Negli ultimi giorni si è fatto intenso lo spettro delle iniziative e dei documenti prodotti dalle istituzioni europee per indirizzare la scelta delle soluzioni tecnologiche per il tracciamento dei contatti sociali, finalizzate alla lotta alla pandemia Covid-19.
Indicazioni che dovranno essere seguite anche dall’app italiana, Immuni di Bending Spoon.
L’obiettivo è l’armonizzazione della tutela della salute pubblica con la salvaguardia dei diritti fondamentali relativi alla protezione dei dati personali, per l’intera durata della pandemia.
La raccomandazione della Commissione UE dell’8 aprile 2020
L’8 aprile 2020, la Commissione europea ha adottato una raccomandazione rivolta agli Stati membri per un approccio comune e coordinato nell’individuazione e nello sviluppo degli strumenti digitali più appropriati per il contact tracing nonché, più in generale, per contrastare l’epidemia del Covid-19, con il minor pregiudizio possibile ai diritti fondamentali degli individui. È innegabile, infatti, la fondamentale importanza dell’individuazione di un piano di azione solidale e collaborativo che i singoli Stati membri e tutte le istituzioni, europee e nazionali, dovrebbero seguire accuratamente.
La raccomandazione riconosce che le applicazioni mobili di tracciamento potrebbero essere utili alle autorità e agli organismi operanti nel settore sanitario per orientare la loro attività di ricerca, di prevenzione, di monitoraggio, di prognosi, di trattamento o di attenuazione delle malattie, agevolando in questo modo anche lo scambio di informazioni tra di essi. Al riguardo delinea un itinerario strategico per l’adozione, a livello europeo, di un pacchetto di misure (“Toolbox of practical measures”) che siano idonee a fronteggiare efficacemente (dal punto vista medico e tecnico) la situazione di emergenza e che saranno costantemente integrate dagli orientamenti della Commissione stessa alla luce delle soluzioni, delle questioni e dei suggerimenti prospettati nel tempo dai singoli Stati membri.
Due sono gli obiettivi principali perseguiti:
- un approccio pan-europeo per l’uso di applicazioni mobili al fine di responsabilizzare i cittadini e di consentire loro di adottare le misure di distanziamento sociale necessarie, nonché al fine di realizzare scopi di allerta, di prevenzione e di tracciamento dei contatti sociali per contenere la diffusione del virus. Si raccomanda l’adozione di soluzioni comuni o almeno compatibili, promuovendo lo scambio di informazioni sulle tecniche di funzionamento delle applicazioni stesse, la condivisione dei dati con le autorità pubbliche e gli istituti di ricerca in materia di sanità pubblica e, infine, l’individuazione di meccanismi di governance che questi soggetti dovrebbero applicare in cooperazione con il Centro europeo per la prevenzione e il controllo delle malattie (ECDC);
- un progetto comune per quanto concerne l’utilizzo, in forma anonima e aggregata, dei dati relativi agli spostamenti della popolazione al fine di prevedere la diffusione del virus e l’andamento dell’epidemia, di valutare l’adeguatezza dei processi decisionali delle istituzioni degli Stati membri e delle misure di distanziamento o di confinamento e al fine di approntare una strategia coordinata per individuare quanto prima una via d’uscita dall’attuale crisi.
La Commissione ha attivato la rete europea eHealth – eHealth Network – alla quale aderiscono le autorità competenti degli Stati membri e che, rappresentando il principale foro di discussione, offrirà efficaci strumenti e servizi per le più innovative tecnologie dell’informazione e della comunicazione nella prevenzione, diagnosi, controllo e gestione dell’emergenza sanitaria, in raccordo con tutti quegli organismi e quelle reti la cui collaborazione nello scambio di informazioni e di idee sia indispensabile al fine di dare attuazione alla raccomandazione.
