Parere del Garante n. 790 del 18/12/2025

Archivio nazionale dei lavoratori esposti alle radiazioni ionizzanti

Il Garante si pronuncia sullo schema di decreto del Ministero del lavoro e delle politiche sociali, di concerto con il Ministero della salute, adottato in attuazione dell’art. 126, comma 1, del d.lgs. 31 luglio 2020, n. 101. Il testo definisce le modalità e i criteri di costituzione, alimentazione e gestione dell’Archivio nazionale dei lavoratori esposti alle radiazioni ionizzanti, nonché le modalità di accesso da parte delle autorità competenti e delle amministrazioni interessate.

Quadro normativo di riferimento

Il parere richiama il GDPR, il Codice privacy, il d.lgs. 101/2020, il d.lgs. 81/2008 e la direttiva 2013/59/Euratom. In particolare, viene valorizzato l’art. 126 del d.lgs. 101/2020, che prevede l’istituzione dell’Archivio presso il Ministero del lavoro e demanda a un decreto ministeriale, sentiti i soggetti istituzionali interessati e il Garante, la disciplina delle modalità di costituzione, alimentazione, gestione e accesso.

Finalità dell’Archivio e dati trattati

L’Archivio è finalizzato alla tutela della salute e della sicurezza dei lavoratori esposti a radiazioni ionizzanti, alla prevenzione dei rischi derivanti da tale esposizione e all’individuazione delle attività che comportano rischio radiologico. Serve inoltre a raccogliere e conservare le informazioni sulle dosi valutate nel corso della vita lavorativa del lavoratore esposto, a consentire alle autorità di vigilanza il controllo delle dosi accumulate e a favorire analisi statistiche e valutazioni sull’efficacia della normativa di settore.

Lo schema disciplina il trattamento di dati identificativi e professionali di aziende, delegati del datore di lavoro e lavoratori, nonché dei dati relativi alle esposizioni esterna e interna, al rapporto di lavoro e alla categoria di esposizione. È previsto anche lo scambio di informazioni sulle dosi con autorità di altri Stati membri e con soggetti incaricati della sorveglianza fisica o sanitaria, ai soli fini delle visite mediche di preassunzione, dei giudizi di idoneità e del controllo dell’ulteriore esposizione.

Ruoli, accessi e riparto delle responsabilità

Il Ministero del lavoro e delle politiche sociali è individuato come titolare del trattamento dei dati contenuti nell’Archivio. I datori di lavoro e i lavoratori autonomi sono titolari del trattamento per gli adempimenti di trasmissione previsti dagli artt. 109, comma 9, e 114, comma 2, lett. f), del d.lgs. 101/2020. I soggetti pubblici e privati che accedono ai dati per le rispettive finalità istituzionali operano anch’essi in qualità di titolari.

Il Garante sottolinea l’importanza della chiara separazione tra i soggetti che alimentano l’Archivio e quelli che lo consultano, richiedendo un accesso selettivo e coerente con le singole finalità. Viene inoltre apprezzata la previsione che le persone fisiche che operano sui dati per conto dei titolari siano espressamente autorizzate e specificamente istruite ai sensi degli artt. 29 e 32, par. 4, GDPR e dell’art. 2-quaterdecies del Codice.

Informativa e modalità di alimentazione del sistema

Lo schema prevede la trasmissione telematica dei dati mediante i servizi informatici disponibili nel Portale "Servizi lavoro". Il Ministero del lavoro rende disponibile l’informativa ex art. 14 GDPR agli interessati, mentre i datori di lavoro rendono l’informativa ex art. 13 GDPR ai propri lavoratori esposti. È inoltre previsto che i dati anagrafici delle aziende e dei lavoratori autonomi siano conferiti in fase di accreditamento e possano essere aggiornati nel tempo; il sistema consente importazioni dai dati già presenti nella banca dati "Servizi Lavoro" e funzioni di facilitazione per la selezione del settore economico e della qualifica professionale.

Conservazione, anonimizzazione e sicurezza

Lo schema stabilisce che i dati siano conservati, per ciascun lavoratore, fino al compimento del 75° anno di età e, comunque, per almeno 30 anni dopo la cessazione dell’attività produttiva a rischio o del rapporto di lavoro, in considerazione dei possibili effetti di natura stocastica nel medio-lungo periodo. Decorso tale termine, i dati devono essere anonimizzati e collocati in un archivio offline con tecniche idonee a impedire l’identificazione anche indiretta degli interessati.

Sul versante delle misure di sicurezza, il Garante rileva positivamente la previsione di registrazione delle operazioni nei log, protezione delle password con algoritmi crittografici, separazione tra anagrafica e dati sulla salute, cifratura e tecniche di anonimizzazione. Precisa che il mascheramento, da solo, non è sufficiente a integrare una vera anonimizzazione e che occorre distinguere tra anonimizzazione e pseudonimizzazione.

Valutazione di impatto e considerazioni del Garante

Il Garante qualifica i trattamenti come ad alto rischio, in ragione della natura dei dati trattati, che comprendono dati particolari ex art. 9 GDPR, in particolare dati sulla salute, e della larga scala del trattamento su base nazionale. Richiama quindi la necessità della valutazione di impatto ex art. 35 GDPR e dei suoi aggiornamenti.

Nell’analisi complessiva, il Garante osserva che lo schema recepisce le osservazioni formulate dall’Ufficio e rispetta i principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità, esattezza, integrità e riservatezza, oltre ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita ex artt. 5 e 25 GDPR. Viene inoltre ribadito il raccordo con le norme di maggior tutela del contesto lavorativo, richiamando l’art. 88 GDPR e l’art. 113 del Codice.

Conclusioni

Il Garante esprime parere favorevole sullo schema di decreto e sul relativo allegato tecnico. Formula tuttavia un’osservazione specifica: occorre verificare, alla luce delle finalità perseguite dalla disciplina di settore, la necessità di garantire l’accessibilità ai dati personali anche successivamente al compimento del 75° anno di età del lavoratore.