GDPR e medici del lavoro: titolari autonomi o responsabili esterni?

Il Regolamento GDPR ha trovato per forza di cose alcune difficoltà iniziali, ad onor del vero non ancora del tutto superate, in ordine alle varie figure da esso introdotte.  Un nodo riguarda il medico competente che collabora con il datore di lavoro nella valutazione dei rischi.

Se tutta la nuova disciplina ruota intorno alla responsabilità del Titolare del trattamento ed alla tutela dei diritti dell’interessato, una nota di merito spetta alla figura del responsabile del trattamento, anche conosciuto come Responsabile Esterno e designato direttamente dal titolare ex art. 28 del GDPR.

I rapporti fra titolare e responsabile secondo il GDPR

Stante al tenore letterale del testo, il responsabile esterno è un soggetto nominato dal titolare per trattare i dati per suo conto, scelto in quanto soggetto che presta garanzie sufficienti a mettere in atto misure atte alla protezione dei dati, la nomina deve avvenire mediante un contratto il cui contenuto, almeno a grandi linee, è già previsto dallo stesso art. 28.

Il responsabile, tra gli altri compiti ad esso attribuiti, infatti deve trattare i dati in base ad istruzioni documentate del titolare e deve adottare tutte le misure tecniche ed organizzative richieste dall’art. 32 oltre a collaborare con il titolare stesso nel dare seguito alle richieste degli interessati.

Appare evidente dunque che il responsabile non abbia autonomia decisionale nel trattare i dati comunicati dal titolare.

La tutela dei dati del lavoratori

Stante la situazione appare manifesto come alcuni autori e non solo si siano chiesti se, ai sensi della normativa introdotta dal GDPR, il medico competente, ovvero quel medico specializzato in medicina del lavoro o in igiene e medicina preventiva o medicina legale, che collabora con il datore di lavoro nella valutazione dei rischi e viene da questo nominato per effettuare la sorveglianza sanitaria nelle varie forme e modalità previste dal d.l.vo n. 81/08, dovesse trattare i dati dei lavoratori in qualità di titolare autonomo o di responsabile del trattamento.

Coloro che propendono per la scelta del medico competente come titolare autonomo, lo fanno sulla base di una presunta libertà organizzativa dell’attività dello stesso accompagnata da un profilo di riservatezza nel trattamento dei dati a cui è tenuto in quanto medico, tale per cui si trova a trattare dati anche particolari del lavoratore senza necessità di acquisirne il consenso. Lo stesso GDPR, al suo art. 9, paragrafo 2 lettera h) in combinato disposto con il successivo paragrafo 3, stabilisce la possibilità di effettuare i trattamenti per finalità di medicina preventiva o del lavoro purché i trattamenti siano effettuati da un professionista, o altra persona sottoposta agli stessi vincoli, soggetto al segreto professionale in modalità conforme alla legislazione o alle norme stabilite da uno stato membro.

Salute e sicurezza, i vincoli da rispettare

A parere di chi scrive, sembra opportuno ricondurre le disposizioni vigenti in materia di salute e sicurezza sui luoghi di lavoro, d.l.vo. n. 81/08, sotto l’operato del Regolamento, cercando di rispondere alle esigenze di tutela e riservatezza in esso contenute.

Che il datore di lavoro sia titolare del trattamento dei dati riguardanti il proprio personale è fuor di dubbio, altrettanto indiscutibile che esso si avvalga di soggetti che possano per suo conto trattare quei dati per finalità specifiche.

Sarà cura del datore di lavoro/titolare, mediante contratto, nominare, cosa che avviene già nel d.l.vo 81/08, il medico competente quale responsabile del trattamento, impartendo a quest’ultimo tutte le istruzioni sulla modalità di esecuzione della sua prestazione professionale che sono già stabilite dalla normativa di riferimento e che in nessun caso il medico competente potrebbe decidere autonomamente.

A nulla vale l’obiezione per cui tali istruzioni vi sarebbero anche in assenza del Regolamento, dovendosi, a giudizio della scrivente, ragionare in senso opposto, nel senso quindi che la presenza di tali istruzioni rende non libera ed autodeterminata la modalità di svolgimento della prestazione del medico.

Il rischio di regime sanzionatorio

A voler sostenere la tesi della titolarità autonoma in capo al medico competente ci si troverebbe inoltre di fronte ad un soggetto, il medico, nominato mediante contratto dal datore di lavoro, responsabile quindi contrattualmente nei confronti di questo per le prestazioni oggetto di quel contratto, tra le quali anche la prestazione professionale, che diventerebbe poi, in materia di protezione dei dati personali, un soggetto del tutto autonomo rispetto al datore di lavoro, nonostante la presenza di un contratto tra le due parti e di una comunicazione, già di per sé un trattamento, di dati per giunta particolari ai sensi dell’art. 9 GDPR. Francamente una tale ricostruzione sembra non dar conto della necessità di armonizzare le discipline.

A fortiori sembra opportuno ricordare invece il regime sanzionatorio che spetta in capo al responsabile del trattamento, il quale ai sensi dell’art. 82, comma 2 del GDPR, risponde dei danni causati dal trattamento se non si è attenuto alle istruzioni impartite dal titolare, coincidenti in questo caso, almeno sulla modalità di svolgimento della prestazione, con il dettato normativo ex d.lvo. 81/08, liberando quindi, almeno per questo aspetto, il titolare del trattamento dalla sua responsabilità, ferma la dimostrazione in capo a questo di aver vigilato sull’operato del responsabile.