{"id":6965,"date":"2020-04-09T18:06:37","date_gmt":"2020-04-09T16:06:37","guid":{"rendered":"http:\/\/www.lacostituzione.info\/?p=6965"},"modified":"2020-04-09T18:06:39","modified_gmt":"2020-04-09T16:06:39","slug":"il-contact-tracing-digitale-e-lepidemia-sindrome-cinese","status":"publish","type":"post","link":"https:\/\/www.lacostituzione.info\/index.php\/2020\/04\/09\/il-contact-tracing-digitale-e-lepidemia-sindrome-cinese\/","title":{"rendered":"Il contact tracing digitale e l\u2019epidemia: sindrome cinese?"},"content":{"rendered":"\n

di Giuseppe Tropea\"\"<\/a><\/strong><\/p>\n

Nel capitolo intitolato \u201cLa sindrome cinese\u201d del gi\u00e0 ben noto ampio saggio su Il capitalismo della sorveglianza<\/em>\u00a0 di Shoshana Zuboff, <\/em>si osserva come il governo cinese stia sviluppando un sistema di \u201ccredito sociale\u201d destinato ad essere il \u201cnucleo\u201d del suo approccio ad internet. L\u2019idea \u00e8 di fare leva sull\u2019esplosione dei dati personali per \u201cmigliorare\u201d il comportamento dei cittadini.<\/p>\n

Non si pu\u00f2 non pensare al sistema capillare di tracciamento dei dati messo in capo dal governo cinese, e poi sud-coreano, nella vicenda Covid-19.<\/p>\n

Mi pare che tale vicenda rischi di rappresentare, nella immane tragedia \u201cunificante\u201d che la sottende, un fattore di avvicinamento fra cultura occidentale ed orientale ancora sul punto fino a pochi mesi fa piuttosto distanti. Le nuove frontiere dell\u2019automazione e dell\u2019intelligenza artificiale sembrano compatibili con uno dei possibili scenari di consumo che questo virus sta attualizzando in modo devastante.<\/p>\n

I quotidiani di questi ultimi giorni, quando il \u201cpicco\u201d dell\u2019epidemia pare superato, pubblicano infatti editoriali, interviste e dichiarazioni di politici (e non solo) in cui si prospetta, anche come modalit\u00e0 di uscita soft <\/em>(cd. mitigation<\/em>) dalle durissime regole imposte dall\u2019emergenza epidemiologica, il tracciamento informatico dei \u201cpositivi\u201d (ancorch\u00e9 asintomatici) utilizzando una o pi\u00f9 delle centinaia di sistemi e di app proposti da societ\u00e0 private al governo. In questa settimana, dopo l\u2019istruttoria della task force del ministero dell\u2019Innovazione, sar\u00e0 pronta probabilmente una short list da sottoporre al Governo per la scelta dell\u2019app da utilizzare.<\/p>\n

Deve far riflettere che anche il Garante della privacy, intervistato da La Repubblica <\/em><\/a>a proposito del cd. contact tracing <\/em>digitale, cio\u00e8 l\u2019uso dei dispositivi mobili dei cittadini per la mappatura e il tracciamento dei soggetti entrati in contatto con persone infette (il cd. modello coreano), affermi la teorica possibilit\u00e0 di misure in tal senso, essendo ammissibili limitazioni della privacy a tutela di un altro fondamentale diritto individuale e interesse collettivo, quello alla salute, sia pure attraverso una previsione normativa e con garanzie di temporaneit\u00e0 e proporzionalit\u00e0 negli interventi. Nello stesso tempo sempre il Garante, con una nota del 2 marzo 2020<\/a>, ha stigmatizzato ogni iniziativa \u201cfai da te\u201d nella raccolta dei dati, svolta da soggetti che non esercitano istituzionalmente queste funzioni in modo qualificato.<\/p>\n

