Ho impiegato molto più tempo di quanto mai avrei potuto immaginare, prima di decidermi a scrivere ancora.
Sono settimane che il direttore Alessandro Longo, che ringrazio, mi chiede di esprimere qualche idea rispetto alla situazione contingente e alle sfide giuridiche ed etiche che talune scelte potrebbero implicare. Si, perché le vicende di questi giorni rappresentano la tempesta perfetta tanto preconizzata, esorcizzata, attesa, in un momento in cui la salute di tutti i cittadini è altamente insidiata, unitamente ai diritti fondamentali e alle libertà costituzionali che siamo abituati da circa settanta anni a considerare come una cosa scontata della nostra esistenza, quasi una commodity.
Senza contare la riduzione o in molti casi la perdita del lavoro, nonché l’impoverimento generale che sta interessando il Paese, con le imprese commerciali ferme, le professioni ed i servizi in stallo, gli artigiani cosi come la grande e piccola industria a ranghi ridotti o addirittura fermi e finanche il valore della proprietà in caduta libera.
Questa mattina, poi, quando anche il mio account di twitter @RoccoPanettaIT mi ha ricordato, dopo aver messo un like, dopo giorni di silenzio, che “Rocco Panetta ha twittato dopo un po’”, ho capito che non c’era più tempo, o meglio che è tempo di riprendere per non lasciar nulla di intentato, in un momento in cui vediamo forti le tentazioni massimaliste – nel senso più estremistico e velleitario del termine.
Dopo la bolla emotiva di questi giorni, che ho trascorso ora leggendo, ora informandomi su ciò che ci sta capitando, ascoltando molta musica e continuando a dare sostegno alle aziende mie clienti che chiedono il supporto mio e dei miei collaboratori, anche esercitando da remoto la funzione di DPO per talune di loro, è tempo di tornare a riflettere e di offrire il mio punto di vista al presente dibattito.
Devo dire che si sente forte e intensa l’assenza di voci alte e ferme come quella di Stefano Rodotà, che in un momento cosi buio della nostra storia ci avrebbe aiutato a comprendere come bilanciare e salvaguardare le nostre libertà e i diritti, tutti, nessuno escluso, partendo dal diritto alla salute, che in questo caso è anche diritto alla vita, fino alla libertà di domicilio, alla segretezza della corrispondenza, al diritto alla riservatezza, alla libertà di culto e al diritto alla protezione dei propri dati personali, come precondizione per tutelare la dignità degli individui.
Ma Stefano Rodotà non è più con noi da qualche anno, ormai.
La lezione di Stefano Rodotà
Restano con noi i suoi scritti e il suo pensiero che riecheggia limpido non solo nei saggi più ortodossi, in cui la sua scienza giuridica da vero Accademico si è elevata, ma anche nei libri divulgativi e nei tanti suoi articoli scritti per Repubblica. Ma il suo lascito principale oggi lo si può ritrovare, vivo e ogni giorno messo in pratica, nella azione dell’Autorità Garante per la protezione dei dati personali, proprio ogni qualvolta i suoi funzionari e dirigenti vengono chiamati a svolgere quel delicato esercizio di bilanciamento di interessi, obblighi e diritti, posti dalla Costituzione repubblicana del 1948 e rilanciati dalla Carta dei diritti dell’Unione Europea e dalle tante norme puntuali di settore, tra tutti il Regolamento generale sulla protezione dei dati personali, il cosiddetto GDPR.
Nelle ore in cui scrivo queste righe, lo scenario della diffusione del contagio nel mondo, ma principalmente in Italia ed in Lombardia va assumendo connotazioni fosche, da vera tragedia nazionale ed umanitaria. Una tragedia che l’Italia unitaria non ha mai vissuto dopo la fine della Seconda Guerra mondiale. Uno scenario di morte ed impotenza senza precedenti ed a cui non avremmo mai voluto assistere.
Covid-19 e Costituzione italiana
Da un punto di vista giuridico si tratta del primo vero “stress test” della Costituzione repubblicana. Mai prima d’ora erano state adottate norme restrittive dalla simile portata, con impatto diffuso sull’intero arco dei diritti e delle libertà costituzionali.
