COVID-19: FAQ del Garante privacy su app nazionale di contact tracing e app regionali – GARANTE PRIVACY – Comunicato 13 luglio 2020

COVID-19: FAQ del Garante privacy su app nazionale di contact tracing e app regionali

Può una Regione consentire l’accesso sul proprio territorio solo a condizione che l’interessato installi e utilizzi una app? La mancata installazione dell’app “Immuni” può comportare conseguenze per l’interessato? Quale è la base giuridica delle altre app, diverse da quelle di telemedicina, utilizzate per il contrasto al Covid 19?

A questi e ad altri quesiti rispondono le Faq pubblicate dal Garante per la protezione dei dati personali sulle problematiche connesse alla realizzazione dell’app nazionale di tracciamento, nonché di altre app da parte di soggetti pubblici o strutture sanitarie.

Le Faq, disponibili da oggi sul sito dell’Autorità www.garanteprivacy.it, contengono indicazioni di carattere generale, anche ispirate alle risposte fornite a reclami, segnalazioni, quesiti ricevuti dall’Ufficio in questo periodo di emergenza.

Riguardo alle app regionali, il Garante ha chiarito che le persone non possono essere obbligate ad installarle e che la mancata installazione non può comportare alcuna conseguenza pregiudizievole per gli interessati o condizionare l’accesso ad aree o territori.

Con specifico riferimento all’app nazionale di contact tracing (app “Immuni”), già autorizzata dal Garante, l’Autorità ha ribadito che la sua installazione è su base volontaria e che dalla mancata installazione non può derivare alcuna conseguenza pregiudizievole (come, ad esempio, limitazioni nella fruizione di beni o servizi).

Le strutture sanitarie che intendono avvalersi di strumenti di telemedicina (app di telediagnosi, teleconsulto, teleassistenza e telemonitoraggio utilizzate dal personale medico) per effettuare diagnosi o terapie a distanza, non devono richiedere uno specifico consenso al trattamento dei dati personali dell’interessato.

Per l’utilizzo di app diverse da quelle di telemedicina (quali, ad esempio, app divulgative o app per la raccolta di informazioni sullo stato di salute della popolazione di un dato territorio), è necessario invece il consenso dell’interessato, il quale deve essere adeguatamente informato sull’uso che verrà fatto dei suoi dati.

L’Autorità ha inoltre sottolineato che le app devono trattare solamente i dati strettamente necessari a perseguire le finalità del trattamento, evitando di raccogliere dati eccedenti (ad esempio, quelli relativi all’ubicazione del dispositivo mobile dell’utente) e limitandosi a richiedere permessi per l’accesso a funzionalità o informazioni presenti nel dispositivo solo se indispensabili.

Amministrazioni pubbliche, Regioni, strutture sanitarie dovranno infine valutare i rischi che potrebbero derivare dall’eventuale trasferimento di dati a terze parti (ad esempio, mediante social login, notifiche push, ecc.), soprattutto se stabilite al di fuori dell’Unione Europea.

ALLEGATO

1) Quale è la base giuridica per il sistema nazionale di tracciamento digitale dei contatti (contact tracing)?

L’App per il tracciamento digitale dei contatti dei contagiati da Covid 19 è stata disciplinata dall’art. 6 del decreto legge 30 aprile 2020, n. 28 che ha istituito il Sistema nazionale di allerta Covid uniformando, a livello nazionale, il quadro di garanzie poste a tutela degli interessati.

La norma rappresenta un adeguato presupposto giuridico per introdurre tale misura di sanità pubblica e soddisfa i requisiti previsti dal Regolamento (UE) 2016/679 (articoli 6, par.1, lett. e) e 9, par. 2, lett. g) e, in particolare, lett. i)) e dal Codice (articoli 2-ter e 2-sexies).

Il Ministero della Salute, ai sensi del citato art. 6 del d.l. 28/2020, ha condotto la valutazione d’impatto prevista dall’art. 35 del Regolamento e il Garante ha successivamente autorizzato il trattamento effettuato attraverso l’App Immuni (provvedimento adottato il 1° giugno 2020 – doc. web. n. 9356568)

2) È obbligatorio installare l’App Immuni?

No, la norma prevede che l’App sia installata dagli interessati su base volontaria.

