Il Garante Privacy esprime parere favorevole sulla proposta normativa che prevede l’uso di un app sugli smartphone per il tracciamento dei contagi da coronavirus.

Garante per la protezione dei dati personali: Parere sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19 – Provvedimento n. 79 del 29 aprile 2020.

La proposta normativa del governo

Il garante per la protezione dei dati personali è stato richiesto dalla presidenza del Consiglio dei Ministri di fornire un parere in ordine ad una proposta normativa avente ad oggetto il tracciamento dei contatti intercorsi fra le persone, attraverso l’uso di una applicazione da installare sugli smartphone, al fine di contenere l’epidemia di Covid-19.

Nel presentare detta proposta normativa al garante, la presidenza del Consiglio dei Ministri ha precisato che l’intervento è finalizzato a regolare il trattamento di dati personali delle persone che decideranno di installare sul proprio smartphone la relativa applicazione, col solo fine di tracciare i contatti che gli stessi hanno avuto.

Il primo comma della proposta normativa individua nel Ministero della salute il titolare del trattamento dei dati. Inoltre, precisa che i dati trattati consistono nel tracciamento delle persone, attraverso l’uso di una applicazione da installare sullo smartphone e altri dispositivi mobili, soltanto a seguito di una espressa volontà in tal senso da parte dei soggetti interessati (i quali decideranno volontariamente se scaricare o meno l’applicazione). Infine, la proposta normativa precisa che il trattamento comporta soltanto la registrazione dei contatti con gli altri soggetti che, a loro volta, avranno volontariamente scaricato anch’essi l’applicazione sul proprio telefonino.

Per quanto riguarda la finalità del trattamento, la proposta normativa prevede che il trattamento di tali dati avverrà con il solo fine di adottare le misure di informazione e di prevenzione sanitaria per contrastare il contagio da coronavirus, per il caso in cui i soggetti interessati siano entrati in contatto con dei soggetti che (dopo gli esami medici, sarà risultato) abbiano contratto il virus.

Il secondo comma dell’prevede che il ministero della salute, quale titolare del trattamento, effettui una valutazione di impatto (secondo quanto previsto dall’articolo 35 del GDPR) e successivamente introduca le misure tecniche e organizzative che risulteranno idonee (appunto, in base a quanto emerso dalla valutazione di impatto) a garantire un adeguato livello di sicurezza rispetto ai rischi per i diritti e le libertà degli interessati. Nello specifico, la disposizione normativa proposta prevede già da ora che le misure tecniche e organizzative che saranno introdotte dal Ministero debbano almeno garantire che:

• venga rilasciata agli utenti di una idonea informativa, prima che gli stessi attivino l’applicazione sul proprio dispositivo mobile;
• vengano raccolti soltanto i dati che siano necessari ad avvisare gli utenti che hanno scaricato l’applicazione di essere entrati in contatto con altri utenti che sono stati accertati positivi al Covid-19;
• il tracciamento dei contatti venga effettuato attraverso il trattamento dei dati di prossimità dei dispositivi mobili che siano stati resi anonimi o quanto meno, qualora non sia possibile anonimizzarli, che siano stati pseudonimizzati; mentre, dovrà essere escluso il trattamento di dati di geolocalizzazione degli utenti;
• vengano garantite in maniera permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
• vengano garantite permanentemente misure che impediscano di poter reidentificare i soggetti interessati a cui appartengono i dati anonimizzati oggetto di trattamento;
• i dati che riguardano i soggetti con cui l’interessato è venuto a contatto vengano conservati soltanto per il tempo strettamente necessario al tracciamento (secondo il termine che indicherà il ministero della salute) e successivamente vengano cancellati in maniera automatica; tale previsione del termine di conservazione riguarderà anche i dati conservati nei dispositivi mobili degli utenti;
• vengano garantiti i diritti degli interessati previsti dal GDPR e che questi ultimi li possano esercitare in maniera semplificata.

Il terzo comma precisa che i dati che verranno raccolti attraverso l’uso dell’applicazione non potranno essere utilizzati per finalità diverse da quella sanitaria di cui si è detto sopra. L’unica ulteriore finalità per cui gli stessi potranno essere trattati sarà quella scientifica o statistica e in tal caso i trattamenti dovranno avvenire comunque in forma aggregata o anonima.

Il quarto comma prevede che le persone che decideranno di non utilizzare l’applicazione non potranno subire alcuna conseguenza per quanto riguarda l’esercizio dei propri diritti fondamentali ed inoltre saranno trattati in maniera paritaria rispetto ai soggetti che decideranno di utilizzare l’applicazione.

