Il decreto-legge del 10 maggio, in vigore da ieri, sembra costruito con più attenzione rispetto ai dubbi che sono emersi leggendo la normativa sul contact tracing di cui al decreto legge 28/2020 (il cui articolo 6 è anche citato nelle premesse di questo decreto legge 30/2020). Credo sia interessante segnalare gli aspetti che emergono ad una prima sommaria lettura, nella prospettiva di un esame critico del testo. Ad esempio:
- il combinato disposto dell’articolo 1, commi 2 e 15, del decreto legge 30/2020 lascia intendere che la piattaforma tecnologica da impiegare per lo svolgimento dell’indagine basata sull’esecuzione di analisi sierologiche per la ricerca di anticorpi specifici nei confronti del virus SARS-COV-2 debba essere ancora istituita presso il Ministero della Salute, tanto è vero che il successivo comma 15 prevede che “per la realizzazione della piattaforma tecnologica di cui al comma 2, è autorizzata, per l’anno 2020, la spesa di 220.000 euro”;
- sorgono di conseguenza dubbi su tempistica e specifiche tecniche, funzionali ed operative rispetto al ruolo fondamentale e centrale di una piattaforma (con la quale dovranno essere collegati tutti i soggetti, del sistema: ad esempio i laboratori individuati dalle Regioni e dalle province autonome che ai sensi del comma 6 analizzeranno e referteranno i campioni raccolti e comunicheranno a Ministero e ISTAST i risultati mediante la piattaforma) che deve consentire lo svolgimento dell’indagine di sieroprevalenza sugli individui rientranti nel campione statistico, determinando i relativi trattamenti (svolti per scopi di studi scientifici e a fini statistici) come esito quello di “studi epidemiologici e statistiche affidabili e complete”;
- sembrerebbe non esserci alcun rapporto o coordinamento tra questa piattaforma (da istituire presso il Ministero della Salute) e quella di contact tracing di cui all’articolo 6, commi 1 e 5, del decreto legge 28/2020 (“piattaforma unica nazionale per la gestione del sistema di allerta dei soggetti”) che pure deve essere istituita – non presso il Ministero della Salute che ne ha la sola titolarità dei trattamenti ivi svolti – e realizzata (con impegno di spesa superiore: fino ad 1,5 milioni di Euro per il 2020) con le infrastrutture hardware e software (pure da sviluppare) di Sogei S.p.A. che la gestirà: guardando complessivamente il quadro che emerge, sorgono dubbi sulle modalità realizzative e sulla tempistica di due piattaforme la cui operatività è nelle intenzioni del Legislatore fondamentale nel sistema di contenimento e prevenzione della epidemia di COVID-19 e che però al momento sembrano esistenti solo sulla carta;
- una volta individuato il campione di cittadini, mi sembra che intervenga un eccessivo numero di soggetti nella catena informativa che porta poi a richiedere al cittadino l’adesione al programma di indagine epidemiologica: ISTAT comunica alla piattaforma del Ministero della Salute i dati anagrafici e il codice fiscale degli individui selezionati nel campione (o di chi esercita la potestà genitoriale o è affidatario o tutore in caso di minori); il Ministero della salute chiede i recapiti telefonici (di cellulare?, si parla genericamente di “utenze telefoniche”) alle compagnie telefoniche; le Regioni e le Province autonome, avvalendosi delle anagrafi degli assistiti, comunicano “con modalità sicure” ai medici di medicina generale e ai pediatri di libera scelta i nominativi dei relativi assistiti rientranti nei campioni, affinché’ li informino dell’indagine in corso. Non solo: è poi la Croce Rossa italiana a chiamare materialmente gli interessati per verificarne la disponibilità…. Tra l’altro, non è chiarissimo che fine facciano le utenze telefoniche se il cittadino non dà alla Croce Rossa la disponibilità a partecipare all’indagine. Il decreto specifica solamente (art. 1, comma 10) che tutti “i dati personali sono conservati da ciascun soggetto coinvolto per il tempo strettamente necessario allo svolgimento delle finalità di cui al presente articolo” quindi l’utenza telefonica del cittadino che nega la disponibilità dovrebbe essere immediatamente cancellata;
- il comma 7 del decreto legge 30/2020 prevede che i dati raccolti nell’ambito dell’indagine di sieroprevalenza (ivi inclusi gli “studi epidemiologici e le statistiche affidabili e complete” possono essere comunicati – “privi di identificativi diretti” e per finalità scientifiche – ai soggetti di cui al comma 1 dell’articolo 5-ter del decreto legislativo 14 marzo 2013, n. 33 rubricato “Accesso per fini scientifici ai dati elementari raccolti per finalitàstatistiche”. Questo comma pare ampliare di molto le possibilità di accesso per i soggetti citati dall’articolo 5-ter del d.lgs. 33/2013 (cioè: ricercatori appartenenti a università, enti di ricerca e istituzioni pubbliche o private o loro strutture di ricerca): essi difatti possono accedere non più solamente a “dati elementari raccolti per finalità statistiche” ma anche direttamente a dati non statistici, come ad esempio dati sanitari (e genetici), sia pure privi di “identificativi diretti” (e se vi sono opzioni di indiretta identificabilità? Ad esempio il decreto legge 30/2020 non parla di tecniche di anonimizzazione e all’articolo 1, comma 8, riconosce – sia pure in un diverso ambito di accesso regionale – che vi possano essere modalità che consentono “il collegamento nel tempo delle informazioni riferite ai medesimi individui”);
