Cosa dice la norma
Si applicano congiuntamente il GDPR (Reg. UE 2016/679), il Codice Privacy (D.Lgs. 196/2003 come modificato) e il D.Lgs. 81/08. Il medico competente è soggetto al segreto professionale; il datore di lavoro non accede ai dati clinici.
A chi si applica
A tutti i titolari del trattamento (datore di lavoro) e responsabili (medico competente o struttura sanitaria) che gestiscono cartelle sanitarie aziendali.
Obblighi pratici
- Definire base giuridica e finalità del trattamento.
- Nominare il medico competente come responsabile o titolare autonomo secondo il modello organizzativo.
- Custodia sicura (fisica e/o informatica) con accesso riservato.
- Informativa al lavoratore ex artt. 13–14 GDPR.
- Conservazione per 10 anni o termini diversi previsti per rischi specifici.
- Registro dei trattamenti aggiornato.
Cosa fa il medico competente
Garantisce riservatezza, custodia e accesso esclusivo. Comunica al datore di lavoro esclusivamente il giudizio di idoneità e i dati aggregati.
Sanzioni / conseguenze
Violazioni del GDPR sono sanzionate dal Garante; violazioni degli obblighi del Testo Unico ricadono nel sistema sanzionatorio del D.Lgs. 81/08.