30/04/2020: Il Garante Privacy sulla APP dei tracciamenti
Parere sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19
Pubblichiamo il parere ufficlae del garante per la protezione dei dati personali sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19.
Parere sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19 - 29 aprile 2020
Registro dei provvedimenti
n. 79 del 29 aprile 2020
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, alla quale hanno preso parte il dott. Antonello Soro, presidente, la dott.ssa Augusta Iannini, vice presidente, la prof.ssa Licia Califano e la dott.ssa Giovanna Bianchi Clerici, componenti e il dott. Giuseppe Busia, segretario generale;
Vista la richiesta di parere della Presidenza del Consiglio dei Ministri;
Visti gli articoli 36, par. 4, e 57, par. 1, lett. c), del Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito Regolamento).
Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito Codice) e, in particolare, l’articolo 154, comma 5;
Vista la documentazione in atti;
Viste le osservazioni del segretario generale ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Antonello Soro;
PREMESSO
1. La Presidenza del Consiglio dei Ministri ha richiesto il parere del Garante su una proposta normativa per il tracciamento dei contatti fra soggetti mediante apposita applicazione su dispositivi di telefonia mobile nell’ambito delle strategie di contenimento dell’epidemia Covid-19.
L’intervento normativo - si legge nella relazione illustrativa – è volto a disciplinare il trattamento di dati personali nel contesto dall’emergenza sanitaria a carattere transfrontaliero determinata dalla diffusione del Covid-19 per finalità di tracciamento dei contatti tra i soggetti che, a tal fine, abbiano volontariamente installato un’apposita applicazione sui dispositivi mobili.
Al comma 1 si precisa che il titolare del trattamento è il Ministero della salute e che il trattamento riguarda il tracciamento effettuato tramite l’utilizzo di un’applicazione, installata su base volontaria e destinata alla registrazione dei soli contatti tra soggetti che abbiano parimenti scaricato l’applicazione. Ciò, al solo fine di adottare le adeguate misure di informazione e prevenzione sanitaria nel caso di soggetti entrati in contatto con utenti che risultino, all’esito di test o diagnosi medica, contagiati. Si prevede, in particolare, che il Ministero si coordini, anche ai sensi dell’articolo 28 del Regolamento, con i soggetti operanti nel Servizio nazionale della protezione civile e i soggetti cc.dd. “attuatori” di cui all’articolo 1 dell’ordinanza del Capo del Dipartimento della protezione civile n. 630 del 3 febbraio 2020, nonché con l’Istituto superiore di sanità, le strutture pubbliche e private accreditate che operano nell’ambito del Servizio sanitario nazionale, nel rispetto delle relative competenze istituzionali in materia sanitaria connessa all’emergenza epidemiologica da COVID-19. Si chiarisce, infine, che la modalità di tracciamento dei contatti tramite la piattaforma informatica di cui al predetto comma è complementare alle ordinarie modalità in uso nell’ambito del Servizio sanitario nazionale.
Al comma 2 si prevede che, all’esito di una valutazione di impatto effettuata ai sensi dell’articolo 35 del Regolamento il Ministero della salute adotti misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati, sentito il Garante, assicurando, in particolare, che: gli utenti ricevano, prima dell’attivazione dell’applicazione, un’idonea informativa; i dati personali raccolti dall’applicazione siano esclusivamente quelli necessari ad avvisare gli utenti dell’applicazione di rientrare tra i contatti stretti di altri utenti accertati positivi al Covid-19, individuati secondo criteri stabiliti dal Ministero della salute; il trattamento effettuato per il tracciamento dei contatti sia basato sul trattamento di dati di prossimità dei dispositivi, resi anonimi oppure, ove ciò non sia possibile, pseudonimizzati, con esclusione di ogni forma di geolocalizzazione dei singoli utenti; siano garantite su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento nonché misure adeguate ad evitare il rischio di reidentificazione degli interessati cui si riferiscono i dati pseudonimizzati oggetto di trattamento; i dati relativi ai contatti stretti siano conservati, anche nei dispositivi mobili degli utenti, per il periodo, stabilito dal Ministero della salute, strettamente necessario al tracciamento e cancellati in modo automatico alla scadenza del termine; i diritti degli interessati di cui agli articoli da 15 a 22 del Regolamento possano essere esercitati anche con modalità semplificate.