Tra questi rientrano:
- il Comitato europeo per la sicurezza sanitaria che, orientando la comunicazione sulle questioni relative all’emergenza sanitaria, agevolerà lo scambio di informazioni a livello mondale e la realizzazione di strategie comuni, comprese quelle di prevenzione;
- il Centro europeo per la prevenzione e il controllo delle malattie il quale fornirà ai governi e alle istituzioni dell’Ue consulenza scientifica, analisi e interpretazione dei dati provenienti dall’Unione e relativi al coronavirus e assistenza nella gestione dell’epidemia al fine di coordinare al meglio le risorse;
- l’EDPB (il board dei garanti dei paesi europei) che fornirà consulenza alla Commissione europea e promuoverà la cooperazione e lo scambio di informazioni tra autorità competenti per la protezione dei dati personali;
- l’Organismo dei regolatori europei delle comunicazioni elettroniche, la cui assistenza e consulenza sarà un contributo fondamentale per l’impiego e lo sviluppo di reti e servizi di comunicazione elettronica e
- il Gruppo di cooperazione per i sistemi informativi di rete (NIS) per il monitoraggio ed il rafforzamento dei livelli di sicurezza della rete e dei sistemi informativi (cybersecurity) al fine di ridurre al minimo il rischio che si verifichino incidenti informatici. Le azioni degli Stati membri dovranno conformarsi pienamente al diritto dell’Unione europea, con particolare riferimento al diritto alla riservatezza, e alle future linee guida fornite dalla Commissione sulle implicazioni, per la protezione dei dati e della privacy, dell’uso delle applicazioni mobili di allerta e di prevenzione.
La raccomandazione indica i principi ai quali l’intero processo di sviluppo della ‘Toolbox’ e l’utilizzo delle tecnologie e dei dati dovranno ispirarsi, primo tra questi il lecito trattamento dei dati personali. In particolare:
- le misure dovranno garantire, senza eccezione alcuna, il rispetto dei diritti fondamentali e delle norme sulla riservatezza delle comunicazioni e sulla protezione dei dati personali e prevenire il rischio di stigmatizzazioni. Ciò significa che saranno preferite le misure meno invasive e le impostazioni privacy delle applicazioni soddisferanno il requisito della trasparenza;
- dovranno essere trattati dati di prossimità garantendo, finchè possibile, la loro forma anonima e aggregata: solo in caso di rilevata positività al virus questi verranno trattati e condivisi per informare con modalità appropriate le persone entrate in contatto con la persona infetta, pur sempre garantendo loro l’anonimato;
- i dati personali dovranno essere trattati per il periodo di tempo strettamente necessario a combattere l’emergenza del coronavirus e per questa sola finalità. In linea di principio, i dati saranno cancellati definitivamente trascorsi 90 giorni dalla loro raccolta e, in ogni caso, non appena terminata l’emergenza sanitaria;
- dovrà pertanto essere verificata costantemente la necessità del trattamento e dovranno essere previste clausole di cessazione dello stesso: verranno individuate idonee misure che garantiscano l’eliminazione dei dati non più necessari, eccezion fatta per il caso in cui abbiano un valore scientifico di pubblico interesse e a condizione che la tutela di quest’ultimo non comprometta la tutela dei diritti fondamentali degli individui;
- dovranno essere adottate tutte le misure necessarie per impedire la reversibilità della anonimizzazione dei dati e dunque la riferibilità degli stessi ai singoli individui;
- nel caso in cui venissero accidentalmente elaborati dati in grado di individuare il singolo individuo questi dovranno essere immediatamente e definitivamente cancellati dandone comunicazione ai gestori ed alle autorità competenti;
- le misure dovranno soddisfare i requisiti informatici e tecnici per le tecnologie impiegate (ad esempio il Bluetooth Low Energy, che ha un raggio di azione limitato a pochi metri) e garantire la crittografia dei dati di prossimità raccolti e la conservazione degli stessi con alti livelli di sicurezza esclusivamente all’interno dei dispositivi mobili, nonché regolare l’accesso alla tecnologia, se necessario e al ricorrere di determinate condizioni, delle autorità sanitarie (sembra da intendersi nel rispetto dell’anonimato).
I sopra citati principi possono considerarsi espressione dei più generali criteri di necessità, proporzionalità e adeguatezza dai quali le misure in discussione non possono in alcun caso discostarsi, sebbene il presupposto di liceità di queste ultime coincida con esigenze di sanità pubblica.
