Garante per la Protezione dei dati Personali
Registro dei provvedimenti 18 febbraio 2022, n. 57
Parere sullo schema di decreto concernente “Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021, recante «Disposizioni attuative dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da COVID-19" - 18 febbraio 2022
doc. web n. 9746905
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. n. 196 del 30 giugno 2003, di seguito “Codice”);
VISTO il decreto-legge 22 aprile 2021, n. 52, recante “Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da Covid-19”;
VISTO il decreto-legge 1° aprile 2021, n. 44, convertito, con modificazioni, dalla legge 28 maggio 2021, n. 76, recante “Misure urgenti per il contenimento dell’epidemia da COVID-19, in materia di vaccinazioni anti SARS-CoV-2, di giustizia e di concorsi pubblici”, e, in particolare, gli artt. 1-bis, 3-ter, 4, 4-bis, 4-ter, 4-quater, 4-quinquies e 4-sexies;
VISTO il decreto-legge 6 agosto 2021, n. 111, convertito, con modificazioni, dalla legge 24 settembre 2021, n. 133, recante “Misure urgenti per l’esercizio in sicurezza delle attività scolastiche, universitarie, sociali e in materia di trasporti”;
VISTO il decreto-legge 26 novembre 2021, n. 172, “Misure urgenti per il contenimento dell’epidemia da COVID-19 e per lo svolgimento in sicurezza delle attività economiche e sociali”;
VISTO il decreto-legge 7 gennaio 2022, n. 1, recante “Misure urgenti per fronteggiare l’emergenza COVID-19, in particolare nei luoghi di lavoro, nelle scuole e negli istituti della formazione superiore”;
VISTO il decreto-legge 4 febbraio 2022, n. 5, recante “Misure urgenti in materia di certificazioni verdi COVID-19 e per lo svolgimento in sicurezza delle attività nell’ambito del sistema educativo, scolastico e formativo”;
VISTO il decreto del Presidente del Consiglio dei ministri del 17 giugno 2021 recante “Disposizioni attuative dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da COVID-19»”;
VISTO il provvedimento n. 229 del 9 giugno 2021 (doc. web n. 9668064), con il quale il Garante ha reso il parere sul predetto schema di decreto del Presidente del Consiglio dei ministri, adottato il 17 giugno 2021, di attuazione della Piattaforma nazionale-DGC per l’emissione, il rilascio e la verifica del Green Pass;
VISTO il provvedimento n. 306 del 31 agosto 2021 (doc. web n. 9694010), con il quale il Garante ha reso il parere sullo schema di decreto del Presidente del Consiglio dei ministri, adottato il 10 settembre 2021, che ha introdotto specifiche modalità di verifica del possesso da parte del personale scolastico della certificazione verde Covid-19 in corso di validità;
VISTO il provvedimento n. 363 del 11 ottobre 2021 (doc. web n. 9707431), con il quale il Garante ha reso il Parere sullo schema di decreto, adottato il 12 ottobre 2021, che ha introdotto specifiche modalità di verifica del possesso da parte del personale nei contesti lavorativi pubblici e privati della certificazione verde Covid-19 in corso di validità;
VISTO il provvedimento n. 430 del 13 dicembre 2021 (doc. web n. 9727220), con il quale il Garante ha reso il Parere sullo schema di decreto, adottato il 17 dicembre 2021, in tema di certificazioni verdi Covid-19 ivi compresa l’attuazione dell’istituto della revoca e obblighi vaccinali per talune categorie di lavoratori;
VISTO il provvedimento n. 18 del 27 gennaio 2022 (doc. web n. 9742129), con il quale il Garante ha reso il Parere sullo schema di decreto, adottato il 4 febbraio 2022, in tema di certificazioni digitali di esenzione dalla vaccinazione anti Covid-19;
CONSIDERATO quanto espresso dal Garante per la protezione dei dati personali in occasione dell’audizione avente ad oggetto l'esame del disegno di legge di conversione in legge del decreto-legge n. 1 del 2022 (C. 3434 Governo) (in www.gpdp.it doc. web n. 9744445);
RITENUTO di adottare il presente parere, in via d’urgenza, in ragione della rappresentata esigenza di procedere alle verifiche automatizzate dell’obbligo vaccinale per le categorie obbligate, oltre alle modalità di verifica delle certificazioni verdi COVID-19 diversificate e ulteriori rispetto a quelle già attualmente esistenti;
RITENUTO quindi che ricorrano i presupposti per l'applicazione dell'art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell'ufficio del Garante, il quale prevede che “Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il Presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno”;
VISTA la documentazione in atti;
PREMESSO
Il Ministero della salute, con la nota del 14 febbraio 2022, ha trasmesso al Garante, per il prescritto parere, lo schema di decreto del Presidente del Consiglio dei Ministri, da adottare ai sensi dell’art. 9, comma 10, del d.l. n. 52/2021, di concerto con il Ministro della salute, il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro dell’economia e delle finanze, predisposto in applicazione alle disposizioni di cui ai decreti-legge 7 gennaio 2022, n. 1, 27 gennaio 2022, n. 4, e 4 febbraio 2022, n. 5, al fine di prevedere delle modalità di verifica delle certificazioni verdi COVID-19 diversificate e ulteriori rispetto a quelle già attualmente esistenti e di garantire una verifica differenziata in base all’occorrenza e tutelando in ogni caso il diritto alla riservatezza dell’intestatario della certificazione stessa, senza rendere visibili al verificatore le informazioni che ne hanno determinato l’emissione.