Il comma 3 prevede che i dati raccolti attraverso l’applicazione non possono essere utilizzati per finalità diverse da quella di cui al medesimo comma 1, salvo in forma aggregata o anonima per finalità scientifiche o statistiche.
Il successivo comma 4 stabilisce che il mancato utilizzo dell’applicazione non comporta conseguenze in ordine all’esercizio dei diritti fondamentali dei soggetti interessati ed è assicurato il rispetto del principio di parità di trattamento, mentre il comma 5 prevede che la piattaforma informatica utilizzata è realizzata esclusivamente con infrastrutture localizzate sul territorio nazionale e gestite da amministrazioni o enti pubblici o in controllo pubblico.
Infine il comma 6 chiarisce che ogni trattamento di dati personali dovrà cessare al termine del periodo di emergenza secondo la tempistica espressamente indicata, con conseguente cancellazione dei dati trattati.
RILEVATO
2. La norma tiene conto di molte delle indicazioni fornite dal Presidente del Garante nell’audizione tenuta in data 8 aprile u. presso la IX Commissione trasporti e comunicazioni della Camera dei deputati (in www.gpdp.it, doc. web n. 9308774), dal Segretario generale in riscontro alle ipotesi avanzate all’interno del Gruppo di lavoro “data-driven” per l’emergenza Covid-19, istituito presso la Presidenza del Consiglio dei ministri (nota del 7 aprile 2020, doc. web. n. 9316821).
Essa appare conforme, per quanto dalla stessa disciplinato e nelle sue linee generali, ai criteri indicati dalle Linee guida del Comitato europeo per la protezione dei dati del 21 aprile scorso (doc. web n. 9321621)a proposito dei sistemi di contact tracing, che possono sintetizzarsi nei termini seguenti, raffrontandovi la disposizione in esame:
a) volontarietà: in ragione del rilevante impatto individuale del tracciamento, l’adesione al sistema deve essere frutto di una scelta realmente libera da parte dell’interessato. La mancata adesione al sistema non deve quindi comportare svantaggi né rappresentare la condizione per l’esercizio di diritti. Si apprezza, in tal senso, la previsione di cui al comma 4 dell’articolo, che appare sufficientemente esaustiva, salvo la necessità di precisare, per fugare ogni possibile dubbio interpretativo, che il mancato utilizzo dell’applicazione non comporta conseguenze pregiudizievoli, adottando dunque una locuzione più ampia di quella riferita al solo esercizio dei diritti fondamentali;
b) previsione normativa: il presupposto può individuarsi nell’esigenza di svolgimento di un compito di interesse pubblico, in particolare per esigenze di sanità pubblica, in base a “previsione normativa o disposizione legislativa” dell’Unione europea o degli Stati membri. Sotto questo profilo, in particolare, la scelta di una norma di rango primario soddisfa i requisiti di cui all’articolo 9, par. 2, lett. i) del Regolamento e agli articoli 2-ter e 2-sexies del Codice, con garanzie ulteriori che potranno essere stabilite con il previsto provvedimento del Garante da adottare ai sensi dell’articolo 2-quinquiesdecies del medesimo Codice;
c) trasparenza: è necessario assicurare il pieno rispetto degli obblighi di trasparenza previsti dal Regolamento nei confronti degli interessati. In linea con tale esigenza è la previsione di cui all’articolo 1, comma 2, lett. a), della norma che assicura agli interessati un’idonea informazione sul trattamento e in particolare sulla pseudonimizzazione dei dati, mentre si raccomanda all’Amministrazione interessata di sottoporre la valutazione di impatto cui è tenuta al più ampio regime di conoscibilità e di prevedere, anche nella norma, il carattere libero e aperto del software da rilasciare con licenza open source;
d) determinatezza ed esclusività dello scopo: il tracing dev’essere finalizzato esclusivamente al contenimento dei contagi, escludendo fini ulteriori, ferme restando le possibilità di utilizzo a fini di ricerca scientifica e statistica, purché nei soli termini generali previsti dal Regolamento;.
