[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione IGIENE E SANITA' (12ª) 133 COLLINA La seduta inizia alle ore 9,15 IN SEDE CONSULTIVA d.l 28/2020 - proroga intercettazioni e sospensioni processuali DDL 1786 Conversione in legge del decreto-legge 30 aprile 2020, n. 28, recante misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, ulteriori misure urgenti in materia di ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile e misure urgenti per l'introduzione del sistema di allerta COVID-19 (Parere alla 2 a Commissione. Esame e rinvio) La relatrice BOLDRINI ( PD ) illustra il provvedimento in titolo. Premette che il decreto-legge in esame reca misure urgenti in materia di giustizia nonché per l'introduzione di un sistema di allerta in relazione al virus Covid-19. Si sofferma, quindi, per quanto di competenza della Commissione, sull'articolo 6. Quest'ultimo prevede l'istituzione di una piattaforma informatica unica nazionale che consenta la gestione di un sistema di allerta, in relazione alle persone che siano entrate in contatto stretto con soggetti risultati positivi al virus COVID-19, contatto rilevato tramite l'installazione, su base volontaria, di un'apposita applicazione sui dispositivi di telefonia mobile. Il Ministero della salute viene qualificato come il soggetto titolare del trattamento, agli effetti della disciplina sulla protezione dei dati personali. Il medesimo Dicastero si coordina, sentito il Ministro per gli affari regionali e le autonomie, con gli altri soggetti individuati dal comma 1 - che assumono anch'essi la responsabilità del trattamento agli effetti della disciplina sulla protezione dei dati personali -, ai fini della gestione del sistema suddetto e dell'adozione delle misure di sanità pubblica e di cura (inerenti in particolare alle persone interessate dai contatti stretti in esame). Tali soggetti sono: quelli operanti nel Servizio nazionale della protezione civile, di cui agli articoli 4 e 13 del decreto legislativo 2 gennaio 2018, n. 1, e successive modificazioni (tra i quali figurano le Regioni, gli enti locali, le strutture del Servizio sanitario nazionale); i soggetti attuatori di cui all'articolo 1 dell'ordinanza n. 630 del 3 febbraio 2020 del Capo del Dipartimento della protezione civile (soggetti individuati - anche tra enti pubblici, economici e non economici, e soggetti privati - dal medesimo Capo del Dipartimento della protezione civile per fronteggiare l'emergenza da COVID-19); l'Istituto superiore di sanità; le strutture pubbliche e private accreditate che operano nell'ambito del Servizio sanitario nazionale (il coordinamento con tali strutture è attuato anche mediante il Sistema Tessera Sanitaria). Il comma 1, inoltre, specifica che le modalità operative del sistema di allerta sono complementari alle ordinarie modalità in uso nell'ambito del Servizio sanitario nazionale e prevede che il Ministro della salute e il Ministro per gli affari regionali e le autonomie informino periodicamente la Conferenza permanente per i rapporti tra lo Stato, le Regioni e le province autonome sullo stato di avanzamento del progetto. Il comma 2 demanda al Ministero della salute - all'esito di una valutazione di impatto, costantemente aggiornata - l'adozione delle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati, sentito il Garante per la protezione dei dati personali. Il sistema di tracciamento digitale deve assicurare in particolare che: gli utenti ricevano, prima dell'attivazione dell'applicazione, informazioni chiare e trasparenti, allo scopo di raggiungere una piena consapevolezza, in particolare, sulle finalità e sulle operazioni di trattamento, sulle tecniche di pseudonimizzazione utilizzate e sui tempi di conservazione dei dati (lettera a) ); per impostazione predefinita, i dati personali raccolti dall'applicazione siano esclusivamente quelli necessari ad avvisare gli utenti di essere rientrati tra i contatti stretti di altri utenti accertati positivi al COVID-19 - contatti stretti individuati secondo i criteri stabiliti dal Ministero della salute -, nonché ad agevolare l'eventuale adozione di misure di assistenza sanitaria in favore degli stessi soggetti (lettera b) ); il trattamento effettuato sia basato sui dati di prossimità dei dispositivi, resi anonimi, oppure, ove ciò non sia possibile, pseudonimizzati - è esclusa in ogni caso la geo-localizzazione dei singoli utenti - (lettera c) ); siano garantite su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento nonché misure adeguate ad evitare il rischio di reidentificazione degli interessati cui si riferiscano i dati pseudonimizzati oggetto di trattamento (lettera d) ); i dati relativi ai contatti stretti siano conservati nei dispositivi mobili degli utenti per il periodo strettamente necessario al trattamento - periodo la cui durata è stabilita dal Ministero della salute -, con cancellazione automatica alla scadenza del termine (lettera e) ); i diritti degli interessati di cui agli articoli da 15 a 22 del regolamento 2016/679/UE del Parlamento europeo e del Consiglio (regolamento generale sulla protezione dei dati) possano essere esercitati anche con modalità semplificate (lettera f) ). Secondo il successivo comma 3, i dati raccolti non possono essere trattati per finalità diverse da quelle summenzionate, salva la possibilità di utilizzo in forma aggregata, o comunque anonima, per fini di sanità pubblica, profilassi, statistici o di ricerca scientifica. Il comma 4 specifica che il mancato utilizzo dell'applicazione non comporta alcuna conseguenza pregiudizievole, né alcuna limitazione del principio della parità di trattamento. Il comma 5 prevede che la piattaforma sia di titolarità pubblica e che venga realizzata dal Commissario straordinario per l'attuazione e il coordinamento delle misure occorrenti per il contenimento e contrasto dell'emergenza epidemiologica COVID-19 esclusivamente con infrastrutture localizzate sul territorio nazionale e gestite dalla Sogei (società a totale partecipazione pubblica). Si stabilisce inoltre che i programmi informatici di titolarità pubblica per la realizzazione della piattaforma e per l'utilizzo dell'applicazione siano resi disponibili e rilasciati sotto licenza aperta, ai sensi dell'articolo 69 del Codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni (tale articolo disciplina la messa in disponibilità in favore di altri soggetti di un codice sorgente di proprietà di una pubblica amministrazione ed il riuso dei relativi programmi informatici). Ai sensi del comma 6, l'utilizzo dell'applicazione e della piattaforma, nonché ogni trattamento di dati personali devono essere interrotti alla data di cessazione dello stato di emergenza, disposto con la delibera del Consiglio dei Ministri del 31 gennaio 2020, e comunque non oltre il 31 dicembre 2020, ed entro la medesima data tutti i dati personali trattati devono essere cancellati o resi definitivamente anonimi. Il comma 7, infine, reca la copertura finanziaria degli interventi per la realizzazione della piattaforma.