Titolare del trattamento (privacy e sicurezza)

Il titolare del trattamento è, secondo l’art. 4, punto 7, del Regolamento (UE) 2016/679 (GDPR), la persona fisica o giuridica, l’autorità pubblica o altro organismo che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali. Nella gestione della sicurezza sul lavoro è di regola l’impresa datrice di lavoro.

Chi è titolare, e chi no, nella sicurezza sul lavoro

Il titolare è il soggetto giuridico: nella società è la società stessa, non il legale rappresentante come persona. Attorno a lui la gestione della sicurezza coinvolge figure con ruoli privacy diversi, che conviene fissare per iscritto.

Figura	Ruolo privacy tipico	Fonte
Impresa datrice di lavoro	titolare	GDPR art. 4, punto 7, e art. 24
Medico competente	per i dati della sorveglianza sanitaria, secondo la lettura prevalente, titolare autonomo vincolato al segreto professionale	art. 25 D.Lgs. 81/2008
Fornitore del software HSE o dell’e-learning	responsabile del trattamento	GDPR art. 28
RSPP esterno, ente di formazione	responsabile se tratta dati per conto dell’azienda	GDPR art. 28
RSPP interno, preposti, ufficio personale	persone autorizzate che agiscono sotto l’autorità del titolare	GDPR art. 29; art. 2-quaterdecies D.Lgs. 196/2003
Imprese di un’ATI o di un cantiere con piattaforma comune	possibili contitolari, con accordo interno	GDPR art. 26

La qualificazione dipende da chi decide finalità e mezzi, non dal nome del contratto: un consulente che sceglie da sé come raccogliere e usare i dati può risultare titolare a sua volta.

Il confine sui dati sanitari

La sorveglianza sanitaria produce categorie particolari di dati (art. 9 GDPR), trattati sulla base dell’obbligo di legge in materia di lavoro e di medicina del lavoro. Il D.Lgs. 81/2008 disegna una separazione netta tra ciò che resta al medico e ciò che arriva al datore:

Arriva al datore di lavoro	Resta al medico competente
giudizio di idoneità, comunicato per iscritto (art. 41)	anamnesi, esami, diagnosi
prescrizioni e limitazioni alla mansione	contenuto della cartella sanitaria e di rischio
dati aggregati e anonimi della relazione annuale	referti degli accertamenti integrativi

L’art. 25 affida al medico la custodia della cartella sotto la propria responsabilità, con salvaguardia del segreto professionale, nel luogo concordato con il datore. Il titolare deve quindi organizzare archivi e accessi in modo che il personale amministrativo non possa consultarla.

Errori frequenti

1. Archiviare cartelle sanitarie o referti nel fascicolo del personale.
2. Inviare per e-mail ordinaria elenchi di lavoratori con limitazioni, visibili a tutto l’ufficio.
3. Adottare un gestionale della sicurezza senza contratto ex art. 28 con il fornitore e senza definire chi vede le scadenze mediche.
4. Installare telecamere per «finalità di sicurezza» senza la procedura prevista dall’art. 4 dello Statuto dei lavoratori.
5. Conservare i dati degli ex dipendenti senza un termine definito.

Esempio: un’impresa di 30 addetti introduce un software per le scadenze di visite e corsi. Prima dell’avvio il titolare stipula l’accordo di responsabile con il fornitore, assegna profili diversi (il medico vede i dati sanitari, l’ufficio personale solo le date di scadenza e l’esito di idoneità) e aggiorna registro dei trattamenti e informativa. Le scelte tecniche su firme e archivi sono trattate nella guida sulla digitalizzazione della sicurezza.

Le violazioni del GDPR sono soggette alle sanzioni amministrative dell’art. 83, che nei casi più gravi arrivano a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Il testo del Regolamento è su EUR-Lex.