Valutare l’impatto della privacy e sulla privacy ai tempi del Covid-19
Nell’ambito della crisi COVID-19, la complessità della regolazione in materia della privacy risiede nel bilanciamento tra la capacità di tutela dei diritti individuali e la capacità di garantire l’efficacia del sistema di governance dell’emergenza sanitaria. Com’è noto, l’art. 35 del GDPR n. 2016/679 parla di valutazione d’impatto sulla protezione dei dati che deve essere effettuata dal titolare del trattamento quando quest’ultimo prevede l’uso di tecnologie che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
Il GDPR, chiarisce quali siano i contenuti della valutazione di impatto:
a) Descrizione del trattamento e dell’interesse legittimo del titolare dei dati.
b) Valutazione della proporzionalità dei trattamenti rispetto alla finalità perseguita.
c) Valutazione dei rischi per i diritti e le libertà degli interessati e delle misure previste per affrontare i rischi, cioè le probabilità che un evento dannoso si verifichi.
IL GDPR regola inoltre l’obbligatorietà della valutazione d’impatto e specifiche linee guida indicano le condizioni in cui il titolare del trattamento ha l’obbligo di tale valutazione by design.
Partendo dal contenuto dell’ordinanza n. 10 del 16 aprile 2020 che individua il contact tracing e l’APP IMMUNI, rispettivamente come strategia e mezzo più adeguati al “contenimento e contrasto dell’emergenza epidemiologica” e “riduzione della diffusione del virus”, vorrei fornire alcuni spunti metodologici per un process tracing dell’implementazione dell’ordinanza, secondo un approccio di policy che possa risultare utile alla definizione dell’impatto della privacy e sulla privacy e alla sua misurazione multidimensionale.
Premesso che l’impatto è qui inteso come effetto di medio-lungo periodo, positivo o negativo, sull’andamento dell’emergenza e della crisi sanitaria, esso può essere misurato tenendo conto degli effetti che l’implementazione dell’ordinanza sarà in grado di esercitare su una serie di dimensioni rilevanti per la sua efficacia. L’ordinanza afferma che si debba, in modo rapido, identificare i soggetti “potenzialmente infetti” prima che emergano i sintomi e per questo, in conformità con le garanzie di rispetto della privacy e attraverso l’attività di monitoraggio attivo, raccogliere, analizzare, utilizzare e conservare dati personali di almeno il 60% della popolazione per garantire al contact tracing efficacia sul piano nazionale.
Se si volesse monitorare l’impatto sulla e della privacy di tale politica almeno sei sono le dimensioni che, a mio avviso, rilevano e su cui potrebbero essere costruiti indicatori di impatto.
1. La volontarietà dell’adesione all’APP IMMUNI. La mappatura del rischio in emergenza sanitaria è affidata a uno strumento volontario che, da un lato, risolve il problema del consenso del cittadino, e dall’altro lascia l’emergenza sanitaria sospesa a decisioni future che riguardano questo punto centrale. Il Tasso di adesioni volontarie, ovvero la percentuale di installazioni o disinstallazioni sul totale della popolazione, potrebbe sicuramente essere un indicatore di impatto. Resta il fatto che non sappiamo se e come il cittadino sarà incentivato o indotto a sottoporsi a contact tracing volontario. Non è del tutto chiaro chi sia il titolare del trattamento.
2. Tutela di soggetti vulnerabili. Il Gruppo dei Garanti Europeo ha affermato che benché leggi nazionali (l’ordinanza non è una legge) possano autorizzare l’utilizzo di APP, è necessario evitare conseguenze negative per le persone che NON utilizzano tali strumenti. La domanda è se il digital divide di alcune fasce deboli della popolazione (anziani) sia stato considerato come impedimento all’efficacia della politica, e quali rimedi siano indicati. La percentuale della popolazione target più a rischio che utilizza l’APP (anziani ecc), è senz’altro un indicatore di impatto.
3. Il tempo impiegato per raggiungere il 60% della popolazione target. Anche ammesso che il fatidico 60% sia raggiunto, in quanto tempo ciò potrà avvenire date le premesse di cui sopra e a che condizioni? L’indicatore tempo è senz’altro una misura di efficienza/efficacia.
4. Oneri/costi aggiuntivi per il cittadino. L’APP è scaricabile gratuitamente ma essa è accompagnata da altri oneri/costi per il cittadino che: a) deve disporre di un cellulare e di un abbonamento telefonico, b) ‘deve’, secondo l’ordinanza, aggiornare quotidianamente il proprio ‘diario clinico’. E se non lo fa, cosa può accadere?
5. Utilizzo appropriato dei dati (pazienti, dipendenti, minori). La volontarietà dell’adesione al tracciamento se da un lato risolve il problema del consenso informato, dall’altro, lascia comunque aperto il problema dell’utilizzo dei dati raccolti, sia pure anonimizzati, lungo tutto il processo, della loro conservazione e cancellazione. La cancellazione si può configurare come un ‘diritto all’oblio’? Che implicazioni avrebbe tale cancellazione sulla gestione post-emergenza?
6. Integrazione territoriale del tracciamento. L’approccio Pan Europeo si impone poiché il problema della diffusione COVID-19 è glocale, cioè investe comunità locali fortemente interconnesse su scala regionale, nazionale, europea e globale. La dimensione territoriale del tracciamento e legata al grado di interoperabilità delle banche italiane con quelle di altri paesi. Il grado di integrazione territoriale è centrale per valutare l’impatto.
Per garantire by design la protezione dei dati personali e costruire validi indicatori di impatto mancano ancora specifiche disposizioni circa le modalità di registrazione dei contatti sullo smartphone, la trasmissione cifrata dei dati ad un server, la valutazione algoritmica dei contatti (da parte di chi?) e la notifica di un messaggio ai potenziali contagiati (chi notifica? E come?).