Nelle ultime tre settimane e da ultimo con il provvedimento annunciato dal Presidente del Consiglio dei ministri, nella notte del 21 marzo, per la tutela della salute pubblica e quindi per rafforzare il diritto fondamentale alla salute degli individui, nell’interesse della collettività (art. 32 Cost.), si è assistito via via alla limitazione del diritto al lavoro (artt. 4, 35 e ss. Cost), alla limitazione della libertà di culto religioso (art. 19), alla limitazione della libera circolazione sul territorio dello Stato (art. 16), alla limitazione del diritto di riunirsi in pubblico e di manifestare e delle attività sindacali (art. 17 e 39), alla limitazione del diritto di agire e difendersi in giudizio (art. 24), alla limitazione del diritto a sposarsi e creare una famiglia (art. 29), alla limitazione dei diritti all’istruzione (art. 33 e 34), alla limitazione del diritto di sciopero (art. 40), alle limitazioni della libera iniziativa economica (art. 41) e alle restrizioni del diritto di proprietà (art. 42 e ss.) ed infine alle limitazioni del diritto di voto (art. 48 e ss.).
Una tale quantità di compressione di diritti e libertà fondamentali non ha precedenti nella storia repubblicana. Bisogna risalire indietro nel tempo all’epoca della dittatura fascista, prima e delle leggi marziali durante la Seconda Guerra mondiale, poi.
Privacy o salute?
Poiché alla base delle dinamiche di fruizione o limitazione dei diritti e libertà fondamentali vi è una attività materiale di cui nessuno oggi può più far a meno, ossia l’uso delle informazioni personali riferibili ad un individuo a cui quei diritti e libertà fanno capo, il tema del trattamento dei dati personali è di capitale importanza e non può essere ridotto ad una banale disfida tra il diritto alla saluta e quello alla privacy, laddove in caso di mera contrapposizione tra l’uno e l’altro, chiaramente in una situazione d’emergenza pandemica come quella che stiamo vivendo, semplicemente non ci sarebbe partita, vista l’inevitabile prevalenza del diritto alla salute su tutti gli altri.
Messa cosi, infatti, è chiaro che il diritto alla privacy nasce perdente in partenza. Cosa c’è di più sacro della salute, soprattutto quanto questa è cosi radicalmente insidiata da una minaccia inedita e feroce, dalle conseguenze drammatiche e dolorose che sono sotto agli occhi di tutti?
La tutela del diritto alla salute, in ragione dei numeri ancora in vertiginosa crescita di questa epidemia, equivale alla tutela della vita stessa, davanti alla quale tutti gli altri diritti fondamentali cedono il passo, secondo le regole costituzionali, in presenza di taluni presupposti, quali la riserva di legge, la natura temporanea ed eccezionale della minaccia e l’individuazione di un perimetro oggettivo e soggettivo molto ristretto per poter compiere la compressione di uno o più diritti e libertà a vantaggio di un altro.
Qualunque studente avveduto di giurisprudenza che abbia studiato diritto costituzionale saprà che i meccanismi di straordinaria compressione dei diritti fondamentali devono seguire queste regole, per poter essere attivati.
E cosi è stato finora. Per quanto sia per tutti odiosa e dolorosa questa limitazione della nostra libertà presso il nostro domicilio o residenza, essa è pienamente legittima e si giustifica in ragione di quell’esercizio di bilanciamento di interessi in gioco posto in essere dal Governo mediante gli atti urgenti emanati nelle ultime settimane nella forma dei Decreti Legge e dei Decreti della Presidenza del Consiglio dei Ministri.
L’aspetto formale e sostanziale dell’azione di Governo nell’adozione di tali misure di urgenza è corretto e pienamente giustificato dalle circostanze del momento.
Ci si chiede però fin dove possiamo spingerci. Fin dove e per quanto i diritti fondamentali sopra menzionati potranno essere compressi senza essere compromessi?
Lo stress test dei diritti
L’involontario stress test costituzionale finora sta funzionando, ma non sappiamo quale sia il limite massimo oltre il quale i diritti e le libertà conquistati con il sangue di tanti italiani nel corso dell’ultimo conflitto mondiale andranno inesorabilmente incontro all’annichilimento più totale e oscuro.
Qui la tematica giuridica e quella fattuale della cronaca che stiamo vivendo si intrecciano con la tecnologia. Da più parti e non senza ragione sono state avanzate proposte di maggiore impiego delle tante risorse tecnologiche disponibili sul mercato, ad esempio, per meglio tracciare le mappe del contagio e limitare in qualche modo gli spostamenti di quanti inconsapevolmente possano essere entrati in contatto con i malati, provando in tal modo a spezzare la catena della moltiplicazione esponenziale della malattia.
Le tecnologie di tracciamento e geolocalizzazione, controllo e analisi dei dati, non sono una novità dell’ultima ora e tutti in qualche modo siamo abituati a farne un uso più o meno diffuso, più o meno consapevole, ormai da tempo quasi a cadenza quotidiana.