Il parere della Presidente dell’EDPB del 14 aprile 2020
A distanza di una settimana, il 14 aprile 2020 la Presidente dell’EDPB, il board dei Garanti dei paesi europei, Andrea Jelinek, ha scritto alla Commissione europea per fornire un parere sulle linee guida in preparazione, parere alla cui predisposizione ha partecipato in qualità di relatore il garante privacy italiano, manifestando il proprio supporto all’approccio pan-europeo nella lotta al Covid-19 da realizzare congiuntamente ad una robusta politica di protezione dei dati, nel rispetto dei diritti dell’individuo.
L’obiettivo dell’EDPB è di verificare che le applicazioni mobili previste per il contact tracing siano in linea con i principi della protezione dei dati e incidano il meno possibile sulla vita privata dei soggetti interessati rimanendo tuttavia efficaci ai fini della tutela della salute pubblica.
Il board condivide l’idea di un’adesione volontaria dei singoli individui all’utilizzo delle applicazioni di tracciamento sottolineando la necessità di una totale affidabilità nella quale rientra anche il concetto di riservatezza e le applicazioni non sono volte alla geolocalizzazione delle persone ma hanno la principale funzione di individuare i contatti sociali che potenzialmente potrebbero comportare contagi, specialmente nella fase di decrescita della pandemia.
Quanto alla conservazione dei dati si prospettano due tecniche alternative: la registrazione delle informazioni nella memoria interna al dispositivo mobile (archiviazione decentralizzata) oppure l’archiviazione in un sistema centralizzato. Entrambe le soluzioni vengono considerate valide a condizione che siano garantiti standard di sicurezza e di controllo adeguati, pur suggerendo l’adozione dell’ipotesi decentralizzata poiché più conforme al principio di minimizzazione dei dati e all’obiettivo di evitare la stigmatizzazione degli utilizzatori dell’app.
L’EDPB condivide la raccomandazione della Commissione europea in merito all’obiettivo di consentire alle autorità sanitarie di identificare le persone entrate in contatto con soggetti affetti da Covid-19 chiedendo loro una presa di responsabilità e la massima collaborazione e, al tempo stesso, fornendo supporto e consulenza nell’eventualità dello sviluppo di sintomi. Tuttavia, viene ritenuto fondamentale assicurare l’anonimato degli interessati: “Le informazioni, attraverso notifiche in-app, possono essere fornite assicurandosi che l’app tratti solo pseudonimi randomizzati. Si dovrebbe prevedere, inoltre, un meccanismo in grado di garantire la correttezza delle informazioni inserite nell’app ogniqualvolta una persona sia dichiarata positiva, visto che da tale informazione possono scaturire notifiche ad altre persone concernenti la loro esposizione al virus. Un meccanismo del genere potrebbe basarsi, per esempio, sull’impiego di un codice monouso scannerizzabile dalla persona quando questa riceve i risultati di un test”.
La Presidente dell’EDPB si pronuncia anche con riguardo al fondamento giuridico del trattamento:
“la volontarietà dell’utilizzo dell’app per il tracciamento dei contatti non significa che il trattamento di dati personali da parte di soggetti pubblici debba fondarsi necessariamente sul consenso. Qualora un servizio sia fornito da un soggetto pubblico che operi sulla base di un mandato conferito dalla legge e conformemente ai requisiti fissati in tale legge, il fondamento giuridico più idoneo per il trattamento dei dati risulta essere la necessità del trattamento stesso per l’adempimento di un compito nell’interesse pubblico”.
In ogni caso, tutte le misure emergenziali messe in atto dovranno venir meno al superamento della pandemia e i dati raccolti dovranno essere definitivamente distrutti o anonimizzati.
Il documento per il Toolbox dell’eHealth Network del 15 aprile 2020
Il 15 aprile 2020 l’eHealth Network europeo, come anticipato l’8 aprile, ha pubblicato una rassegna dettagliata dei requisiti minimi e delle funzionalità che le autorità dei singoli Stati membri dovranno soddisfare nel processo di sviluppo e di impiego delle misure digitali e da adattare in base alla realtà dei singoli Paesi.
Le applicazioni mobili dovranno operare sotto il controllo attento e concertato delle autorità competenti per la salute pubblica nel rispetto della legislazione nazionale e sovranazionale.
Il punto di partenza per l’implementazione di questa tecnologia è la volontaria installazione dell’applicazione da parte degli individui e deve esclusivamente avvalersi del segnale Bluetooth per tracciare i contatti sociali senza svelare la localizzazione degli utenti.
