venerdì 15 maggio 2020 2892

Sistema di tracciamento dei contatti tramite App

Il Garante da parere favorevole alla norma del D.L. 28/2020

Francesca Gardini, Ufficio giuridico

Il 30 aprile 2020 è stato pubblicato in G.U. (n. 111) il D.L. del medesimo giorno, n. 28, con il quale è stata introdotta, tra l’altro, nell’ambito delle strategie di contenimento dell’epidemia COVID-19, la normativa per il tracciamento dei contatti interpersonali tramite applicazione su dispositivi di telefonia mobile, sulla quale il Garante per la protezione dei dati personali ha espresso parere favorevole il 29 aprile u.s., salvo meri suggerimenti in merito alla formulazione linguistica della norma (doc. web n. 9328050).

La suddetta normativa è racchiusa in un solo articolo del decreto, l’art. 6, rubricato «sistema di allerta Covid-19», con il quale è stata prevista l’istituzione di una piattaforma unica nazionale al fine di allertare le persone che, installata volontariamente l’applicazione sul dispositivo di telefonia mobile, siano entrate in contatto stretto con soggetti risultati positivi e, conseguentemente, tutelarne la salute attraverso le misure di prevenzione nell’ambito dell’emergenza di sanità pubblica attuale.

I dati raccolti attraverso l’applicazione, come previsto espressamente al comma 3, potranno essere trattati solo per le finalità sopra citate, salva la possibilità di utilizzo in forma aggregata o comunque anonima, per i soli fini di sanità pubblica, profilassi, statistici o di ricerca scientifica, fermo restando che il mancato utilizzo dell’applicazione non potrà comportare, come sancito al successivo comma 4, alcuna conseguenza pregiudizievole, rimanendo assicurato il rispetto del principio di parità di trattamento tra chi ne farà uso e chi no.

Il tracciamento dei contatti tramite l’applicazione è, infatti, solo una misura complementare alle ordinarie attività del Servizio Sanitario Nazionale.

Titolare del trattamento dei dati raccolti tramite l’applicazione sarà il Ministero della Salute che avrà il compito di coordinarsi, anche ai sensi dell’art. 28 del GDPR, con i soggetti operanti nel Servizio nazionale della protezione civile ed i Soggetti attuatori, nonché con l'ISS e, anche per il tramite del Sistema Tessera Sanitaria, con le strutture pubbliche e private accreditate che operano nell'ambito del SSN, nel rispetto delle relative competenze istituzionali in materia sanitaria connessa all'emergenza epidemiologica da COVID-19.

Il Ministero della Salute, sentito il Garante per la protezione dei dati personali, in qualità di titolare del trattamento, dovrà, pertanto, adottare, all’esito di una valutazione di impatto, le misure tecniche ed organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati, assicurando quanto segue:

a) consegna agli utenti, prima dell’attivazione dell’applicazione, dell’informativa privacy
b) impostazione predefinita dell’applicazione a raccogliere esclusivamente i dati personali necessari ad avvisare gli utenti di essere tra i contatti stretti di altri utenti accertati positivi al COVID-19 ed agevolare l’eventuale adozione di misure di assistenza sanitaria nei loro confronti
c) esclusione della geolocalizzazione e trattamento dei soli dati di prossimità dei dispositivi, resi anonimi oppure, laddove non possibile, pseudonimizzati, garantendo misure adeguate ad evitare il rischio di reidentificazione degli interessati
d) riservatezza, integrità, disponibilità e resilienza di sistemi e dei servizi di trattamento
e) conservazione dei dati per il periodo strettamente necessario al trattamento - comunque non oltre il 31 dicembre 2020 - al termine del quale i dati verranno automaticamente cancellati, benché nel successivo comma 6 si preveda, in alternativa alla cancellazione, la definitiva anonimizzazione
f) esercizio dei diritti degli interessati anche con modalità semplificate.

Questa in sintesi la normativa sulla quale il Garante per la protezione dei dati personali ha espresso parere favorevole, come anticipato in premessa, non contrastando il sistema di tracciamento dei contatti, così come sopra configurato, con i principi di protezione dei dati personali.

Il sistema di allerta, infatti, come precisato dal Garante, è previsto da una norma di legge sufficientemente dettagliata quanto ad articolazione del trattamento, tipologia di dati raccolti, garanzie accordate agli interessati e temporaneità della misura, e prevede l’adesione volontaria dell’interessato, garantendogli adeguata informativa; è inoltre, preordinato al perseguimento di fini di interesse pubblico indicati con sufficiente determinatezza, escludendo il trattamento secondario dei dati così raccolti per fini diversi, salva la possibilità di utilizzo, in forma anonima e aggregata, a fini statistici o di ricerca scientifica, e appare conforme con il principio di minimizzazione e ai criteri di privacy by desing e by default.

Il Garante, inoltre, accoglie favorevolmente la circostanza, prevista dall’art. 6, comma 2, per cui l’ulteriore precisazione delle caratteristiche di dettaglio del trattamento e delle misure di sicurezza adeguate avverrà da parte del Ministero della Salute, sentito il Garante medesimo, in quanto in tale sede potranno essere previste le modalità di intervento umano sulla decisione algoritmica e potrà essere effettuata ogni valutazione tecnica del progetto.

L’art. 6 del D.L. 28/2020, del resto, come precisato dallo stesso Garante nel parere citato, tiene conto di molte indicazioni fornite dal Presidente del Garante nell’audizione tenutasi lo scorso 8 aprile presso la IX Commissione Trasporti e comunicazioni della Camera dei deputati e dal Segretario generale in riscontro alle ipotesi avanzate all’interno del Gruppo di lavoro “data-driven” per l’emergenza COVID-19, istituito presso la Presidenza del Consiglio dei Ministri, e appare conforme ai criteri indicati nelle Linee Guida del Comitato Europeo per la protezione dei dati personali (cfr. Informaiop nn. 349 e 350).

A questo punto non resta che attendere la conversione in legge del D.L. 28/2020, nell’ambito della quale potranno essere approvate eventuali modifiche all’art. 6, e l’attivazione del sistema di allerta, solo a seguito della quale si potrà valutare l’efficacia del progetto nella gestione dell’emergenza COVID-19.

Notizie dalla Liguria

Le Commissioni nazionali Aiop

Super-ticket e liste d’attesa, Cittadini (AIOP): "Un tavolo di concertazione con il Ministero della Salute è fondamentale per affrontare il tema delle liste d’attesa”

Comunicato stampa del 31 ottobre 2018

Notizie Aiop Nazionale

Sistema di tracciamento dei contatti tramite App

Il Garante da parere favorevole alla norma del D.L. 28/2020

Please login or register to post comments.

Rassegna Stampa Regionale

Rassegna Stampa Nazionale

Link Istituzionali

AIOP

SITI AIOP REGIONALI

NELLA RETE

CONTATTACI