Audizione informale, in videoconferenza, del Presidente del Garante per la protezione dei dati personali sull’uso delle nuove tecnologie e della rete per contrastare l’emergenza epidemiologica da Coronavirus
Commissioni IX (Trasporti, Poste e Telecomunicazioni) della Camera dei Deputati
(8 aprile 2020)
- Diritti, deroghe, limiti
La gravissima emergenza che il Paese sta affrontando ha imposto l’adozione- con norme di vario rango- di misure limitative di molti diritti fondamentali, necessarie per contenere auspicabilmente, il numero dei contagi.
La protezione dei dati personali – fondamentale diritto dalla Carta di Nizza – non poteva fare, naturalmente, eccezione, benché le limitazioni sinora adottate siano nel complesso contenute.
Alcune deroghe al regime ordinario di gestione dei dati sono state previste sin dalle primissime ordinanze intervenute pochi giorni dopo la deliberazione dello stato di comunicazione dei dati sanitari.
L’art. 14 d.l. 14/2020 ha sostanzialmente replicato attuale riferirsi a raccolte di dati particolarmente “innovative”.
Nuove e più invasive raccolte di dati potrebbero fondarsi su esigenze di sanità pubblica che -al pari del “soccorso di necessità”- costituiscono auto.
- Mappe epidemiologiche e sorveglianza
Va valutata entro questa cornice l’ipotesi della raccolta dei dati sull’ubicazione o sull’interazione dei dispositivi mobili dei soggetti risultati positivi, con altri dispositivi, al fine di analizzare l’andamento epidemiologico o per ricostruire la catena dei contagi.
Anzitutto diverse tra loro, si dovrebbe privilegiare un criterio di gradualità e dunque valutare se le misure meno invasive possano essere sufficienti a fini di prevenzione epidemiologica.
In tale prospettiva non pone particolari problemi l’acquisizione di trend, effettivamente anonimi, di mobilità. L’art. 9 della direttiva e-privacy legittima il trattamento, dei dati relativi all’ ubicazione, purché anonimi.
Tale soluzione consente di realizzare, ad esempio, mappe descrittive dell’andamento dell’epidemia, utilissime a fini prognostici e statistici, meno a scopi diagnostici in senso proprio.
Per altro verso, l’uso di dati identificativi sull’ubicazione o sull’interazione con altri dispositivi può risultare funzionale a diversi scopi.
In ogni caso, esso richiede – anche ai sensi dell’art. 15 della direttiva e-privacy – una disposizione normativa sufficientemente dettagliata e contenente adeguate garanzie.
I vari utilizzi possibili di tali dati possono essere finalizzati, in via teorica (e ragionando nei termini assunti dal dibattito pubblico di queste settimane):
- a) o alla verifica della posizione del soggetto dal domicilio, oppure:
- b) all’acquisizione, a ritroso, dei dati sull’interazione del soggettooth.
Le due ipotesi differiscono nella finalità: elemento.
La prima ipotesi infatti, nell’utilizzare la localizzazione del telefono come fosse una sorta di braccialetto che chi decida di violare gli obblighi di permanenza domiciliare porti con sé il telefono, il che è evidentemente contro-intuitivo.
Tra le altre misure utilizzate a fini di verifica del rispettorità di pubblica sicurezza, ai droni.
Anche tali strumenti vanno utilizzati nel rispetto in ragione delle loro potenzialità particolarmente invasive della riservatezza.
Se utilizzata dalle forze di polizia, non per segnalare “impersonali” assembramenti, ma per monito del canone di proporzionalità, potendo prestarsi a una raccolta assai ampia di dati personali.
Sarebbe auspicabile, sul punto con modificazioni dalla l. 132/2018).
- Il contact tracing
Più complessa è la seconda ipotesi, relativa alla mappatura a ritroso dei contatti tenuti, nel periodo d’incubazione, da soggetti risultati contagiati. Tale ricostruzione dei contatti può avvenire, almeno astrattamente, attraverso l’incrocio di tipologie di dati diversi: quelli sulle transazioni commerciali, sulle celle telefoniche, quelli sull’interazione con altri dispositivi mobili desunti dal ricorso a tecnologie bluetooth.
Va premesso che ciascuna tipologia di questi dati ha, naturalmente, una diversa significatività a fini epidemiologici, tanto, almeno potenzialmente, un contagio.