I suddetti contatti verranno individuati applicando dei chiari, affidabili e uniformi parametri per quanto riguarda la distanza, i tempi dell’eventuale esposizione al contagio e la registrazione, la conservazione e la segretezza dei dati rilevati. Al singolo dispositivo mobile sul quale viene scaricata l’app (e non al singolo individuo o al suo numero di cellulare), verrà assegnato un codice ID temporaneo e anonimo per migliorare la protezione contro le intercettazioni, l’hacking e il tracciamento da parte di terzi e solo questo riferimento verrà registrato nella “contact list”. Gli sviluppatori delle applicazioni e le autorità nazionali competenti dovranno costantemente monitorare e aggiornare gli standard di sicurezza informatica e garantire che vengano supportate da qualsivoglia tipologia di dispositivo mobile. È fondamentale lanciare applicazioni che siano intuitive e di facile utilizzo per evitare problemi di sicurezza dovuti anche a imprecisioni al momento della configurazione o a errori da parte dell’utente. La sicurezza dell’app, con particolare riferimento alla minimizzazione e alla crittografia dei dati, deve essere esaminata e testata da esperti indipendenti sia prima dell’implementazione che dopo ogni modifica ed eventuali errori informatici o vulnerabilità dovranno essere immediatamente segnalati e corretti. Non appena lo stato di emergenza sarà cessato le applicazioni dovranno essere automaticamente distrutte e i dati di prossimità o personali definitivamente cancellati.
Le linee guida della Commissione UE del 16 aprile 2020
Il 16 aprile 2020 la Commissione europea ha pubblicato, con lo strumento di una “comunicazione”, le linee guida relative ai requisiti e alle funzionalità che le applicazioni installate su base volontaria devono soddisfare con riferimento alla protezione dei dati personali.
Il documento riprende e conferma l’approccio dei precedenti documenti sopra passati in rassegna. Ai sensi dell’art. 5 della direttiva e-Privacy (2002/58/CE) la Commissione ricorda come un trattamento obbligatorio per l’interessato richiederebbe l’adozione di una legge apposita, che dovrebbe comunque rispettare i principi della stessa direttiva e che non sarebbe di facile predisposizione. Per queste ragioni la Commissione suggerisce l’adozione di app utilizzabili su base volontaria.
Le linee guida non si occupano di eventuali strumenti tecnologici di supporto a restrizioni degli spostamenti o all’imposizione di un periodo di quarantena. Esse si riferiscono alle applicazioni che forniscono precise informazioni sull’epidemia, a quelle che mediante questionari consentano l’autovalutazione dei sintomi, a quelle con funzionalità di contact tracing e di allerta in caso di contatti sociali sospetti oppure, ancora, a quelle che consentono ai pazienti in auto-isolamento di ricevere assistenza da medici.
Gli Stati membri dovrebbero impiegare le tecnologie più innovative e più appropriate per garantire l’interoperabilità tra applicazioni. Nel caso in cui un soggetto infetto entrasse in contatto con l’utente dell’applicazione di un altro Stato membro è ammessa la trasmissione dei dati alle autorità sanitarie del Paese cui quest’ultimo appartiene. La Commissione tuttavia sottolinea che i diritti fondamentali degli individui saranno efficacemente protetti solo se il controllo sulle applicazioni viene affidato alle autorità sanitarie nazionali o ad altri soggetti pubblici che possano assicurarne la conformità al GDPR: le legislazioni nazionali devono fornire specifiche ed adeguate misure per salvaguardare i diritti e le libertà dei soggetti interessati. Al riguardo si pronuncia anche sulla identificazione dei titolari dei trattamenti, che ritiene debbano essere le autorità sanitarie dei diversi Stati, o agenzie che abbiano la funzione della cura dell’interesse pubblico in ambito sanitario.
Un ulteriore fattore di successo e di compliance dell’azione sarà la certezza da parte del soggetto di avere il controllo totale della gestione dei propri dati.
