Il Comitato Europeo per la Protezione dei Dati, in accordo con la Commissione Europea, ha reso note le proprie indicazioni circa le caratteristiche che dovranno avere le app mobili che utilizzano sistemi di contact tracing che verranno utilizzati come strumento per la salvaguardia della salute pubblica nella lotta al corona virus.
Nelle Linee Guida pubblicate dall’EDPB viene ribadito come l’utilizzo delle app per il tracciamento delle persone finalizzato al contenimento dei contagi da Coronavirus, dovrà avere carattere volontario, e non obbligatorio.
Allo stesso modo, viene inoltre ribadita l’importanza inderogabile delle norme UE sulla protezione dei dati personali che non possono in alcun modo essere aggirate, e per evitare ciò, l’EDPB concorda con l’iniziativa promossa dalla Commissione di sviluppare un approccio pan-europeo nella lotta al Covid-19, utilizzando anche applicazioni nazionali di contact tracing che però dovranno rispettare requisiti condivisi a livello europeo.
Non viene quindi previsto l’utilizzo di una singola app per l’intera UE ma viene lasciata libertà ai singoli stati di scegliere la propria app di contact tracing da utilizzare, nel rispetto però dei principi e delle caratteristiche comuni che le varie app scelte dovranno rispettare.
Infatti, ogni app che sarà sviluppata e utilizzata da uno stato membro, dovrà essere preliminarmente sottoposta ad una verifica di conformità con i principi e le disposizioni del G.D.P.R. e inoltre, il codice sorgente dovrà necessariamente essere reso disponibile.
Le caratteristiche che tali app dovranno rispettare sono principalmente le seguenti:
Non obbligatorietà:
Viene approvato sia dalla Commissione sia dal Comitato, il principio del non obbligo di legge all’adozione delle app di tracciamento.
Tale principio di volontarietà avrà valenza tanto per i singoli Stati, che non sono obbligati all’utilizzo di tali sistemi, sia nei confronti dei singoli cittadini Europei, cui non verrà imposto alcun obbligo di download di tali app, ma il cui utilizzo sarà appunto basato sulla volontarietà.
Finalità specifica:
Occorre prestare attenzione a non eccedere lo scopo per cui queste applicazioni verranno utilizzate, raccogliendo e/o elaborando più dati di quelli necessari al fine, che è unicamente quello di scoprire eventi (contatti con persone positive) che possono comportare un’espansione del contagio.
Peraltro, gli eventi di contatto che si mira a scoprire con tali applicazioni, risultano essere una mera probabilità, che per molti utenti potrebbe non verificarsi mai, specialmente nella futura fase di normalizzazione.
Pertanto, queste app non dovranno essere usate per nessun fine diverso, come ad esempio:
- per localizzare la posizione di singoli individui anche se contagiati;
- per imporre divieti;
- come strumento accessorio al far rispettare o sanzionare le prescrizioni o i divieti.
Si ribadisce quindi l’importanza della finalità della raccolta dei dati e del principio di minimizzazione degli stessi in relazione alla finalità per cui sono stati raccolti.
A tal riguardo si riporta quanto precisato dall’EDPB:
“Le app di tracciamento dei contatti (contact tracing) non richiedono il tracciamento della posizione (location tracking) di singoli utenti. Il loro obiettivo non è seguire i movimenti degli individui e nemmeno quello di far rispettare le prescrizioni. La funzione principale di queste app è scoprire eventi (contatti con persone positive), che sono soltanto probabili e per la maggior parte degli utenti persino non accadranno mai, specialmente nella fase di ritorno alla normalità. Raccogliere i movimenti di un individuo nel contesto delle app di tracciamento dei contatti violerebbe il principio della minimizzazione dei dati. Inoltre, farlo creerebbe gravi rischi per la sicurezza e la privacy”.
Non localizzazione:
Vista la specifica finalità che dovranno avere queste app, l’Edpb stabilisce che le app di contact tracing non dovranno prevedere il tracciamento della localizzazione dei singoli utenti.
Raccogliere i dati sui movimenti degli individui nel contesto delle app di contact tracing violerebbe il principio della data minimisation, secondo cui i dati raccolti vanno conservati e usati solo per il tempo strettamente necessario e gli scopi precedentemente definiti.
Autorità sanitarie:
Le Autorità sanitarie e gli scienziati vengono indiati come i più idonei a definire che cosa rappresenti un “evento” da condividere con le autorità e anche a suggerire i parametri e requisiti funzionali per le app di contact tracing.
Archiviazione e conservazione:
Per quanto concerne l’archiviazione degli eventi di possibile contatto tracciati tramite queste aap, l’EDPB ritiene che siano percorribili due strade:
- L’archiviazione locale dei dati all’interno dei dispositivi degli utenti;
- Conservazione centralizzata dei dati;
Secondo quanto affermato nelle guida del Comitato, entrambe le alternative possono essere adottate a patto che garantiscano misure di sicurezza adeguate.
Tuttavia, il Comitato ritiene che una soluzione di conservazione dei dati decentralizzata, sia più in sintonia con i principi generali del GDPR e in particolare con il principio di minimizzazione.
Per quanto riguarda il Titolare del Trattamento, viene evidenziato come a seconda delle finalità dell’app, possano essere individuati più soggetti titolari, e vien altresì prevista a possibilità di nominare più Responsabili.
