App e Contact Tracing Covid nel mirino del Comitato europeo per la protezione dati: la privacy deve essere rispettata

App sul tracciamento anti-Covid: quali requisiti?

 

Con l’ordinanza n. 10/2020 del 16 aprile 2020, il Commissario straordinario per l’emergenza ha disposto di di procedere alla stipula del contratto di concessione gratuita della licenza d’uso sul software di contact tracing e di appalto di servizio gratuito con la società Bending Spoons S.p.a. per la realizzazione dell’App “Immuni”.

Secondo il Commissario straordinario, il contact tracing o tracciatura dei contatti è una delle azioni di sanità pubblica utilizzate per la prevenzione e contenimento della diffusione di molte malattie infettive.

In particolare, le funzioni sviluppate dalla software house sono due:

• La prima consiste nel sistema di tracciamento dei contatti posti a un metro di distanza, attraverso la tecnologia Bluetooth. L’ app scaricata, infatti, permette la generazione di codici identificativi di tutti i dispositivi con i quali si è venuti in contatto, conservandoli sul dispositivo di ciascun cittadino – utente, così da poter rintracciare e isolare i potenziali contagiati ripercorrendo a ritroso tutti gli incontri di una persona risultata positiva al virus.
• La seconda funzione consiste nella redazione di un diario clinico, contenente tutte le informazioni più rilevanti del singolo utente, come ad esempio il genere, l’età, eventuali patologie pregresse ed assunzione di farmaci. Sarà cura dello stesso utente procedere all’aggiornamento del diario clinico, soprattutto in caso di eventuali sintomi riscontrati.

 

L’impiego delle App, anche se gestite da autorità pubbliche, richiede comunque il rispetto degli standard previsti dal GDPR in tema di protezione dei dati personali e di sicurezza del trattamento.

Come chiarito anche dal Comitato dei Garanti (EDPB) con le recenti Guidelines 3/2020, anche il trattamento di dati relativi alla salute attraverso app deve essere conforme al GDPR. In particolare, dovranno essere garantiti:

• La sussistenza di una base giuridica legittimante le operazioni di trattamento;
• La trasparenza e la correttezza del trattamento, anche attraverso la predisposizione dell’informativa ai sensi degli artt. 13 – 14 GDPR;
• La predisposizione di misure che garantiscano la sicurezza del trattamento;
• L’esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

• percorsi di formazione e aggiornamento;
• percorsi di approfondimento e perfezionamento;
• servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

1. Corsi di formazione per Data Protection Officer

• Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
• Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

• Corso “GDPR: LE PRINCIPALI NOVITÀ SULLA PROTEZIONE DEI DATI PERSONALI”, per consentire a tutti i soggetti coinvolti nel trattamento dei dati personali (ad esempio, personale dipendente) di ottenere un’adeguata formazione e aggiornamento in materia di gestione dei dati personali.
• Non da ultimo, risulta indispensabile formare l’amministratore di sistema attraverso il corso “Amministratore di sistema”, appositamente dedicato a tale figura.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.