Covid-19 e Garante privacy

Come sappiamo, la normativa comunitaria e quella nazionale dedicano una particolare attenzione ai dati sanitari, essendo gli stessi connotati da una maggiore sensibilità. A tal fine, la disciplina privacy consente il trattamento di tali dati soltanto in casi specifici. È bene precisare che il trattamento di dati personali e, specialmente, di dati sanitari, in luogo delle misure di emergenza Covid-2019, trova la propria base giuridica nell’art. 9, par. 2, lett. i) del Regolamento europeo sulla protezione dei dati personali.

Secondo tale riferimento normativo, infatti, il trattamento di dati particolari è consentito in caso di gravi minacce per la salute e la sicurezza sociale. Ci troviamo, infatti, d’innanzi ad una situazione di emergenza in cui occorre bilanciare il bene della collettività con la tutela della dignità dell’individuo.

Si rende, pertanto, necessario un bilanciamento tra i diversi diritti costituzionalmente tutelati. Sul punto, è intervenuto il Garante Italiano della Privacy, il quale, con il Parere del 2 febbraio 2020, ha sottolineato la rilevanza del diritto alla salute, autorizzando modalità semplificate di trattamento in favore della Protezione Civile al fine di rendere efficaci le misure di prevenzione e di contenimento del contagio.

Diritto alla privacy vs. diritto alla salute
L’Autorità Garante ha autorizzato la Protezione Civile ad utilizzare con modalità semplificate tutti i dati raccolti, compresi quelli particolari (dati relativi alla salute), pur in assenza di una previa autorizzazione del Garante, sull’assunto, sopra menzionato, secondo cui il diritto alla privacy cede d’innanzi al diritto alla salute della comunità quando una sua compressione risulta necessaria per scongiurare situazioni di pericolo rilevanti.

Il Garante ha sottolineato, inoltre, la necessità che il trattamento dei dati, affinché sia legittimo, debba avvenire nei soli casi in cui tale utilizzo trovi il suo presupposto nelle fonti normative.

Seguendo il suddetto ragionamento, si può affermare che è legittimo il trattamento dei dati da parte dei Datori di Lavoro nei limiti e con le modalità previste dal Testo Unico sulla salute e sicurezza sui luoghi di lavoro (D.Lgs. 81/2008). In particolare, la vicenda del Coronavirus pone una questione di rischio biologico. Tale rischio ricorre in tutte le ipotesi in cui l’attività lavorativa espone il lavoratore al contatto con un “agente biologico”, ovvero qualsiasi “microrganismo anche se geneticamente modificato, coltura cellulare ed endoparassita umano che potrebbe provocare infezioni, allergie o intossicazioni”.

Qualcuno potrebbe obiettare che il rischio biologico non ricorra nella fattispecie in discussione, in quanto inerente ad aspetti ambientali connessi alle sostanze ed agli strumenti utilizzati nel processo produttivo.

Secondo chi scrive, tali norme necessitano di un’interpretazione estensiva alla luce del generale obbligo del Datore di Lavoro di tutelare i propri dipendenti da tutti rischi connessi all’attività lavorativa. Pertanto, può ritenersi che le stesse trovino piena applicazione anche con riferimento alla peculiare situazione in essere a seguito della diffusione del virus Covid-2019 nel territorio italiano.

Misure di prevenzione
Tra le misure oggi più applicate nei luoghi di lavoro vi sono la dotazione di prodotti antibatterici, mascherine e guanti protettivi. Nonché, nel caso in cui sia stato accertato il contagio di uno o più dipendenti, la predisposizione di controlli della temperatura corporea all’ingresso degli uffici o stabilimenti e limitazioni – totali o parziali – agli accessi ai luoghi di lavoro. Quest’ultima attività dovrà essere svolta dal medico competente o da suo delegato, con tutti i limiti posti dalle norme sulla sorveglianza sanitaria.

Tema altrettanto rilevante è quello della tutela dei luoghi di lavoro rispetto ai visitatori. In alcuni casi, infatti, sono stati somministrati veri e propri questionari sui comportamenti e sui dati sanitari di tali soggetti. Sul punto è intervenuto, nuovamente, il Garante Privacy, il quale ha stabilito nel Comunicato Stampa del 2 marzo 2020, che il compito relativo all’accertamento ed alla raccolta di informazioni relative a potenziali situazioni di contagio – presenza di sintomi influenzali, spostamenti in luoghi considerati a rischio, contatto con persone dei c.d. “focolai”, ecc. – spetta esclusivamente agli organi competenti, rinvenibili negli operatori sanitari nonché nella Protezione Civile. Viene, pertanto, fatto espresso divieto ai soggetti privati, tra cui anche i Datori di Lavoro, di procedere ad autonome indagini così come a specifiche richieste di informazioni.

Inoltre, risulta importante, in tale sede, soffermarsi sulla natura di tale provvedimento dell’Autorità Garante. Invero, si tratta di un Comunicato Stampa. La scelta di tale strumento, probabilmente è dovuta alle stringenti tempistiche nonché alla presa di coscienza della mutevolezza di tale situazione.