Pertanto, l’affidabilità verrà garantita dai seguenti fattori:
- la volontarietà dell’installazione dell’applicazione;
- la possibilità di prestare o meno il consenso ad ogni singola funzionalità dell’app;
- un sistema decentralizzato per la conservazione dei dati di prossimità e trasmissione di questi alle autorità sanitarie solo dopo che la positività al virus sia stata rilevata, fermo restando il consenso della persona infetta;
- trasparenza nell’informazione sulle modalità di trattamento dei dati degli utenti, la possibilità di esercitare tutti i diritti previsti dal GDPR fatte salve eventuali restrizioni proporzionate, necessarie e legittime;
- la disattivazione automatica dell’applicazione e la cancellazione dei dati al termine dello stato di necessità.
L’archiviazione dei dati, sul dispositivo dell’utente, è consentita se questi abbia dato il consenso libero, specifico, esplicito e informato oppure se necessaria per l’installazione dell’applicazione stessa da parte dell’utente. Il principio della minimizzazione dei dati viene ribadito dalla Commissione specificando che possono essere trattati solo quei dati personali adeguati, rilevanti e afferenti a quanto necessario per lo scopo specifico. In linea generale, i dati di prossimità dovranno essere conservati per il periodo necessario e non oltre un mese ed eventualmente eliminati successivamente all’esito negativo del test medico. Le Autorità Garanti della Protezione dei dati dovranno essere parte attiva nello sviluppo delle applicazioni e farsi carico del monitoraggio delle stesse e a questo riguardo la Commissione fa specifico riferimento all’art. 35 GDPR sulla valutazione di impatto sulla protezione dei dati.
I prossimi passi
Entro il 31 maggio gli Stati membri dovranno informare ufficialmente la Commissione sulle misure adottare fornendo anche aggiornamenti bisettimanali per tutta la durata della crisi.
Entro il 30 giugno la Commissione pubblicherà un rapporto sui progressi conseguiti che includerà proposte di ulteriori azioni di proseguimento.
Il Garante italiano
Sul contact tracing è intervenuto anche Antonello Soro, il Presidente dell’Autorità garante italiana per la protezione dei dati personali, tra l’altro in una audizione alla IX Commissione della Camera dei deputati, svoltasi in videoconferenza l’8 aprile 2020, nella quale ha svolto delle osservazioni in merito all’uso delle nuove tecnologie e della rete per contrastare l’emergenza epidemiologica da Coronavirus. Il garante italiano ha puntualizzato che le tecnologie digitali potrebbero rappresentare preziosi strumenti ai fini prognostici e statistici ma potrebbero sortire effetti apprezzabili solo ed esclusivamente se contestualmente impiegate con altre misure complementari e con interventi normativi dettagliati che prevedano le opportune garanzie per i già menzionati diritti e principi.
D’altro canto, è stata posta l’attenzione su quelli che sono i fattori che dal punto di vista pratico potrebbero contribuire in modo più o meno incisivo all’efficacia delle tecniche di contact tracing per la ricostruzione della catena epidemiologica. Il Garante ha giustamente osservato non solo che l’utilizzo dell’infinità di dati raccolti in una prima fase sarebbe molto limitato se poi non si avessero a disposizione le risorse necessarie per rilevare la positività al virus in sede di accertamento sanitario, ma neppure il ricorso a tecnologie quali il segnale Bluetooth dei dispositivi cellulari potrebbe portare a risultati precisi e realistici. L’efficacia diagnostica in quest’ultimo caso, stimata nell’ordine del 60%, dipenderebbe dall’adesione responsabile, volontaria e incondizionata dei soggetti alla tecnica di tracciamento oppure dalla possibilità economica e cognitiva dei cittadini di utilizzare smartphones e simili tecnologie. Basti pensare, a tal proposito, alla percentuale di cittadini che uscendo di casa portano con sé il cellulare e sicuramente tra questi non rientrano tutti gli anziani, i quali tra l’altro sono particolarmente esposti al rischio di contagio e a tutte le conseguenze negative che ne derivano.
