Sanzioni amministrative in vista per le imprese se non si conferisce un formale incarico al verificatore della certificazione verde Covid-19 o Green pass. È quanto discende da una interpretazione sistematica dell’art. 13 del DPCM 17 giugno 2021 in combinato disposto con l’articolo 29 del Regolamento Ue 2016/679 (Gdpr). Attività di verifica del Green pass La verifica positiva del possesso del Green Pass abilita alla partecipazione a manifestazioni e all’accesso a luoghi più a rischio di affollamento o di contagio. In particolare, ai sensi dell’articolo 3 del decreto legge n. 105/2021, a partire dal 6 agosto 2021, il Green Pass è richiesto poter svolgere o accedere alle seguenti attività o ambiti: Servizi per la ristorazione svolti da qualsiasi esercizio per consumo al tavolo al chiuso; Spettacoli aperti al pubblico, eventi e competizioni sportivi; Musei, altri istituti e luoghi della cultura e mostre; Piscine, centri natatori, palestre, sport di squadra, centri benessere, anche all’interno di strutture ricettive, limitatamente alle attività al chiuso; Sagre e fiere, convegni e congressi; Centri termali, parchi tematici e di divertimento; Centri culturali, centri sociali e ricreativi, limitatamente alle attività al chiuso e con esclusione dei centri educativi per l’infanzia, i centri estivi e le relative attività di ristorazione; Attività di sale gioco, sale scommesse, sale bingo e casinò; Concorsi pubblici. La verifica del Green Pass consiste nella consultazione di dati riferiti a una persona fisica e ricade, pertanto, nell’ambito di applicazione del Gdpr. L’articolo 13 del DPCM 17 giugno 2021 consente ai titolari di imprese/enti, tenute alla verifica, di delegare con atto formale l’operazione a un incaricato. A tale riguardo, l’art. 29 del Gdpr impone che siano impartite apposite istruzioni all’autorizzato al trattamento. L’incombenza è assistita, in caso di inosservanza, dalla sanzione amministrativa prevista dall’articolo 83, par. 4, Gdpr. Per l’ipotesi di violazioni, anche se non espressamente descritte, della correttezza delle operazioni è applicabile l’articolo 5 Gdpr, assistito dalla ben più pesante sanzione prevista dall’articolo 83, par. 5, Gdpr. Vediamo ora di illustrare l’adempimento nei suoi profili procedurali e formali. Quando formalizzare l’incarico L’incarico è necessario prima di effettuare un evento o di consentire l’accesso a luoghi riservato a soggetti in possesso della certificazione verde Covid 19. Il soggetto incaricato riveste a tutti gli effetti il ruolo di autorizzato al trattamento. A tale proposito il Gdpr impone al titolare del trattamento di impartire istruzioni sul trattamento (articolo 29), istruzioni concernenti i profili della sicurezza del trattamento (art. 32) ed altresì di fornire formazione idonea (articolo 39). Tutti questi adempimenti trovano collocazione cronologica in via preliminare all’inizio del trattamento o in occasione di modifiche alle modalità di esecuzione delle operazioni di trattamento. Norme di riferimento Le norme essenziali che stanno alla base dell’incarico sono: l’art. 13 del DPCM del 17 giugno 2021, che attua l’articolo 9 del decreto Riaperture (decreto legge convertito con modificazioni dalla legge 17 giugno 2021, n. 87); e, in ambito privacy, l’art. 29 del Regolamento UE 2016/679 (Gdpr). I riferimenti indicati rappresentano i richiami delle norme primarie di rango legislativo. Peraltro, altre disposizioni di natura contrattuale, collettiva o individuale, possono giocare il loro ruolo, in relazione ad attribuzioni attinenti l’organizzazione del lavoro e poteri direttivi interni alla organizzazione medesima. Come va assolto l’adempimento Si tratta di un adempimento documentale da accompagnare con una illustrazione delle operazioni da effettuare. In parallelo vanno adottate misure organizzative per consentire un lineare svolgimento delle operazioni. L’operazione di controllo ha due fasi: - il controllo del possesso di un titolo; - l’identificazione del portatore quale soggetto titolare del titolo. Le operazioni sono descritte anche sul sito internet della Certificazione verde