Archivio dell'autore: sicurezzapratica

Privacy: Il datore di lavoro non deve sapere chi si è vaccinato

Lo dice il garante della privacy in risposta ad alcune FAQ relative al trattamento dei dati personali di vaccinazione Covid-19 dei dipendenti di imprese, enti e amministrazioni pubbliche.

Il trattamento di questi dati costituisce un illecito.

In pratica il datore di lavoro non può acquisire, neanche con il consenso del dipendente o tramite il medico compente, i nominativi del personale vaccinato o la copia delle certificazioni vaccinali.

Il datore di lavoro può solo acquisire,  i giudizi di idoneità alla mansione specifica redatti dal medico competente (che potrà invece verificare nella propria anamnesi se il lavoratore risulti o meno vaccinato).

Nuove opportunità professionali per consulenti privacy e ISO 27001

Sono disponibili nuove opportunità professionali per consulenti privacy e ISO 27001
Per consultarle clicca qui

Veneto – Consulente privacy
Liguria – Consulente privacy
Emilia Romagna – Consulente privacy
Veneto – Docente privacy
Friuli Venezia Giulia – Docente privacy
Lombardia – Consulente ISO 27001

FAQ – Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo

1. Il datore di lavoro può chiedere conferma ai propri dipendenti dell’avvenuta vaccinazione?

NO. Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19. Ciò non è consentito dalle disposizioni dell’emergenza e dalla disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro.

Il datore di lavoro non può considerare lecito il trattamento dei dati relativi alla vaccinazione sulla base del consenso dei dipendenti, non potendo il consenso costituire in tal caso una valida condizione di liceità in ragione dello squilibrio del rapporto tra titolare e interessato nel contesto lavorativo (considerando 43 del Regolamento).

corso_agg_dpo

2. Il datore di lavoro può chiedere al medico competente i nominativi dei dipendenti vaccinati?

NO. Il medico competente non può comunicare al datore di lavoro i nominativi dei dipendenti vaccinati. Solo il medico competente può infatti trattare i dati sanitari dei lavoratori e tra questi, se del caso, le informazioni relative alla vaccinazione, nell’ambito della sorveglianza sanitaria e in sede di verifica dell’idoneità alla mansione specifica (artt. 25, 39, comma 5, e 41, comma 4, d.lgs. n. 81/2008).

Il datore di lavoro può invece acquisire, in base al quadro normativo vigente, i soli giudizi di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in essi riportati (es. art. 18 comma 1, lett. c), g) e bb) d.lgs. n. 81/2008).

3. La vaccinazione anti covid-19 dei dipendenti può essere richiesta come condizione per l’accesso ai luoghi di lavoro e per lo svolgimento di determinate mansioni (ad es. in ambito sanitario)?

Nell’attesa di un intervento del legislatore nazionale che, nel quadro della situazione epidemiologica in atto e sulla base delle evidenze scientifiche, valuti se porre la vaccinazione anti Covid-19 come requisito per lo svolgimento di determinate professioni, attività lavorative e mansioni, allo stato, nei casi di esposizione diretta ad “agenti biologici” durante il lavoro, come nel contesto sanitario che comporta livelli di rischio elevati per i lavoratori e per i pazienti, trovano applicazione le “misure speciali di protezione” previste per taluni ambienti lavorativi (art. 279 nell’ambito del Titolo X del d.lgs. n. 81/2008).

In tale quadro solo il medico competente, nella sua funzione di raccordo tra il sistema sanitario nazionale/locale e lo specifico contesto lavorativo e nel rispetto delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, può trattare i dati personali relativi alla vaccinazione dei dipendenti e, se del caso, tenerne conto in sede di valutazione dell’idoneità alla mansione specifica.

Il datore di lavoro dovrà invece limitarsi ad attuare le misure indicate dal medico competente nei casi di giudizio di parziale o temporanea inidoneità alla mansione cui è adibito il lavoratore (art. 279, 41 e 42 del d.lgs. n.81/2008).

Le schede sui diritti di accesso ai dati personali – Disponibile la terza scheda: Diritto di accesso riguardante persone decedute

corso_agg_dpo

Il Garante lancia una serie di prodotti informativi che affrontano con un linguaggio semplice il tema del diritto di accesso, dal caso generale ad alcuni più particolari.

L’iniziativa fa parte di un più ampio progetto dell’Autorità, che punta ad offrire strumenti per comprendere facilmente quali diritti sono riconosciuti alle persone in materia di protezione dei dati personali e illustrano le modalità per un concreto esercizio di tali diritti.

Le schede saranno pubblicate sul sito Internet del Garante alla pagina https://www.garanteprivacy.it/home/diritti. La prima scheda approfondisce il tema: diritto di accesso dell’interessato.

Come trattare i dati in piena pandemia Covid-19

L’ICO ha definito i passaggi chiave che le organizzazioni devono considerare, riguardo all’uso delle informazioni personali, in regime di COVID 19. Ecco l’elenco completo.
Raccogli e utilizza solo ciò che è necessario

Per aiutarti a decidere se la raccolta e l’utilizzo dei dati sulla salute delle persone sono necessari per proteggere il tuo personale, dovresti porti alcune domande:

In che modo la raccolta di informazioni personali riferite a COVID 19 aiuterà a mantenere sicuro il posto di lavoro?
Hai davvero bisogno di tali informazioni?
Il test sanitario che stai prendendo in considerazione ti aiuterà effettivamente a rendere l’ambiente più sicuro?
Potresti ottenere lo stesso risultato senza raccogliere informazioni personali?
Se puoi dimostrare che il tuo approccio è ragionevole, equo e proporzionato alle circostanze, è improbabile che sollevi preoccupazioni sulla protezione dei dati.

corso_agg_dpo

Quando raccolgono informazioni personali, inclusi i sintomi COVID-19 delle persone o qualsiasi risultato di test correlato, le organizzazioni dovrebbero raccogliere solo le informazioni necessarie per implementare le loro misure in modo appropriato ed efficace.

