Sistema di allerta Covid-19 nel D.L. 28/2020: la conformità al GDPR è essenziale

Il grave contesto emergenziale ha comportato l’incremento, nel corso dell’ultimo mese, di nuove iniziative e misure proposte per garantire il monitoraggio e la prevenzione dei contagi. Sulla scorta delle esperienze già sperimentate a livello europeo, anche nel nostro paese sono proliferate molteplici proposte per la realizzazione di App che assicurassero il monitoraggio dei contatti.

Si sono pertanto susseguite:

• Iniziative su base regionale per il monitoraggio del contagio dei cittadini residenti nelle rispettive regioni;
• Successivamente, si è manifestato l’intento, anche a livello nazionale, di procedere all’ideazione di App per il tracciamento dei contatti sull’intero territorio nazionale, dapprima secondo logiche centralizzate e, successivamente, ispirandosi a logiche decentralizzate.

Gli ultimi approdi sono confluiti nel Decreto Legge del 30 aprile 2020 n. 28, pubblicato nella Gazzetta Ufficiale n. 111 del 30 aprile 2020.

La Presidenza del Consiglio dei Ministri aveva già richiesto il parere del Garante per la protezione dei dati personali su una proposta normativa per il tracciamento dei contatti fra soggetti, attuata mediante apposita applicazione su dispositivi di telefonia mobile. A seguito del parere favorevole dell’Autorità Garante, attraverso la decretazione d’urgenza il governo ha disposto all’articolo 6 specifiche misure per l’introduzione del sistema di allerta Covid-19; il Decreto, inoltre, contiene ulteriori misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, l’ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile.

In particolare, il D.L. 28/2020 ha istituito una piattaforma unica nazionale per la gestione del sistema di allerta dei soggetti che, a tal fine, hanno installato, su base volontaria, un’apposita applicazione sui  dispositivi  di  telefonia mobile.

L’introduzione della piattaforma unica non costituisce alcuna deroga alla tutela della protezione dati. Il Ministero per la Salute, in qualità di Titolare del trattamento, sarà tenuto ad osservare tutte le prescrizioni contenute nel GDPR e, come precisamente richiamato dall’articolo 6 del Decreto:

• All’esito di una valutazione di impatto, effettuata ai sensi dell’art. 35 del GDPR e comunque costantemente aggiornata, adotta misure   tecniche   e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi elevati per i diritti e le libertà degli interessati, sentito il  Garante  per  la  protezione  dei   dati   personali   ai   sensi dell’articolo 36, paragrafo 5, del medesimo Regolamento (UE) 2016/679 e dell’articolo 2-quinquiesdecies del Codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno  2003,  196;
• Nell’assicurare altresì il rispetto degli articoli 13 e 14 del GDPR, dovranno essere fornite agli utenti, prima dell’attivazione dell’applicazione, informazioni chiare e trasparenti al fine di raggiungere  una  piena consapevolezza, in particolare, sulle finalità e sulle operazioni di trattamento, sulle tecniche di pseudonimizzazione  utilizzate  e  sui tempi di conservazione dei dati;
• Assicurare per impostazione predefinita, conformemente all’articolo 25 GDPR, che i dati personali raccolti siano esclusivamente quelli necessari ad avvisare gli utenti dell’applicazione di rientrare tra i contatti stretti di altri utenti  accertati  positivi  al  COVID-19;
• Che il trattamento effettuato per allertare i contatti sia basato sul trattamento di dati di prossimità dei dispositivi, resi  anonimi oppure, ove ciò non sia possibile, pseudonimizzati;
• Che siano garantite su base   permanente   la riservatezza, l’integrità, la disponibilità e la resilienza dei  sistemi  e  dei servizi di trattamento nonché’ misure adeguate ad evitare il  rischio di reidentificazione degli interessati  cui  si  riferiscono  i  dati pseudonimizzati oggetto di trattamento;
• Indicare e garantire tanto periodi di considerazione strettamente necessari, quanto l’esercizio dei diritti dell’interessato con modalità semplificate.

In conclusione, la funzionalità della piattaforma è strettamente collegata alla tutela della protezione dati. Pertanto, la protezione dati non costituisce soltanto una necessità, ma nell’attuale contesto emergenziale diventa una vera e propria priorità.

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

• percorsi di formazione e aggiornamento;
• percorsi di approfondimento e perfezionamento;
• servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

1. Corsi di formazione per Data Protection Officer

• Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
• Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

• Corso “GDPR: LE PRINCIPALI NOVITÀ SULLA PROTEZIONE DEI DATI PERSONALI”, per consentire a tutti i soggetti coinvolti nel trattamento dei dati personali (ad esempio, personale dipendente) di ottenere un’adeguata formazione e aggiornamento in materia di gestione dei dati personali.
• Non da ultimo, risulta indispensabile formare l’amministratore di sistema attraverso il corso “Amministratore di sistema”, appositamente dedicato a tale figura.

Ulteriori dettagli sui percorsi formativi sono disponibili qui.