e) selettività e minimizzazione dei dati: i dati raccolti devono poter tracciare i contatti stretti e non i movimenti o l’ubicazione del soggetto. Devono essere raccolti solo i dati strettamente necessari ai fini della individuazione dei possibili contagi, con tecniche di anonimizzazione e pseudonimizzazione affidabili. Anche la conservazione deve limitarsi al periodo strettamente necessario, da valutarsi sulla base delle decisioni dell’autorità sanitaria su parametri oggettivi come il periodo di incubazione. A tal riguardo le disposizioni dello schema di norma su tali aspetti è opportuno che siano ulteriormente articolate in sede di attuazione dal Ministero della salute ai sensi del comma 2, anche con riferimento alla sorte dei dati raccolti sul dispositivo di chi, in un momento successivo all’installazione dell’applicazione, abbia poi deciso di disinstallarla;
f) non esclusività del processo algoritmico e possibilità di esercitare in ogni momento i diritti di cui agli articoli da 15 a 22 del Regolamento;
g) interoperabilità con altri sistemi di contact tracing utilizzati in Europa. Tali caratteristiche di interoperabilità potranno essere assicurate in sede applicativa e, ancor prima, nell’ambito dei provvedimenti di competenza del Ministero;
h) reciprocità di anonimato tra gli utenti dell’app, i quali devono peraltro non essere identificabili dal titolare del trattamento, dovendo la identificazione ammettersi al limitato fine dell’individuazione dei contagiati. La norma, alla lettera e), non specifica chiaramente se si intenda optare per la conservazione dei dati in forma centralizzata ovvero decentrata. In ogni caso, la centralizzazione richiederebbe in sede attuativa la previsione di misure di sicurezza rafforzate, adeguate alla fattispecie.
RITENUTO
3. In estrema sintesi, dunque, il sistema di contact tracing prefigurato non appare in contrasto con i principi di protezione dei dati personali in quanto:
a) è previsto da una norma di legge sufficientemente dettagliata quanto ad articolazione del trattamento, tipologia di dati raccolti, garanzie accordate agli interessati, temporaneità della misura;
b) si fonda sull’adesione volontaria dell’interessato, escludendo ogni forma di condizionamento della determinazione individuale e, quindi, di disparità di trattamento basate sulla scelta di consentire o meno il tracciamento;
c) è preordinato al perseguimento di fini di interesse pubblico indicati con sufficiente determinatezza ed escludendo il trattamento secondario dei dati così raccolti per fini diversi, salva la possibilità (nei termini generali previsti dal Regolamento) di utilizzo, in forma anonima o aggregata, a fini statistici o di ricerca scientifica;
d) appare conforme ai principi di minimizzazione e ai criteri di privacy by design e by default, nella misura in cui prevede la raccolta dei soli dati di prossimità dei dispositivi, il loro trattamento in forma pseudonima, sempre che non sia possibile in forma del tutto anonima, escludendo il ricorso a dati di geolocalizzazione e limitandone la conservazione al tempo strettamente necessario ai fini del perseguimento dello scopo indicato, con cancellazione automatica alla scadenza del termine;
e) si conforma al principio di trasparenza nei confronti dell’interessato, garantendone la dovuta informazione;
f) ammette l’ulteriore precisazione delle caratteristiche di dettaglio del trattamento e delle misure di sicurezza adeguate da parte del Ministero della salute ai sensi del comma 2 e, per quanto concerne il vaglio di questa Autorità, mediante l’atto di cui all’art. 2-quinquiesdecies del Codice. In tali sedi potranno, inoltre, essere previste le modalità di intervento umano sulla decisione algoritmica, così da soddisfare anche i requisiti di cui all’articolo 22, par. 2, lett. b) - del Regolamento.
