L’emergenza epidemiologica da COVID-19 coinvolge anche la protezione dei dati personali: in specie i dati relativi allo stato di salute dei cittadini.
Queste informazioni rientrano nella categoria dei dati c.d. particolari, che richiedono maggior tutela in ragione della loro delicata natura, in quanto idonei a rivelare gli aspetti più intimi della persona e della sua vita privata. Devono pertanto essere particolarmente protetti contro i rischi della circolazione, considerata la loro attitudine ad essere adoperati a fini discriminatori con rilevanti pregiudizi per la dignità dell’interessato. Il loro trattamento è legittimo solo in presenza delle condizioni previste dall’art. 9, par. 2 del Regolamento UE 2016/679 che sancisce, in linea di principio, il divieto generale di procedere al loro trattamento, seguito però da una serie di ipotesi derogatorie da intendere rigorosamente.
Al centro del modello di trattamento delineato vi è infatti la protezione della dignità della persona che nella privacy evolve e custodisce i valori più preziosi e non i dati intesi quali beni suscettibili di appropriazione e sfruttamento. 
Tra le dieci condizioni indicate al par. 2 dell’art. 9 del regolamento citato, che legittimano il trattamento dei dati c.d. particolari, spicca il consenso esplicito dell’interessato, quale strumento di difesa del singolo dalle invasioni alla vita privata e al contempo di autodeterminazione informativa.
In tale prospettiva, l’attenzione non può che volgersi all’App Immuni, poiché questa consiste in un’applicazione (scaricabile sugli smartphone) volta al tracciamento dei contatti al fine di una mappatura dei contagi da Covid-19, funzionale ad evitare l’insorgere di nuovi focolai.
L’utilità di IMMUNI si manifesta proprio nella cosiddetta “Fase 2” al fine di evitare una seconda ondata di contagi.
L’obiettivo dovrebbe essere pertanto quello di individuare e isolare il prima possibile i potenziali infetti e le persone con cui sono entrati in contatto, così da arginare la diffusione del virus, senza però limitare la libertà personale dell’intera popolazione indiscriminatamente. 
Della menzionata App si sta parlando molto, ma non vi è ancora completa chiarezza sulle sue modalità di funzionamento e sulle caratteristiche tecniche.
Il quadro di riferimento si sta però gradualmente facendo più nitido in quanto con il D.L. 30 aprile 2020, n. 28, recante “Misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, ulteriori misure urgenti in materia di ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile e misure urgenti per l'introduzione del sistema di allerta Covid-19” (entrato in vigore il 1 maggio 2020), trova finalmente copertura normativa l’implementazione della tanto discussa App Immuni.
L’art. 6 del menzionato D.L. 28/2020, infatti, si occupa proprio della regolamentazione del sistema di allerta Covid-19 attuato attraverso la menzionata App di tracciamento di contatti.
Sulla questione è stato chiamato a pronunciarsi anche il Garante Privacy (ex art. 36, par. 4 del Reg. UE 2016/279), che ha espresso parere favorevole sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19, seppur con alcune osservazioni (provvedimento n. 79 del 29 aprile 2020 - doc. web n. 9328050, consultabile nel sito del Garante www.garanteprivacy.it).
Secondo il Garante, la proposta normativa appare conforme ai criteri indicati dalle Linee guida del Comitato europeo per la protezione dei dati del 21 aprile scorso (Linee-guida 04/2020 sull'uso dei dati di localizzazione e degli strumenti per il tracciamento dei contatti nel contesto dell’emergenza legata al COVID-19 - doc. web n. 9322501 consultabile nel sito del Garante www.garanteprivacy.it) a proposito dei sistemi di contact tracing.
I punti cardine della recente normativa in merito i quali il Garante ha formulato le proprie osservazioni sono essenzialmente i seguenti:
1. Titolare del trattamento è individuato nel Ministero della Salute che, all'esito di una valutazione di impatto, costantemente aggiornata (ex art. 35 del Reg. UE 2016/679), è chiamato ad adottare le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati.
2. La volontarietà. L’adesione al sistema di tracciamento (download dell’App sui dispositivi mobili) deve essere frutto di una scelta pienamente libera dell’interessato, considerato il rilevante impatto individuale che l’App comporta. L’art. 6, comma 4 del D.L. 28/2020 ha infatti sottolineato che il mancato utilizzo dell'applicazione non determina alcuna conseguenza pregiudizievole ed è assicurato il rispetto del principio di parità di trattamento. La formulazione definitiva della norma ha recepito il suggerimento del Garante, adottando una locuzione più ampia rispetto a quella originaria, che era riferita al solo esercizio di diritti fondamentali.
2. Previsione normativa. Il Garante rinviene la base giuridica del trattamento dei dati c.d. particolari (relativi allo stato di salute dei cittadini) nella necessità di assolvere ad un compito di interesse collettivo, in particolare per esigenze di sanità pubblica, il quale deve trovare fondamento in una “previsione normativa o disposizione legislativa” dell’Unione europea o degli Stati membri. Sotto questo profilo, in particolare, la scelta di una norma di rango primario soddisfa i requisiti di cui all’art. 9, par. 2, lett. i) del Regolamento e agli artt. 2-ter e 2-sexies del Codice privacy, con la possibilità di introdurre garanzie ulteriori ai sensi dell’articolo 2-quinquiesdecies del medesimo Codice. Sul punto però non si può non sottolineare come il consenso consapevole dell’interessato (che si estrinseca nell’adesione volontaria al modello di tracciamento) costituisca al contempo condizione imprescindibile per la legittimità del trattamento e garanzia ulteriore.
