La misurazione della temperatura corporea tra le misure anti-COVID-19: il Garante Privacy del Belgio si esprime

Indice:

1. Premessa

2. L’applicabilità del GDPR

3. Rilievi conclusivi

 

1. Premessa

L’Autorità belga per la Protezione dei Dati Personali si è pronunciata, con un recente comunicato pubblicato il 5 giugno 2020, in merito al tema della misurazione della temperatura corporea, nell’ambito delle misure di prevenzione del rischio da contagio da COVID-19.

Tale comunicato si aggiunge a precedenti interventi di altre Autorità di controllo europee, che hanno avuto modo di fornire propri riscontri e indicazioni sui trattamenti di dati connessi alla misura in questione, evidenziandone le specificità e criticità relativamente alla disciplina della protezione dei dati personali (per i riferimenti a tali interventi si rinvia  all’articolo “Disposizioni per il contrasto del Covid-19 e protezione dei dati personali: un connubio possibile?”, recentemente pubblicato su Filodiritto, nella rubrica “Il dato è tratto”).

 

2. L’applicabilità del GDPR

Nell’effettuare un’analisi delle modalità operative attraverso cui viene applicata la misura della rilevazione della temperatura corporea per la prevenzione del rischio da contagio da COVID-19, l’Autorità belga ha effettuato una prima distinzione tra: (i) attività di misurazione della temperatura corporea che non comportano operazioni di trattamento di dati personali e che, pertanto, non sono soggette all’applicazione del GDPR e (ii) attività che, per i diversi strumenti utilizzati, danno, invece, luogo ad attività di trattamento di dati personali.

Per l’Autorità in questione, infatti, una semplice rilevazione della temperatura mediante termometri tradizionali, senza che alla stessa segua alcuna registrazione de manière individualiseé non dà luogo ad alcun trattamento di dati personali.

Si tratta, evidentemente, di ipotesi non frequenti, che potrebbero, ad esempio, verificarsi nel caso in cui il datore di lavoro intenda predisporre rapporti anonimi, volti ad indicare le percentuali di persone con temperatura elevata, senza, in ogni caso, che sia possibile stabilire un collegamento con le persone oggetto della misurazione, rendendole in tal modo identificabili.

Secondo l’Autorità, l’unica conseguenza derivante dal rifiuto di rilevazione della temperatura o dalla rilevazione di febbre è costituita dal mancato ingresso presso i locali aziendali, senza che tale fatto rilevi ai fini dell’applicazione del GDPR, non essendovi alcun trattamento di dati personali.

A diverse conclusioni giunge, invece, l’Autorità belga nel caso in cui alla misurazione della temperatura faccia seguito un’attività complementare di registrazione del dato rappresentato dalla temperatura corporea rilevata (dato particolare, tra l’altro, in quanto riferito alla salute e dunque rientrante tra le categorie particolari di dati) o anche solo di formazione di un fascicolo/dossier, volto a documentare le ragioni che hanno giustificato il mancato accesso presso i locali del titolare (ad esempio, al fine di giustificare un diniego di accesso ai locali aziendali): in tale caso, per l’Autorità, si applica certamente il GDPR e si pone inevitabilmente il problema dell’individuazione della relativa base giuridica.

Nel comunicato viene, poi, identificata una terza ipotesi, rappresentata dalla misurazione “con processi automatizzati” della temperatura corporea, effettuata attraverso strumenti tecnologicamente avanzati.

In tali casi, in base a quanto rilevato dall’Autorità, i dati non sono semplicemente letti, ma trattati elettronicamente. Ne consegue che l’utilizzo di dispositivi, quali termo-scanner, termocamere o altri sistemi automatizzati di rilevazione della temperatura, implica, di per sé, il trattamento di dati personali e, per di più, di dati particolari, relativi alla salute, che, in assenza di un’idonea base giuridica, non possono ritenersi autorizzati.

All’analisi delle modalità di rilevazione della temperatura corporea e dei relativi effetti sul piano dell’applicazione della disciplina del GDPR, segue un’accurata disamina delle basi giuridiche, che potrebbero essere prese in considerazione per la liceità del trattamento.

A questo riguardo, l’Autorità belga evidenzia, tra quelle potenzialmente applicabili, le seguenti:

1. il consenso del soggetto interessato;
2. la necessità del trattamento “per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo…”;
3. la necessità del trattamento “per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri…”;
4. la necessità del trattamento “per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri…”.

Relativamente alla prima delle basi giuridiche indicate, l’Autorità si concentra, in primo luogo, sulla legittimità del consenso, rilevando come il consenso eventualmente espresso in relazione al trattamento dei dati in questione non possa ritenersi pienamente conforme ai criteri individuati dal legislatore UE (come specificati al considerando 32 del GDPR).

