Il contact tracing nell’attuale contesto nazionale ed europeo: la memoria del Presidente del Garante Privacy

Il Presidente del Garante Privacy si esprime in merito alla continuità del sistema di allerta COVID-19 nel contesto attuale in una memoria relativa alla conversione del d.l. n. 125/2020, legato alle misure urgenti connesse al COVID-19, e all’attuazione della Direttiva UE 2020/739 del 3 giugno.

Il Presidente del Garante per la protezione dei dati personali ha redatto una memoria in merito alla conversione del d.l. n. 125/20 relativo alle misure urgenti connesse alla proroga della dichiarazione dello stato di emergenza dovuto al COVID-19 ai fini della continuità operativa del sistema di allerta COVID-19 , oltre all’attuazione della Direttiva UE 2020/739 risalente al 3 giugno. Nella memoria, il Presidente prende innanzitutto in considerazione il contesto ed i precedenti interventi del Garante sul tema del contact tracing , realizzato tramite il sistema di allerta nazionale ex articolo 6, d.l. n. 28/2020, convertito in l. n. 70/2020, il quale richiede un bilanciamento inevitabile tra la tutela delle libertà individuali, che si esplica più precisamente nel diritto alla protezione dei dati personali , e quella degli interessi collettivi, che si esplica nel diritto alla salute in un contesto complesso come quello pandemico. Già con parere del 29 aprile , il Garante Privacy si era espresso favorevolmente sul tema, come riportato nella memoria in oggetto, che afferma Con il parere del 29 aprile sullo schema di disposizione che sarebbe stata inserita nel decreto-legge n. 28/20 per la disciplina del sistema di contact tracing digitale, si è preso favorevolmente atto della scelta del Governo in favore di un sistema di notifica da esposizione a contatti significativi con soggetti positivi, fondato sulla libera adesione di quanti scarichino sul proprio dispositivo una specifica app e su di una piattaforma di allerta nazionale istituita presso il Ministero della salute, con forte grado di pseudonimizzazione dei dati, nonché divieto di comunicazione dei dati a terzi , precisando che il tracciamento dev’essere finalizzato esclusivamente al contenimento dei contagi , escludendo fini ulteriori, ferme restando le possibilità di utilizzo a fini di ricerca scientifica e statistica, purché nei soli termini generali previsti dal Regolamento Ue 2016/679, valorizzando dunque anche in questo senso la destinazione solidaristica dei dati . La memoria aggiunge che con il provvedimento autorizzatorio sulla valutazione d’impatto del 1° giugno , inoltre, l’Autorità, preso favorevolmente atto della scelta in favore di un sistema di gestione in locale delle notifiche di esposizione, ha indicato misure ulteriori volte a rafforzare le garanzie del trattamento anche sotto il profilo della sicurezza informatica, della trasparenza e dell’informazione degli utenti , con particolare attenzione al rischio di falsi positivi o falsi negativi. In un simile contesto si inserisce la novella oggetto del decreto legge, all’articolo 2, che stabilisce due novità la previsione dell'interoperabilità previa valutazione d’impatto privacy del sistema di allerta nazionale con le piattaforme che operano, con le stesse finalità, nel territorio dell' Unione europea comma 1, lettera a , nonché il differimento del termine finale per l'utilizzo dell'applicazione e della piattaforma prima commisurato al termine di efficacia della dichiarazione dello stato di emergenza nazionale, comunque non oltre il 31 dicembre 2020 – sino alla cessazione delle esigenze di protezione e prevenzione della sanità pubblica, individuate con dPCM e, comunque, entro il 31 dicembre 2021 , precedute da un parere del Garante reso con nota il 21 settembre 2020, a cui il Governo si è uniformato. Ciò precisato, il Presidente aggiunge che in ambito europeo la decisione di esecuzione UE 2020/1023 ha fornito la base giuridica legittimante l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta con riferimento agli Stati membri che vi hanno aderito, funzionale al contenimento dei contagi e alla libertà di circolazione dei cittadini nel territorio dell’Unione. In tal senso, il Presidente evidenzia che L’impatto che l’interoperabilità dei sistemi di tracciamento inevitabilmente determina sulla protezione dei dati personali è, del resto, adeguatamente bilanciato non soltanto dalla tendenziale analogia delle garanzie adottate dai Paesi membri sul punto – in particolare a seguito della citata decisione di esecuzione ma anche dalle prescrizioni che il Garante, in sede appunto di esame della valutazione d’impatto, potrà rendere per rafforzare le tutele almeno sotto il profilo interno . Sotto tale aspetto, il testo del decreto-legge si conforma a tale modello, in quanto assume, tra i parametri cui ancorare l’operatività del sistema, quello sostanziale relativo alla persistenza delle esigenze di prevenzione sanitaria e quello, di ordine formale-normativo, dell’individuazione della sussistenza delle esigenze stesse con dPCM. La garanzia di ultima istanza è, poi, affidata alla previsione, con clausola di salvaguardia , del termine finale di operatività del sistema al 31 dicembre 2021 .

GarantePrivacy_MemoriaPresidente