche indirette, nel contesto lavorativo (artt. 35 e 88 del Regolamento);

CONSIDERATA la necessità manifestata dal Ministero della salute di semplificare le attività di verifica del rispetto dell’obbligo del possesso della certificazione verde Covid-19 da parte dei lavoratori, che devono essere effettuate con cadenza quotidiana e nei confronti di un’ampia platea di interessati (tutti i lavoratori pubblici e privati) che accedono in luoghi di lavoro e svolgono la propria prestazione in contesti eterogenei, talvolta caratterizzati da peculiari esigenze organizzative, avvalendosi, ove possibile, di modalità di verifica automatizzate, fondate su sistemi informativi già esistenti e accessibili da parte dei singoli datori di lavoro, in alternativa alle ordinarie modalità di verifica delle certificazioni verdi Covid-19 attraverso l’app VerificaC19, a cui tali modalità si affiancano;

PRESO ATTO di quanto rappresentato dal Ministero della salute nella citata nota dell’8 ottobre 2021 in ordine alla predisposizione delle specifiche tecniche per la revoca delle certificazioni verdi Covid-19, prevista dall’art. 8, comma 5, del decreto del Presidente del Consiglio dei Ministri del 17 giugno 2021, al fine di garantire la reale efficacia della misura di sanità pubblica connessa all’introduzione della certificazione verde per l’accesso ai luoghi di lavoro e, in pari tempo, il trattamento di dati esatti e aggiornati (es. nei casi di sopraggiunta positività del lavoratore vaccinato), si ritiene necessario che tale funzionalità sia resa pienamente operativa in tempi rapidi;

RITENUTO, altresì, necessario evidenziare come i citati interventi normativi rendano ancor più urgente, considerati i maggiori rischi per gli interessati nel contesto lavorativo, l’adozione del decreto del Presidente del Consiglio dei Ministri previsto dall’art. 9-bis, comma 3, d.l. n. 52/2021, volto a individuare le specifiche tecniche per trattare in modalità digitale le certificazioni di esenzione alla vaccinazione e consentirne la verifica digitale, assicurando contestualmente la protezione dei dati personali in esse contenuti; la presentazione di un documento cartaceo di esenzione alla vaccinazione anti-SARS-CoV-2, come attualmente previsto dalle circolari del Ministero della salute del 4 agosto e del 25 settembre 2021, rivela, infatti, inevitabilmente a terzi la sussistenza di una condizione di salute dell’interessato che gli impedisce, in via temporanea o definitiva, di sottoporsi alla predetta vaccinazione;

CONSIDERATA la disciplina transitoria attualmente vigente in tema di esenzione alla vaccinazione anti-SARS-CoV-2 e l’intenzione del Ministero della salute, espressa nella citata nota dell’8 ottobre 2021, di completare rapidamente la predisposizione del predetto decreto, l’Autorità manifesta l’esigenza che in tale atto normativo siano individuate misure tecniche e organizzative idonee ad assicurare che i soggetti esenti dalla vaccinazione per motivi di salute possano presentare un documento digitale dotato di QR Code che, attraverso l’uso dei sistemi di verifica previsti dalla normativa vigente, riveli le medesime informazioni delle certificazioni verdi, ovvero quelle relative all’autenticità, alla validità e all’integrità della certificazione e alle generalità dell’interessato, senza che siano anche visibili le informazioni che ne hanno determinato l’emissione;

CONSIDERATA l’estensione della certificazione verde Covid-19 ai lavoratori del settore pubblico e privato, si ritiene altresì primario ed essenziale che, in caso di verifica della stessa tramite l’app VerificaC19, non siano mostrati al verificatore elementi, quali diciture (“Certificazione valida solo in Italia”) o colori (schermata azzurra), suscettibili di rivelare la sussistenza di una particolare condizione alla base del rilascio della certificazione (es. prima dose vaccinale); ciò anche nell’ambito delle prospettate modifiche dell’app VerificaC19 in corso di adozione da parte del Ministero della salute;

RITENUTO di non dover formulare osservazioni sullo schema di decreto da ultimo trasmesso, atteso che le indicazioni fornite con carattere d’urgenza dall’Ufficio del Garante sono state tenute in debita considerazione;

RITENUTO di adottare il presente parere, in via d’urgenza, in ragione della rappresentata esigenza di assicurare, in vista dell’imminente entrata in vigore delle richiamate disposizioni che hanno introdotto l’obbligo di possesso delle certificazioni verdi COVID-19 in ambito lavorativo, un più efficace ed efficiente processo di verifica delle stesse;

RITENUTO quindi che ricorrano i presupposti per l'applicazione dell'art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell'ufficio del Garante, il quale prevede che "Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il Presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno”;

VISTA la documentazione in atti;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. c), del Regolamento, esprime parere favorevole sullo schema di decreto del Presidente del Consiglio dei Ministri, da adottare di concerto con il Ministro della salute, il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro dell'economia e delle finanze, concernente “Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021, recante «Disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19"»”.

Fonte: Autorità Garante -Parere sullo schema di decreto concernente “Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021, recante «Disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19"» - 11 ottobre 2021