Nella nota di trasmissione il Ministero ha segnalato l’urgenza di acquisire il prescritto parere del Garante, considerato che il richiesto parere “è condizionato l’avvio delle verifiche automatizzate dell’obbligo vaccinale per le categorie obbligate, oltre alle modalità di verifica delle certificazioni verdi COVID-19 diversificate e ulteriori rispetto a quelle già attualmente esistenti”.
Lo schema di decreto trasmesso all’Autorità – formulato anche sulla base delle interlocuzioni dell’Ufficio con il Ministero della salute che hanno avuto carattere d’urgenza in considerazione dell’esigenza di avviare nei tempi indicati dalle nuove disposizioni in tema di certificazioni verdi Covid-19 e obblighi vaccinali per cittadini ultracinquantenni e per il personale delle università e delle istituzioni di alta formazione artistica coreutica e musicale (AFAM) e degli istituti tecnici superiori – si compone di 3 articoli di seguito sinteticamente descritti nonché di n. 9 allegati (all. B “Funzioni e servizi della Piattaforma Nazionale-DGC”; all. C “Documento tecnico Sistema TS: funzionalità di acquisizione dati per le Certificazioni verdi COVID-19. Dati e relativo trattamento”; all. G “Modalità di interazione tra il Sistema informativo dell’istruzione-Sidi e la Piattaforma nazionale-DGC per il controllo semplificato del possesso della certificazione verde Covid-19 e del rispetto dell’obbligo vaccinale da parte del personale scolastico”; all. H “Modalità per il controllo automatizzato del possesso della Certificazione verde COVID-19”; all. I “Verifica del rispetto dell’obbligo vaccinale tramite PORTALE INPS”; all. L “Verifica del rispetto dell’obbligo vaccinale tramite NOIPA”; all. M “Verifica del rispetto dell’obbligo vaccinale tramite interoperabilità applicativa con le Federazioni nazionali degli Ordini degli esercenti le professioni sanitarie”; all. N “Verifica del rispetto dell’obbligo vaccinale tramite interoperabilità applicativa con le Università”; all. O “Interoperabilità applicativa per la gestione del procedimento di irrogazione delle sanzioni pecuniarie”).
Lo schema di decreto introduce modifiche a numerosi articoli del decreto del Presidente del Consiglio dei Ministri 17 giugno 2021, aggiornandolo alla luce delle recenti disposizioni normative sopra richiamate. In particolare, tali interventi riguardano:
come richiesto dal Garante nel provvedimento del 13 dicembre 2021, l’individuazione dei soggetti che rientrano nella categoria degli “operatori di interesse sanitario” cui è demandata la messa a disposizione delle certificazioni verdi Covid-19 generate dalla Piattaforma nazionale-DGC agli interessati che ne facciano richiesta (art. 1, comma 1, lett. a), dello schema di decreto);
la validità tecnica delle certificazioni verdi Covid-19 collegata alla scadenza del certificato di sigillo elettronico qualificato utilizzato in fase di emissione delle stesse (art. 1, comma 1, lett. b), dello schema di decreto);
l’annullamento della revoca della certificazione verde Covid-19 in caso di esito negativo di un test molecolare o di un test antigenico rapido (art. 1, comma 1, lett. c), dello schema di decreto);
la modalità di verifica per l’accesso ai servizi e alle attività per i quali sul territorio nazionale sussiste l’obbligo di possedere una certificazione verde Covid-19 da vaccinazione o guarigione da parte dei soggetti provenienti da uno Stato estero, in possesso di un certificato digitale interoperabile con il gateway europeo generato da più di sei mesi (180 gg.) (art. 1, comma 1, lett. d), dello schema di decreto);
la modalità di verifica per la fruizione di servizi, lo svolgimento di attività e gli spostamenti per i quali è necessaria una certificazione verde Covid-19, rilasciata a seguito della somministrazione della dose di richiamo successiva al ciclo vaccinale primario, ovvero una certificazione verde Covid-19, rilasciata a seguito del completamento del ciclo vaccinale primario o dell’avvenuta guarigione unitamente a una certificazione che attesti l’esito negativo del test antigenico rapido o molecolare, eseguito nelle quarantotto ore precedenti (art. 1, comma 1, lett. e), dello schema di decreto);
la modalità di verifica per l’accesso ai luoghi di lavoro per il quale è necessario il possesso di una certificazione verde Covid-19 di avvenuta vaccinazione o guarigione per i lavoratori ultracinquantenni, ovvero di una certificazione verde Covid-19 di avvenuta vaccinazione, guarigione o esecuzione di un tampone con esito negativo per tutti gli altri lavoratori (art. 1, comma 1, lett. e), dello schema di decreto);
la modalità di verifica per l’accesso alle attività educative e didattiche in presenza – in caso di contatti stretti tra gli alunni a seguito della positività all’infezione da SARS-CoV-2 nel sistema educativo, scolastico e formativo – per le quali è necessario il possesso di una certificazione verde Covid-19, rilasciata a seguito della conclusione del ciclo vaccinale primario o della guarigione da meno di centoventi giorni, o dopo dose di richiamo o guarigione successiva al completamento del ciclo vaccinale primario (art. 1, comma 1, lett. e), dello schema di decreto);
l’obbligo per i verificatori di utilizzare l’ultima versione dell’app VerificaC19, nonché per i soggetti preposti alle verifiche di adottare adeguate misure volte ad assicurare che sia utilizzata l’ultima versione del pacchetto di sviluppo per applicazioni (SDK), resa disponibile dal Ministero della salute, ovvero l’ultima versione delle librerie software, resa disponibile sulla piattaforma utilizzata dal Ministero della salute per la pubblicazione del codice sorgente del predetto SDK (art. 1, comma 1, lett. f), dello schema di decreto);