Covid. L’impresa/ente delegante deve anche controllare: - il registro dei trattamenti; - il codice disciplinare; - le nomine di autorizzato al trattamento per eventuali integrazioni. Sanzioni per le imprese Eventuali inadempimenti saranno sanzionati, ai sensi dell’art. 83, paragrafi 4 e 5 del Gdpr, con una sanzione fino a 10 milioni di euro per la violazione dell’art. 29 Gdpr e fino a 20 milioni di euro in caso di violazione dell’art. 5 Gdpr. Contenuto della delega A riguardo del contenuto della delega si precisa che: la delega deve essere nominativa. Sul punto va aggiunto che l’articolo 2-quaterdecies del Codice della privacy lascia all’impresa libertà di forma a riguardo della formalizzazione dei designati per specifici compiti e funzioni oltre che per gli autorizzati al trattamento. Tale libertà di forma, in ogni caso, non può tradire l’obiettivo, ovvero rendere riconoscibile all’interessato chi occupa tali posizioni. Nel caso dell’incarico alla rilevazione del Green Pass la legge impone un atto formale. Da tale prescrizione e dal confronto sistematico con la regolamentazione dell’accountability nel Gdpr (art. 5, paragf. 2) discende la preferenza per l’opzione della delega nominativa individuale o contestuale con più destinatari purché tutti individuati; la delega deve essere completa di tutte le informazioni con le modalità concrete di effettuazione delle operazioni di verifica. Sul punto si sottolinea che non risulta sufficiente l’assegnazione del ruolo a mezzo della mera indicazione dello stesso. La delicatezza delle operazioni da compiere implica la minuziosa esposizione del flusso delle azioni richieste, di quelle dovute e di quelle vietate. L’impresa deve poter dimostrare di avere messo a disposizione dell’incaricato tutte le informazioni a riguardo del funzionamento degli apparecchi elettronici e le regole da osservare; si devono predisporre servizi aziendali/dell’ente deputati alle informazioni aggiuntive e all’intervento in caso di contestazioni da parte dell’utenza. Come è prevedibile si potranno verificare contestazioni da parte di interessati che pretendono di accedere ai locali pur se non in possesso della certificazione verde o assumendo di non essere tenuti alla esibizione della stessa. Tali profili appaiono, allo stato, fluidi quanto alla risposta, considerato che non si può escludere uno scrutinio di legittimità costituzionale delle sopra richiamate norme di rango primario. Proprio a fronte di ciò e valutata la ovvia speditezza delle operazioni di verifica nel contesto dell’accesso di una pluralità di persone ad un locale o ad un evento, si ritiene che l’impresa faccia bene a evitare che tali momenti di contraddittorio sconfinino in ostruzionismo al flusso di gente in ingresso. Meglio prevenire contesti di tale fatta e isolare le fonti di questioni che saranno trattate da superiori gerarchici senza intoppi collaterali; d) deve essere spiegata bene l’importanza di non raccogliere dati e di quali dati sia possibile la verifica. Questa istruzione mira alla sensibilizzazione del valore del dato personale. Consultare un’informazione a riguardo di una persona è sempre un trattamento del dato e chiunque lo ponga in essere deve comprendere a pieno le ragioni di una tutela rafforzata. Peraltro, al tempo stesso, la prescrizione ha un contenuto pratico ed operativo: non si conservano dati identificativi; e) si deve specificare che si tratta di prescrizioni integrative degli obblighi lavorativi. Questo avviso rappresenta il collegamento dell’atto di delega alle obbligazioni connesse allo status di lavoratore dipendente e alla regolamentazione degli aspetti disciplinari. L’esatta esecuzione delle prescrizioni impartite assume una valenza sotto il profilo dell’esattezza della prestazione lavorativa, con tutto ciò che da questo deriva; f) opportuno allegare schede esemplificative del flusso della verifica e anche riportanti la normativa di riferimento. La completezza delle informazioni va abbinata alla facile comprensibilità e fruibilità delle stesse. Pertanto, modalità esplicative, anche con l’uso di icone, non sono certo da disdegnarsi.