Source: https://www.valeriodistefano.com/garante-della-privacy-provvedimento-di-autorizzazione-al-trattamento-dei-dati-personali-effettuato-attraverso-il-sistema-di-allerta-covid-19-app-immuni-1-giugno-2020.html
Timestamp: 2020-07-02 15:42:51+00:00
Document Index: 31473275

Matched Legal Cases: ['art. 36', '§ 5', 'art. 2', 'art. 35', 'art. 6', 'art. 6', 'art. 6', 'art. 9', 'art. 2', 'art 4', 'art. 6', 'art. 5', 'art. 6', 'art. 6', '§ 5', '§ 3', 'art. 2', 'art. 6']

Garante della Privacy: Provvedimento di autorizzazione al trattamento dei dati personali effettuato attraverso il Sistema di allerta Covid-19 – App Immuni – 1° giugno 2020 – Il blog di Valerio Di Stefano
Pubblicato da valerioil 2 Giugno 2020 in Privacy
Il Ministero della salute, con la nota del 28 maggio 2020, ha trasmesso al Garante, ai sensi dell’art. 36, § 5, del Regolamento e dell’art. 2-quinquiesdecies del Codice, la valutazione d’impatto sulla protezione dei dati, effettuata ai sensi dell’art. 35 del Regolamento, per essere autorizzato ad avviare il trattamento di dati personali relativo al “Sistema di allerta Covid-19”, istituito dall’art. 6 del decreto legge 30 aprile 2020, n. 28 (sul quale l’Autorità ha espresso il proprio parere con il provvedimento n. 79 del 29 aprile 2020, doc. web n. 9328050), “al solo fine di allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi e tutelarne la salute attraverso le previste misure di prevenzione nell’ambito delle misure di sanità pubblica legate all’emergenza Covid-19” mediante una piattaforma unica nazionale “per la gestione del sistema di allerta dei soggetti che hanno installato, su base volontaria, un’apposita applicazione sui dispositivi di telefonia mobile”. Il Ministero ha successivamente integrato la documentazione inviata, fornendo, in data 30 maggio 2020, il testo dell’informativa che si intende rendere agli interessati, ai sensi degli artt. 13 e 14 del Regolamento, in relazione al trattamento dei dati personali.
L’app Immuni si basa sull’utilizzo della tecnologia Bluetooth Low Energy (BLE) e sul Framework di Exposure Notification realizzato da Apple e Google (di seguito “Framework A/G”), reso disponibile su dispositivi mobili con sistema iOS e Android, che include interfacce di programmazione delle applicazioni (API – Application Programming Interface) e tecnologie a livello di sistema operativo per consentire il tracciamento dei contatti, senza ricorrere alla geolocalizzazione dei dispositivi degli utenti.
Ogni qual volta un utente risultato positivo al Covid-19 decide, liberamente, al fine di “avvisare altri utenti a rischio di contagio”, di effettuare il caricamento delle proprie TEK su sistema di backend, comunicando all’operatore sanitario la data di inizio dei sintomi, l’app trasmette automaticamente anche ulteriori informazioni c.d. Epidemiological Info al backend di Immuni. In tale circostanza, di per impostazione predefinita, vengono quindi raccolti sul Sistema di allerta Covid-19 anche i dati sotto specificati per “consentire l’affinamento dell’algoritmo di calcolo del rischio derivante da un contatto e allertare solo le persone che sono effettivamente a rischio”, nonché per “finalità di tutela della salute pubblica” e “di carattere epidemiologico”:
La normativa di riferimento stabilisce che il Sistema di allerta Covid-19 debba perseguire esclusivamente la finalità, da un lato, di “allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi” e, dall’altro, di “tutelarne la salute attraverso le previste misure di prevenzione nell’ambito delle misure di sanità pubblica legata all’emergenza Covid 19”. È, inoltre, conferito al Ministero, in qualità di titolare del trattamento dei dati personali effettuato attraverso il predetto Sistema, il compito di porre in essere gli ulteriori adempimenti necessari alla gestione del sistema di allerta per l’adozione di correlate misure di sanità pubblica e di cura, in coordinamento con i soggetti previsti dalla legge, anche per il tramite del Sistema TS e nel rispetto delle relative competenze istituzionali in materia sanitaria connessa all’emergenza epidemiologica (art. 6, comma 1, d.l. n. 28/2020).
Le predette finalità possono essere perseguite attraverso il trattamento dei dati personali raccolti dall’app che, “per impostazione predefinita, siano esclusivamente quelli necessari ad avvisare gli utenti dell’applicazione di rientrare tra i contatti stretti di altri utenti accertati positivi al COVID-19, individuati secondo criteri stabiliti dal Ministero della salute e specificati nell’ambito delle misure di cui al presente comma, nonché ad agevolare l’eventuale adozione di misure di assistenza sanitaria in favore degli stessi soggetti” (art. 6, comma 2, lett. b, ivi).