3. Trasparenza. Viene assicurato il pieno rispetto degli obblighi di trasparenza previsti dal regolamento nei confronti degli interessati. In linea con tale esigenza l’art. 6, comma 2, lett. a) del D.L. 28/2020 garantisce che gli utenti ricevano, prima dell'attivazione dell'applicazione, ai sensi degli artt. 13 e 14 del regolamento UE  2016/679, informazioni chiare e trasparenti al fine di raggiungere una piena consapevolezza, in particolare, sulle finalità e sulle operazioni di trattamento, sulle tecniche di pseudonimizzazione utilizzate e sui tempi di conservazione dei dati. Questa è, invero, una condizione imprescindibile anche per un valido consenso al trattamento stesso.
4. Determinatezza ed esclusività dello scopo. Il tracing è finalizzato esclusivamente ad allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi, così da tutelarne la salute e contenere i contagi. È pertanto escluso il trattamento per finalità ulteriori, ferme restando le possibilità di utilizzo in forma aggregata o comunque anonima, per soli fini di sanità pubblica, profilassi, statistici o di ricerca scientifica, purché nei termini generali previsti dal Reg. UE  2016/679.
5. Selettività e minimizzazione dei dati. I dati trattati devono essere esclusivamente quelli diretti a tracciare i contatti stretti e non i movimenti o l’ubicazione del soggetto. Vengono pertanto raccolti solo i dati necessari ad avvisare gli utenti dell'applicazione di rientrare tra i contatti stretti di altri utenti accertati positivi al COVID-19. È pertanto esclusa ogni mappatura attraverso sistemi di geolocalizzazione e/o tracciamento costante dell’ubicazione dei soggetti che hanno scaricato l’App. In conformità al principio di minimizzazione, anche la conservazione deve limitarsi al periodo strettamente necessario, la cui durata verrà stabilita dal Ministero della salute sulla base di parametri oggettivi (come il periodo di incubazione). I dati sono inoltre cancellati in modo automatico alla scadenza del termine, garantendo in tal modo una cancellazione progressiva e periodica degli stessi. Il trattamento, in ogni caso, non potrà perdurare oltre il periodo di emergenza sanitaria (e comunque non oltre il 31 dicembre 2020) ed entro la medesima data tutti i dati personali trattati dovranno essere cancellati o resi definitivamente anonimi.
6. Non esclusività del processo algoritmico. Al fine di consentire la correttezza dei trattamenti e il rispetto del principio di responsabilizzazione gli algoritmi devono essere verificabili e soggetti a riesame periodico, ciò in conformità anche a quanto previsto dall’art. 22 del Regolamento per i trattamenti automatizzati. La previsione delle modalità di intervento umano sulle decisioni algoritmiche potrà trovare spazio nella successiva fase di precisazione delle caratteristiche di dettaglio del trattamento e di adozione delle misure di sicurezza (art. 6, comma 2 D.L. 28/2020) 
7. Possibilità di esercitare in ogni momento i diritti di cui agli articoli da 15 a 22 del Regolamento, anche attraverso modalità semplificate.
8. Interoperabilità con altri sistemi di contact tracing utilizzati in Europa. Tali caratteristiche di interoperabilità potranno essere assicurate in sede applicativa e, ancor prima, nell’ambito dei provvedimenti di competenza del Ministero.
9. Reciprocità di anonimato tra gli utenti dell’App. I dati di prossimità dei dispositivi sono trattati in forma anonima oppure, ove ciò non sia possibile, pseudonima. Conseguentemente gli utenti/cittadini che hanno scaricato l’App riceveranno un semplice alert allorquando venga riscontrato un contatto di prossimità con il dispositivo di un soggetto positivo al virus, senza che l’identità di questo sia rivelata.
Considerata la sostanziale differenza tra dati anonimi (che non consentono l’identificazione dell’interessato) e dati pseudonimizzati (che consentono di risalire all’identificazione di un soggetto mediante l’associazione di informazioni aggiuntive conservate separatamente) e il differente grado di protezione per l’interessato da questi garantito è opportuno che le modalità di raccolta e conservazione dei dati siano meglio precisate in un’ottica di trasparenza. Dovranno inoltre essere individuate misure adeguate ad evitare il rischio di reidentificazione degli interessati cui si riferiscono i dati pseudonimizzati oggetto di trattamento.
In linea generale, il sistema di contact tracing prefigurato non appare in contrasto con i principi di protezione dei dati personali, ancorché si renda necessario attendere l’adozione delle misure tecniche e organizzative per verificare l’adeguatezza del livello di sicurezza assicurato ai diritti e alle libertà degli interessati.
Rimangono infatti ancora aperti dei dubbi sulle caratteristiche tecniche dell’App e sul suo funzionamento. Dubbi che dovranno trovare risposta al fine di comprendere se la riservatezza del cittadino sia effettivamente al sicuro.
Peraltro, non è ancora chiaro se si intenda optare per la conservazione dei dati in forma centralizzata ovvero decentrata (nei dispositivi mobili). In ogni caso, qualora la scelta sia quella della centralizzazione, in sede attuativa, sarà necessario prevedere misure di sicurezza rafforzate, adeguate alla fattispecie. 

Francesca Zanovello - Avvocato in Vicenza