App di tracciamento per l’emergenza Coronavirus: l’intervento del Comitato Europeo per la Protezione dei dati

La proposta da parte di alcuni governi e soggetti privati di ricorrere all’adozione di un’app di tracciamento, per monitorare gli spostamenti e i contatti dei cittadini, ha portato ad una serie di dibattiti e discussioni circa la necessità di tutelare la salute delle persone e l’impatto di queste tecnologie sul diritto alla privacy. L'Autorità Garante italiana per la protezione dei dati personali ha pubblicato la versione tradotta delle linee guida 04/2020 dell’European Data Protection Board (EDPB) “sull'uso dei dati di localizzazione degli strumenti per il tracciamento dei contatti nel contesto dell'emergenza legata al Covid 19”.

Il Comitato suggerisce l’adozione di un approccio comune europeo, in risposta all’attuale crisi dovuta alla pandemia di Coronavirus. L’obiettivo è quello di fornire strumenti utili per limitare l’ulteriore diffusione del virus, supportando il tracciamento manuale dei contatti e rispettando pienamente i diritti umani e le libertà fondamentali di ciascuno. Il Comitato sottolinea infatti la necessità di individuare un equilibrio tra le due questioni, affermando che “(…) a nessuno dovrebbe essere chiesto di scegliere tra una risposta efficace all'attuale crisi e la tutela dei diritti fondamentali: entrambi gli obiettivi sono alla nostra portata, e i principi di protezione dei dati possono svolgere un ruolo molto importante nella lotta contro il virus.”

Innanzitutto, viene specificato che l’adozione di queste applicazioni dovrebbe avvenire su base volontaria, senza pregiudicare tutti coloro che non vogliono o non possono utilizzare la tecnologia in questione.

Un punto importante è rappresentato dal tipo di tracciamento effettuato dall’app. Il funzionamento, infatti, non dovrebbe basarsi sulla tracciabilità dei movimenti individuali, bensì sulle informazioni di prossimità relative al contatto tra utenti. La geolocalizzazione o il tracciamento della posizione dei singoli utenti non risultano infatti necessarie ai fini dell’efficacia dell’applicazione: il dato di prossimità è un elemento, quindi, più che sufficiente per rilevare eventuali contatti a rischio tra utenti.

Relativamente all’utilizzo dei dati relativi all’ubicazione, il comitato distingue due principali fonti che devono sottostare a normative differenti:
  • dati relativi all'ubicazione raccolti da fornitori di servizi di comunicazione elettronica (come gli operatori di telecomunicazioni mobili) nel corso della prestazione del loro servizio. I dati in questione possono essere trattati solo entro i limiti di cui agli articoli 6 e 9 della direttiva relativa alla vita privata e alle comunicazioni elettroniche. Ciò significa che tali dati possono essere trasmessi alle autorità o a terzi solo se resi anonimi dal fornitore oppure, per i dati indicanti la posizione geografica dell'apparecchiatura terminale di un utente che non sono dati relativi al traffico, con il consenso previo degli utenti.
  • dati relativi all'ubicazione raccolti da fornitori di servizi della società dell'informazione, la cui funzionalità richiede l'uso di tali dati (ad esempio, navigazione, servizi di trasporto, ecc.). In questo caso, si applica l'articolo 5 della direttiva relativa alla vita privata e alle comunicazioni elettroniche (2002/58/CE). Pertanto, l'archiviazione di informazioni sul dispositivo dell'utente o l'accesso alle informazioni già archiviate sono consentiti solo se l'utente ha prestato il consenso o  la memorizzazione e/o l'accesso sono strettamente necessari al servizio della società dell'informazione esplicitamente richiesto dall'utente.
Sull’utilizzo dei dati relativi all’ubicazione, il Comitato predilige l’utilizzo di dati anonimi. Con “anonimizzazione” si intende l’insieme di tecniche volte ad eliminare la possibilità di collegare un dato ad un soggetto identificabile tramite uno sforzo “ragionevole”. Le linee guida riportano inoltre i fattori da cui dipende l’anonimizzazione di un dato:
  • Individuabilità, ossia la facoltà di riconoscere un individuo all’interno di un gruppo partendo da una base di dati.
  • Correlabilità, cioè la possibilità di correlare dati riferiti allo stesso soggetto.
  • Inferenza, ovvero la capacità di dedurre informazioni significative su una persona.

Di conseguenza, il Comitato riporta che: << (…) il trattamento deve prendere in considerazione gli insiemi di dati di ubicazione nel loro complesso, e riguardare dati di una serie ragionevolmente ampia di individui utilizzando tecniche di anonimizzazione disponibili e con caratteristiche robuste, implementandole in modo adeguato ed efficace>>.
Relativamente al tracciamento dei contatti, il Comitato si è espresso sulla titolarità del trattamento, che andrebbe ricondotta alle autorità sanitarie nazionali, specificando inoltre eventuali ulteriori destinatari del trattamento dei dati.

Imprescindibili sono considerate le finalità del trattamento: sarà infatti necessario limitare l’utilizzo dei dati solo ai fini della prevenzione e gestione dell’emergenza, evitando qualsiasi altro tipo di utilizzo o abuso. È opportuno quindi determinare le finalità e le limitazioni dell’utilizzo dei dati raccolti, tutelando così la privacy e la sicurezza delle informazioni.

L’utilizzo dell’applicazione a questi scopi potrebbe portare alla raccolta di dati relativi anche allo stato di salute delle persone. A tal proposito, il comitato afferma che: << Il trattamento di tali dati è consentito quando è necessario per motivi di interesse pubblico nel settore della sanità pubblica, nel rispetto delle condizioni di cui all'articolo 9, paragrafo 2, lettera i), del Regolamento, o per le finalità dell'assistenza sanitaria di cui all'articolo 9, paragrafo 2, lettera h), del Regolamento Generale sulla protezione dei dati. A seconda della base giuridica individuata, il trattamento in questione potrebbe anche fondarsi sul consenso esplicito dell’interessato (articolo 9, paragrafo (2), lettera a), del Regolamento)>>.

Un altro punto fondamentale riguarda la durata della conservazione del dato. Questa dovrebbe infatti limitarsi alle esigenze relative all’emergenza dovuta al Coronavirus, prevedendo al termine della crisi la cancellazione dei dati o la loro anonimizzazione.
Sarà inoltre necessario prevedere tecniche idonee a garantire la sicurezza e la protezione dei dati, allo scopo di evitare attacchi illeciti, perdite o danneggiamenti di questi, anche attraverso sistemi di crittografia o autenticazione. Le informazioni dovrebbero poi risiedere nel terminale dell’utente, limitandosi solo a quelle pertinenti e strettamente necessarie. Particolare attenzione, dovrà essere fornita agli utenti positivi al Coronavirus: è opportuno adottare procedure idonee a proteggere la dignità e la privacy della persona in questione, ad esempio attraverso il ricorso alla pseudonimia.

Le conseguenze dell’attuale emergenza vanno ben oltre l’ambito sanitario: proprio per questo è opportuno valutare risposte efficaci ed efficienti che siano anche compliance con le normative. È infatti importante analizzare l’impatto delle misure da adottare, allo scopo di verificare il rispetto delle libertà e dei diritti fondamentali.
La sicurezza delle persone passa anche attraverso la protezione dei propri dati e la tutela della propria privacy.