L’Autorità auspica che tale misura sia idonea anche a superare il proliferare di iniziative analoghe in ambito pubblico, difficilmente compatibili con il quadro giuridico vigente.
4. Quanto al testo della norma, il Garante non ha particolari perfezionamenti da suggerire, salvo - per le ragioni esplicitate al punto 2 – richiamare l’attenzione sull’opportunità di sostituire, al comma 4, la locuzione “conseguenza in ordine all’esercizio dei diritti fondamentali dei soggetti interessati” con il più ampio “conseguenza pregiudizievole” e di integrare il comma 3 con i riferimenti normativi pertinenti (artt. 5, par. 1, lett. a) e 9, par. 2, lett. j), del Regolamento) e sostituendola parola utilizzati con “trattati”.
In conclusione, quindi, il Garante esprime parere favorevole sullo schema di norma in esame, auspicando, ove condivisi, i mirati interventi integrativi e specificativi dell’Amministrazione interessata in sede applicativa, nei termini prospettati ai punti 2 e 3, e riservandosi ogni valutazione dei profili tecnici del progetto in sede di esame ai sensi dell’articolo 2-quinquiesdecies del Codice.
IL GARANTE
ai sensi dell’articolo 57, par. 1, lett. c), del Regolamento, esprime parere favorevole, nei termini di cui in motivazione, sulla proposta normativa concernente il tracciamento dei contatti fra soggetti tramite apposita applicazione sui dispositivi di telefonia mobile, con le osservazioni di cui ai punti 2, 3 e 4.
Roma, 29 aprile 2020
IL PRESIDENTE
Soro
IL RELATORE
Soro
IL SEGRETARIO GENERALE
Busia
Fonte: Garante Privacy
19/12/2022: Per Natale ANMIL allestirà gli alberi per la Sicurezza
La Fondazione ANMIL “Sosteniamoli Subito” allestirà oltre 50 alberi per la Sicurezza sul Lavoro dell'artista Sbolzani in tutta Italia
16/12/2022: Microplastiche in ambiente di acqua dolce
Le acque di dilavamento della rete viaria delle aree urbane rappresentano una quota importante del contributo di microplastiche immesse nell’ambiente e non intercettate dagli impianti di depurazione
09/12/2022: Convegno sul reinserimento lavorativo
Si svolgerà a Torino il 16 dicembre il convegno gratuito sul "Reiserimento lavorativo".
06/12/2022: Prevenzione degli infortuni stradali
Sottoscritto un protocollo tra Polizia di Stato e Inail: l’obiettivo è la promozione della cultura della guida sicura, attraverso iniziative comunicative e campagne di sensibilizzazione rivolte anche ai giovani
05/12/2022: Chiusura della Campagna europea "Ambienti di lavoro sani e sicuri. Alleggeriamo il carico!"
Si svolgerà il 12 dicembre l’evento di chiusura della Campagna europea 2020/2022 “Alleggeriamo il carico!”
01/12/2022: Infortuni e malattie professionali: i dati Inail dei primi dieci mesi del 2022
Online gli open data Inail dei primi dieci mesi del 2022: le denunce di infortunio sul lavoro sono state 595.569 (+32,9%), 909 delle quali con esito mortale (-10,6%). In aumento le patologie di origine professionale (+10,2%).
29/11/2022: COVID-19 e protocollo: permane la versione del 30 giugno 2022
Gli incontri al Ministero del Lavoro non hanno portato alla revisione del Protocollo condiviso. La versione del 30 giugno 2022, il quadro aggiornato e le indicazioni di Assolombarda.
28/11/2022: I rischi da radiazione ultravioletta solare per i lavoratori e la popolazione
Il giorno 14 dicembre 2022 si terrà in modalità on line un seminario gratuito sul rischio da radiazione ultravioletta solare per i lavoratori all’aperto e per la popolazione generale.
