Il Commissario straordinario per l’emergenza Coronavirus qualche giorno fa ha firmato l’ordinanza con cui ha individuato la società italiana Bending Spoons per la fornitura dell’app “Immuni”, che dovrà favorire il tracciamento dei contagi nella fase 2. Si tratta di una applicazione mobile da installare sullo smartphone destinata ad aiutare le autorità sanitarie a monitorare l’andamento della pandemia. L’Italia insieme a tanti Stati europei si sta muovendo per mettere a punto una serie di strumenti utili a gestire la fase di convivenza col Covid-19.
Approccio europeo comune per uso App
Al fine di garantire un approccio coerente in tutta l’Unione e fornire indicazioni agli Stati membri e agli sviluppatori di app, la Commissione europea ha in un primo momento adottato la Racc. 8 aprile 2020, n. 2020/518/UE, che contiene un pacchetto di strumenti comuni per l’uso della tecnologia e dei dati, che ha lo scopo di sviluppare un approccio europeo comune per l’uso delle applicazioni mobili per consentire ai cittadini di adottare efficaci misure di distanziamento sociale e per scopi di allerta, prevenzione e tracciamento dei contatti al fine di contribuire a limitare la propagazione del virus.
Comunicazione Commissione europea: Orientamenti sulle app a sostegno della lotta alla pandemia di covid-19 relativamente alla protezione dei dati
Adesso compie un passo ulteriore con la Comunicazione n. 2020/C124I/01, che stabilisce le caratteristiche e i requisiti cui le app devono rispondere per garantire il rispetto della legislazione unitaria in materia di protezione dei dati personali e della vita privata, con particolare riferimento al regolamento generale sulla protezione dei dati n. 2016/679/UE (GDPR) e alla direttiva e-privacy n. 2002/58/CE.
Gli orientamenti non sono giuridicamente vincolanti. Hanno ad oggetto le app facoltative a sostegno della lotta al Covid-19 che abbiano una o più delle seguenti funzionalità:
- dare informazioni precise sulla pandemia;
- offrire questionari di autovalutazione e di orientamento;
- allertare le persone che si sono trovate per un certo tempo in prossimità di una persona infetta;
- offrire un canale di comunicazione tra pazienti e medici nelle situazioni di auto-isolamento o per effettuare ulteriori diagnosi e dare consulenza sui trattamenti.
Le applicazioni devono garantire l’interoperabilità tra le soluzioni informatiche dei vari Stati membri, onde consentire la collaborazione transfrontaliera e assicurare il rilevamento dei contatti tra gli utenti di app diverse laddove una persona infetta entra in contatto con un utente di un’app di un altro Stato.
Il trattamento dei dati
L’elemento su cui insiste la Commissione è l’utilizzo fiduciario e responsabilizzato delle app, in quanto vanno ad incidere su un’ampia gamma di diritti fondamentali. L’obiettivo è quello di limitarne l’intrusività per garantire il rispetto della legislazione Ue in materia di protezione dei dati personali.
Le indicazioni della Commissione
- Le autorità sanitarie nazionali siano individuate come titolari del trattamento, al fine di allocare con esattezza la fonte della responsabilità e consolidare la fiducia dell’opinione pubblica e quindi l’accettazione delle app;
- Possibilità per le persone di mantenere il controllo dei propri dati personali, obiettivo che si raggiunge tramite l’installazione su base volontaria e senza conseguenze negative per la persona che decide di non scaricare/utilizzare l’app, facendo in modo che le diverse funzionalità non siano raggruppate in modo tale da consentire alla persona di dare separatamente il proprio consenso a ciascuna di esse, conservando i dati di prossimità sul dispositivo, fornendo tutte le informazioni necessarie relative al trattamento dei dati personali, garantendo a ognuno la possibilità di esercitare i diritti previsti dal GDPR, disattivando le app quando la pandemia sarà dichiarata sotto controllo;
- Minimizzazione dei dati, prevedendo il trattamento solo di quelli che sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. se si tratta di sole informazioni, l’app non ha bisogno di trattare dati relativi alla salute delle persone; se invece vi è anche il controllo dei sintomi e la telemedicina, i dati che possono essere trattati dovrebbe essere specificati nella normativa di riferimento applicabile alle autorità sanitarie; se ci sono anche le funzionalità relative al tracciamento dei contatti e all’allerta, quelle peraltro utili a individuare e tracciare le persone che sono state in prossimità di un infetto, la Commissione raccomanda comunicazioni basate sul Bluetooth a bassa energia (BLE).
