Il Comitato Europeo per la protezione dei dati personali è intervenuto sul delicato tema dell’applicazione e bilanciamento delle disposizioni del GDPR in relazione all’emergenza sanitaria in atto.

L’ EDPB apre alla possibilità di trattare i dati personali al fine di contenere la pandemia; le norme in materia privacy non vengono considerate di ostacolo all’adozione di misure per il contrasto, ma viceversa di supporto.

Tuttavia, nei giorni scorsi, le Autorità Garanti europee si sono espresse sul tema in maniera discordante e questo ha reso necessario un allineamento e nuove indicazioni da parte del Comitato europeo.

Cosa è consentito

In piena emergenza sanitaria, il GDPR consente alle competenti autorità sanitarie pubbliche e ai datori di lavoro di trattare dati personali, conformemente al diritto nazionale e alle condizioni ivi stabilite, sempre nel rispetto delle condizioni sancite dallo stesso Regolamento.

Per quanto riguarda in particolare le attività che comprendono categorie particolari di dati, effettuate perciò da parte di autorità pubbliche competenti, il Comitato ritiene che gli artt. 6 e 9 del GDPR consentano il trattamento, poiché esso ricade nell’ambito delle competenze che il diritto nazionale attribuisce a determinate categorie di autorità (ad es. autorità sanitarie pubbliche, strutture sanitarie, etc…).

Difatti, l’ EDPB ha indicato che il trattamento dei dati potrebbe essere giustificato se: “necessario per motivi di interesse pubblico nel settore della sanità pubblica” (art. 9, comma 2, lett.i); “necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica” (artt. 6, comma 1, lett d) e 9, comma 2, lett.c); o “necessario per adempiere un obbligo legale” (artt. 6, comma 1,lett.c) e 9, comma 2, lett.b).

La protezione di un interesse “vitale”

Ciò sembrerebbe indicare un’apertura da parte del Comitato alla possibilità di raccogliere dati personali, compresi quelli di carattere sanitario, da parte delle competenti autorità sanitarie pubbliche e ai datori di lavoro ai fini della prevenzione del contagio, secondo criteri di proporzionalità e minimizzazione.

In particolare, nel contesto lavorativo, il trattamento dei dati personali può essere necessario per adempiere un obbligo legale al quale è soggetto il datore di lavoro, per esempio in materia di salute e sicurezza o per il perseguimento di un interesse pubblico come il controllo delle malattie e altre minacce di natura sanitaria (si pensi, ad esempio alla gestione e smaltimento dei rifiuti). Il Regolamento prevede, inoltre, al Considerando 46 la liceità del trattamento dei dati personali per proteggere un interesse vitale, un interesse pubblico e nei casi di emergenza ed epidemie.

Del tutto lecito, quindi, sarebbe il trattamento dei dati sanitari laddove vi potrebbe essere una minaccia alla salute altrui.

 

Il trattamento dei dati derivanti dalle telecomunicazioni

 In merito al trattamento dei dati delle telecomunicazioni, come i dati relativi all’ubicazione, occorre considerare il rispetto delle leggi nazionali di attuazione della direttiva relativa alla vita privata e alle comunicazioni elettroniche (direttiva e-privacy).

In linea di principio, i dati relativi all’ubicazione possono essere utilizzati dall’operatore solo se resi anonimi o con il consenso dei singoli.

Tuttavia, l’articolo 15 della direttiva e-privacy consente agli Stati membri di introdurre misure legislative per salvaguardare la sicurezza pubblica. Tale legislazione eccezionale è possibile solo se costituisce una misura necessaria, adeguata e proporzionata, contemplando poi quanto  previsto dalla Carta dei diritti fondamentali e alla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. Inoltre, sono soggette al controllo giurisdizionale della Corte di giustizia dell’Unione europea e della Corte europea dei diritti dell’uomo. In presenza di situazioni di emergenza, le misure in questione devono essere rigorosamente limitate alla durata del periodo.

Geolocalizzazione e tracciamento

Fondamentale è l’adozione di adeguate misure di sicurezza e riservatezza che garantiscano che i dati personali non siano divulgati a soggetti non autorizzati. Le azioni da introdurre per gestire l’attuale emergenza e il relativo processo decisionale dovrebbero essere perciò adeguatamente documentate.

Il trattamento dei dati di localizzazione da dispositivi mobili per monitorare, contenere o attenuare la diffusione del COVID-19, implicherebbe, ad esempio, la possibilità di geolocalizzare le persone o di inviare messaggi di sanità pubblica ai soggetti che si trovano in una determinata area, via telefono o SMS.

E se non fosse possibile elaborare i dati in forma anonima? La normativa consente agli Stati membri di introdurre misure legislative per salvaguardare la sicurezza pubblica, applicando il principio di proporzionalità.

Occorre privilegiare soluzioni meno intrusive, tenuto conto dell’obiettivo specifico da raggiungere. Ad esempio, misure invasive come il “tracciamento” (ossia il trattamento di dati storici di localizzazione in forma non anonimizzata) possono essere considerate proporzionate in circostanze eccezionali e in funzione delle modalità concrete del trattamento che dovranno essere determinate.

L’ intervento dell’ EDPB ha chiarito gli aspetti più ostici della normativa rispetto allo scenario che oggi stiamo vivendo, chissà se, nei giorni a seguire, non riusciremo ad avere una visione più completa che ci possa far affrontare e rispettare, il corretto bilanciamento tra diritto alla salute e diritto alla privacy.

Foto di Markus Spiske da Pexels