22/04/2020 - La Commissione Ue detta le condizioni per l'app destinata a tracciare i contagi da Covid-19

di Amedeo Di Filippo - Dirigente comunale

 

E' notizia di questi giorni che il Commissario straordinario per l'emergenza Coronavirus, nominato dal Governo ai sensi dell'art. 122, D.L. n. 18/2020, ha firmato l'ordinanza con cui ha individuato la società italiana Bending Spoons per la fornitura dell'app "Immuni", che dovrà favorire il tracciamento dei contagi nella fase 2. Si tratta di una applicazione mobile da installare sullo smartphone destinata ad aiutare le autorità sanitarie a monitorare l'andamento della pandemia.

L'esperienza italiana si affianca a quella messa in opera da tutti gli Stati europei, che si stanno muovendo per mettere a punto una serie di strumenti utili a gestire la fase di convivenza col Covid-19. Al fine di garantire un approccio coerente in tutta l'Unione e fornire indicazioni agli Stati membri e agli sviluppatori di app, la Commissione europea ha in un primo momento adottato la Racc. 8 aprile 2020, n. 2020/518/UE, relativa a un pacchetto di strumenti comuni per l'uso della tecnologia e dei dati, che ha lo scopo di sviluppare un approccio europeo comune per l'uso delle applicazioni mobili per consentire ai cittadini di adottare efficaci misure di distanziamento sociale e per scopi di allerta, prevenzione e tracciamento dei contatti al fine di contribuire a limitare la propagazione del virus.

Adesso compie un passo ulteriore con la Comunicazione n. 2020/C124I/01, che stabilisce le caratteristiche e i requisiti cui le app devono rispondere per garantire il rispetto della legislazione unitaria in materia di protezione dei dati personali e della vita privata, con particolare riferimento al regolamento generale sulla protezione dei dati n. 2016/679/UE (GDPR) e alla direttiva e-privacy n. 2002/58/CE.

Gli orientamenti non sono giuridicamente vincolanti e non pregiudicano il ruolo della Corte di giustizia dell'UE, l'unica istituzione che può dare l'interpretazione autentica del diritto eurounitario. Trattano solo le app facoltative a sostegno della lotta al Covid-19 che abbiano una o più delle seguenti funzionalità: dare informazioni precise sulla pandemia, offrire questionari di autovalutazione e di orientamento, allertare le persone che si sono trovate per un certo tempo in prossimità di una persona infetta, offrire un canale di comunicazione tra pazienti e medici nelle situazioni di auto-isolamento o per effettuare ulteriori diagnosi e dare consulenza sui trattamenti.

È evidente che tali applicazioni devono garantire l'interoperabilità tra le soluzioni informatiche dei vari Stati membri, onde consentire la collaborazione transfrontaliera e assicurare il rilevamento dei contatti tra gli utenti di app diverse laddove una persona infetta entra in contatto con un utente di un'app di un altro Stato. Da qui l'esigenza, più che l'opportunità, di un documento utile a garantire un approccio organico e coerente per tutta la popolazione europea.

L'elemento su cui insiste la Commissione negli orientamenti appena pubblicati è l'utilizzo fiduciario e responsabilizzato delle app, in quanto vanno ad incidere su un'ampia gamma di diritti fondamentali: dignità umana, rispetto della vita privata e familiare, protezione dei dati di carattere personale, libertà di circolazione, non discriminazione, libertà d'impresa, libertà di riunione e di associazione. L'obiettivo è quello di limitarne l'intrusività per garantire il rispetto della legislazione Ue in materia di protezione dei dati personali.

La prima indicazione è che le autorità sanitarie nazionali siano individuate come titolari del trattamento, al fine di allocare con esattezza la fonte della responsabilità e consolidare la fiducia dell'opinione pubblica e quindi l'accettazione delle app.

La seconda riguarda la possibilità per le persone di mantenere il controllo dei propri dati personali, obiettivo che si raggiunge tramite l'installazione su base volontaria e senza conseguenze negative per la persona che decide di non scaricare/utilizzare l'app, facendo in modo che le diverse funzionalità non siano raggruppate in modo tale da consentire alla persona di dare separatamente il proprio consenso a ciascuna di esse, conservando i dati di prossimità sul dispositivo, fornendo tutte le informazioni necessarie relative al trattamento dei dati personali, garantendo a ognuno la possibilità di esercitare i diritti previsti dal GDPR, disattivando le app quando la pandemia sarà dichiarata sotto controllo.

