Se è vero che non serve svolgere una DPIA per lo svolgimento dei controlli del Green Pass nei confronti dei lavoratori e che è sufficiente seguire le indicazioni della norma per essere conformi, spesso sono i dettagli operativi che rischiano di deviare anche le migliori premesse di mantenere la legalità.
Poiché la norma prevede l’adozione di misure organizzative per le aziende, tali misure devono consistere quanto meno in una procedura o in un’istruzione operativa, contemplare una delega e delle istruzioni affinché ne sia garantita l’effettività, e dei documenti per la registrazione dei controlli.
La vexata quaestio che diffusamente viene posta è la seguente: se la norma esclude che in alcun modo si possano raccogliere i dati del Green Pass, come è possibile dare evidenza e riscontro delle modalità di avvenuto controllo del possesso di un Green Pass? Sembra quasi il noto dilemma di Berkeley “Se un albero cade in una foresta e nessuno lo sente, fa rumore?” che, riformulato, suona come: “Se una misura organizzativa non produce evidenze, è adeguata?”.
Ebbene, occorre utilizzare come principio cardine la minimizzazione. Per dimostrare lo svolgimento di indagini a campione è necessario indicare i nominativi dei soggetti verificati, o è possibile trovare una modalità alternativa che ad esempio non preveda la raccolta dei dati degli interessati? Indicare il numero di soggetti verificati giornalmente nell’intestazione del registro dei controlli è una soluzione che certamente evita la raccolta del dato personale. Certamente, sarà necessario indicare l’esito controllo negativo in quanto tale fatto andrà comunicato alle risorse umane e dovrà essere tracciabile in quanto – similmente alla rilevazione di temperatura corporea superiore al valore-soglia – giustifica l’allontanamento dai luoghi di lavoro e tutti i conseguenti provvedimenti.
Anche adottando un registro come quello preso ad esempio, sarà comunque obbligo del datore di lavoro informare preventivamente i dipendenti circa le attività di trattamento dei dati personali svolto attraverso tale strumento indicando le informazioni di cui all’art. 13 GDPR e, soprattutto, chiarendo le conseguenze del rifiuto a conferire i dati richiesti. Circa le modalità di somministrazione delle informazioni, una soluzione operativa di uso comune può essere inserire tale informativa all’interno della circolare aziendale riguardante l’obbligo di Green Pass, affiggerla in bacheca, dunque inserirla nelle istruzioni per il delegato ai controlli affinché sia in grado di rendere tali informazioni anche oralmente agli interessati.
Purtroppo, le continue incertezze normative non sono d’aiuto alle organizzazioni, ma un corretto approccio di metodo consente di mantenere la conformità anche e soprattutto a fronte di novità tutt’altro che chiare – e utili – nel loro precipitato applicativo.