la previsione secondo cui i verificatori devono essere appositamente autorizzati dal titolare del trattamento, ai sensi degli artt. 29 e 32, par. 4, del Regolamento e 2-quaterdecies del Codice, e devono ricevere le necessarie istruzioni in merito al trattamento dei dati connesse all’attività di verifica, con particolare riferimento alla possibilità di utilizzare le diverse modalità di verifica relative al possesso di specifiche tipologie di certificazione verde Covid-19, esclusivamente nei casi in cui la fruizione di servizi, lo svolgimento di attività, gli spostamenti, l’accesso ai luoghi di lavoro e lo svolgimento della didattica in presenza siano consentiti dalla vigente legislazione ai soggetti muniti delle stesse certificazioni (art. 1, comma 1, lett. g), dello schema di decreto);
le modalità di verifica, anche automatizzate, del rispetto dell’obbligo vaccinale per il personale delle università, delle istituzioni di alta formazione artistica, coreutica e musicale e degli istituti tecnici superiori, nonché le competenze a effettuare le verifiche in capo ai datori di lavoro e ai responsabili delle relative istituzioni (art. 1, comma 1, lett. h), i), l), m) e n), dello schema di decreto);
le modalità di verifica dell’obbligo vaccinale degli ultracinquantenni, nonché il relativo procedimento di irrogazione delle sanzioni pecuniarie (art. 1, comma 1, lett. n), dello schema di decreto);
l’aggiornamento degli allegati B, C, G, H, I e L del d.P.C.M. 17 giugno 2021 e l’introduzione degli allegati N e O (art. 2 dello schema di decreto).
OSSERVA
1. I trattamenti di dati personali finalizzati alla verifica del rispetto dell’obbligo vaccinale ai fini dell’irrogazione delle sanzioni amministrative pecuniarie.
1.1. Premessa.
Al fine di “tutelare la salute pubblica e mantenere adeguate condizioni di sicurezza nell’erogazione delle prestazioni di cura e assistenza”, il decreto legge n. 1 del 2022 ha introdotto l’obbligo vaccinale per l’infezione da SARS-CoV-2 per i cittadini italiani e degli altri Stati membri dell’Unione europea residenti in Italia, nonché per i cittadini stranieri iscritti e non iscritti al Servizio sanitario nazionale, che abbiano compiuto il cinquantesimo anno di età (art. 4-quater del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
Tale obbligo non sussiste nei confronti di quei soggetti che siano stati dichiarati esenti a causa di un accertato pericolo per la salute, in relazione a specifiche condizioni cliniche documentate e attestate dal medico di medicina generale o dal medico vaccinatore (art. 4-quater, comma 2, del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
In particolare, è prevista l’applicazione di una sanzione amministrativa pecuniaria di cento euro per i soggetti che, alla data del 1° febbraio 2022, non abbiano iniziato il ciclo vaccinale primario o effettuato la dose di completamento del ciclo vaccinale primario, nonché per quelli che non abbiano effettuato la dose di richiamo successiva al ciclo vaccinale primario entro i termini di validità delle certificazioni verdi Covid-19 (art. 4 sexies del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
Il citato decreto-legge ha espressamente previsto che l’irrogazione della predetta sanzione sia effettuata dal Ministero della salute per il tramite dell’Agenzia delle entrate-Riscossione (di seguito AdeR) (art. 4 sexies, comma 3, del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022). A tal fine, il Ministero della salute predispone un elenco dei soggetti inadempienti all’obbligo vaccinale da trasmettere periodicamente all’AdeR. In particolare, la predisposizione dei predetti elenchi è effettuata dal Ministero della salute, anche acquisendo i dati resi disponibili dal Sistema Tessera Sanitaria (TS), tenendo conto delle informazioni, ove disponibili, dei soggetti che risultano esenti.
Il decreto legge n. 1/2022 ha stabilito, inoltre, che il Ministero della salute, avvalendosi dell’AdeR, comunichi ai soggetti inadempienti l’avvio del procedimento sanzionatorio, indicando agli stessi il termine perentorio di dieci giorni dalla ricezione per comunicare all’Azienda sanitaria locale (di seguito Asl) competente per territorio l’eventuale certificazione in loro possesso relativa al differimento o all’esenzione dall’obbligo vaccinale, ovvero relativa ad altra ragione di assoluta e oggettiva impossibilità (art. 4 sexies, comma 4, del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
È inoltre previsto che l’Asl competente per territorio trasmetta all’AdeR, nel termine perentorio di dieci giorni dalla ricezione della predetta comunicazione dagli interessati, un’attestazione relativa all’insussistenza dell’obbligo vaccinale o all’impossibilità di adempiervi (art. 4 sexies, comma 5, d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
L’AdeR, nel caso in cui l’Asl competente non confermi l’insussistenza dell’obbligo vaccinale, ovvero l’impossibilità di adempiervi, provvede, in deroga alle disposizioni contenute nella legge n. 689/1981, alla notifica, ai sensi dell’art. 26 del d.P.R. n. 602/1973, di un avviso di addebito, con valore di titolo esecutivo (art. 4 sexies, comma 6, del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
È inoltre previsto che la sanzione amministrativa pecuniaria in questione si applichi anche in caso di inosservanza degli obblighi vaccinali, di cui agli artt. 4, 4-bis e 4-ter del d.l. n. 44/2021, previsti per specifiche categorie di lavoratori, quali gli esercenti le professioni sanitarie e gli operatori di interesse sanitario, il personale scolastico e universitario, del comparto difesa, sicurezza e soccorso pubblico, della polizia locale, degli organismi della legge n. 124 del 2007, delle strutture sanitarie e degli istituti penitenziari (art. 4-sexies, comma 2, del d.l. n. 44/2021 introdotto dall’art. 1 del d.l. n. 1/2022).