“I dati relativi all’ubicazione – si legge nel documento – non sono necessari ai fini delle funzionalità di tracciamento dei contatti, in quanto il loro obiettivo non è quello di seguire i movimenti delle persone o di far rispettare le prescrizioni. Inoltre il trattamento dei dati relativi all’ubicazione nel contesto del tracciamento dei contatti sarebbe difficile da giustificare alla luce del principio della minimizzazione dei dati e potrebbe creare problemi di sicurezza e di tutela della vita privata”. La Commissione non ritiene necessario conservare l’ora del contatto o il luogo esatti, ma potrebbe essere utile conservare il giorno.
La sicurezza
Altra indicazione tende limitare la divulgazione e l’accesso ai dati, specialmente nel caso riguardino persone infette.
Le opzioni
1) conservare gli identificativi sul dispositivo dell’utente (trattamento decentralizzato);
2) conservarli nel server al quale le autorità sanitarie hanno accesso (soluzione del server back-end).
Secondo la Commissione le autorità sanitarie dovrebbero avere accesso soltanto ai dati di prossimità del dispositivo della persona infetta, in modo che possano contattare le persone a rischio di infezione. Tali dati saranno a disposizione delle autorità sanitarie soltanto dopo che la persona infetta (una volta sottoposta a test) li condivide in maniera proattiva con loro. La persona infetta non dovrebbe essere informata dell’identità delle persone con le quali ha avuto un contatto potenzialmente rilevante dal punto di vista epidemiologico e che saranno allertate.
L’identità delle persone che sono state in contatto con la persona infetta non dovrebbero essere comunicate alle persone con le quali sono state in contatto epidemiologico. È sufficiente far loro sapere che sono state in contatto con una persona infetta nel corso degli ultimi 16 giorni.
La conservazione dei dati
I dati collegati alla funzionalità “informazioni” dovrebbero essere immediatamente cancellati; quelli correlati alla funzionalità “controllo dei sintomi” e “telemedicina” dovrebbe essere cancellati dopo un periodo massimo di un mese (periodo di incubazione più margine) o dopo che la persona è stata sottoposta al tampone con esito negativo; quelli legati alla funzionalità “tracciamento dei contatti” e “allerta” dovrebbero essere cancellati non appena cessano di esser necessari per allertare le persone.
Al fine di garantire la sicurezza dei dati, la Commissione raccomanda di conservarli sul dispositivo terminale della persona in forma criptata. Nel caso in cui i dati siano conservati in un server centrale, l’accesso dovrebbe essere registrato. I dati di prossimità dovrebbero essere generati e conservati sul dispositivo terminale della persona soltanto in forma criptata e pseudonimizzata, attivando il Bluetooth senza ricorrere ad altri servizi di localizzazione.
Esattezza dei dati
L’ultima raccomandazione è dedicata a garantire l’esattezza dei dati, soprattutto in caso di contatto con persone infette, al precipuo fine di minimizzare il rischio di avere falsi positivi. La Commissione consiglia di coprire i casi in cui il contatto tra due utenti dell’app avviene per strada, nei trasporti pubblici o all’interno di un edificio, affidandosi a tecnologie che permettano una valutazione più precisa del contatto, come per esempio il Bluetooth.