Il salto di qualità che si vorrebbe introdurre, a voler tacer del concomitante possibile utilizzo incrociato di droni ieri approvato dall’Enac, implicherebbe l’utilizzo per fini di contenimento dell’epidemia da Covid-19 in corso, di app di tracking e geolocalizzazione.
Ciò sarebbe idoneo a comportare una compressione ulteriore di diversi diritti e libertà fondamentali, iniziando dalla limitazione del diritto alla protezione dei dati personali e dei suoi presidi di garanzia, come previsti dal GDPR e dal Codice Privacy italiano (d.lgs. n. 196/2003).
La riduzione del diritto alla protezione dei dati personali è però legittimata da un incrocio di norme che culminano nell’art. 14 del D.L. 14/2020, ai sensi del quale viene chiaramente stabilito che
“1. Fino al termine dello stato di emergenza (…) per motivi di interesse pubblico nel settore della sanità pubblica e, in particolare, per garantire la protezione dall’emergenza sanitaria a carattere transfrontaliero determinata dalla diffusione del COVID-19 mediante adeguate misure di profilassi, nonché per assicurare la diagnosi e l’assistenza sanitaria dei contagiati ovvero la gestione emergenziale del Servizio sanitario nazionale (…) i soggetti operanti nel Servizio nazionale di protezione civile, (…) nonché gli uffici del Ministero della salute e dell’Istituto Superiore di Sanità, le strutture pubbliche e private che operano nell’ambito del Servizio sanitario nazionale e i soggetti (…) possono effettuare trattamenti, ivi inclusa la comunicazione tra loro, dei dati personali, anche relativi agli articoli 9 e 10 del regolamento (UE) 2016/679, che risultino necessari all’espletamento delle funzioni attribuitegli nell’ambito dell’emergenza determinata dal diffondersi del COVID-19.
2. La comunicazione dei dati personali a soggetti pubblici e privati, diversi da quelli di cui al comma 1, nonché la diffusione dei dati personali diversi da quelli di cui agli articoli 9 e 10 del regolamento (UE) 2016/679, e’ effettuata, nei casi in cui risulti indispensabile ai fini dello svolgimento delle attività connesse alla gestione dell’emergenza sanitaria in atto.
3. I trattamenti di dati personali di cui ai commi 1 e 2 sono effettuati nel rispetto dei principi di cui all’articolo 5 del citato regolamento (UE) 2016/679, adottando misure appropriate a tutela dei
diritti e delle libertà degli interessati.
4. Avuto riguardo alla necessità di contemperare le esigenze di gestione dell’emergenza sanitaria in atto con quella afferente alla salvaguardia della riservatezza degli interessati, i soggetti di cui al comma 1 possono conferire le autorizzazioni di cui all’articolo 2-quaterdecies del decreto legislativo 30 giugno 2003, n. 196, con modalità semplificate, anche oralmente.
5. Nel contesto emergenziale in atto, ai sensi dell’articolo 23, paragrafo 1, lettera e), del menzionato regolamento (UE) 2016/679, fermo restando quanto disposto dall’articolo 82 del decreto legislativo 30 giugno 2003, n. 196, i soggetti di cui al comma 1 possono omettere l’informativa di cui all’articolo 13 del medesimo regolamento o fornire una informativa semplificata, previa comunicazione orale agli interessati della limitazione.
6. Al termine dello stato di emergenza di cui alla delibera del Consiglio dei ministri del 31 gennaio 2020, i soggetti di cui al comma 1 adottano misure idonee a ricondurre i trattamenti di dati personali effettuati nel contesto dell’emergenza, all’ambito delle ordinarie competenze e delle regole che disciplinano i trattamenti di dati personali. (…)”
I due elementi da considerare
È importante leggere per intero la norma sopra riportata e soffermarsi sul livello di dettaglio e sulla scrittura della norma che è di una chiarezza lampante – ed affermo ciò a dispetto di quanti anche in una situazione emergenziale come questa non fanno a meno di segnalare carenze e limiti, in punto di forma e di sostanza, della legislazione d’emergenza.
La norma peraltro non si ferma ad enucleare principi generali di regressione temporanea del diritto alla protezione dei dati personali di fronte all’enormità ed eccezionalità della situazione, ma scende nel dettaglio, delineando anche le deroghe alle informative da rendere agli interessanti e alle istruzioni da dare agli incaricati del trattamento, non lasciando dunque nulla all’immaginazione di chi debba applicare le norme nei diversi ambiti in cui la legge si applica.
