Articolo pubblicato su altalex.
Con la Memoria in commento, il Prof. Pasquale Stanzione in primo luogo ha ripercorso le tappe che hanno portato all’adozione del “contact tracing” italiano, realizzatosi attraverso la app Immuni ed il sistema di allerta nazionale di cui all’art. 6 del decreto-legge n. 28 del 2020 convertito, con modificazioni, dalla legge n. 70 del 2020. Ha successivamente spiegato le ragioni sottese al parere favorevole reso dal Garante al decreto-legge 7 ottobre 2020, n. 125 che introduce due sostanziali innovazioni.
1. Il contesto e i precedenti interventi del Garante
Il Presidente del Collegio ha esordito nella propria Memoria, richiamando le difficoltà incontrate dall’Autorità nel offrire il giusto bilanciamento tra due diritti fondamentali: quello alla salute, inteso anche come “interesse della collettività” alla sanità pubblica e quello alla protezione dei dati personali, qualificato come diritto “di libertà”, autonomo dal tradizionale diritto al rispetto della vita privata, dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea.
Nel ripercorrere le posizioni assunte anche in passato dal Collegio, ha sottolineato l’esigenza che il sistema di contact tracing fosse normato per legge, sia per l’impatto che inevitabilmente avrebbe avuto sulla privacy degli individui che per il pericolo dell’affermarsi di iniziative solitarie degli enti territoriali che allora si annunciavano come potenzialmente disfunzionali. Il sistema, a titolarità pubblica, avrebbe dovuto basarsi, come poi si è basato, su di un’adesione realmente volontaria (escludendo dunque ogni tipo di pregiudizio nei confronti di quanti non intendessero prestarla), su dati non di geolocalizzazione ma di mera prossimità dei dispositivi (assai meno significativi e “invasivi” dei primi), quantomeno pseudonimizzati, su di un meccanismo delocalizzato di archiviazione delle informazioni, nonché su solide garanzie di sicurezza informatica. Il tutto inquadrato in una cornice temporale ben precisa a beneficio della trasparenza del trattamento e con la espressa finalità di contenimento dei contagi, escludendo fini ulteriori, ferme restando le possibilità di utilizzo per la ricerca scientifica e statistica, purché nei soli termini generali previsti dal Regolamento Ue 2016/679, valorizzando dunque anche in questo senso la destinazione solidaristica dei dati.
Con il parere (Provvedimento 29 aprile 2020, n. 79) sullo schema di disposizione che sarebbe stata inserita nel decreto-legge n. 28/20 per la disciplina del sistema di contact tracing digitale, si è preso favorevolmente atto della scelta del Governo in favore di un sistema di notifica da esposizione a contatti significativi con soggetti positivi, fondato sulla libera adesione di quanti scarichino sul proprio dispositivo la app immuni e su di una piattaforma di allerta nazionale istituita presso il Ministero della salute, con forte grado di pseudonimizzazione dei dati, nonché divieto di comunicazione dei dati a terzi.
Ha insistito molto, in particolare, sulla volontarietà dell’iniziativa, particolarmente evidente nel caso di positività del tampone, laddove l’avvio del sistema di tracciamento dei contatti è comunque subordinato a una scelta volontaria del soggetto, che potrà fornire all’operatore sanitario la propria OTP per consentire al sistema di inviare gli alert ai potenziali contagiati. Tale profilo non è stato modificato dal dPCM del 18 ottobre, che si limita ad intervenire su di un vulnus del sistema, da più parti evidenziato. Ora, infatti, le ASL non potranno farsi trovare impreparate dinanzi alle richieste degli utenti positivi al tampone che vorranno comunicare il proprio codice OTP per consentire al sistema di avvisare gli utenti con cui sono stati a contatto nei 14 giorni precedenti.
2. La novella apportata del decreto-legge
In tale contesto si inserisce la novella di cui all’articolo 2 del decreto-legge in conversione, che reca due essenziali innovazioni la previsione dell’interoperabilità– previa valutazione d’impatto privacy- del sistema di allerta nazionale con le piattaforme che operano, con le stesse finalità, nel territorio dell’Unione europea (comma 1, lettera a), nonché il differimento del termine finale per l’utilizzo dell’applicazione e della piattaforma- prima commisurato al termine di efficacia della dichiarazione dello stato di emergenza nazionale, comunque non oltre il 31 dicembre 2020 – sino alla cessazione delle esigenze di protezione e prevenzione della sanità pubblica, individuate con dPCM e, comunque, entro il 31 dicembre 2021.