- sul cosiddetto “riuso” o “secondary use” dei dati per fini di ricerca scientifica, mi sembra che ci sia davvero mancanza di coordinamento (che potrebbe determinare non poche criticità applicative) tra il comma 7 appena citato e gli articoli 110 (“Ricerca medica, biomedica ed epidemiologica”) e 110-bis (“Trattamento ulteriore da parte di terzi dei dati personali a fini di ricerca scientifica o a fini statistici”) del Codice della privacy: senza entrare troppo nel tecnicismo, in base all’articolo 110-bis il Garante privacy può autorizzare (anche in via generale, per categorie di titolari del trattamento) il riuso a fini di ricerca scientifica o statistica di dati personali anche sanitari e genetici da parte di qualsiasi terzo soggetto purchè “svolga principalmente attività di ricerca scientifica o statistica” e adotti “appropriate misure a tutela dei diritti degli interessati, comprese forme preventive di minimizzazione e di anonimizzazione dei dati”. Leggendo l’articolo 1, comma 7 del decreto legge 30/2020 appare dunque che i dati raccolti nell’ambito dell’indagine di sieroprevalenza non rientrino nel regime generale dell’articolo 110-bis del Codice della privacy, in quanto non possono essere comunicati a qualsiasi terzo soggetto autorizzato dal Garante, ma solo ai soggetti di cui al comma 1 dell’articolo 5-ter del decreto legislativo 14 marzo 2013, n. 33 o agli “ulteriori soggetti individuati con decreto di natura non regolamentare del Ministro della salute, d’intesa con il Presidente dell’ISTAT, sentito il Garante per la protezione dei dati personali, nel rispetto dell’articolo 5-ter del medesimo decreto legislativo n. 33 del 2013 e previa stipula di appositi protocolli di ricerca”;
- sempre sul mancato coordinamento delle norme sul riuso dei dati a scopi scientifici: l’articolo 110 del Codice della privacy prescrive che il trattamento dei dati relativi alla salute a fini di ricerca scientifica in campo medico, biomedico o epidemiologico deve basarsi su una previa Valutazione di Impatto preventiva “condotta e resa pubblica ai sensi degli articoli 35 e 36 del Regolamento 679/2016” mentre il programma di ricerca “deve essere oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell’articolo 36 del Regolamento”: prescrizioni non menzionate dal decreto legge 30/2020 che invece per il riuso ne introduce altre, con il rinvio alle modalità di cui all’articolo 5-ter del decreto legislativo 33/2013, con il rischio che si determini sul piano applicativo conflitto tra enti e confusione procedurale;
- a ciò si aggiunga che lo stesso decreto 30/2020, all’articolo 1, comma 6, prevede che “i campioni raccolti preso i punti di prelievo sono consegnati, a cura della Croce Rossa Italiana, alla banca biologica dell’Istituto Nazionale Malattie Infettive «L. Spallanzani»: il “titolare del trattamento dei campioni” (che non si sa bene cosa voglia dire) e dei dati raccolti nella banca biologica (i campioni si possono conservare per un massimo di cinque anni) resta sempre il Ministero della Salute e l’accesso ai dati da parte di altri soggetti (esclusivamente per esclusive finalità di ricerca scientifica sul SARS-COV-2) è consentito non a qualsiasi terzo o a soggetti che in generale svolgono attività di ricerca scientifica, ma esclusivamente a soggetti che operano nell’ambito di progetti di ricerca congiunti con il medesimo Ministero della Salute;
- resta ovviamente da vedere come i Titolari del trattamento (Ministero della Salute e ISTAT, che ai sensi dell’articolo 1, comma 10, potranno conservare per quaranta anni i dati raccolti per scopi di ricerca scientifica e statistica) redigeranno le istruzioni (obbligatorie) ai Responsabili del trattamento elencati all’art. 1, comma 8 del decreto 30/2020 e cioè: la Croce Rossa Italiana, le Regioni, le Province autonome, i laboratori “individuati dalle Regioni e dalle Province autonome” (che quindi appaiono agire come sub-responsabili del trattamento, più correttamente) per analizzare e refertare i campioni raccolti, i medici di medicina generale e i pediatri di libera scelta e lo Spallanzani (visto che il titolare per la conservazione quinquennale dei campioni nella banca biologica resta il Ministero della Salute).