Il medico del lavoro è un Titolare autonomo del trattamento

A seguito dell’entrata in vigore del GDPR, una delle questioni più discusse è stata quella del “Ruolo Privacy” del Medico medico del lavoro competente rispetto ai trattamenti effettuati nell’ambito delle competenze al medesimo attribuite dal Testo Unico in materia di salute e sicurezza nei luoghi di lavoro (D.lg. n. 81/2008).

Secondo i primi interpreti, tale professionista doveva essere inquadrato come Responsabile del trattamento (art. 28 GDPR), dunque sotto l’autorità del Titolare del trattamento (datore di lavoro), stante l’esistenza di un rapporto contrattuale con il datore di lavoro che espressamente autorizzava il Medico ad accedere ai dati dei propri dipendenti.

Secondo, invece, l’opinione maggioritaria che via via si è consolidata ed è stata fatta propria dal Garante per la protezione dei dati personali, si tratta di un Titolare autonomo del trattamento: ciò, sulla scorta dell’indipendenza di tale professionista rispetto al datore di lavoro. Il trattamento dei dati personali dei dipendenti (comuni e particolari), infatti, è una prerogativa esclusiva del Medico competente e l’accesso a questi dati è una sua esclusiva competenza, in quanto funzionale al ruolo svolto. È, dunque, la normativa specifica di settore ad autorizzare questa specifica attività in capo al Medico competente e non invece il rapporto contrattuale esistente con il datore di lavoro.

Si legga, a tal riguardo, l’utilissima guida realizzata dal Garante per la protezione dei dati personali: “Il ruolo del “medico competente” in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale“. In un passaggio il Garante afferma: “La funzione di medico competente è espressione di un interesse pubblico (tutela del lavoratore e della collettività), individuato e disciplinato dalla legge e, in quanto tale, sottratta alla sfera di competenza del datore di lavoro e ai relativi poteri. Nello svolgimento di tali compiti che la legge gli attribuisce in via esclusiva, in particolare l’attività di sorveglianza sanitaria e la tenuta delle cartelle sanitarie e di rischio dei singoli lavoratori, il medico competente è, per legge, l’unico legittimato a trattare in piena autonomia e competenza tecnica i dati personali di natura sanitaria indispensabili per lo svolgimento della funzione di protezione della salute e sicurezza dei luoghi di lavoro, non potendo informazioni relative, ad esempio, alla diagnosi o all’anamnesi familiare del lavoratore essere in alcun modo trattate dal datore di lavoro, se non nella misura del mero giudizio di idoneità alla mansione specifica e delle eventuali prescrizioni che il professionista fissa come condizioni di lavoro …”. Conseguentemente: “In tale quadro, quindi, il medico non tratta i dati per conto del datore di lavoro ma, in qualità di titolare del trattamento (artt. 4, n. 7 e 24 del Regolamento), in base a specifiche diposizioni di legge finalizzate anzitutto al perseguimento dell’interesse pubblico di tutela della salute nei luoghi di lavoro e della collettività“.

In relazione alla base giuridica del trattamento, quindi, il Medico competente tratterà i dati in base all’art. 9 par. 2, lett. h) GDPR  (finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali).

Il datore di lavoro, invece, al fine di assolvere i propri obblighi normativi in materia di “salute e sicurezza sul lavoro“, tratterà di dati personali dei dipendenti in base all’art. 9 par. 2 lett. b) e art. 88 GDPR.

Gli eventuali flussi di dati personali tra il datore di lavoro e il medico competente devono intendersi quali “comunicazioni” di dati personali (ai sensi dell’art. 2-ter, par. 4, lett. a) del Codice Privacy novellato).

In materia, si veda anche il Provvedimento del Garante “recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, co. 1 D.lgs 101/2018 [9124510]”.

Menu

Chiama ora (9-16)

Richiedi appuntamento