A ciò si aggiunge che il funzionamento dell’app Immuni implica anche il trattamento di “categorie particolari dati, in quanto relativi alla salute degli utenti. Questi ultimi possono essere trattati ai sensi dell’art. 9, par. 1, lett. g, del Regolamento, nel rispetto delle ulteriori garanzie previste dall’art. 2-sexies del Codice, che prevede la specificazione dei “tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.
Lo scopo della tutela è rappresentato dalla definizione di pseudonimizzazione, introdotta dall’art 4 comma 1 del Regolamento come il risultato di un trattamento di dati personali che non ne consente l’attribuzione a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a specifiche misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile.
Per raggiungere le finalità di “allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi” e di “tutelarne la salute attraverso le previste misure di prevenzione nell’ambito delle misure di sanità pubblica legata all’emergenza Covid 19”, il Ministero della salute ha ritenuto necessario prevedere che il Sistema Immuni raccolga attraverso l’app le diverse tipologie di analytics sopra descritte. Ciò, per consentire, in primo luogo, di predisporre le adeguate misure di presa in carico, da parte del Servizio sanitario nazionale, dei soggetti risultati a rischio di contagio – individuando tempestivamente nuovi focolai di infezione e monitorando il grado di adesione all’utilizzo dell’app da parte degli utenti – e, dall’altro, di permettere, attraverso l’analisi di dati epidemiologici, un costante miglioramento della capacità dell’algoritmo di individuare i contatti stretti tra gli utenti, assicurando al contempo il complessivo funzionamento del Sistema di allerta Covid-19 attraverso una migliore calibrazione delle configurazioni dell’app.
Le informazioni devono essere rese disponibili all’interessato prima della raccolta dei dati, anche con una modalità progressiva, fornendo in primo luogo quelle relative alle principali caratteristiche del trattamento. Al riguardo, il legislatore ha previsto che gli utenti ricevano, prima dell’attivazione dell’applicazione, informazioni chiare e trasparenti, al fine di raggiungere una piena consapevolezza, in particolare, sulle finalità e sulle operazioni di trattamento, sulle tecniche di pseudonimizzazione utilizzate per proteggere la sua identità e sui tempi di conservazione dei dati (art. 6, comma 2, lett. a), d.l. n. 28/2020). Particolare attenzione deve essere poi prestata alla volontarietà dell’uso dell’app, alla tipologia dei dati trattati e ai soggetti coinvolti nel trattamento.
Il diritto di cancellazione è invece esercitabile direttamente tramite l’app per tutte le chiavi temporanee (TEK) e gli identificativi di prossimità (RPI) mediante una funzione appositamente messa a disposizione dal Framework A/G volta a interrompere l’utilizzo dell’app in qualsiasi momento. L’interessato dovrebbe essere reso edotto della modalità di esercizio di tale diritto indicata nella valutazione di impatto e delle relative conseguenze.
Il trattamento dei dati personali deve essere conforme ai principi di minimizzazione dei dati e di limitazione della conservazione, in base ai quali – rispettivamente – i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, nonché “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (art. 5, par. 1, lett. c) ed e), del Regolamento).
Al riguardo l’art. 6, comma 6, del d.l. n. 28/2020 prevede che l’utilizzo dell’app e della piattaforma, nonché ogni trattamento di dati personali effettuato tramite di essi devono essere interrotti alla data di cessazione dello stato di emergenza disposto con delibera del Consiglio dei ministri del 31 gennaio 2020, e comunque non oltre il 31 dicembre 2020. Entro tale data tutti i dati personali trattati devono essere cancellati o resi definitivamente anonimi.
È inoltre previsto che “i dati relativi ai contatti stretti siano conservati, anche nei dispositivi mobili degli utenti, per il periodo strettamente necessario al trattamento, la cui durata è stabilita dal Ministero della salute e specificata nell’ambito delle misure di cui al presente comma; i dati sono cancellati in modo automatico alla scadenza del termine” (art. 6, comma 2, lett. e), del d.l. n. 28/2020)
a) ai sensi e per gli effetti degli artt. 36, § 5, e 58, § 3, lett. c), del Regolamento e dell’art. 2-quinquiesdecies del Codice, autorizza il Ministero della salute ad avviare il trattamento relativo al Sistema di allerta Covid-19 di cui all’art. 6 del d.l. 30 aprile 2020, n. 20, nel rispetto delle seguenti prescrizioni:
Ho installato Immuni →