La scelta di procedere al contact tracing attraverso l’app Immuni ha fatto molto discutere nelle settimane passate, con toni forse più adatti al confronto fra tifoserie che al dibattito giuridico.
Molte le critiche sulla conformità della app alla normativa vigente, fra le quali, la più forte, che costituisse una minaccia per la privacy e per la protezione dei dati personali.
Oggi forse i tempi sono maturi per un confronto meno emotivo che consenta di fare il punto. Soprattutto, oggi sappiamo come funziona Immuni e il quadro normativo di riferimento è completo: dal d.l. 30 aprile 2020, n. 28, ai pareri del Garante 29 aprile 2020 n. 79 e 1° giugno 2020 n. 95.
Può essere dunque utile cercare di ridisegnare lo scenario complessivo.
I diritti astrattamente minacciati sono il diritto alla protezione della vita privata e il diritto alla protezione dei dati personali. Il primo è tutelato dall’art. 7 della Carta europea dei diritti fondamentali e consiste nel diritto di ogni individuo al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni. Il secondo è tutelato dall’art. 8 della Carta e consiste nel diritto di ogni individuo alla protezione dei dati di carattere personale che lo riguardano.
Il diritto che ha conosciuto la sua massima popolarità nelle scorse settimane non è stato il diritto alla privacy in senso stretto, nella storica accezione di diritto alla riservatezza, bensì il diritto alla protezione dei dati personali.
Veniamo al funzionamento di Immuni, descritto nel parere del Garante.
Immuni si basa su dati resi anonimi. Dunque, i rischi della lesione del primo diritto, il diritto alla protezione della vita privata, e della lesione del secondo, il diritto alla protezione dei dati personali, sembrano estremamente ridotti. Più precisamente, il decreto e il parere del Garante prevedono la reciprocità di anonimato tra gli utenti dell’app, i quali devono peraltro non essere identificabili dal titolare del trattamento.
Se i dati fossero assolutamente anonimi, a ben vedere, non si porrebbe neppure un problema di protezione dei dati personali, dal momento che soltanto questi ultimi sono soggetti alla nota normativa europea. Tuttavia, come si legge nel parere del Garante, “tali informazioni non possono essere considerate dati anonimi (queste sono, infatti, acquisite dal Sistema di allerta Covid-19 in forma individuale dai singoli dispositivi) e consentono, in diversi contesti, concrete possibilità di re-identificazione degli interessati, soprattutto se associate ad altre informazioni ovvero in caso di morbilità non elevata o di ambiti territoriali con bassa densità di popolazione”.
Come ancora più chiaramente si legge nella “Nota sugli aspetti tecnologici”, pubblicata il 3 giugno sul sito del Garante, c’è un rischio di attacchi di re-identificazione e un rischio di re-identificazione “inferenziale”. Cioè se i soggetti contagiati fossero in un numero ridotto in una zona circoscritta, il rischio di re-identificazione non sarebbe nullo.
Dunque i dati sono sostanzialmente anonimi per gli utenti dell’app, ma in particolari condizioni essi potrebbero essere re-identificati. D’altronde, oggi l’anonimato assoluto non esiste, come non può esistere il rischio zero o la sicurezza assoluta, e bisognerebbe applicare un criterio di ragionevolezza anche con riguardo all’anonimato. Ma questo è un altro discorso che meriterebbe un autonomo approfondimento.
I dati personali raccolti dall’applicazione sono, a quanto si legge nel parere del Garante, esclusivamente quelli necessari ad avvisare gli utenti dell’applicazione di rientrare tra i contatti stretti di altri utenti accertati positivi al Covid-19. La finalità è, da un lato, quella di “allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi” e, dall’altro, di “tutelarne la salute attraverso le previste misure di prevenzione nell’’ambito delle misure di sanità pubblica legata all’emergenza Covid 19”.
Dunque, un trattamento di dati personali assai limitato e circoscritto per una finalità determinata, quella del contenimento dei contagi.
Ciò è compatibile con il diritto alla protezione dei dati personali? Guardiamo anche oltre la normativa italiana. D’altronde, come si sa, il diritto alla protezione dei dati personali è un diritto di fonte europea.
Il diritto alla protezione dei dati personali è un diritto fondamentale ma non è un diritto assoluto.
Esso per sua natura è soggetto a bilanciamento con altri diritti, con i quali costantemente dialoga. Il bilanciamento deve essere operato con strumenti normativi adeguati e nel rispetto dei principi di proporzionalità e di adeguatezza. Così come per altri diritti. Nella fase dell’emergenza sanitaria, il diritto alla salute ha prevalso su altri diritti: la libertà personale è stata compressa e limitata.
Il bilanciamento è insito nella natura stessa del diritto alla protezione dei dati personali, che avendo ad oggetto le informazioni finisce con l’essere onnipervasivo e dunque necessariamente soggetto ad un confronto con diritti e interessi contrapposti, nonché nella struttura del Regolamento europeo. Infatti, tutto il Regolamento è intrinsecamente caratterizzato dall’esigenza di bilanciamento, che si legge già nel titolo, ove si bilancia il diritto alla protezione dei dati personali con la libera circolazione dei dati e nell’art. 6, ove fra le basi giuridiche trova spazio il legittimo interesse.
Nell’art. 6 e nell’art. 9 del Regolamento europeo si individuano alcune basi giuridiche del trattamento che lo rendono lecito. Fra queste nell’art. 6, primo comma, lett. d), il caso in cui il trattamento sia necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica e nell’art. 9, secondo comma, lett. i), il caso in cui il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica.
Dunque, al pari del consenso, altri presupposti di legittimità avrebbero potuto, nei limiti indicati dalle norme, costituire la base per il trattamento dei dati, come è accaduto altrove. Ma si è scelto il consenso e la volontarietà, a discapito della stessa efficienza del contenimento del contagio.
Ovviamente restano tanti profili di riflessione ancora aperti, ma non riguardano la protezione dei dati personali.