1.2. Il trattamento di dati personali connesso all’accertamento dell’inosservanza dell’obbligo vaccinale per la prevenzione dell’infezione da SARS-CoV-2.
Il trattamento dei dati personali effettuato nell’ambito del procedimento di accertamento dell’inosservanza dell’obbligo vaccinale è stato espressamente previsto dal richiamato decreto-legge n. 1 del 2022 che ha ricondotto il trattamento al motivo di interesse pubblico rilevante connesso alla tutela della salute pubblica e al mantenimento di adeguate condizioni di sicurezza nell’erogazione delle prestazioni di cura e assistenza (art. 9 del Regolamento e art. 2-sexies del Codice).
La predetta disposizione ha, inoltre, individuato la tipologia dei dati trattati dai diversi soggetti coinvolti nel trattamento. Nello specifico è previsto il trattamento dei dati sulla salute relativi allo stato vaccinale (tipologia di dosi somministrate e data di somministrazione) e all’esenzione dalla vaccinazione anti-Covid-19 degli interessati ultracinquantenni da parte del Ministero della salute e dell’Asl territorialmente competente. Secondo quanto previsto dal predetto decreto legge, l’AdeR può trattare i dati identificativi diretti degli interessati ultracinquantenni che, al 1° febbraio 2022, non abbiano iniziato il ciclo vaccinale primario, effettuato la dose di completamento del ciclo vaccinale primario, ovvero la dose di richiamo successiva al ciclo vaccinale primario entro i termini di validità delle certificazioni verdi Covid-19.
Nel confermare preliminarmente le indicazioni espresse dal Presidente nella richiamata audizione alla Camera del 10 febbraio 2022 (Commissione XII Affari Sociali), che si richiamano integralmente, si osserva quanto segue.
Lo schema di decreto in esame dà attuazione alla richiamata disposizione disciplinando le modalità attraverso le quali il Ministero della salute acquisisce giornalmente dal Sistema TS gli elenchi dei soggetti assistiti dal Servizio sanitario nazionale ai quali si applica il predetto obbligo, ovvero dei soli assistiti con età maggiore o uguale a cinquanta anni, al fine di individuare, attraverso le informazioni presenti nella Piattaforma nazionale-DGC (PN-DGC) di cui è titolare, i soggetti per cui non risultino vaccinazioni anti-SARS-CoV-2, differimenti delle medesime per pregresse infezioni, né esenzioni dalle predette vaccinazioni (art. 1, comma 1, lett. n), dello schema di decreto che introduce l’art. 17-octies al d.P.C.M. 17 giugno 2021).
Lo schema in esame definisce, inoltre, le modalità con le quali i soggetti deputati alla verifica dell’osservanza degli obblighi vaccinali previsti per specifiche categorie professionali (artt. 4, 4-bis e 4-ter del decreto-legge n. 44 del 2021) trasmettono al Ministero gli elenchi dei lavoratori inadempienti ai fini dell’avvio del procedimento di irrogazione delle sanzioni amministrative pecuniarie (art. 1, comma 1, lett. n), dello schema di decreto che introduce l’art. 17-octies, comma 4, e l’all. O al d.P.C.M. 17 giugno 2021). In particolare, è previsto che i datori di lavoro e gli altri soggetti tenuti ai controlli trasmettano i predetti elenchi al Ministero della salute attraverso le funzionalità messe a disposizione dallo stesso Ministero all’interno del Portale istituzionale INPS e della Piattaforma NoiPA. Analogamente, gli ordini degli esercenti le professioni sanitarie trasmettono tali elenchi al Ministero tramite le funzionalità di interoperabilità applicativa tra i sistemi informativi delle relative Federazioni nazionali e la PN-DGC (art. 2 dello schema di decreto che modifica gli all. I, L e M del d.P.C.M. 17 giugno 2021).
Con specifico riferimento ai ruoli rivestiti dai soggetti coinvolti nel trattamento dei dati connessi all’irrogazione della sanzione pecuniaria, lo schema di decreto specifica che il Ministero della salute opera in qualità di titolare del trattamento e l’AdeR quale responsabile del trattamento dei medesimi dati.
Ai fini dell’irrogazione della prevista sanzione pecuniaria, il Ministero della salute, nell’ambito del rapporto titolare/responsabile, rende disponibili periodicamente all’AdeR gli elenchi dei soggetti inadempienti all’obbligo vaccinale che sono stati individuati sulla base dei criteri sopra descritti.
Nell’ambito della definizione del suddetto procedimento sanzionatorio il Ministero ha accolto le osservazioni formulate dall’Ufficio nell’ambito dell’istruttoria, circa la necessità di introdurre specifiche misure di garanzie idonee a tutelare i diritti fondamentali e gli interessi delle persone fisiche. In particolare, è stato previsto che le Asl competenti per territorio devono adottare misure tecniche e organizzative idonee ad assicurare l’integrità e la riservatezza dei dati contenuti nelle comunicazioni che l’interessato, destinatario dell’avvio del procedimento sanzionatorio, deve effettuare nei loro confronti per documentare l’eventuale certificazione relativa al differimento o all’esenzione dall’obbligo vaccinale, ovvero altra ragione di assoluta e oggettiva impossibilità.