Non raccogliere dati personali di cui non hai bisogno.

Alcune informazioni devono essere conservate solo momentaneamente e non è necessario creare una registrazione ed archiviazione permanente.

Sii chiaro, aperto e onesto con il personale, circa le modalità di trattamento dei suoi dati

Alcune persone potrebbero essere interessate da alcune delle misure che intendi attuare. Ad esempio, il personale potrebbe non essere in grado di lavorare. Devi essere consapevole di questo e assicurarti di dire alle persone come e perché desideri utilizzare le loro informazioni personali, comprese quali saranno le implicazioni per loro.

Dovresti anche far sapere ai dipendenti con chi condividerai le loro informazioni e per quanto tempo intendi conservarle. Puoi farlo tramite un’informativa sulla privacy chiara e accessibile.

Questa immagine ha l'attributo alt vuoto; il nome del file è prev_cons_quad.png
https://preventivo.info/avvisi-pubblici-ricerca-consulenti/

Tratta le persone in modo equo

Se stai prendendo decisioni sul tuo personale, in base alle informazioni sulla salute che raccogli, devi assicurarti che il tuo approccio sia equo.

Pensa attentamente agli eventuali danni che i dipendenti potrebbero subire a causa della tua politica e assicurati il ​​tuo approccio non causi alcun tipo di discriminazione.

Proteggi le informazioni personali

Tutti i dati personali in tuo possesso devono essere conservati in modo sicuro e conservati solo per il tempo necessario.

È inoltre buona norma disporre di una politica di conservazione, che stabilisca quando e come le informazioni personali devono essere riviste, eliminate o rese anonime.

Se hai deciso di implementare il controllo o il test dei sintomi, ci sono requisiti aggiuntivi che devi seguire. Questi includono l’identificazione di una base legale per l’utilizzo delle informazioni raccolte e, se si elaborano dati sanitari su larga scala, lo sviluppo di una valutazione dell’impatto sulla protezione dei dati (art. 35 GDPR). Questi passaggi garantiscono il rispetto della legge sulla protezione dei dati.

Supporta il diritto di accesso

Come per qualsiasi raccolta di dati, le organizzazioni devono informare le persone sui loro diritti, in relazione ai loro dati personali, come il diritto di accesso o rettifica.

Il personale deve avere la possibilità di esercitare tali diritti, se lo desidera, e di discutere eventuali problemi con le organizzazioni.

Un approccio equo alla gestione dei dati delle persone, trasparente nel suo scopo e conforme alla legge sulla protezione dei dati, guadagnerà la fiducia di colleghi e comunità in questo momento eccezionale

Fonte: Puntosicuro.it – Autore: A. Biasotti

Data breach: le istruzioni dei Garanti privacy Ue per gestire le violazioni di dati

corso_agg_dpo

Come procedere in caso di attacchi ransomware, di esfiltrazione di dati, di perdita o furto di dispositivi e documenti cartacei? A questa e ad altre domande rispondono le linee guida, adottate dall’Edpb (Comitato europeo per la protezione dei dati), per aiutare imprese e pubblica amministrazione ad affrontare correttamente le violazioni dei dati e definire i processi di gestione del rischio.

Le “Guidelines 01/2021 on Examples regarding Data Breach Notification“, approvate nella riunione plenaria del 14 gennaio scorso, si basano sull’analisi dei casi più significativi di violazione dei dati – affrontati dai Garanti privacy nazionali, incluso quello italiano – subiti da banche, ospedali, medie imprese, municipalità, società che offrono servizi online di vario genere.

Sul documento l’Edpb ha avviato una consultazione pubblica per un periodo di sei settimane (fino al 2 marzo 2021).

Le linee guida presentano, per ciascuna casistica, esempi di buone o cattive pratiche, raccomandano modalità di identificazione e valutazione dei rischi (evidenziando i fattori che meritano particolare considerazione), indicano in quali casi chi tratta i dati deve notificare la violazione all’Autorità Garante e, se necessario, informare le persone coinvolte.

Tra le mancanze più frequenti ricordati dalle Linee guida vi è, ad esempio, l’omessa cifratura dei dati che consente a chi li acquisisce in maniera fraudolenta di consultare informazioni riservate. Potrebbe facilitare violazioni anche la non corretta gestione dell’autenticazione degli utenti a siti web, magari a causa dell’utilizzo di password deboli o conservate in chiaro. Nel settore bancario, potrebbe causare enormi danni l’impiego di identificativi di sessione all’interno degli indirizzi web degli utenti, informazioni che facilitano l’accesso illecito a contenuti che dovrebbero rimanere protetti. Drammatiche potrebbero essere le conseguenze di un attacco ransomware (un virus informatico che rende inservibili i dati fino al pagamento di un eventuale riscatto) ai referti e ad altri documenti dei pazienti di un ospedale, a meno che la struttura sanitaria non abbia provveduto a effettuare un backup separato dei dati. Non bisogna sottovalutare anche i problemi che può causare una semplice e-mail spedita ai destinatari sbagliati.

Il testo, che integra e aggiorna gli orientamenti già forniti negli anni passati dal Gruppo “Articolo 29”, proprio per offrire un contributo concreto a imprese e Pa, analizza anche le misure adottate dai titolari del trattamento, prima di aver subito un data

modlelo_rel_ann_DPO