Scuola, la proposta di creare liste del personale vaccinato ha limiti normativi

di Maria Elena Iafolla*

Con la ripresa scolastica di settembre, è acceso il dibattito circa l’adozione di protocolli di sicurezza per studenti e personale dipendente. Tra le altre, è stata avanzata anche la proposta di creare liste del personale vaccinato, così da sveltire almeno le procedure di controllo del green pass.

A ben guardare, tuttavia, non si tratta di una strada percorribile per diverse ragioni, sia pratiche che giuridiche, evidenziate in un’intervista a Repubblica anche dal professor Pasquale Stanzione, presidente dell’Autorità Garante Privacy. Innanzitutto, una simile impostazione impedirebbe di accertare una condizione di positività eventualmente sopravvenuta in un soggetto vaccinato, vanificando di fatto lo scopo del green pass e mettendo a rischio tutta la comunità scolastica.

Ma i limiti di questa impostazione vanno ricercati anche nella normativa in materia di trattamento dei dati personali e salute e sicurezza sul lavoro. È previsto, infatti, che il datore di lavoro non possa conoscere direttamente i dati relativi alla salute dei propri dipendenti, che possono e devono essere trattati soltanto dal medico competente. Ciò vale, in generale, per tutti i dati relativi alla salute: si pensi, ad esempio, all’assenza per malattia o alla certificazione di inidoneità al lavoro, ipotesi in cui il datore in alcun caso deve venire a conoscenza della patologia riscontrata.

Allo stesso modo, questo principio va applicato alla gestione del Covid-19 sul posto di lavoro: il datore non può raccogliere informazioni sull’esito del tampone cui si sia sottoposto il lavoratore e sarà semmai il medico competente a trattare il dato e gestire l’assenza e il successivo rientro nei locali aziendali. Per quanto, dunque, sia complessa l’organizzazione della ripresa scolastica, le procedure di accesso del personale non possono essere semplificate raccogliendo dati sulle scelte sanitarie dei singoli, poiché non sussiste al momento un obbligo vaccinale. Ciò che va verificato è il possesso di un valido green pass (che, vale forse la pena di ricordarlo, viene rilasciato non solo dopo la vaccinazione, ma anche in caso di guarigione dal Covid-19 o tampone negativo).

Le modalità di verifica del green pass, previste dal Decreto Legge 105/2021, in particolare all’art. 3, sono state impostate proprio in modo da minimizzare il trattamento dei dati personali, limitandosi l’app a un segnale positivo o negativo a seconda dei casi, senza memorizzare o mostrare dati relativi alla salute.

Accanto a tale modalità di controllo, che possiamo definire ordinaria, è in via di introduzione una modalità semplificata, proposta dallo schema di Decreto del Presidente del Consiglio e alla quale l’Autorità Garante per la Protezione dei dati personali ha concesso parere positivo. Lo schema prevede la realizzazione di un’apposita funzionalità della piattaforma nazionale Dgc, dedicata al certificato verde Covid-19, che consenta agli Uffici scolastici di verificare quotidianamente il possesso di un valido green pass attraverso il Sistema informativo dell’istruzione.

A tutela della privacy, sarà comunque necessaria un’attenzione alle modalità di verifica anche nel caso venga utilizzato il metodo automatizzato:

– la funzionalità dovrà essere accessibile in modo esclusivo per la verifica del certificato e non per ulteriori o diverse finalità;

– i soggetti che effettueranno i controlli dovranno poter accedere soltanto all’informazione relativa al possesso di certificazione valida, evitando che il trattamento abbia a oggetto le ulteriori informazioni conservate;

– la verifica deve essere fatta soltanto in relazione al personale in servizio in quel giorno specifico, escluso il personale assente ad esempio per ferie, malattia o permesso, e prima dell’accesso in sede.

* Avvocato, esperta di nuove tecnologie, privacy e cyber-security, anche in relazione alle tematiche giuslavoristiche, perfezionata in Criminalità informatica e investigazioni digitali presso l’Università degli Studi di Milano. Vicepresidente dell’associazione DFA – Digital Forensics Alumni, formatrice e autrice in materia di Diritto dell’informatica, Privacy e GDPR.