Si prende inoltre atto che nello schema di decreto in esame è stato accolto l’invito dell’Ufficio, formulato nell’ambito dell’istruttoria, di prevedere che i soggetti destinatari dell’avvio del procedimento sanzionatorio diano notizia all’AdeR dell’avvenuta presentazione della predetta comunicazione all’Asl competente con modalità idonee ad assicurare il rispetto del principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), del Regolamento (cfr. all. O).
È stata altresì accolta l’osservazione relativa alla necessità di prevedere specifiche e adeguate misure per assicurare che la comunicazione telematica tra l’Asl e l’AdeR circa l’eventuale attestazione relativa all’insussistenza dell’obbligo vaccinale o all’impossibilità di adempiervi avvenga nel rispetto del principio di integrità e riservatezza (art. 5, par. 1, lett. f), del Regolamento). Analogamente sono state individuate anche le modalità con le quali la predetta Agenzia comunica al Ministero della salute l’elenco dei soggetti per i quali non è stato prodotto l’avviso di addebito; in particolare, è stato previsto che la predetta attestazione indichi esclusivamente l’insussistenza dell’obbligo vaccinale o l’impossibilità di adempiervi, senza contenere informazioni idonee a rivelare lo stato di salute dell’interessato, nel rispetto del richiamato principio di minimizzazione dei dati.
Infine, si prende atto del fatto che lo schema in esame individua le specifiche modalità con le quali il Ministero acquisisce, dai datori di lavoro e dagli altri soggetti tenuti alle verifiche degli obblighi vaccinali nei contesti produttivi e professionali, gli elenchi dei lavoratori non in regola con i predetti obblighi, al fine di assicurare l’adozione di procedure uniformi e idonee a garantire l’integrità e la riservatezza dei dati oggetto di trattamento.
2. I trattamenti di dati personali finalizzati alla verifica del rispetto dell’obbligo della vaccinazione anti-SARS-CoV-2 per il personale delle università, delle istituzioni di alta formazione artistica, coreutica e musicale e degli istituti tecnici superiori
Lo schema di decreto in esame disciplina le modalità di verifica del rispetto dell’obbligo di vaccinazione anti-SARS-CoV-2 per il personale delle università e delle istituzioni di alta formazione artistica, coreutica e musicale (AFAM) e degli istituti tecnici superiori, introdotto, al fine di tutelare la salute pubblica e mantenere adeguate condizioni di sicurezza del lavoro, dall’art. 2 del decreto-legge 7 gennaio 2022, n. 1, che ha modificato l’art. 4-ter del decreto-legge 1° aprile 2021, n. 44.
In particolare, coerentemente a quanto già previsto per le altre categorie professionali per le quali, per espressa previsione di legge, la vaccinazione anti-SARS-CoV-2 costituisce una condizione per lo svolgimento dell’attività lavorativa, lo schema di decreto in esame ha previsto che le predette verifiche siano effettuate attraverso modalità, anche automatizzate, rese disponibili dal Ministero della salute, sulla base delle informazioni presenti nella Piattaforma nazionale-DGC, agli atenei e alle istituzioni competenti, al fine di assicurare, un più efficace ed efficiente processo di verifica (artt. 1, comma 1, lett. h), i), l), m) e n), e 2 dello schema di decreto in esame che modificano gli artt. 17-bis, 17-ter, 17-sexies e l’all. I, e introducono l’art. 17-septies e l’all. N del d.P.C.M. 17 giugno 2021).
Come già evidenziato dal Garante con il parere del 13 dicembre 2021, in linea di continuità con gli orientamenti finora espressi, sebbene, anche nel periodo emergenziale, il datore di lavoro non sia legittimato a trattare i dati personali relativi alla vaccinazione anti-SARS-CoV-2 dei dipendenti (art. 88 del Regolamento e art. 113 del Codice in riferimento agli artt. 8 della l. 20 maggio 1970, n. 300, e 10 del d.lgs. 10 settembre 2003, n. 276; vedi anche, il provvedimento n. 306 del 31 agosto 2021, doc. web n. 9694010, il provvedimento n. 363 del 11 ottobre 2021, doc. web n. 9707431, il provvedimento n. 273 del 22 luglio 2021, doc. web n. 9683814, e i provvedimenti e documenti di indirizzo ivi citati), tale limite non ricorre tuttavia con riguardo a quelle categorie di lavoratori per i quali il legislatore nazionale abbia stabilito specifici requisiti professionali ritenuti essenziali per accedere e per svolgere determinate attività lavorative, tenuto conto della natura dell’attività lavorativa e del contesto in cui si svolge la prestazione (ipotesi fatta salva dal combinato disposto dei menzionati artt. 8 della l. 20 maggio 1970, n. 300, e 10 del d.lgs. 10 settembre 2003, n. 276; cfr. anche Consiglio di Stato, III sez., sentenza n. 7045 del 20 ottobre 2021).
