IMMUNI: IL PARERE DEL GARANTE PER LA PRIVACY

In quest'articolo verranno inquadrati i punti salienti contenuti nel Provvedimento, emanato dall'Autorità Garante per la protezione dei dati personali, in merito alla legittimità in ambito privacy dell'app Immuni.

In data 1 giugno 2020, l’Autorità Garante per la protezione dei dati personali ha pubblicato sul proprio sito istituzionale il “Provvedimento di autorizzazione al trattamento dei dati personali effettuato attraverso il Sistema di allerta Covid-19 – App Immuni”. L’app è stata progettata dalla società Bending Spoons e sarà disponibile per il download sui sistemi operativi iOS (sistema operativo presente sui dispositivi mobili marchiati Apple) e Android.

Come da “procedura ufficiale” pochi giorni prima della pubblicazione del Provvedimento, con nota del 28 maggio 2020, Il Ministero della Salute aveva trasmesso all’Autorità Garante la valutazione d’impatto sulla protezione dei dati per poter essere autorizzato ad avviare il trattamento dei dati personali relativo al “Sistema di allerta Covid-19”.

L’app Immuni è stata subito oggetto di un’attenta indagine da parte dell’Autorità Garante dopo aver destato, nel periodo in cui si iniziava a parlare dell’introduzione di questa app, non poche preoccupazioni riguardo alle modalità di utilizzo dell’applicazione e la relativa protezione dei dati.

Il Provvedimento, inizialmente introduce il Sistema di allerta covid-19, chiamato più semplicemente Sistema Immuni.

Il Sistema Immuni, come viene presentato nella valutazione d’impatto, viene scorporato in tre elementi distinti:

  • applicazione per dispositivi mobili (normalmente identificata come “app” o “app Immuni”);
  • sistemi e componenti tecnologiche e organizzative che permettono il funzionamento dell’app (chiamato anche semplicemente “backend”);
  • servizio che interagisce direttamente con gli operatori sanitari che utilizzano il Sistema Tessera Sanitaria (di seguito anche “Sistema TS”).

Il Garante, provvede a inquadrare prontamente le figure del trattamento di dati personali, così come previste dal Regolamento UE, che interagiscono nel Sistema:

  • il Ministero della Salute, in qualità di titolare del trattamento;
  • Sogei e Ministero dell’economia e delle finanze (quest’ultimo limitatamente all’utilizzo del Sistema TS), identificato invece come responsabile del trattamento.

Il Provvedimento prosegue spiegando come funziona e com’è strutturata l’applicazione.

Per placare le numerose critiche e lamentele che accompagnarono l’introduzione dell’app da parte del Governo alla cittadinanza vengono, tra le altre cose, chiariti alcuni di quei punti “critici” su cui l’opinione pubblica ha dibattuto nelle settimane precedenti il rilascio al pubblico dell’app:

  • il Sistema, per permettere la comunicazione tramite dispositivi personali, utilizzerà la tecnologia Bluetooth (non viene previsto l’uso di sistemi di geolocalizzazione, come era stato ipotizzato in un primo momento) e si baserà sul framework A/G (ossia il framework proprietario di Apple e Google). Nessuna paura, quindi, per chi sospettava che l’app Immuni avrebbe tracciato costantemente la posizione geografica dell'utente;
  • l’applicazione adotterà un modello decentralizzato (ossia un modello che permette la conservazione dei dati raccolti sul dispositivo personale dell’utente, senza che questi vengano conservati su cloud del fornitore). Questo punto è stato cruciale nelle fase preliminare di creazione dell’app: inizialmente si parlava di utilizzare un modello centralizzato (ossia dove i dati raccolti venivano conservati su server centrali di proprietà governativa) e questa scelta fu avvertita dall’opinione pubblica come una affronto nell’osservazione degli adempimenti previsti dal GDPR;
  • inoltre sarà possibile scaricare l’applicazione da tutti i marketplace ufficiali dai primi giorni di giugno, ma per i primi 15 giorni sarà utilizzabile in via sperimentale unicamente in 4 Regioni. Passato il periodo di 15 giorni, e precisamente dal 15 giugno in avanti, l’app sarà utilizzabile sull’intero territorio nazionale. Questo punto è utile per chiarire che l’app era disponibile nei marketplace da inizio giugno ma in molte regioni non poteva essere usata fino a metà mese;
  • viene sottolineata dall’Autorità Garante l’importanza di applicare la volontarietà dell’utilizzo dell’app in ogni sua parte. Inoltre è esplicitato come, essendo l’utilizzo dell’app volontario, l’individuo che non intenda utilizzare tale app non possa subire alcun tipo di pregiudizio.

Viene poi spiegato nel dettaglio il funzionamento dell’app, da un punto di vista tecnico, che non approfondiremo in questa sede. È interessante però vedere come è stata prevista una spiegazione anche per il funzionamento di notifica di esposizione al contagio o  risultanza a una positività.