Come vedremo più avanti, la scelta della tipologia di dati più efficace incide anche sul complessivo giudizio di proporzionalità, in quanto necessario, con effetti socialmente apprezzabili in termini di tutela della salute, individuale e collettiva.
In termini generali, comunque, il fine perseguitoria mediante la sua geolocalizzazione), ma solidaristico.
Lo scopo perseguito positivo al virus o, comunque, di adottare le misure utili a prevenire il contagio.
Si perseguirebbe, dunque, quella componente solidaristica del diritto alla salute quale interesse collettivo, valorizzata dalla giurisprudenza costituzionale sugli obblighi vaccinali.
L’utilizzo di tale tecnologia avrebbe, del resto, poche valide alternative ai fini della ricostruzione della catena epidemiologica.
La semplice intervista del paziente può essere, infatti, lacunosa o comunque scontare la mancata conoscenza di molti soggetti con i quali si possa essere entrati in contatto ecc.).
Un elemento contagio, per essere curati con la massima tempestività.
Le soluzioni “tecnologiche” sono, infatti, validissime alleate dell’azione di prevenzione epidemiologica ma necessitano, evidentemente, di misure complementari di diversa natura, idonee a superare i limiti imposti, tra le altre cose, dal divario digitale.
Tale considerazione, sui limiti intrinseci alle opzioni tecnologiche, ha un duplice ordine di implicazioni.
In primo luogo, la valutazione dell’efficacia attesa dalla misura non può prescindere da un’analisi inerente le azioni complementari e, dunque, la fase- che dovrebbe ragionevolmente conseguirne- dell’accertamento sanitario dei soggetti individuati, tramite data tracing, quali potenziali contagiati.
Si possono raccogliere, infatti, tutti i dati possibili sui potenziali portato lontano.
In secondo luogo, la necessità di ricostruire la catena dei contagi mediante i dati di dispositivi elettronici rende problematica l’imposizione di un obbligo generalizzato di uso di tali sistemi. Ciò, infatti, presupporrebbe la possibilità (non solo economica ma anche cognitiva) di utilizzo di smartphone e di loro funzionalità che non sono, oggettivamente, a tutti accessibili.
Inoltre, un simile obbligo di utilizzo sarebbe difficilmente coercibile salvo ricorrere a un vero e proprio braccialetto elettronico.
Se anche si ritenesse, come pure si sta ipotizzando, di far attivare il bluetooth direttamente da una app, come imporre, infatti, di uscire di casa solo se ‘accompagnati’ dal proprio smartphone, tra l’altro abbastanza carico?
Queste considerazioni inducono a preferire il ricorso a sistemi fondati sulla volontaria adesione dei singoli che consentano il tracciamento.
Pertanto necessario, ad esempio, per usufruire di determinati servizi o beni (si pensi al sistema cinese).
L’efficacia diagnostica di tale soluzione dipende, in ogni caso, dal grado di adesione che essa incontri tra i cittadini, in quanto la rilevazione potrebbe per definizione avvenire solo limitatamente alla parte della popolazione che consenta di “farsi tracciare”.
La percentuale minima per l’efficacia è stimata nell’ordine del 60%.
E se a Singapore tale soluzione ha visto di innovazione digitale di quel Paese.
Ciò non esclude però che un’adeguata sensibilizzazione sull’opportunità di ricorrere a tale tecnica, anche solo a fini egoistici- ovvero per essere informati di essere stati potenzialmente e inconsapevolmente contagiati tramite un contatto con soggetti positivi- possa invece consentire un’ampia adesione dei cittadini.
In tal senso, quindi, la volontaria attivazione di una app funzionale alla raccolta dei dati sull’interazione dei dispositivi, ben potrebbe rappresentare il presupposto su esigenze di sanità pubblica, con adeguate garanzie per gli interessati (art. 9, p.2, lett.i) Reg. (Ue) 2016/679).
La seconda fase del trattamento (quella, cioè, successiva alla rilevazione dei dati) consiste essenzialmente nella conservazione degli stessi, in vista del loro eventuale, successivo utilizzo per allertare i potenziali contagiati.
Tale opera di “personalizzazione” dovrebbe avvenire limitatamente ai soggetti risultati poi positivi e a coloro ai quali, con essi, siano entrati in contatto significativo, per il solo periodo di potenziale contagiosità.