Nel predetto parere è stato altresì precisato che le richiamate norme di settore e la relativa disciplina di attuazione – che stabiliscono limiti e condizioni per la verifica dell’adempimento dell’obbligo vaccinale dei lavoratori interessati, regolando le modalità per comprovarlo, i casi in cui la vaccinazione del personale possa essere omessa o differita nonché le conseguenze, anche relative al rapporto di lavoro, in caso di mancata sottoposizione alla vaccinazione – costituiscono, sotto il profilo della protezione dei dati, la base giuridica dei relativi trattamenti da parte dei datori di lavoro e degli altri soggetti tenuti ai controlli (artt. 5, 6 e 9, par. 2, lett. b) e g), del Regolamento e art. 2-sexies del Codice).
Come per le altre categorie professionali per le quali la vaccinazione anti-SARS-CoV-2 costituisce requisito professionale, lo schema in esame, al fine di assicurare la trasparenza nei confronti degli interessati e di consentire una chiara ripartizione degli obblighi e delle responsabilità previste dal Regolamento, individua inoltre il ruolo dei soggetti coinvolti nei trattamenti di dati personali connessi alla verifica del rispetto dell’obbligo vaccinale, specificando che i soggetti tenuti a effettuare i controlli (gli istituti universitari, tecnici superiori e di alta formazione) operano in qualità di titolari del trattamento (artt. 1, comma 1, lett. i) e m), e 2 dello schema di decreto in esame che modificano gli artt. 17-bis e 17-sexies e l’all. I , e introducono l’all. N del d.P.C.M. 17 giugno 2021).
2.1. Le modalità automatizzate di verifica del rispetto dell’obbligo vaccinale.
Lo schema di decreto in esame prevede che il Ministero renda disponibili agli atenei e ai responsabili delle istituzioni tenuti a effettuare i controlli, specifiche funzionalità per la verifica automatizzata del rispetto dell’obbligo vaccinale, sulla base delle informazioni trattate nell’ambito della PN-DGC.
Analogamente a quanto previsto per le altre categorie professionali per le quali vige il predetto obbligo, tali funzionalità consentono di effettuare le verifiche in relazione al personale effettivamente in servizio mostrando l’informazione di tipo booleano relativa al rispetto dell’obbligo vaccinale (semaforo verde: lavoratore vaccinato o esente; semaforo rosso: lavoratore non vaccinato), senza rendere disponibili ai verificatori le ulteriori informazioni conservate, o comunque trattate, nell’ambito della PN-DGC.
Lo schema in esame prevede, inoltre, come per gli altri contesti lavorativi sopra richiamati, la possibilità che la verifica dell’adempimento dell’obbligo vaccinale, nelle more dell’aggiornamento delle informazioni trattate nell’ambito della PN-DGC, possa avvenire anche mediante esibizione da parte dei lavoratori interessati dei documenti che attestano il rispetto dell’obbligo vaccinale rilasciati, in formato cartaceo o digitale, dalle strutture sanitarie pubbliche e private, dalle farmacie, dai medici di medicina generale e dai pediatri di libera scelta (art. 17-bis e all. I del d.P.C.M. 17 giugno 2021, modificati dallo schema di decreto in esame).
Con riguardo al personale delle università, il Ministero della salute rende disponibili agli uffici degli atenei, sulla base di apposita convenzione, specifiche funzionalità che consentono una verifica automatizzata del rispetto dell’obbligo vaccinale del personale in servizio, attraverso un’interoperabilità applicativa, in modalità asincrona, tra i sistemi informativi di gestione del personale delle università e la PN-DGC, nonché attraverso una specifica funzionalità resa disponibile all’interno del portale istituzionale INPS.
Nell’ambito delle predette verifiche, il Ministero fornisce informazioni anche sulle eventuali variazioni dello stato vaccinale del personale dipendente rispetto alla precedente interrogazione, al fine di consentire alle università di portare tale circostanza all’attenzione dei verificatori (art. 17-septies e all. N del d.P.C.M. 17 giugno 2021, introdotti dallo schema di decreto in esame).
Con riferimento al personale delle istituzioni di alta formazione artistica, coreutica e musicale e degli istituti tecnici superiori, le verifiche sul rispetto dell’obbligo vaccinale sono effettuate mediante specifiche funzionalità rese disponibili ai datori di lavoro all’interno del Portale istituzionale INPS che interagisce, in modalità asincrona, con la PN-DGC.
Si prende inoltre atto che lo schema di decreto in esame, prevede che, in caso di ricorso alle predette modalità di verifica automatizzate, successivamente alla prima verifica, in caso di variazione dello stato vaccinale di un interessato, i soggetti autorizzati alle verifiche siano informati, attraverso un’apposita comunicazione (e-mail), di tale circostanza e della necessità di prenderne visione. L’invio di tale comunicazione assicura al contempo la semplificazione del processo di verifica e il trattamento di dati aggiornati al ricorrere di specifiche condizioni quali, ad esempio: il termine del periodo di copertura vaccinale, il termine del periodo di esenzione dalla vaccinazione, l’effettuazione della vaccinazione da parte del personale inizialmente non in regola con l’obbligo vaccinale, l’accertamento di irregolarità della vaccinazione o di falsificazione della certificazione vaccinale, oppure l’annullamento della revoca della certificazione vaccinale (artt. 17-bis, commi 5 e 7, 17-septies, comma 2, e all. I e N del d.P.C.M. 17 giugno 2021, modificati e introdotti dallo schema di decreto in esame).
