È di pochi giorni fa la pubblicazione della memoria del Garante Privacy sul DDL di conversione in legge del D.L. 7 ottobre 2020, n. 125, recante “misure urgenti connesse con la proroga della dichiarazione dello stato di emergenza epidemiologica da COVID-19 e per la continuità operativa del sistema di allerta COVID, nonché per l’attuazione della direttiva (UE) 2020/739 del 3 giugno 2020”.
Il parere, reso il 19 ottobre su richiesta della Commissione Affari Costituzionali del Senato, è stato l’occasione per il nuovo Garante, Pasquale Stanzione – da poco insediatosi come successore di Antonello Soro – per ripercorrere tutti i provvedimenti governativi resi dall’inizio dell’emergenza pandemica in materia di trattamento e protezione dei dati personali, tutti permeati dalla costante necessità di pervenire ad un equo bilanciamento tra sanità pubblica e privacy: dalla prime disposizioni volte ad autorizzare il trattamento e la comunicazione dei dati sanitari da parte dei soggetti pubblici e privati coinvolti nella gestione dell’emergenza epidemiologica (con il D.L. 9 marzo 2020, n. 14 – le cui disposizioni sono confluite nel successivo D.L. 17 marzo 2020, n. 18, convertito con L. 24 aprile 2020, n. 27), fino a quelle dedicate all’implementazione e alla regolamentazione del sistema di tracciamento dei contagi tramite l’App Immuni, le cui Linee Guida, modellate sulle raccomandazioni rese dal Garante nel parere preliminare del 29 Aprile, erano state tracciate con il D.L. 30 aprile 2020, n. 28.
Dopo la trasmissione della DPIA (Valutazione di impatto sulla protezione dei dati personali) da parte del Ministero della Salute, avvenuta il 28 Maggio – ma ad oggi ancora inedita –, il contact tracing digitale tramite Immuni aveva ottenuto l’assenso definitivo dal Garante con il provvedimento del 1 giugno, con il quale, tuttavia, l’Autorità aveva subordinato l’autorizzazione al rispetto di dodici precise ed importanti prescrizioni da soddisfare entro il termine perentorio di 30 giorni: tra queste, al primo posto, la necessità di porre rimedio alla criticità legata all’incertezza sui “criteri epidemiologici di rischio e i modelli probabilistici su cui si basa l’algoritmo” attraverso il quale Immuni calcola la probabilità di esposizione al contagio e decide se inoltrare la notifica di esposizione a seconda che il contatto sia stato “stretto” perché qualificato per durata e vicinanza, o meno, e su cui avevamo già espresso il nostro punto di vista.
Se fino alla data del parere non si aveva alcun riscontro circa l’adempimento o no del Governo alle raccomandazioni, il Garante fa sapere che il Ministero della Salute ha riscontrato nei termini le richieste dell’Autorità e che il 16 ottobre è stata trasmessa una nuova Valutazione di Impatto, anche questa ancora secretata.
Si arriva al 18 ottobre, con il nuovo DPCM del Governo “Conte”, il quale, nel novero delle “Misure urgenti di contenimento del contagio sull’intero territorio nazionale”, all’art. 1, comma 1, lett. f), dispone l’integrazione del DPCM del 13 ottobre – oggi sostituito dal DPCM del 24 ottobre – aggiungendo, fra le “Misure di informazione e prevenzione sull’intero territorio nazionale”, la lett. a-bis): “al fine di rendere più efficace il contact tracing attraverso l’utilizzo dell’App Immuni, è fatto obbligo all’operatore sanitario del Dipartimento di prevenzione della azienda sanitaria locale, accedendo al sistema centrale di Immuni, di caricare il codice chiave in presenza di un caso di positività”.
Se il provvedimento, formalmente, si limita ad obbligare gli operatori sanitari (Asl, Usl e Ats) a caricare sulla piattaforma il codice dell’utente risultato positivo, restando una decisione libera del singolo quella di comunicare la riscontrata positività tramite l’App, tale scelta non va tralasciata nell’ottica complessiva dell’impatto sulla necessaria volontarietà dell’adesione del singolo al contact tracing, pur sottolineata dal Garante nel recente provvedimento. Viene infatti il dubbio che, dopo l’“obbligo morale” e il “dovere civico” di utilizzare Immuni, la sancita obbligatorietà dell’inserimento dei dati dell’utente positivo da parte degli operatori sanitari possa essere il primo passo di un tentativo di spingere la normativa emergenziale fino ad inserire obblighi più cogenti. Il dato, che non deve allarmare, deve però essere spunto di riflessione, considerate le molte criticità che ancora oggi permangono sul contact tracing digitale, non tanto in punto di sicurezza dei dati, quanto in merito alla verifica diagnostica successiva alla notifica – parliamo delle evidenti difficoltà nell’effettuazione dei tamponi e nell’ottenere una comunicazione tempestiva dell’esito – sul quale, a nostro giudizio, si dovrebbe intervenire con apposite misure tecniche ed organizzative.
Il Garante arriva quindi alle questioni oggetto del parere, ossia le due novità introdotte dall’art. 2 del D.L. 7 ottobre 2020, n. 125: da un lato, la previsione dell’interoperabilità del sistema di allerta nazionale con le piattaforme che operano nel territorio dell’Unione europea; dall’altra, il differimento del termine finale per l’utilizzo dell’applicazione.
Quanto al primo punto, l’Autorità valuta positivamente la prospettiva di una collaborazione a livello sovranazionale tra gli Stati Membri nel tracciamento dei contagi, nell’ottica di una strategia europea di contenimento della pandemia, peraltro già raccomandata dalla Commissione Europea (C(2020)2296) ed oggetto della decisione di esecuzione (UE) 2020/1023 della Commissione, del 15 luglio scorso.
Con riferimento, poi, al termine di efficacia dell’utilizzo dell’applicazione, quest’ultimo viene ancorato – non più alla fine dello stato di emergenza, bensì – alla cessazione delle esigenze di protezione e prevenzione della sanità pubblica, individuate con DPCM, salvo poi prevedere, come clausola di salvaguardia, del termine finale di operatività del sistema al 31 dicembre 2021. Sul punto, il Garante ha sottolineato come l’operatività del sistema si fondi su un doppio ordine di criteri: quello “sostanziale” relativo alla persistenza delle esigenze di prevenzione sanitaria e quello, di ordine “formale-normativo”, dell’individuazione della sussistenza delle esigenze stesse con DPCM. La garanzia di ultima istanza è, poi, affidata alla previsione, con clausola di salvaguardia, del termine finale di operatività del sistema al 31 dicembre 2021 entro il quale, a prescindere dall’auspicata “normalizzazione” della situazione sanitaria, il trattamento deve comunque cessare.
Dott.ssa Elena Massignani
Trainee Lawyer, Studio Legale Napoletano Ficco & Partners