In proposito, l’Autorità rileva come, con specifico riferimento ai casi di misurazione della temperatura corporea, la manifestazione del consenso potrebbe risultare problematica, in quanto potrebbe non essere espressa liberamente. Difficilmente, infatti, potrebbe ritenersi che i soggetti interessati – ad esempio, in un contesto lavorativo – manifestino “l’intenzione libera… di accettare il trattamento dei dati personali che li riguardano”, potendo i lavoratori, in tali circostanze, sentirsi molto facilmente “sotto pressione” e non essere, conseguentemente, liberi nell’esprimere la propria volontà al trattamento dei propri dati.

Inoltre, l’Autorità esorta a riflettere sull’effettiva necessità del trattamento del dato rappresentato dalla temperatura corporea: tale trattamento, infatti, anche in considerazione della pluralità dei sintomi connessi al COVID-19, potrebbe essere considerato come eccessivo e, da questo punto di vista, il consenso eventualmente espresso sarebbe inidoneo a giustificare un trattamento non indispensabile. Nella parte conclusiva del proprio comunicato, l’Autorità fa notare, infatti, come, nel caso del COVID-19, la febbre non sia certamente uni sintomo univocamente connesso al COVID-19 e come, di conseguenza, la presenza di febbre non indichi sempre e necessariamente la presenza del virus Covid-19.

Escluso, dunque, il consenso come idonea base giuridica, il trattamento dei dati in questione potrebbe più facilmente, per l’Autorità belga, fondarsi sul caso contemplato alla lettera b) dell’art. 9 del GDPR; per tale Autorità, infatti, solo una specifica disposizione contenuta in un atto legislativo o nella contrattazione collettiva (attualmente mancante in Belgio e di cui l’Autorità auspica l’emanazione) potrebbe costituire una idonea base giuridica.

 

3. Rilievi conclusivi

Le considerazioni dell’Autorità belga relativamente alla base giuridica applicabile alle attività di misurazione della temperatura corporea inducono inevitabilmente a svolgere qualche riflessione sulla realtà italiana.

Al termine della fase di lockdown, il legislatore italiano si è espresso attraverso due provvedimenti normativi, stabilendo con il Decreto - Legge 16 maggio 2020, n. 33, all’art. 1, comma 14, che “le attività economiche, produttive e sociali devono svolgersi nel rispetto dei contenuti dei protocolli o linee guida idonei a prevenire o ridurre il rischio di contagio nel settore di riferimento o in settori analoghi, adottati dalle regioni o dalla Conferenza delle regioni e delle province autonome nel rispetto dei principi contenuti nei protocolli o nelle linee guida nazionali. In assenza di quelli regionali trovano applicazione i protocolli o linee guida adottati a livello nazionale…” e ulteriormente prescrivendo, al successivo comma 15, che “il mancato rispetto dei contenuti dei protocolli o delle linee guida, regionali, o, in assenza, nazionali… che non assicuri adeguati livelli di protezione determina la sospensione delle attività fino al ripristino delle condizioni di sicurezza”.

Inoltre, con il successivo Dpcm del 17 maggio 2020, recante “Disposizioni attuative del decreto legge 25 marzo 2020 n. 19, recante misure urgenti per fronteggiare l’emergenza epidemiologica da COVID-19  e del decreto- legge 16 maggio 2020 n. 33, recante ulteriori misure urgenti per fronteggiare l’emergenza epidemiologica da COVID-19”, all’art. 2 è stabilito che “Sull’intero territorio nazionale tutte le attività produttive, industriali e commerciali… rispettano i contenuti del protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus COVID-19 negli ambienti di lavoro sottoscritto il 24 aprile 2020 fra il Governo e le parti sociali di cui all’allegato 12…”.

In tale protocollo, quanto alle indicazioni relative alla disciplina della protezione dei dati personali e, in particolare, alla base giuridica applicabile alla rilevazione in tempo reale della temperatura corporea, è espressamente indicato che “con riferimento alla base giuridica può essere indicata l’implementazione dei protocolli di sicurezza anti-contagio…”.

In sintesi, si può concludere che le indicazioni fornite dall’Autorità Belga trovano concreta attuazione nella realtà italiana, potendosi ritenere che i protocolli anti-contagio e le prescrizioni in essi contenute (tra cui le attività volte a disciplinare le modalità di ingresso in azienda, comprendenti la rilevazione in tempo reale della temperatura corporea), siano legislativamente previsti, sia pur in virtù di una modalità sui generis, in quanto ad essi viene fatto espresso riferimento in un “atto avente forza di legge” e nel relativo decreto attuativo.