In questo periodo emergenziale ci si è interrogati spesso sulla necessità di sacrificare il diritto alla protezione dei dati in favore del diritto costituzionale alla tutela della salute.

Fin dall’inizio però le linee guida dell’EDPB (European Data Protection Board) e del Presidente del Garante per la protezione dei dati hanno accolto favorevolmente l’adozione di misure limitative del diritto alla riservatezza, come occorso ad altri diritti fondamentali.

La Privacy non è un ostacolo alla tecnologia e alla tutela della salute.

La necessaria restrizione di molte libertà fondamentali, per il contenimento ed il contrasto del virus, non implica la rinuncia ai diritti e tra questi il diritto alla riservatezza (previsto nella Carta di Nizza).

Il rispetto dei principi fondamentali di liceità, trasparenza, proporzionalità e minimizzazione dei dati, permettono, con l’ausilio della tecnologia, di contrastare l’emergenza epidemiologica da Coronavirus, senza ledere il diritto alla protezione dei dati.

Le misure di controllo e contenimento del contagio possono produrre effetti anche attraverso l’uso di dati anonimi e aggregati (come nel caso delle celle telefoniche a Milano) senza la necessità di identificare i cittadini e, altresì, attraverso un trattamento temporaneo e proporzionale dei dati, cioè limitato al periodo emergenziale e alla raccolta dei soli dati necessari alla mappatura del contagio.

La Fase 2

La Fase 2, successiva al totale lockdown, necessita di una serie di misure per far ripartire l’Italia e tra queste spicca l’App “Immuni”, creata per tracciare la prossimità fra i cittadini poi risultati positivi e isolare così le infezioni sul nascere.

L’App, secondo le informazioni divulgate on line, ha recepito le indicazioni del Garante, anche se allo scoppiare delle polemiche su ipotetici rischi di violazione della privacy non ha fatto seguito una comunicazione formale da parte del Ministro Pisano (Ministro dell’Innovazione a capo della Task Force di esperti).

Le raccomandazioni attengono alla scelta di un sistema di adesione volontaria dei singoli, che non utilizzi la geolocalizzazione (quindi non rilevi gli spostamenti dei cittadini) e si serva della tecnologia bluetooth (meno invasiva delle celle telefoniche perché seleziona i dati più ravvicinati) senza identificare i soggetti venuti a contatto tra loro; la conservazione dei dati, inoltre, deve avvenire per il solo periodo emergenziale con conseguente cancellazione al termine dello stesso.

L’efficacia diagnostica di tale soluzione (già adottata a Singapore), al fine di permettere di tornare – entro certi limiti- a circolare, necessita dell’adesione di almeno il 60% della popolazione.

Come auspicato dal Garante della Privacy e dall’ EDPB (European Data Protection Board) una regia nazionale supportata da un intervento normativo ad hoc, nonché l’applicazione di misure di sicurezza valide eviteranno l’improvvisazione e relativi danni.

I sistemi di tracciamento, indi, qualora siano progettati prestando particolare attenzione al principio di minimizzazione dei dati e di protezione degli stessi (fin dalla progettazione – privacy by design; e per impostazione predefinita – privacy by default), non presentano particolari rischi per la privacy; purchè, sia chiaro, (i) non traccino la posizione dei singoli utenti (utilizzando i dati di prossimità), (ii) adottino misure adeguate a non rendere identificabili i dati degli interessati, (iii) facciano risiedere le informazioni raccolte nell’apparecchiatura terminale dell’utente (le informazioni pertinenti e strettamente necessarie).

In merito alla liceità del trattamento e al relativo consenso degli interessati è opportuno precisare che, nel rispetto dell’art. 5 della Direttiva e-Privacy (58/2002), le app per il tracciamento comportano la memorizzazione e/o l’accesso a informazioni archiviate nell’apparecchiatura terminale dell’utente e se tali operazioni sono necessarie per fornire il servizio richiesto dall’utente, su base volontaria, il trattamento non richiede il consenso.

Per le operazioni non strettamente necessarie permane l’autorizzazione al trattamento tramite il consenso dell’utente.

In realtà, qualora il trattamento dei dati si fondi su una base giuridica differente (e che non si fondi su : interesse pubblico, esercizio di un pubblico potere, esecuzione di un contratto) è necessario il consenso (purchè si rendano esercitabili i diritti dell’interessato ).

Sia chiaro che la tecnologia di per sé, senza l’intervento di ulteriori fattori, soprattutto il fattore umano, quali il coordinamento tra Autorità Sanitarie, i tamponi e la fornitura dei relativi reagenti, rappresenta un tassello del complessivo mosaico.

Saranno necessari attività di tracciamento manuale dei contatti, effettuato da personale sanitario pubblico qualificato che potrà stabilire con quale probabilità i contatti ravvicinati diano luogo a una trasmissione del virus o meno.

Gli ingredienti fondamentali per attivare la ripresa sono: (i) la sorveglianza operata da personale qualificato (per limitare il verificarsi di falsi positivi e negativi),  (ii) la verificabilità periodica degli algoritmi, (iii) la raccolta di informazioni strettamente necessarie (l’app non dovrebbe raccogliere dati quali i messaggi, registrazione delle chiamate, identificativi del dispositivo), (iv) l’utilizzo di identificatori univoci e pseudonimi, (v) le tecniche crittografiche.

In conclusione, l’interazione della tecnologia nel rispetto di determinati requisiti e l’interazione umana permettono di far fronte all’emergenza epidemiologica in atto, garantendo tuttavia che le misure adottate siano necessarie, limitate nel tempo, di portata minima e soggetta a un riesame periodico effettivo nonché di una valutazione scientifica.