Anonimizzazione delle identità:
Un importantissimo aspetto che potrebbe destare dubbi e perplessità riguarda la possibilità che queste app possano assumere il ruolo di “social network” pubblici, nei quali vengano individuate e riconosciute le persone contagiate, comportando ciò una possibile stigmatizzazione delle stesse.
Lo scopo ultimo di queste applicazioni è unicamente quello di consentire alle autorità sanitarie pubbliche di contattare coloro che sono entrati in contatto con persone contagiate per poter prendere gli adeguati provvedimenti. In nessun modo quindi bisogna che l’informazione personale della persona “possibilmente” contagiata diventi di dominio pubblico, dovendo restare nell’esclusiva conoscenza dell’Autorità Sanitaria.
Per garantire ciò, occorre inevitabilmente prevedere dei sistemi di anonimizzazione delle identità delle persone tracciate mediante utilizzo di codici identificativi mono uso o pseudonimi.
Lo scopo è quindi rendere non identificabile l’identità della persona tracciata (se non all’autorità pubblica che è in grado di decifrare i codici di cifratura).
Algoritmi utilizzati e personale qualificato:
Per l’utilizzo di tale sistema di tracciamento, occorrerà che le app scelte dai Governi degli Stati membri prevedano che tutti gli algoritmi di funzionamento delle app stesse siano maneggiati con assoluta attenzione e cura, da personale qualificato anche in ambito sanitario, per evitare il rischio di eventuali falsi positivi o falsi negativi.
Oltre a ciò bisognerà prevedere che le comunicazioni che dovranno essere fatte alle persone che risultano essere entrate in contatto con persone positive, siano eseguite per tramite di persone fisiche e non di algoritmi automatizzati.
Tuttavia, anche in questo caso, occorrerà strutturare delle procedure tali per cui venga garantito l’anonimato della persona contattata, al fine di evitare ogni possibile situazione di stigma e discriminazione sociale.
Cancellazione dei dati e smantellamento sistema:
Il Comitato auspica infine che tutti i dati raccolti mediante tali applicazioni vengano cancellati o quantomeno anonimizzati non appena superata l’epidemia in corso.
Inoltre, ritiene necessario che venga altresì dismesso e non più utilizzato il sistema di contact tracing scelto, dal momento che l’utilizzo di un sistema cosi “invasivo” è finalizzato unicamente alla riduzione dell’espandersi dell’epidemia Covid-19.
App scelta in Italia:
È di ieri la notizia che il Governo ha scelto l’app di contact tracing che utilizzerà per cercare di contenere il dilagare dei contagi.
Il Commissario Arcuri ha infatti firmato l’ordinanza con la quale si dispone di procedere “alla stipula del contratto di concessione gratuita della licenza d’uso del software alla società Bending Spoons S.p.a.”
L’applicazione, il cui nome sarà Immuni, dovrebbe essere dapprima testata in alcune regioni pilota per poi essere applicata successivamente su tutto il territorio nazionale.
L’applicazione rispetterà pienamente le linee guida fornite dal Comitato e dalla Commissione in quanto:
- Sarà basata su tecnologia bluetooth e non su geo-localizzazione;
- Sarà su base volontaria per i Cittadini, che potranno quindi scegliere se scaricarla o meno;
- È prevista l’anonimizzazone degli utenti che la utilizzeranno;
Come funzionerà l’app IMMUNI?
L’applicazione Immuni è fondamentalmente strutturata in due macro fasi:
-
Fase 1
La prima fase di funzionamento dell’app si baserà sulla tecnologia bluetooth, che permetterà di rilevare la vicinanza con un altro dispositivo entro il raggio di un metro. Pertanto, se una persona risulta essere positiva a seguito degli esami medici effettuati, sarà possibile rintracciare a ritroso tutti i dispositivi con cui la persona positiva è entrata in contatto, al fine di poter avvisarli, e verificarne la positività ed eventualmente imporre loro misure di quarantena.
Perciò, risulta di fondamentale importanza la capacità dell’applicazione di stimare con sufficiente precisione (1 metro circa) la vicinanza tra i dispositivi.
-
Fase 2
La seconda fase di questa applicazione, sarà quella relativa all’esame dei quadri clinici degli utenti.
Infatti, al momento di registrazione ad Immuni, verranno inserite nell’app una serie di informazioni mediche specifiche dell’utente, come ad esempio: età, sesso, malattie pregresse, assunzioni di farmaci ecc.
A detta del Commissario Arcuri, la lista delle informazioni mediche dovrà/potrà essere aggiornata quotidianamente dall’utente.
Come detto, in ogni fase dell’utilizzo dell’app Immuni, dovrà essere garantito l’anonimato delle persone fisiche che la utilizzeranno.
A tal proposito, occorre riportare che in Europa esiste già un progetto che soddisfa i criteri di anonimizzazione richiesti dal Comitato ne dalla Commissione, cui mostrando interesse sia Francia che Germania.
Il nome di questo progetto è Pepp-Pt, acronimo per Pan-European Privacy-Preserving Proximity Tracing, ed è frutto della collaborazione di 130 scienziati e 32 tra aziende ed istituti di ricerca di ben 8 Paesi differenti.
LEGGI ANCHE
Domande e risposte sulle misure adottate dal Governo – Covid19:
Linee Guida del Garante per la protezione dei dati personali.
Cos’è il Contact Tracing – può essere utile a combattere l’emergenza Coronavirus?