25/11/2022: L’impegno dell’Università dell’Insubria «Oltre il genere»
Martedì 29 novembre nell’Aula Magna Granero Porati di Varese l’evento ideato da Cristiana Morosini coordinatrice del Comitato di indirizzo nell’ambito dei corsi di laurea in Ingegneria e proposto come un momento di confronto più ampio, aperto al pubblico.
24/11/2022: Pnrr e sicurezza sul lavoro, Inail ed Enel insieme
Con il protocollo di durata triennale sottoscritto è stata avviata una collaborazione per la realizzazione di iniziative congiunte che puntano alla prevenzione degli infortuni e delle malattie professionali.
23/11/2022: Salute e sicurezza, il report dei controlli dei primi 9 mesi dell’anno
L'Ispettorato Nazionale del Lavoro rende noti i risultati dell'attività di vigilanza messa in campo dal 1 gennaio al 30 settembre 2022 su input della Direzione Centrale per la tutela, la vigilanza e la sicurezza del lavoro.
21/11/2022: Aifos con l'Italian Summit HSE per consegnare al Governo 3 proposte di lavoro
L'iniziativa troverà spazio all'interno della fiera Ambiente Lavoro di Bologna giovedì 24 novembre. Presente il sottosegretario al Lavoro sen. Claudio Durigon
18/11/2022: Ambiente, salute, sicurezza e lavoro nelle grandi transizioni
Ad Ambiente Lavoro 2022 a Bologna avrà luogo il 24 novembre 2022 un convegno per affrontare le sfide delle grandi transizioni ecologiche e digitali.
16/11/2022: Il nuovo elenco per i soggetti abilitati ai lavori sotto tensione
Adottato dal Ministero del Lavoro il nuovo elenco dei soggetti abilitati per l’effettuazione dei lavori sotto tensione e dei soggetti formatori.
14/11/2022: Un incontro sui risultati della campagna europea “Alleggeriamo il carico!”
Il 14 e 15 novembre 2022 si tiene un incontro europeo, trasmesso anche in streaming, per discutere i risultati della campagna “Ambienti di lavoro sani e sicuri. Alleggeriamo il carico!”.
11/11/2022: Un fondo per sostenere la ricerca e l’innovazione in materia di sicurezza
Pubblicato il bando Bit di Inail e Artes 4.0: alle imprese due milioni di euro per la realizzazione di progetti di ricerca e sviluppo sperimentale sui temi della salute e sicurezza sul lavoro. Si possono presentare le domande fino al 16 gennaio 2023.
09/11/2022: Ambiente Lavoro: le iniziative su spazi confinati e primo soccorso aziendale
Alcune delle iniziative previste ad Ambiente Lavoro 2022 a Bologna su Spazi Confinati e Primo Soccorso Aziendale. Gli incontri e i workshop.
07/11/2022: COVID-19: prorogato l’uso dei DPI nel settore sanitario
Un’ordinanza del Ministro della Salute proroga fino al 31 dicembre 2022 l'obbligo di dispositivi di protezione delle vie respiratorie nel settore sanitario, socio-sanitario e socio-assistenziale.
04/11/2022: Ad Assisi la prima edizione del forum per la sostenibilità
Ad Assisi il 2 e 3 dicembre 2022 l’associazione ACSO promuove la prima edizione del Forum per la Sostenibilità, un evento mirato a diffondere la “Cultura della Sostenibilità”.
02/11/2022: Infortuni e malattie professionali: i dati Inail dei primi nove mesi del 2022
Online gli open data Inail dei primi nove mesi del 2022: le denunce di infortunio sul lavoro sono state 536.002 (+35,2%), 790 delle quali con esito mortale (-13,2%). In aumento le patologie di origine professionale (+8,6%).
10.5 11.5 12.5 13.5 14.5 15.5 16.5 17.5 18.5 19.5 20.5