Sottori, che riproporrebbe le criticità rilevate dalla giurisprudenza della Cgue sulla data retention.
I criteri di necessità, proporzionalità e minimizzazione rimarcati dalla giurisprudenza europea indicano, comunque, l’esigenza di contenere tali limitazioni della privacy nella misura strettamente necessaria a perseguire fini rilevanti, con il minor sacrificio possibile per gli interessati.
Seguendo questo preferibile la misura più selettiva, che garantisca cioè il minor ricorso possibile a dati identificativi, sia in fase di raccolta sia in fase di conservazione.
In tal senso, ai fini della raccolta, il blueto ai contatti significativi (così parrebbero orientati Singapore e Germania).
In particolare, sarebbero apprezzabili quelle tecnologie che mantengono il diario dei contatti esclusivamente nella disponibilità dell’utente, sul suo dispositivo, ragionevolmente per il solo periodo massimo di potenziale incubazione.
Il soggettooth.
Queste ultime riceverebbero poi una segnalazione (nella forma di un alert sul sistema) di potenziale contagio, con l’invito.
In tal modo, il tracciamento a un flusso di dati pseudonimizzati, suscettibili di reidentificazione solo in caso di rilevata positività.
Anche in tali circostanze, comunque, la stessa comunicazione tra server centrale ed app dei potenziali contagiati avverrebbe senza consentirne la reidentificazione, così minimizzando l’impatto della misura sulla privacy individuale.
In alternativa all’alert intra-app, si potrebbe ipotizzare che sia direttamente l’asl ad avvisare e, quindi, sotto positivo.
La conservazione dei dati di contatto, da parte del server, dovrebbe comunque limitarsi al tempo strettamente indispensabile alla rilevazione dei potenziali contagiati.
L’anamnesi rimessa al medico consentirebbe, poi, di realizzare quell’interventorsioni e inesattezze.
In ogni caso, è auspicabile che la complessa filiera del contact tracing possa realizzarsi interamente in ambito pubblico.
Ove, tuttavia, ciò non fosse possibile e anche solo un segmento a soggetti privati, essi dovrebbero possedere idonei requisiti di affidabilità, trasparenza e controllabilità, rigorosamente asseverati.
Potrebbe infine essere utile prevedere specifici reati propri, suscettibili di realizzazione da parte di coloro che, potendo avere accesso ai dati per qualunque ragione anche operativa, li utilizzino per altre finalità.
La soluzione ipotizzata ridurrebbe, verosimilmente allo stretto parlamentare né quello successivo di costituzionalità, diversamente dalle ordinanze).
Ove non si procedesse a un interventomeno integrare l’art. 14 dl 14/20, anche con misure di garanzia da prevedersi eventualmente con fonte subordinata.
La norma avrebbe anche una rilevante funzione performativa, fornendo una cornice generale di regole e garanzie cui uniformarsi anche a livello locale. Si eviterebbero così le auto europeo.
Naturalmente, come prescritto di necessità o, comunque, ove la prassi ne dimostri la scarsa utilità (in tal senso, sarebbero opportuni controlli periodici).
Ed è essenziale sancire (con il presidio di sanzioni adeguate) l’obbligo di cancellazione dei dati decorso il periodo di potenziale utilizzo (salva la conservazione in forma aggregata o comunque anonima per soli fini statistici o di ricerca) e l’illiceità di qualsiasi riutilizzo dei dati per fini diversi da quelli di tracciamento dei contatti, nei termini suindicati.
Così circoscritto sanitario digitale”.
Ci riferiamo, in particolare, alle varie iniziative suscettibili di adozione nella fase di ripresa delle attività, per la valutazione del grado individuale di rischio epidemico.
Vanno studiate, dunque, modalità e ampiezza delle misure da adottare in vista della loro efficacia, gradualità e adeguatezza, senza preclusioni astratte o tanto complesse.
La chiave è nella proporzionalità, lungimiranza e ragionevolezza dell’intervento, oltre che naturalmente nella sua temporaneità.
Il rischio che dobbiamo esorcizzare è quello dello scivolamento inconsapevole dal modello coreano a quello cinese, scambiando la rinuncia a ogni libertà per l’efficienza e la delega cieca all’algoritmo per la soluzione salvifica.
Audizione informale Garante Privacy in Commissione IX 8 aprile
