Il Governo può utilizzare i dati personali (nome, cognome, ubicazione), quindi non solo anonimi, relativi ai cellulari dei singoli cittadini per monitorare, contenere o attenuare la diffusione del COVID-19. Ma per farlo è necessaria una nuova legge approvata dal Parlamento, la geolocalizzazione può avvenire solo fino alla fine della pandemia e alle persone deve essere garantito, ad asempio, il diritto a un ricorso giurisdizionale.
Il via libera ufficiale agli Stati dell’Unione europea all’uso dei dati di localizzazione da dispositivi cellulari arriva dal Comitato europeo per la protezione dei dati (EDPB), che però indica delle condizioni inderogabili, perché “anche in questi momenti eccezionali, titolari e responsabili del trattamento devono garantire la protezione dei dati personali degli interessati”.
Dunque, qualora il Governo italiano decidesse di tracciare gli spostamenti dei cittadini attraverso i loro smartphone e trattando i dati personali (nome, cognome, ubicazione), come misura estrema con l’intento di attenuare la pandemia deve rispettare queste 4 condizioni e norme privacy sottolineate dall’EDPB, l’organo europeo indipendente composto da rappresentanti delle autorità nazionali per la protezione dei dati e dal Garante europeo della protezione dei dati.
“Quando non è possibile elaborare solo dati anonimi, la direttiva e-privacy consente agli Stati membri di introdurre misure legislative per salvaguardare la sicurezza pubblica (articolo 15)”.
Concretamente il Parlamento italiano cosa potrebbe fare?
Ad oggi, a normativa vigente, lo Stato italiano non può tracciare e geolocalizzare – in forma individuale e non aggregata – i cittadini legittimamente senza il consenso degli interessati, così attivando un tracciamento individuale, una sorta di pedinamento virtuale. Per farlo, ha sottolineato il Comitato europeo per la protezione dei dati è necessaria una nuova base giuridica.
Su questa ipotesi, “il Parlamento”, scrive oggi su Key4biz Emilio Tosi, “in sede di conversione del D.L. 9/3/2020, potrà, quindi, introdurre, in relazione a persone contagiate e positive al virus, norme per la geolocalizzazione individuale nel rispetto dei generali principi di proporzionalità, necessità, trasparenza, accountability e sicurezza per un limitato periodo di tempo da stabilire espressamente e prevedendo una clausola di salvaguardia che preveda obbligo di cessazione del controllo stesso con cancellazione obbligata ai termini dell’emergenza, affidando la gestione e la sicurezza dei dati alla competenza esclusiva della Protezione Civile e la vigilanza di conformità al Garante per la Protezione dei Dati personali”.
Ecco la seconda condizione indicata dall’EDPB, che prevede garanzie adeguate per i cittadini eventualmente tracciati:
“Qualora siano introdotte misure che consentono il trattamento dei dati di localizzazione in forma non anonimizzata, lo Stato membro ha l’obbligo di predisporre garanzie adeguate, ad esempio fornendo agli utenti di servizi di comunicazione elettronica il diritto a un ricorso giurisdizionale”.
La terza condizione:
“Tale legislazione eccezionale è possibile solo se costituisce una misura necessaria, adeguata e proporzionata all’interno di una società democratica. Tali misure devono essere conformi alla Carta dei diritti fondamentali e alla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. Inoltre, esse sono soggette al controllo giurisdizionale della Corte di giustizia dell’Unione europea e della Corte europea dei diritti dell’uomo. In presenza di situazioni di emergenza, le misure in questione devono essere rigorosamente limitate alla durata dell’emergenza”.
Inoltre, continua il Comitato europeo per la protezione dei dati:
“Si applica anche il principio di proporzionalità. Si dovrebbero sempre privilegiare le soluzioni meno intrusive, tenuto conto dell’obiettivo specifico da raggiungere. Misure invasive come il “tracciamento” (ossia il trattamento di dati storici di localizzazione in forma non anonimizzata) possono essere considerate proporzionate in circostanze eccezionali e in funzione delle modalità concrete del trattamento. Tuttavia, tali misure dovrebbero essere soggette a un controllo rafforzato e a garanzie più stringenti per assicurare il rispetto dei principi in materia di protezione dei dati (proporzionalità della misura in termini di durata e portata, ridotta conservazione dei dati, rispetto del principio di limitazione della finalità)”.
Se il Governo vuole solo analizzare i big data in forma anonima come la Regione Lombardia?
Qualora il Governo italiano volesse, invece, non adottare una soluzione tecnologica così intrusiva nella privacy dei cittadini, potrebbe utilizzare il modello Lombardia su tutto il territorio nazionale: ossia la Regione Lombardia sta monitorando, in modo anonimo e quindi senza spiare con app, gli spostamenti dei cittadini grazie ai dati forniti dalle compagnie telefoniche di rete mobile. Il monitoraggio dei flussi avviene nel pieno rispetto della normativa vigente a tutela della sicurezza e della privacy individuale, come disposto dal GDPR e dal Codice della Privacy.
Su questa modalità l’EDPB scrive:
“Per quanto riguarda il trattamento dei dati delle telecomunicazioni, come i dati relativi all’ubicazione, devono essere rispettate anche le leggi nazionali di attuazione della direttiva relativa alla vita privata e alle comunicazioni elettroniche (direttiva e-privacy). In linea di principio, i dati relativi all’ubicazione possono essere utilizzati dall’operatore solo se resi anonimi o con il consenso dei singoli”.
Scarica qui la Dichiarazione sul trattamento dei dati personali nel contesto dell’epidemia di COVID-19 dell’EDPB