L’adesione al sistema di allerta deve essere infatti frutto di una scelta realmente libera da parte dell’interessato che deve essere adeguatamente informato e deve poter confidare nella trasparenza del trattamento. La volontarietà dell’adesione dell’interessato è assicurata in ogni fase del trattamento effettuato dal Ministero della salute, come ribadito dal Garante sia nel parere sulla norma (cfr. parere del 29 aprile 2020 – doc. web n. 9328050) che nell’autorizzazione dell’App Immuni (cfr. provvedimento del 1° giugno 2020 – doc. web n. 9356568).

3) La mancata installazione dell’App Immuni può comportare conseguenze per l’interessato?

La mancata installazione dell’App, seppure priva l’interessato della possibilità di ricevere avvisi automatici sugli eventuali contatti a rischio, non determina conseguenze negative, né può rappresentare la condizione per l’esercizio di diritti o per usufruire di determinati servizi o beni.

4) Può una Regione consentire l’accesso sul proprio territorio solo a condizione che l’interessato installi e utilizzi un‘ App ?

No, tanto è vero che la norma nazionale che ha introdotto il sistema di Allerta Covid, attraverso il tracciamento digitale dei contatti, ha stabilito che le persone non possono essere obbligate a installare l’App e che la mancata installazione non può comportare alcuna conseguenza pregiudizievole per gli interessati ovvero incidere sull’esercizio dei diritti fondamentali, quale, in particolare, la libertà di circolazione (art. 16 Cost.)

5) Quale è la base giuridica per l’utilizzo di App di telemedicina per il contrasto al Covid 19 da parte delle strutture sanitarie?

La normativa d’urgenza adottata per il Covid 19 ha previsto misure rigorose per lo svolgimento delle visite mediche, al fine di favorire l’adozione di misure di protezione per il paziente e per il personale sanitario, nonché per garantire il distanziamento interpersonale tra gli stessi pazienti.

In tale contesto, le strutture sanitarie che intendono avvalersi di strumenti di telemedicina (App di telediagnosi, teleconsulto, teleassistenza e telemonitoraggio utilizzate dal personale medico) per effettuare diagnosi o terapie a distanza, non devono richiedere uno specifico consenso al trattamento dei dati personali dell’interessato, in quanto si tratta di una diversa modalità di svolgimento del rapporto medico-paziente (cfr. in particolare art. 9, par.2, lett. h) e par. 3 del Regolamento).

Il titolare del trattamento dovrà in ogni caso provvedere a effettuare la valutazione di impatto (art. 35 del Regolamento), fornire all’interessato un’informativa completa con riferimento al trattamento dei dati effettuato attraverso la predetta App, nonché assicurare il rispetto dei principi di integrità, riservatezza ed esattezza dei dati trattati anche attraverso tale specifica modalità di trattamento.

6) Può essere imposta l’installazione delle App di telemedicina per il contrasto al Covid 19 utilizzate dalle strutture sanitarie?

No, il Servizio Sanitario Nazionale deve garantire la prestazione sanitaria anche a coloro che non possano o non intendano installare App di telemedicina. La prestazione in tal caso sarà erogata nel rispetto delle disposizioni e dei protocolli adottati per assicurare il rispetto delle misure di protezione individuale.

7) Quale è la base giuridica delle altre App, diverse da quelle di telemedicina, utilizzate per il contrasto al Covid 19?

Premesso che le App di tracciamento devono avere una adeguata base normativa e rispettare i criteri già definiti a livello nazionale, le App, volte a fornire servizi diversi dalla telemedicina o comunque non strettamente necessari alla cura (App divulgative; App per la raccolta di informazioni sullo stato di salute della popolazione di un dato territorio), che comportino il trattamento di dati personali, possono essere utilizzate, in linea generale, solo previo consenso libero, specifico, esplicito e informato dell’interessato (cfr. provvedimento del 7 marzo 2019 – doc. web n. 9091942).

8) Come devono essere configurate le App per assicurare il rispetto dei principi di privacy by design e privacy by default?

Le App devono trattare solamente i dati strettamente necessari a perseguire le finalità del trattamento evitando di raccogliere dati eccedenti (es. quelli relativi all’ubicazione del dispositivo mobile dell’utente) e limitandosi a richiedere permessi per l’accesso a funzionalità o informazioni presenti nel dispositivo, solo se indispensabili. Nell’ambito delle relative valutazioni di impatto sarà, inoltre, necessario valutare attentamente, tra l’altro, la liceità e i rischi derivanti dall’eventuale trasferimento di dati a terze parti (es. social login, notifiche push, ecc.), soprattutto se stabilite al di fuori dell’Unione Europea.