La tutela di dati personali è uno dei diritti fondamentali della persona. Può essere limitato in caso di emergenza, come lo è adesso quella sanitaria. Ma solo a determinate condizioni: temporaneità, necessità e proporzionalità delle misure restrittive.
Emergenza sanitaria e diritto alla privacy
Nelle scorse settimane è stata costituita una task force di esperti (articolo 76, decreto legge n. 18/2020) con il compito di vagliare soluzioni tecnologiche per contenere la trasmissione del Covid-19. In particolare, si parla di un sistema di tracciatura di spostamenti e contatti di soggetti contagiati o ad alto rischio. Sul piano giuridico, si dibatte circa la compatibilità del tracing con il diritto alla riservatezza garantito dalla normativa vigente (regolamento Ue 2016/679 Gdpr – General Data Protection Regulation e direttiva 2002/58/Ce, ePrivacy), nonché sulla necessità di una legge che disciplini in modo puntuale i limiti alla tracciatura in funzione di tale diritto.
Per quanto riguarda il primo punto, è indubbio che in caso di emergenza sanitaria il diritto alla tutela dei dati personali possa essere compresso. Il regolamento generale sulla protezione dei dati (articolo 23) consente all’Unione o agli stati membri – in vista della salvaguardia di interessi pubblici essenziali – di “limitare, mediante misure legislative”, la portata di obblighi e diritti da esso previsti, purché tale limitazione “rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica”. Una norma sostanzialmente analoga è contenuta nella direttiva ePrivacy (articolo 15). Ancora, il Gdpr (articolo 9 par. 2, lett. i) dispone che il trattamento di dati particolari, tra cui quelli sanitari, vada considerato lecito se “necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero”. Sempre il Gdpr (considerando 46) afferma che “alcuni tipi di trattamento dei dati personali” possono rispondere a “rilevanti motivi di interesse pubblico”, tra cui “tenere sotto controllo l’evoluzione di epidemie e la loro diffusione”. Dunque, di fronte a esigenze connesse al diritto alla salute, la protezione di dati personali può essere attenuata e, quindi, garanzie inerenti alla riservatezza possono essere limitate – specificamente, i dati possono essere trattati senza consenso – purché ogni misura restrittiva sia “necessaria, opportuna e proporzionata” (articolo 15, direttiva ePrivacy). In particolare, i dati personali devono essere “trattati in modo lecito, corretto e trasparente”; “raccolti per finalità determinate, esplicite e legittime”; “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”; “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (articolo 5 Gdpr). Inoltre, va effettuata una valutazione d’impatto per l’analisi dei rischi derivanti dal loro trattamento (articolo 35 Gdpr).
Le condizioni necessarie
Sul secondo punto – la necessità di una apposita legge che concili tracciatura e riservatezza – secondo la normativa vigente servono specifiche disposizioni per “adattare l’applicazione” delle regole sulla privacy e “determinare con maggiore precisione requisiti specifici per il trattamento di dati personali” (considerando 19 Gdpr, oltre ai citati articoli 23 Gdpr e 15 direttiva ePrivacy). Ciò è stato ribadito da Comitato europeo per la protezione dei dati (Edpb), Garante privacy e Consiglio di Europa. Per calibrare il trattamento di dati personali in una emergenza, dunque, non sembra sufficiente la norma di un recente decreto legge (n. 14/2020, articolo 14) ove si prevede, con una generica disciplina, che soggetti partecipanti al sistema di protezione civile possano “effettuare trattamenti, ivi inclusa la comunicazione tra loro, dei dati personali” per evitare il diffondersi del Covid-19.
È utile rammentare che il diritto alla tutela di dati personali è oggetto non solo della normativa sulla privacy ma anche di specifica considerazione nella Carta dei diritti fondamentali dell’Ue (articolo 8); inoltre, costituisce uno dei diritti fondamentali ai sensi della Convenzione europea dei diritti dell’uomo (articolo 8) e del Patto per i diritti civili e politici dell’Onu (articolo 17).
Tali diritti possono essere compressi, in caso di emergenza, solo a determinate condizioni: in particolare, temporaneità, necessità e proporzionalità delle misure restrittive. Le medesime condizioni per l’azione normativa – declinate come idoneità, necessità e proporzionalità in senso stretto – a tutela dei diritti individuali sono presenti anche nel Trattato sull’Unione europea (articolo 5): “idoneità” è la capacità di soddisfare i fini perseguiti; “necessità” significa scegliere la soluzione non solo più appropriata, ma meno restrittiva di diritti personali, valutando se altre meno invasive possano essere sufficienti; “proporzionalità” è bilanciamento di tutti gli interessi in gioco.
In conclusione, vogliamo richiamare le parole del Garante della privacy: “non è momento di improvvisazioni né di espressioni infelici come chi dice ‘io della privacy me ne frego’. La privacy è diritto alla libertà. (…) Dobbiamo accettare regole che senza dubbio ci limitano in nome di un bene superiore senza però mai dimenticare che la forza del nostro paese è sempre stato il modello democratico”.
* Le opinioni espresse in questo articolo sono esclusivamente dell’autore e non coinvolgono l’istituzione per cui lavora.
Lavoce è di tutti: sostienila!
