Dati Sanitari e GDPR nella Sicurezza sul Lavoro

La sicurezza sul lavoro genera inevitabilmente trattamenti di dati personali, alcuni dei quali particolarmente delicati: i dati relativi alla salute dei lavoratori. La loro gestione si colloca all'incrocio fra il D.Lgs. 81/2008 e il Regolamento europeo sulla protezione dei dati (GDPR), e impone al datore di lavoro un equilibrio attento fra obblighi di prevenzione e tutela della riservatezza.

I dati sanitari sono una categoria particolare

Il GDPR classifica i dati relativi alla salute come categorie particolari di dati personali, soggette a tutele rafforzate. Nel contesto della sicurezza sul lavoro rientrano in questa categoria, ad esempio, le informazioni raccolte durante la sorveglianza sanitaria, i giudizi di idoneita alla mansione e i dati contenuti nella cartella sanitaria e di rischio.

Il ruolo centrale del medico competente

La gestione dei dati sanitari spetta in via principale al medico competente, che e titolare o responsabile del trattamento dei dati clinici dei lavoratori e custodisce la cartella sanitaria e di rischio. Il datore di lavoro non deve avere accesso ai dati clinici di dettaglio: riceve dal medico competente esclusivamente il giudizio di idoneita alla mansione, eventualmente con prescrizioni o limitazioni, ma non la diagnosi.

Cosa puo e cosa non puo conoscere il datore di lavoro

Questa separazione e fondamentale per la conformita al GDPR:

• Il datore di lavoro conosce l'esito in termini di idoneita, idoneita con prescrizioni o inidoneita.
• Non puo conoscere le motivazioni cliniche del giudizio ne i dettagli dello stato di salute.
• Deve garantire che eventuali documenti contenenti dati sanitari siano protetti e accessibili solo a chi e autorizzato.

Principi GDPR da rispettare

Nel trattare i dati connessi alla sicurezza, il datore di lavoro deve applicare i principi cardine del Regolamento: liceita e finalita determinata, minimizzazione, limitazione della conservazione, integrita e riservatezza. E necessario adottare misure tecniche e organizzative adeguate, come accessi controllati, archivi protetti e, dove i dati sono digitali, cifratura e backup sicuri.

Conservazione e archivio

I documenti che intersecano dati sanitari, dalla cartella sanitaria ai giudizi di idoneita, vanno conservati per i tempi previsti dalla normativa di sicurezza, ma con misure di protezione coerenti con la loro natura sensibile. La conservazione digitale va organizzata separando i dati sanitari dai dati amministrativi ordinari, limitando gli accessi al personale strettamente necessario.

Responsabilita del datore di lavoro

Pur non gestendo direttamente i dati clinici, il datore di lavoro resta titolare del trattamento per molti dati del rapporto di lavoro e risponde dell'organizzazione complessiva. Una violazione nella gestione di dati sanitari puo comportare conseguenze sia sul piano della sicurezza sia su quello sanzionatorio del GDPR.

Per gestire con consapevolezza il rapporto fra sorveglianza sanitaria, privacy e adempimenti di sicurezza, scopri il nostro corso datore di lavoro RSPP da 16 ore in modalita FAD: conforme all'Accordo Stato-Regioni e con attestato valido a tutti gli effetti di legge.