Si rileva, tuttavia, la poca chiarezza di tale atto, il quale pone dei limiti alle attività dei soggetti privati senza tener conto degli obblighi posti in capo agli stessi da altre normative di settore, andando così a creare confusione e disallineamento con le altre disposizioni normative.

Da ultimo, a testimonianza di tale contemperamento di interessi, si segnala che, oltre allo scambio di dati tra Forze dell’Ordine ed Autorità sanitarie, la diffusione dei dati personali e di quelli particolari relativi allo stato di salute è consentita anche con riferimento al diritto di cronaca. Invero, il giornalista è libero di trattare i dati personali e particolari purché rispetti il principio di liceità e di essenzialità dell’informazione.

In poche parole, il reporter deve valutare che ci sia l’interesse dell’opinione pubblica alla divulgazione della notizia. Peraltro, anche laddove non vengano indicati i dati personali, gli organi di stampa, riportando i dati epidemiologici relativi a luoghi circoscritti, divulgano notizie ed informazioni che rendono facilmente identificabili i soggetti interessati. Si precisa sul punto che ciò è giustificato, come sopra meglio specificato, dalla sussistenza di un interesse pubblico rilevante.

Quali limiti?
Quanto sin qui esposto mostra come le misure sopra esposte comportano, talvolta, un controllo invasivo nella vita delle persone: il monitoraggio sull’andamento del virus si traduce, infatti, in un conseguente monitoraggio della persona stessa. Estremo è il modello Corea dove è stata sviluppata da parte del Governo, di concerto con le Autorità sanitarie, un’app per tracciare le persone infette o potenzialmente tali.

Si tratta, infatti, di un sistema che, sebbene incentrato sul contenimento del rischio, raccoglie numerose informazioni su ciascun cittadino, con particolare riferimento ai dati sanitari, i quali, come sappiamo, sono connotati da una particolare sensibilità.

Ci si chiede, pertanto, se una tale situazione di emergenza possa portare effettivamente a misure che annullino o rendano quasi nulla la tutela della privacy. Si pensi al caso di tale app: può la limitazione del rischio contagio portare alla predisposizione di simili strumenti che invadono così tanto la sfera personale dell’individuo?

Detto in altri termini, è ammesso pensare al Big Brother come deus ex machina per porre rimedio a tale critica circostanza?

A tale quesito ha risposto Antonello Soro, Presidente del Garante per la protezione dei dati personali

“Non si tratta – dice a Repubblica – di sospendere la privacy, ma di adottare strumenti efficaci di contenimento del contagio, pur sempre nel rispetto dei diritti dei cittadini”.

C’è bisogno di uno strumento legislativo ad hoc per attuare questo protocollo? Quale?

“La disciplina di protezione dei dati coniuga esigenze di sanità pubblica e libertà individuale, con garanzie di correttezza e proporzionalità del trattamento. Ma una misura quale il contact tracing, che incide su un numero elevatissimo di persone, ha bisogno di una previsione normativa conforme a questi principi. Un decreto-legge potrebbe coniugare tempestività della misura e partecipazione parlamentare. Va da sé che la durata deve essere strettamente collegata al perdurare dell’emergenza”.

Come si evitano gli abusi nel trattamento dei dati? Come ci si difende da intrusioni malevole?

“La nostra disciplina offre gli strumenti per minimizzare il pericolo di abusi, secondo i principi di precauzione e prevenzione, che impongono misure di sicurezza e garanzie di protezione dati già nella fase di progettazione e impostazione della struttura tecnologica. Rispettando questi criteri, si può valorizzare al massimo grado l’innovazione”.

Si può immaginare uno scambio di dati criptato o anonimizzato?

“Lo scambio e, prima ancora, la raccolta dei dati devono avvenire nel modo meno invasivo possibile per gli interessati, privilegiando l’uso di dati pseudonimizzati (ove non addirittura anonimi), ricorrendo alla reidentificazione laddove vi sia tale necessità, ad esempio per contattare i soggetti potenzialmente contagiati. Nella complessa filiera in cui si articolerebbe il contact tracing, soggetti privati – a partire dalle grandi piattaforme – dovrebbero porre il patrimonio informativo di cui dispongono a disposizione dell’autorità pubblica, alla quale dovrebbe invece essere riservata la fase dell’analisi dei dati, che necessita delle garanzie e della responsabilità degli organi dello Stato. In ogni caso, le società coinvolte in questo progetto dovrebbero possedere requisiti di affidabilità e trasparenza di azione. Nella valutazione è fondamentale il vaglio di conformità ai requisiti di protezione dati, per la garanzia dei diritti degli interessati, per l’attendibilità dell’analisi dei dati e anche per la sicurezza nazionale. Non sottovaluterei l’odierno richiamo in proposito da parte del Copasir”.

Come si potrà poi tornare alla “normalità” una volta finita emergenza?

“La chiave è nella proporzionalità, lungimiranza e ragionevolezza degli interventi, oltre che nella loro temporaneità. Il rischio che dobbiamo esorcizzare è quello dello scivolamento inconsapevole dal modello coreano a quello cinese, scambiando per efficienza la rinuncia a ogni libertà e la delega cieca all’algoritmo per la soluzione salvifica”.