L’analisi svolta dall’Autorità Garante non ricade unicamente sul trattamento di dati effettuato per scopi di contact tracing, ma valuta anche la raccolta di dati statistici (prodotti dal dispositivo personale dell’utente e utili a migliorare e aggiornare l’algoritmo che calcola il rischio del contagio di un individuo). Giusto per dare un accenno i dati statistici vengono divisi in due macro-categorie :

  • Epidemiological Info: sono l’insieme di dati statistici che vengono trasmessi dall’app automaticamente. Questi dati vengono raccolti nel caso in cui un utente sia risultato positivo: questo è stato previsto per mettere in guardia gli utenti che potrebbero essere a rischio contagio. All’interno di questo gruppo di dati statistici troviamo ad esempio : provincia di domicilio, n. di contatti a rischio rilevati, exposure info (data in cui è avvenuto il contatto, durata del contatto ecc…) ecc…;
  • Operational Info:  comprende invece l’insieme di dati che vengono raccolti per definire l’utilizzo dell’app sul territorio, a livello statistico, e la correttezza del suo utilizzo nonché per permettere di “monitorare su base statistica“ l’epidemia. La trasmissione di questa tipologia di dati analitici, per il momento, viene effettuata unicamente tramite le app installate su dispositivi mobili con iOS (poiché iOS è l’unico Sistema Operativo che permette di effettuare tecniche di device attestation, utili a verificare autenticità del dispositivo e quindi a creare tali specifici dati analitici). Tra i dati contenuti negli operational info troviamo ad esempio: stato di attivazione interfaccia bluetooth, stato del permesso per l’utilizzo del framework A/G, sistema operativo del device, ecc…

CONSIGLI DEL GARANTE

Nell’ultima parte del Provvedimento l’Autorità Garante autorizza il Ministero della salute (in qualità di Titolare del trattamento) ad avviare il trattamento dei dati al Sistema di allerta covid-19, osservando però i seguenti precetti:

  • indicare puntualmente nella valutazione d’impatto, l’algoritmo, basato su criteri epidemiologici di rischio e modelli probabilistici, aggiornandolo costantemente, specificando i parametri di configurazione impiegati e le assunzioni effettuate, rendendolo disponibile alla comunità scientifica;
  • informare adeguatamente gli utenti in ordine alla possibilità che l’app generi notifiche di esposizione che non sempre riflettono un’effettiva condizione di rischio, in ragione della possibilità di contatto con persone positive al Covid-19 a causa della propria attività lavorativa, in condizioni tuttavia caratterizzate da un adeguato grado di protezione;
  • consentire agli utenti dell’app di disattivarla temporaneamente attraverso una funzione facilmente accessibile nella schermata principale, informando di tale facoltà attraverso le infografiche visualizzate all’atto dell’installazione dell’applicazione;
  • individuare modalità adeguate a proteggere gli analytics nel backend di Immuni, evitandone ogni forma di riassociazione a soggetti identificabili, adottando altresì idonee misure di sicurezza e tecniche di anonimizzazione, da individuarsi in ragione delle specifiche finalità in concreto perseguite, nel rispetto dei principi di privacy by design e by default;
  • precisare, nel modello di informativa, la descrizione delle operazioni effettuate con riferimento agli analytics di tipo Epidemiological Info e dei dati personali raccolti in relazione alle diverse categorie di interessati;
  • dedicare particolare attenzione all’informativa e al messaggio di allerta tenendo conto del fatto che è previsto l’uso del Sistema anche da parte di minori ultra quattordicenni;
  • fornire adeguate informazioni agli utenti in relazione alle caratteristiche della fase di sperimentazione;
  • integrare la valutazione d’impatto e l’informativa in relazione alle modalità di esercizio del diritto di cancellazione e di opposizione;
  • integrare, sulla base del principio di responsabilizzazione, la valutazione d’impatto con la descrizione del ruolo e delle operazioni ascrivibili ad altri soggetti lì citati o suscettibili, comunque, di coinvolgimento nel Sistema Immuni, evidenziando la sussistenza di eventuali rischi per gli interessati i cui dati siano trattati dal sistema;
  • commisurare i tempi di conservazione degli indirizzi ip, per i fini e nei termini richiamati, nella misura strettamente necessaria al rilevamento di anomalie e di attacchi;
  • introdurre misure volte ad assicurare il tracciamento delle operazioni compiute dagli amministratori di sistema sui sistemi operativi, sulla rete e sulle basi dati;
  • adottare misure tecniche e organizzative per mitigare i rischi derivanti dall’upload di TEK non riferite a soggetti positivi a seguito di eventuali errori materiali o diagnostici. “

(Fonte: Provvedimento di autorizzazione al trattamento dei dati personali effettuato attraverso il Sistema di allerta Covid-19 – App Immuni - 1° giugno 2020 docweb n. 9356568).

Infine nel punto successivo l’Autorità garante invita il Ministero della salute a comunicargli, entro 30 giorni dalla ricezione di tale Provvedimento, quali iniziative siano state adottate per dare attuazione al presente.

CONCLUSIONI

C’è poi da aggiungere, in conclusione, che un aspetto molto importante per la buona riuscita di questo progetto digitale è il raggiungimento di un grande numero di download, da parte della cittadinanza, e la conseguente ricezione dei feedback relativi all’utilizzo dell’app.

 

Link al Provvedimento dell’Autorità garante: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9356568

Tags: GRUPPO ALTEA

Copyright © 2018 GRUPPO ALTEA - Tutti i diritti riservati - Credits

Privacy Policy Cookie Policy