Il quinto comma stabilisce che la piattaforma informatica che sarà utilizzata per effettuare trattamenti si appoggerà su delle infrastrutture ubicate all’interno del territorio nazionale e gestite da soggetti pubblici.

Infine, l’ultimo comma stabilisce che al termine del periodo di emergenza dovrà immediatamente cessare ogni forma di trattamento di dati personali e gli stessi dovranno essere immediatamente cancellati.

In primo piano: EMERGENZA CORONAVIRUS

Il parere del Garante

Dopo aver esaminato il testo di proposta normativa sottoposto dalla presidenza del Consiglio dei Ministri, il garante per la protezione dei dati personali ha evidenziato come detto testo tenga conto di numerose indicazioni che il presidente del garante e il segretario Generale avevano già reso a vari organi pubblici nelle sedi in cui erano stati coinvolti.

In secondo luogo, il garante ha ritenuto che le linee generali dell’impianto normativo proposto siano conformi altresì ai criteri che sono stati indicati dal comitato europeo per la protezione dei dati qualche settimana fa circa il possibile utilizzo di un’applicazione per tracciare i contatti delle persone durante il periodo della pandemia da coronavirus (rispetto ai criteri indicati da detto comitato europeo si veda il mio precedente commento su questo portale del 26 maggio 2020).

In particolare, il garante ha evidenziato che la proposta normativa rispetta la indicazione del Comitato europeo circa la volontarietà del sistema di tracciamento. Tuttavia, con riferimento a tale specifico aspetto, il garante ha ritenuto che la normativa che il governo intende adottare debba prevedere che il mancato utilizzo dell’applicazione non determini alcuna conseguenza pregiudizievole a carico dei soggetti, ampliando quindi l’attuale terminologia utilizzata nella proposta che si riferisce soltanto ai diritti fondamentali (cioè prevede che il mancato utilizzo dell’applicazione “non comporta alcuna conseguenza in ordine all’esercizio dei diritti fondamentali).

L’ulteriore suggerimento che il garante ha ritenuto di fornire riguarda l’opportunità di inserire, all’interno della disposizione che si occupa delle finalità del trattamento, il riferimento alle disposizioni normative del GDPR che appaiono pertinenti al caso di specie (e cioè gli articoli 5, paragrafo 1 lett. a), e 9, paragrafo 2 lettera j).

Infine, il garante conclude il proprio parere esprimendo una valutazione favorevole sul progetto di disposizione normativa che le è stata sottoposta, ritenendo che il sistema di tracciamento dei contatti ivi previsto sia rispettoso dei principi in materia di protezione dei dati personali.

Volume consigliato

Privacy e GDPR: Manuale applicativo con esempi e casistiche settoriali Il volume si distingue per il suo carattere multidisciplinare ponendosi quale strumento pratico e immediato per rispondere in modo corretto alle finalità della legge.Per ogni tipologia di attività, dalla sanità, alle assicurazioni, dalle banche, alle PMI fino ad arrivare al settore scolastico, il manuale diventa uno strumento per interpretare in modo efficace, il quadro regolatorio in materia di protezione dei dati personali e le sue indicazioni pratiche, riescono a dare criteri precisi su come applicarlo. Il manuale oltre a contenere le disposizioni della legge, è dotato di un formulario che permette un’analisi accurata della situazione in cui il soggetto si trova e, con chek-list, fac-simili, lettere di nomina, informative, istruzioni operative a tutto quello che occorre, permette di riuscire ad avere in breve tempo, una soluzione a tutte le problematiche che il GDPR ha introdotto. Il manuale può essere utilizzato, non solo a chi la legge la deve applicare, ma anche a quei soggetti, certificatori e verificatori delle norme UNI EN ISO, che sono preposti alla valutazione per i sistemi di qualità.Sistemi che oggi sono fondamentali per porre le aziende nella condizione di trovarsi, in un mercato concorrenziale, pronte a soddisfare le sempre più esigenti richieste di tutti gli stakeholder.  Il volume affronta, in particolare, i seguenti settori:- banche;- assicurazioni;- sanità;- lavoro;- scuole. MONICA MANDICOGià DPO e legal Specialist di privati e aziende, è avvocato e founder di Mandico & Partners. È stata coautrice di diverse opere, oltre ad aver pubblicato diverse monografie e contribuito ad opere collettanee in materia di privacy. Docente nel Corso di Perfezionamento “ Privacy e potere di controllo nelle imprese e nei rapporti di lavoro”, organizzato e patrocinato dalle Università delle Marche ed UNICAM. Monica Mandico | 2019 Maggioli Editore 32.00 €  30.40 € Scopri di più