Chiaramente il legislatore d’emergenza ha a mente le esigenze e gli obblighi della protezione dei dati personali. Chiaramente il Garante per la protezione dei dati personali è stato consultato formalmente ed informalmente nel corso di queste settimane, altrimenti tale precisione e pulizia di ragionamento sarebbe stato difficile da mettere in piedi in cosi poco tempo.
Dunque, tutto fatto? Tutto risolto? Possiamo dare semaforo verde e tranquillizzare quanti lanciano appelli all’uso massivo delle tecnologie disponibili per contrastare la diffusione del contagio?
Le regole sono state scritte in ossequio alla Costituzione, la temporaneità della compressione dei diritti è disposta per legge, cosa altro ci manca?
Sono ancora due gli elementi che devono essere presi in debita considerazione: uno di natura pratica ed uno di natura etica, ma entrambi con forti ricadute giuridiche.
Il problema pratico
Da un punto di vista operativo è fondamentale mettere in atto, anche in fase di piena emergenza, tutte le misure di minimizzazione nella circolazione di dati personali tra cui rileverebbero soprattutto dati sensibili relativi allo stato di salute degli individui tracciati, e questo non solo attraverso misure di pseudonimizzazione by default e, in taluni casi, di anonimizzazione, ma anche limitando fortemente l’utilizzo e la diffusione delle app ai soli soggetti istituzionali preposti a svolgere un ruolo attivo in questa fase (protezione civile e autorità sanitarie), senza cedere al voyerismo epidemico a cui la diffusione di una simile app, sugli store virtuali dei principali fornitori di servizi digitali, porterebbe.
Altro tema dirimente è quello della data retention, ossia della conservazione dei dati, sia in punto di modalità di conservazione sia con riferimento alla durata. Per non parlare degli ovvi divieti di riuso dei dati, per fini diversi da quelli giustificati dalla contingente situazione, se non previa radicale, vera e definitiva anonimizzazione.
Certo, la fenomenologia del trattamento dei dati personali, soprattutto in circostanze complesse e con una grande mole di dati da raccogliere ed analizzare, non facilita tali azioni. Ma è qui che si misura la tenuta del sistema e soprattutto la capacità di aziende e pubbliche amministrazioni di dimostrare di non avere buttato alle ortiche questi tre anni di “cura GDPR”.
Posso testimoniare che tra tutte le aziende che mi hanno consultato, ad esempio, in questo drammatico frangente di riapertura e poi chiusura centellinata di stabilimenti e vari luoghi di lavoro, in sede di implementazione delle misure decise tra Governo e parti sociali con il noto Protocollo di intesa, ho trovato livelli alti di consapevolezza e capacità, da parte di strutture, legal, compliance ed HR sopra tutto, capaci di anticipare e prevenire problemi e trovare soluzioni nel rispetto della privacy by design.
È tragico dirlo, ma ciò che stiamo vivendo vale come uno stress test ed un audit privacy, seppur indirettamente ed in modalità che ci saremmo tutti francamente risparmiati.
E il sistema sta tenendo, dal Governo alle aziende private, i livelli di attenzione sembrano alti, nonostante tutto.
La dura prova dell’etica
Resta invece aperto un nodo più difficile da sciogliere, cioè quello etico.
Mentre il diritto vive di interpretazioni e bilanciamento continuo di interessi, libertà e diritti a volte in conflitto tra loro, l’etica ha un carattere di maggiore assolutezza, in quanto il parametro unico di valutazione è solo il rispetto integrale della dignità dell’uomo.
Non a caso l’etica detesta la discriminazione, la stigmatizzazione, la ghettizzazione, l’emarginazione, utilizzando criteri ora giuridici ora sociologici e filosofici.
In questi giorni di reclusione sto proprio finalizzando molti pareri etici, di cui sono estensore e relatore, in alcuni casi, o semplice membro del panel di valutazione, per l’ERCEA, l’European Research Council Executive Agency dell’Unione Europea. La valutazione etica si intreccia e si nutre di elementi di fatto e di diritto, ma tiene sempre fermi i principi di non discriminazione ed il rischio di stigmatizzazione sociale, dietro ogni progetto di ricerca che viene valutato.
D’altronde, non dobbiamo mai dimenticare l’insegnamento che ci ha lasciato al riguardo Stefano Rodotà che sovente amava ripetere che “non tutto ciò che è tecnologicamente possibile è anche socialmente desiderabile, eticamente accettabile e giuridicamente legittimo”.