L’interoperabilità tra le piattaforme di tracciamento nel territorio dell’Unione europea è stata, da ultimo, oggetto della decisione di esecuzione (UE) 2020/1023 della Commissione, del 15 luglio scorso. Tale decisione costituisce la base giuridica che legittima, in ambito europeo, l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta (cosiddetto gateway federativo), con riferimento agli Stati membri i quali abbiano aderito a questa forma di collaborazione specifica.
L’interoperabilità dei sistemi di allerta rappresenta dunque, in questo senso, una misura funzionale tanto al rafforzamento delle attività di contenimento dei contagi – in quanto consente di ricostruire la filiera dei contatti anche in caso di mobilità intraeuropea del soggetto – quanto alla libertà di circolazione dei cittadini nel territorio dell’Unione. Tale diritto (e principio, ad un tempo, fondativo dell’ordinamento europeo) rischia, del resto, di essere oltremodo pregiudicato dal contesto pandemico e, in questo modo, può essere in certa misura salvaguardato.
L’impatto che l’interoperabilità dei sistemi di tracciamento inevitabilmente determina sulla protezione dei dati personali è, del resto, adeguatamente bilanciato non soltanto dalla tendenziale analogia delle garanzie adottate dai Paesi membri sul punto – in particolare a seguito della citata decisione di esecuzione- ma anche dalle prescrizioni che il Garante, in sede di esame della valutazione d’impatto, potrà rendere per rafforzare le tutele almeno sotto il profilo interno.
Per quanto concerne la seconda innovazione dell’articolo 2 del decreto-legge in conversione, la previsione del dies ad quem di operatività della piattaforma sino alla cessazione delle esigenze di protezione e prevenzione della sanità pubblica, si conforma alla necessità, rappresentata dal Garante, di ancorare il termine di efficacia, sia pur per relationem, alla perdurante condizione pandemica.
In questo senso, la modifica apportata dal decreto-legge si plasma su tale modello, in quanto assume, tra i parametri cui ancorare l’operatività del sistema, quello sostanziale relativo alla persistenza delle esigenze di prevenzione sanitaria e quello, di ordine formale-normativo, dell’individuazione della sussistenza delle esigenze stesse con dPCM. La garanzia di ultima istanza è, poi, affidata alla previsione, con clausola di salvaguardia, del termine finale di operatività del sistema al 31 dicembre 2021.
Il differimento del termine di efficacia del sistema si fonda, pertanto, su di un doppio ordine di criteri. In primo luogo, rilevano esigenze di sanità pubblica connesse alla necessità di ricostruire, anche digitalmente, la filiera dei contatti, rispetto alla quale il Governo assume la responsabilità di dichiararne la sussistenza con dPCM. In secondo luogo, la garanzia rispetto al rischio di “normalizzazione dell’emergenza” è affidata alla previsione del termine ultimo del 31 dicembre 2021 entro il quale, appunto, prescindendo da ragioni di ordine sostanziale, l’attività del sistema di tracciamento deve cessare.
Queste, in estrema sintesi, le ragioni che il Presidente dell’Autorità indica nella memoria in commento a fondamento del parere favorevole reso dal Garante sullo schema di norma allora proposta e poi, confluita nel testo del decreto-legge. Non si può che concordare nel ritenere che, anche per effetto del recepimento delle indicazioni rese dall’Autorità, entrambe le modifiche apportate alla disciplina del contact tracing sottendono un bilanciamento ragionevole tra esigenze di sanità pubblica e protezione dei dati personali, conforme a quella convergenza tra istanze personaliste e vocazione solidarista su cui si fonda il nostro ordinamento.
Garante privacy. Memoria del 19 ottobre 2020 https://images.go.wolterskluwer.com/Web/WoltersKluwer/%7Bc55f2496-e5c4-4cb7-b046-9870f0fcd526%7D_garante-privacy-memoria-19-ottobre-2020-covid-19.pdf
Garante privacy. Provvedimento n. 79/2020 https://images.go.wolterskluwer.com/Web/WoltersKluwer/%7B71ef7bf8-bbb9-4883-8136-dde388f92ea0%7D_garante-privacy-parere-79-2020.pdf