Lavoce.info non ospita pubblicità e, a differenza di molti altri siti di informazione, l’accesso ai nostri articoli è completamente gratuito. L’impegno dei redattori è volontario, ma le donazioni sono fondamentali per sostenere i costi del nostro sito. Il tuo contributo rafforzerebbe la nostra indipendenza e ci aiuterebbe a migliorare la nostra offerta di informazione libera, professionale e gratuita. Grazie del tuo aiuto!
Vitalba Azzollini, giurista, lavora presso la Consob, Commissione nazionale per le società e la borsa. È autrice di articoli e contributi in materia giuridica, nonché di paper per l’Istituto Bruno Leoni (IBL). Ha contribuito a due libri dell'IBL (“Il pubblico ha sempre ragione? Presente e Futuro delle Politiche Culturali” e “Noi e lo Stato. Siamo ancora sudditi?”).
toninoc
Chi dice “Io della privacy mene frego” si riferisce certamente alla privacy degli altri. Se si parlasse della sua, molto probabilmente la difenderebbe ad oltranza. Non si può pretendere di non avere limiti ai nostri diritti ed alla nostra libertà. Io sono libero di ascoltare musica ad alto volume a condizione che non disturbi oltremodo il mio vicino. Sono libero di andare dove voglio fuorché nei luoghi vietati dalla legge. La mia privacy è un diritto sacrosanto ma se sono sospettato di gravi reati, la magistratura può sospendere temporaneamente quel diritto mettendo sotto controllo le mie comunicazioni telefoniche o facendomi pedinare. Credo che anche nel caso dei positivi al test del corona- virus(che non sono delinquenti) ci siano sanzioni se lasciano i luoghi di quarantena perché la loro libertà di spostamento è limitata dal diritto dei cittadini sani a non essere contagiati. Le nostre libertà ed i nostri diritti restano tali entro i limiti disposti dalla legge. La Democrazia non è Anarchia . Tutto ciò che può essere fatto per ridurre i rischi dell’epidemia va fatto per interesse collettivo superiore a quello individuale. Ben vengano le app se aiutano a ridurrei contagi . Saranno disattivate con la scoperta(speriamo presto) di un nuovo vaccino.
Emilio Primi
Il problema non e’ quello di garantire assolutamente la privacy anche contro l’interesse collettivo, ma quello della sua gestione corretta. Lo strumento ipotizzato per fare accedere la pubblica autorita’ ai dati sensibili (uso di app su dispositivi di telefonia mobile) non garantisce che questi dati non siano trattati da terzi fuori da ogni controllo. Le cosiddette “app” possono essere usate solo accedendo a strumenti gestiti da due possibili soggetti (Google per i dispositivi con Android, Apple per i dispositivi con IOS); questi soggetti abbinano nelle loro basi dati ogni utente con ogni app che installa; e non mi risulta che siano passibili di sanzioni in caso di utilizzo di questi dati per i loro interessi.
E’ vero che su questo c’e’ poca informazione, al punto che molti difensori della privacy usano (credo per ignoranza) le app per trattare dati importanti (conti bancari, ecc.), ma questo tipo d’ignoranza non e’ ammissibile per organi dello stato.
C’e’ poi una forte dubbio sulla funzionalita’ pratica di un’app per il tracciamento dei contatti. Ad esempio, si e’ valutato con quale sensibilita’ (distanza e tempo di permanenza) deve essere regolata la rilevazione del contatto ? e si e’ valutato se i canali di rilevazione presenti nei telefonini (GPS e BlueTooth) hanno prestazioni sufficienti, e sufficientemente stabili per assicurare dati attendibili ?
L’impressione e’ che si stia facendo un’analisi approssimativa che portera’ a un grande spreco unitile di risorse.
toninoc
Molto istruttive le Sue spiegazioni e la ringrazio. Aggiungono informazioni ai profani del settore. Sappiamo però che l’app. non si scarica obbligatoriamente ma, senza che nessuno, neanche il Min. della salute possa obiettare alcunchè a chi non la vuole scaricare, non ci sono sanzioni o ripercussioni di nessun genere. La spesa sarebbe ingiustificata se i cittadini che la scaricno sono pochi, cosa che personalmente non auspico. Se come spero l’adesione sarà importante, la spesa sarà ampiamente giustificata dai risultati in termini di “medicina preventiva a vantaggio di tutta la collettività”. Anche in occasioni di tante elezioni politiche o referendum ricorre in tanti l’opinione che siano spese inutili ma a mio modestissimo avviso la Democrazia non ha prezzo…. così come la salute pubblica collettiva.
Ferdinando Gavelli
La privacy è un coltello a doppio filo nel mio caso, vivo a Cuba e sono residente, mi è andato distrutto il cellulare con la linea Tim , ho chiesto se facendo una delega a un amico, parente ecc e mi hanno risposto che devo essere presente in negozio a Lugo di Ravenna, la línea Tim mi è indispensabile per gestire il mio conto in banca, quindi devo farmi 16000 km fra andata e ritorno perché la legge sulla privacy non consente deroga, con una deroga è possibile comprare o vendere case o ciò che si voglia e non è ammessa per un caso come il mío ? é un assurdo