Come evidenziato dal Garante nel predetto parere del 13 dicembre 2021 (spec. par. 1.4), infatti, i trattamenti effettuati per la verifica dell’obbligo vaccinale, nei casi previsti dalla legge, devono essere tenuti separati da quelli effettuati per la verifica quotidiana del possesso della certificazione verde Covid-19 per l’accesso fisico alle sedi di lavoro, nel rispetto delle condizioni e dei limiti previsti da norme distinte che, in modo diverso, concorrono al contenimento dell’epidemia da Covid-19 e allo svolgimento in sicurezza delle attività lavorative. La diversa finalità delle verifiche incide principalmente sulla periodicità delle stesse atteso che le verifiche circa il rispetto dell’obbligo vaccinale devono, nel rispetto sia dei principi di protezione dei dati che del quadro normativo di settore, essere effettuate con una cadenza più ampia (anche una tantum), non potendo ritenersi giustificata – diversamente da quelle relative al possesso di una valida certificazione verde – l’esecuzione di verifiche relative all’assolvimento dell’obbligo vaccinale con cadenza ravvicinata (quotidiana o, comunque, frequente).
3. I trattamenti di dati personali connessi alle nuove modalità di verifica delle certificazioni verdi Covid-19 nel contesto lavorativo
Il decreto-legge 7 gennaio 2022, n. 1, introducendo l’art. 4-quinquies nel d.l. n. 44/2021, ha previsto che, a decorrere dal 15 febbraio 2022, per l’accesso ai luoghi di lavoro, i lavoratori ai quali trova applicazione l’obbligo vaccinale anti-Covid-19, in ragione dell’età (“che abbiano compiuto il cinquantesimo anno di età”, combinato disposto degli artt. 4-quater e 4-quinquies del d.l. n. 1/2022), devono possedere e sono tenuti a esibire una certificazione verde Covid-19 di avvenuta vaccinazione o guarigione. È stato inoltre previsto che i datori di lavoro pubblici e privati e i responsabili delle strutture degli uffici giudiziari effettuino le predette verifiche con le modalità indicate dal d.P.C.M. 17 giugno 2021 (previsto dall’art. 9, comma 10, del d.l. n. 52/2021).
Lo schema di decreto in esame adegua alla predetta disposizione le modalità attraverso le quali è possibile effettuare la verifica del possesso delle certificazioni verdi per l’accesso ai luoghi di lavoro, attraverso l’app VerificaC19, il pacchetto di sviluppo per applicazioni (SDK) e le librerie software e le soluzioni da esse derivate, nonché le modalità automatizzate già rese disponibili ai datori di lavoro (SIDI, piattaforma NoiPA, portale INPS, interoperabilità applicativa).
In particolare, lo schema di decreto introduce – nell’app VerificaC19, nel pacchetto di sviluppo per applicazioni (SDK) e nelle librerie software – una specifica modalità (“Lavoro”) che consente di verificare il possesso delle diverse tipologie di certificazioni verdi Covid-19 prescritte, rispettivamente, per i lavoratori ultracinquantenni (vaccinazione o guarigione o esenzione dalla vaccinazione) e per tutti gli altri lavoratori (vaccinazione, guarigione o esecuzione di un tampone con esito negativo o esenzione dalla vaccinazione), senza rendere visibili le informazioni che ne hanno determinato l’emissione (artt. 1, comma 1, lett. e), e 2 dello schema di decreto che introducono il comma 1-quater all’art. 13 e modificano gli all. B e H del d.P.C.M. 17 giugno 2021). Analogamente è previsto che siano aggiornate le regole in base alle quali vengono effettuate, in modalità automatizzata, le verifiche del possesso della certificazione verde Covid-19 per l’acceso ai luoghi di lavoro (art. 2 dello schema di decreto che modifica gli all. G e H del d.P.C.M. 17 giugno 2021).
Al riguardo, si prende atto che le misure individuate per tutelare, anche attraverso tale specifica modalità dedicata di verifica delle certificazioni verdi, i diritti e le libertà fondamentali dei lavoratori assicurano che, selezionando la modalità “Lavoro”, la verifica dei distinti presupposti per accedere al luogo di lavoro, stabiliti in funzione dell’età anagrafica dell’interessato, avvenga in modo automatico sulla base della data di nascita riportata all’interno della certificazione verde di ciascuno, semplificando le procedure di verifica e, al contempo, riducendo il rischio di utilizzo improprio o non corretto, anche derivante da errore umano, evitando le occasioni di possibili trattamenti di dati non previsti dalla legge, nonché limitando eventuali effetti discriminatori nel contesto lavorativo (artt. 88 del Regolamento e 113 del Codice).
4. I trattamenti di dati personali connessi alle modalità di verifica delle certificazioni verdi Covid-19 degli studenti nel contesto scolastico.
Il decreto legge n. 5 del 2022 ha previsto che nelle scuole primarie – in caso di cinque o più casi di positività – e nelle scuole secondarie di primo e secondo grado e nel sistema di istruzione e formazione professionale – qualora vi siano due o più casi di positività – l’attività didattica prosegua in presenza fino al decimo giorno successivo alla data dell’ultimo contatto con l’ultimo soggetto confermato positivo, per coloro che diano dimostrazione di avere concluso il ciclo vaccinale primario o di essere guariti da meno di centoventi giorni o dopo aver completato il ciclo vaccinale primario, oppure di avere effettuato la dose di richiamo ove prevista (art. 6, comma 1, lett. b), n. 2), primo periodo, e lett. c), n. 2), primo periodo).