Con riferimento alle tecniche di conservazione dei dati invece il Garante ha espresso la propria preferenza per la loro registrazione (solo per il periodo della potenziale incubazione) mediante l’utilizzo del c.d. “diario dei contatti” presente nell’applicazione mobile e destinato a rimanere nell’esclusiva disponibilità dell’interessato fintantochè non si renda necessaria la loro personalizzazione in caso di rilevata positività. In simili circostanze sarebbe opportuno che il soggetto contagiato fornisca all’asl il codice identificativo Imei del proprio dispositivo mobile affinchè, mediante calcoli algoritmici, il server centrale possa ricostruire i contatti sociali avvenuti nelle settimane precedenti e successivamente inviare una notifica sui dispositivi di coloro i quali siano in possesso dell’applicazione e che siano entrati in contatto con la persona infetta. Naturalmente, la tecnica descritta non consentirebbe la reidentificazione di questi soggetti e sarebbe auspicabile che il trattamento dei dati sia affidato prevalentemente a soggetti pubblici poiché garantirebbero maggiore trasparenza, controllabilità e affidabilità nel loro operato.
È fortemente sentita, inoltre, l’esigenza di una norma di rango primario, temporaneamente efficace, che limiti l’incidenza delle misure di cui si tratta sul diritto alla riservatezza e sui più generali diritti fondamentali degli individui nonché un’esigenza di uniformità degli interventi sia a livello nazionale che sovranazionale. In conclusione, l’auspicio del Presidente del Garante privacy italiano è sì quello di adottare tutte le misure necessarie per combattere la crisi epidemiologica ma scongiurando uno “scivolamento inconsapevole dal modello coreano a quello cinese, scambiando la rinuncia a ogni libertà per l’efficienza e la delega cieca all’algoritmo per la soluzione salvifica”.
La scelta dell’app Immuni
La sera del 16 aprile il governo italiano ha scelto l’app italiana che consentirà di tracciare i contagi e dunque di monitorare la diffusione del coronavirus nella fase 2 della ripresa. Si tratta di “Immuni”, sviluppata dalla società Bending Spoons, la quale cederà gratuitamente la licenza d’uso sul software e svolgerà, sempre gratuitamente, le attività per “consentire gli sviluppi informatici che si renderanno necessari per la messa in esercizio del sistema nazionale di contact tracing digitale”., nonché “per le garanzie che offre per il rispetto della privacy”. La decisione è stata già oggetto di diverse valutazioni a caldo. Viene apprezzata la scelta di un progetto dichiaratamente conforme alle prescrizioni della Commissione europea e dei garanti della privacy, sia sotto il profilo tecnologico che con riguardo alla dimensione “paneuropea” del progetto di riferimento. Tuttavia, alcuni aspetti suscitano perplessità: una tecnologia che, nelle intenzioni, dovrebbe essere decisiva nel contrasto al Covid-19 viene ceduta a titolo gratuito, e ciò fa il paio con una apparente indeterminatezza e/o non completezza dello stesso contenuto della tecnologia ceduta la quale deve essere ancora sviluppata per poter essere messa all’opera. Sotto un altro profilo sono state poste domande relative alla identità del soggetto che è stato prescelto e dei suoi azionisti. Al riguardo, in ultimo due membri del Comitato parlamentare per il controllo dei servizi di sicurezza (Copasir) – gli onorevoli Zennaro (5S) e Borghi (PD) – hanno chiesto che lo stesso Copasir prenda in esame il progetto Immuni sotto il profilo della sicurezza nazionale in quanto la scelta governativa “deve essere attentamente approfondita anche sotto il profilo del suo impatto sul sistema complessivo delle libertà, delle garanzie e della certezza che non vi possano essere soggetti ostili all’interesse nazionale nello sviluppo della applicazione”.
Nel frattempo, sul tema è al lavoro anche la Task Force coordinata da Vittorio Colao il quale, nel prefigurare le condizioni per l’avvio della cosiddetta Fase 2, aveva nei giorni scorsi prospettato un’app che integrasse anche le autocertificazioni per gli spostamenti rese con modalità digitale. Al momento il progetto sembra in stand by in ragione della preferenza del governo per l’app Immuni ma la storia continua…
__________________________________________________________________
Riferimenti: due disamine critiche delle diverse soluzioni di contact tracing si trovano in:
Carola Frediani, Emergenza Covid-19 e misure tech, https://www.valigiablu.it/coronavirus-emergenza-tecnologia/
Agostino Clemente, Privacy e salute by design, https://www.personaedanno.it/articolo/privacy-e-salute-by-design-agostino-clemente
