Source: https://www.civile.it/internet/visual.php?num=95027
Timestamp: 2020-08-15 14:29:23+00:00
Document Index: 80095121

Matched Legal Cases: ['§2', '§2', '§ 2', '§3', '§ 4', '§ 4', '§ 4', '§ 4', '§ 6', '§ 7', '§ 7', '§ 7', 'art. 157']

Tali misure potranno essere adottate nell’ambito
disattivare temporaneamente
Assicurare il tracciamento delle operazioni compiute da
La conservazione degli indirizzi Ip dei cellulari dovr&
Dottate misure tecniche e organizzative per mitigare i
Sistema anche da parte di minori ultra quattordicenni.
Il Garante ha sottolineato infine che il trattamento di
1) indicare puntualmente nella valutazione d’impa
Possibilità che l’app generi notifiche di
Dell’app di disattivarla temporaneamente
integrare la valutazione d’impatto e l’inf
Descrizione del ruolo e delle operazioni ascrivibili ad
i tempi di conservazione degli indirizzi ip,
Assicurare il tracciamento delle operazioni compiute
Misure tecniche e organizzative per mitigare i rischi
richiede al Ministero della salute di comunicare quali
Tenuto conto della complessità del sistema di allerta e del numero dei soggetti potenzialmente coinvolti, il Garante ha comunque ritenuto di dare una serie di misure volte a rafforzare la sicurezza dei dati delle persone che scaricheranno la app. ^ Tali misure potranno essere adottate nell’ambito della ^ sperimentazione del Sistema, così da garantire che nella fase di attuazione ogni residua criticità sia risolta.
In particolare, l’Autorità ha chiesto che gli utenti siano informati adeguatamente in ordine al funzionamento dell’algoritmo di calcolo utilizzato per la valutazione del rischio di esposizione al contagio. E dovranno essere portati a conoscenza del fatto che il sistema potrebbe generare notifiche di esposizione che non sempre riflettono un’effettiva condizione di rischio. Gli utenti dovranno avere inoltre la possibilità di^ disattivare temporaneamente l’app attraverso una funzione facilmente accessibile nella schermata principale.
I dati raccolti attraverso il sistema di allerta non potranno essere trattati per finalità non previste dalla ^ norma che istituisce l’app.
Dovrà anche essere garantita la trasparenza del trattamento a fini statistico-epidemiologici dei dati raccolti e individuate modalità adeguate a proteggerli, evitando ogni forma di riassociazione a soggetti identificabili e adottando idonee misure di sicurezza e tecniche di ^ anonimizzazione. Dovranno essere introdotte misure volte ad ^ ^ assicurare il tracciamento delle operazioni compiute dagli amministratori di sistema sui sistemi operativi, sulla rete e sulle basi dati.
^ La conservazione degli indirizzi Ip dei cellulari dovr&agrave; essere commisurata ai tempi strettamente necessari per il rilevamento di anomalie e di attacchi.
Dovranno essere a^ dottate misure tecniche e organizzative per mitigare i rischi derivanti da falsi positivi.
Particolare attenzione dovrà essere dedicata all’informativa e al messaggio di allerta, tenendo altresì conto del fatto che è previsto l’uso del ^ Sistema anche da parte di ^ minori ultra quattordicenni.
^ Il Garante ha sottolineato infine che il trattamento di dati personali raccolti attraverso la app, da parte di soggetti non autorizzati, può determinare un trattamento di dati personali illecito, eventualmente anche sotto il profilo penale.
^ Qui sotto il dispositivo:
^ 1) indicare puntualmente nella valutazione d’impatto, l’algoritmo, basato su criteri epidemiologici di rischio e modelli probabilistici, aggiornandolo costantemente, specificando i parametri di configurazione impiegati e le assunzioni effettuate, rendendolo disponibile alla comunità scientifica (§2);
2) informare adeguatamente gli utenti in ordine alla ^ possibilità che l’app generi notifiche di esposizione che non sempre riflettono un’effettiva condizione di rischio, in ragione della possibilità di contatto con persone positive al Covid-19 a causa della propria attività lavorativa, in condizioni tuttavia caratterizzate da un adeguato grado di protezione (§2);
3) consentire agli utenti ^ dell’app di disattivarla temporaneamente attraverso una funzione facilmente accessibile nella schermata principale, informando di tale facoltà attraverso le infografiche visualizzate all’atto dell’istallazione dell’applicazione (§ 2);
4) individuare modalità adeguate a proteggere gli analytics nel backend di Immuni, evitandone ogni forma di riassociazione a soggetti identificabili, adottando altresì idonee misure di sicurezza e tecniche di ^ anonimizzazione, da individuarsi in ragione delle specifiche finalità in concreto perseguite, nel rispetto dei principi di privacy by design e by default (§3);
5) precisare, nel modello di informativa, la descrizione delle operazioni effettuate con riferimento agli analytics di tipo Epidemiological Info e dei dati personali raccolti in relazione alle diverse ^ categorie di interessati (§ 4.1);
6) dedicare particolare attenzione all’informativa e al messaggio di allerta tenendo conto del fatto che è previsto l’uso del Sistema anche da parte di ^ minori ultra quattordicenni (§ 4.1);
7) fornire adeguate informazioni agli utenti in relazione alle caratteristiche della fase di ^ sperimentazione (§ 4.1 e 8);
8)^ integrare la valutazione d’impatto e l’informativa in relazione alle modalità di esercizio del diritto di cancellazione e di opposizione (§ 4.2);
9) integrare, sulla base del principio di responsabilizzazione, la valutazione d’impatto con la ^ descrizione del ruolo e delle operazioni ascrivibili ad altri soggetti lì citati o suscettibili, comunque, di coinvolgimento nel Sistema Immuni, evidenziando la sussistenza di eventuali rischi per gli interessati i cui dati siano trattati dal sistema (§ 6);
10) commisurare^ i tempi di conservazione degli indirizzi ip, per i fini e nei termini richiamati, nella misura strettamente necessaria al rilevamento di anomalie e di attacchi (§ 7.3);
11) introdurre misure volte ad ^ assicurare il tracciamento delle operazioni compiute dagli amministratori di sistema sui sistemi operativi, sulla rete e sulle basi dati (§ 7.3);
12) adottare ^ misure tecniche e organizzative per mitigare i rischi derivanti dall’upload di TEK non riferite a soggetti positivi a seguito di eventuali errori materiali o diagnostici (§ 7.3);
b) ai sensi e per gli effetti dell’art. 157 del Codice,^ richiede al Ministero della salute di comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto previsto nel presente provvedimento, entro il termine di 30 giorni dalla data della ricezione del presente provvedimento.
01.06.2020 Garante Privacy