In via preliminare, nel richiamare le considerazioni espresse dal Presidente nella richiamata audizione alla Camera del 10 febbraio 2022, in merito alla predetta disposizione, al fine di assicurare che il trattamento dei dati personali degli studenti sia effettuato nel rispetto dei principi fondamentali in materia di protezione dei dati personali, si rileva quanto segue:
gli istituti scolastici, al solo fine di assicurare il regime didattico differenziato previsto dal d.l. n. 5 del 2022, sono autorizzati a trattare i dati personali strettamente necessari alla verifica della sussistenza delle condizioni per l’ammissione alla didattica in presenza;
la verifica del possesso dei requisiti per l’accesso alla didattica in presenza deve essere effettuata esclusivamente nei confronti di coloro che ne intendano usufruire e limitatamente al solo periodo di sorveglianza previsto dalla normativa sopra richiamata (10 giorni);
gli istituti scolastici devono garantire che il trattamento dei dati personali strettamente necessari alla verifica della sussistenza delle condizioni per l’ammissione alla didattica in presenza avvenga con modalità conformi al principio di integrità e riservatezza, escludendo inoltre l’acquisizione preventiva della documentazione che dimostri lo stato vaccinale o di guarigione, che può essere verificata, invece, solo al ricorrere dei presupposti normativi, ossia quando si verifichino i casi di positività nei termini descritti dal citato art. 6 del d.l. n. 5 del 2022;
nel caso in cui i predetti alunni intendano dimostrare la sussistenza dei requisiti richiesti per svolgere l’attività didattica in presenza attraverso l’esibizione della certificazione verde, la verifica della stessa deve avvenire esclusivamente con l’app VerificaC19, attraverso la specifica modalità di verifica dedicata al sistema scolastico, educativo e formativo disciplinata dallo schema di decreto in esame;
il controllo della documentazione attestante il possesso dei requisiti per l’accesso alla didattica in presenza deve avvenire da parte di personale autorizzato e debitamente istruito allo scopo, escludendo la conservazione e la diffusione della documentazione stessa, nonché la comunicazione al di fuori delle ipotesi previste dalla normativa vigente.
Ciò stante, si prende atto che lo schema di decreto in esame prevede che, con riferimento alla gestione dei casi di positività all’infezione da SARS-CoV-2 nel sistema educativo, scolastico e formativo, l’app VerificaC19 permette di selezionare una specifica modalità di verifica (“Studenti”) limitata al possesso di una certificazione verde Covid-19, rilasciata a seguito della conclusione del ciclo vaccinale primario o della guarigione da meno di centoventi giorni, o dopo dose di richiamo o guarigione successiva al completamento del ciclo vaccinale primario o esenzione dalla vaccinazione, senza rendere visibili le informazioni che ne hanno determinato l’emissione (art. 1, comma 1, lett. e), dello schema di decreto che introduce il comma 1-quinques all’art. 13 del d.P.C.M. 17 giugno 2021).
5. Ulteriori misure a tutela degli interessati
Si prende atto che nello schema di decreto in esame sono state recepite le osservazioni formulate dall’Ufficio, nell’ambito dell’istruttoria preliminare, relativamente all’attività svolta dai verificatori delle certificazioni verdi Covid-19, relativamente alle seguenti misure di garanzia a tutela dei diritti e delle libertà fondamentali degli interessati:
i verificatori devono utilizzare l’ultima versione dell’app VerificaC19 e, in caso di utilizzo delle modalità di verifica automatizzate, i soggetti preposti alle verifiche devono adottare adeguate misure volte ad assicurare che per la verifica delle certificazioni verdi Covid-19 sia utilizzata l’ultima versione del pacchetto di sviluppo per applicazioni (SDK), resa disponibile dal Ministero della salute, ovvero l’ultima versione delle librerie software, resa disponibile sulla piattaforma utilizzata dal Ministero della salute per la pubblicazione del codice sorgente del pacchetto di sviluppo per applicazioni;
i verificatori devono essere appositamente autorizzati dal titolare del trattamento, ai sensi degli artt. 29 e 32, par. 4, del Regolamento e 2-quaterdecies del Codice, e devono ricevere le necessarie istruzioni in merito al trattamento dei dati connesse all’attività di verifica, con particolare riferimento alla possibilità di utilizzare le diverse modalità relative al possesso di specifiche tipologie di certificazione verde Covid-19, esclusivamente nei casi in cui la fruizione di servizi, lo svolgimento di attività, gli spostamenti, l’accesso ai luoghi di lavoro e lo svolgimento della didattica in presenza siano consentiti dalla vigente legislazione ai soggetti muniti delle stesse certificazioni.
RITENUTO
In ragione della manifestata esigenza di dare attuazione alle disposizioni in tema di certificazioni verdi Covid-19 e di obblighi vaccinali per cittadini ultracinquantenni e per il personale delle università e delle istituzioni di alta formazione artistica coreutica e musicale (AFAM) e degli istituti tecnici superiori, l’Autorità prende atto del complesso delle misure di garanzia sopra descritte, ritenute appropriate per tutelare i diritti fondamentali e gli interessi delle persone fisiche.
Ciò premesso, non vi sono rilievi da formulare, sotto il profilo della protezione dei dati personali.
TUTTO CIÒ PREMESSO, IL GARANTE
ai sensi dell’art. 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Presidente del Consiglio dei Ministri, da adottare di concerto con il Ministro della salute, il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro dell’economia e delle finanze, concernente “Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021, recante «Disposizioni attuative dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da COVID-19"»”.
Roma, 18 febbraio 2022
IL PRESIDENTE
Stanzione