Una ulteriore indicazione invita alla minimizzazione dei dati, prevedendo il trattamento solo di quelli che sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità: se si tratta di sole informazioni, l'app non ha bisogno di trattare dati relativi alla salute delle persone; se invece vi è anche il controllo dei sintomi e la telemedicina, i dati che possono essere trattati dovrebbe essere specificati nella normativa di riferimento applicabile alle autorità sanitarie; se ci sono anche le funzionalità relative al tracciamento dei contatti e all'allerta, quelle peraltro utili a individuare e tracciare le persone che sono state in prossimità di un infetto, la Commissione raccomanda comunicazioni basate sul Bluetooth a bassa energia (BLE).

"I dati relativi all'ubicazione – si legge nel documento – non sono necessari ai fini delle funzionalità di tracciamento dei contatti, in quanto il loro obiettivo non è quello di seguire i movimenti delle persone o di far rispettare le prescrizioni. Inoltre il trattamento dei dati relativi all'ubicazione nel contesto del tracciamento dei contatti sarebbe difficile da giustificare alla luce del principio della minimizzazione dei dati e potrebbe creare problemi di sicurezza e di tutela della vita privata".

La Commissione non ritiene necessario conservare l'ora del contatto o il luogo esatti, ma potrebbe essere utile conservare il giorno, per sapere se si è verificato quando la persona ha sviluppato sintomi e per inviare il messaggio di follow-up raccomandando, ad esempio, la durata del periodo di quarantena.

Altra indicazione tende limitare la divulgazione e l'accesso ai dati, specialmente nel caso riguardino persone infette. Esistono due opzioni: 1) conservare gli identificativi sul dispositivo dell'utente (trattamento decentralizzato); 2) conservarli nel server al quale le autorità sanitarie hanno accesso (soluzione del server back-end). Secondo la Commissione, la prima soluzione è più conforme al principio della minimizzazione, per cui le autorità sanitarie dovrebbero avere accesso soltanto ai dati di prossimità del dispositivo della persona infetta, in modo che possano contattare le persone a rischio di infezione. Tali dati saranno a disposizione delle autorità sanitarie soltanto dopo che la persona infetta (una volta sottoposta a test) li condivide in maniera proattiva con loro. La persona infetta non dovrebbe essere informata dell'identità delle persone con le quali ha avuto un contatto potenzialmente rilevante dal punto di vista epidemiologico e che saranno allertate.

L'identità delle persone che sono state in contatto con la persona infetta non dovrebbero essere comunicate alle persone con le quali sono state in contatto epidemiologico. È sufficiente far loro sapere che sono state in contatto con una persona infetta nel corso degli ultimi 16 giorni.

La Commissione poi consiglia di definire limiti rigorosi per la conservazione dei dati. Quelli collegati alla funzionalità "informazioni" dovrebbero essere immediatamente cancellati; quelli correlati alla funzionalità "controllo dei sintomi" e "telemedicina" dovrebbe essere cancellati dopo un periodo massimo di un mese (periodo di incubazione più margine) o dopo che la persona è stata sottoposta al tampone con esito negativo; quelli legati alla funzionalità "tracciamento dei contatti" e "allerta" dovrebbero essere cancellati non appena cessano di esser necessari per allertare le persone.

Al fine di garantire la sicurezza dei dati, la Commissione raccomanda di conservarli sul dispositivo terminale della persona in forma criptata. Nel caso in cui i dati siano conservati in un server centrale, l'accesso dovrebbe essere registrato. I dati di prossimità dovrebbero essere generati e conservati sul dispositivo terminale della persona soltanto in forma criptata e pseudonimizzata, attivando il Bluetooth senza ricorrere ad altri servizi di localizzazione.

L'ultima raccomandazione è dedicata a garantire l'esattezza dei dati, soprattutto in caso di contatto con persone infette, al precipuo fine di minimizzare il rischio di avere falsi positivi. La Commissione consiglia di coprire i casi in cui il contatto tra due utenti dell'app avviene per strada, nei trasporti pubblici o all'interno di un edificio, affidandosi a tecnologie che permettano una valutazione più precisa del contatto, come per esempio il Bluetooth.