A livello di normativa interna, al momento l\u2019unica fonte di rango primario sul punto risulta essere l\u2019art. 14 del d.l. 9 marzo 2020, n. 14 (Disposizioni sul trattamento dei dati personali nel contesto emergenziale) che prevede: \u201cfino al termine dello stato di emergenza [\u2026] le strutture deputate pubbliche e private che operano nell\u2019ambito del Servizio sanitario nazionale e i soggetti deputati monitorare e a garantire l\u2019esecuzione delle misure disposte ai sensi del decreto legge 23 febbraio 2020 n. 6 anche allo scopo di assicurare la pi\u00f9 efficace gestione dei flussi e dell\u2019interscambio di dati personali, possono effettuare trattamenti, ivi inclusa la comunicazione tra loro, dei dati personali, anche relativi agli art. 9 e 10 del regolamento UE 2016\/679, che risultino necessari all\u2019espletamento delle funzioni attribuitegli nell\u2019ambito dell\u2019emergenza determinata dal diffondersi del COVID-19\u201d.<\/p>\n

Tale disciplina derogatoria \u00e8 apparsa a taluni rispettosa del dato costituzionale e della disciplina nazionale ed europea in materia di privacy. Infatti, il nostro Codice della privacy (art. 2 sexies<\/em>) e il diritto dell\u2019Unione europea, in particolare agli artt. 9, comma 2, e 23 del GDPR, consentono limitazioni alla privacy per motivi di sanit\u00e0 pubblica.<\/p>\n

Bisogna quindi verificare se, al di l\u00e0 di un dato normativo ancora eccessivamente vago, si possano trovare appigli nella normativa europea in materia.<\/p>\n

Il richiamato regolamento UE 2016\/679 (cd. GDPR) interpreta il trattamento delle informazioni personali (in rapporto al diritto alla riservatezza) anche alla luce della sua funzione sociale, affermando, al considerando n. 4 che: \u201cIl trattamento dei dati personali dovrebbe essere al servizio dell’uomo. Il diritto alla protezione dei dati di carattere personale non \u00e8 una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalit\u00e0 (\u2026)\u201d. Inoltre, al considerando 46, prevede in effetti che \u201calcuni tipi di trattamento dei dati personali possono rispondere sia a rilevanti motivi di interesse pubblico sia agli interessi vitali dell\u2019interessato, per esempio se il trattamento \u00e8 necessario a fini umanitari, tra l\u2019altro per tenere sotto controllo l\u2019evoluzione di epidemie e la loro diffusione o in casi di emergenze umanitarie, in particolare in casi di catastrofi di origine naturale e umana\u201d.<\/p>\n

Si comprende, in tal senso, come la posizione del nostro garante della privacy<\/em> sia tendenzialmente conforme a quella registrata in sede europea, dove il Comitato europeo per la protezione dei dati personali (EDPB) sostiene, con statement del 16 marzo 2020, che \u201cl\u2019emergenza \u00e8 una condizione giuridica che pu\u00f2 legittimare limitazioni delle libert\u00e0, a condizione che tali limitazioni siano proporzionate e confinate al periodo di emergenza\u201d. L\u2019EDPB sottolinea, inoltre, che
quando non \u00e8 possibile elaborare solamente dati anonimi, la direttiva europea sulla privacy consente agli Stati membri di introdurre misure legislative per salvaguardare la sicurezza pubblica.<\/p>\n

Questo passaggio \u00e8 molto rilevante.<\/p>\n

Bisogna infatti chiarire che tuttora sussiste in materia una margine di operativit\u00e0 della direttiva \u201ce-Privacy\u201d, la quale avrebbe dovuto essere trasformata in un Regolamento ed essere approvata in modo da entrare in vigore contemporaneamente al GDPR. Peraltro, anche per questo, il GDPR fa esplicitamente salva la direttiva \u201ce-Privacy\u201d (direttiva 58\/2002 CE), come specifica l\u2019art. 95 del GDPR.<\/p>\n

Tuttavia, poich\u00e9 appunto non c\u2019\u00e8 stato il Regolamento, come sottolinea nella sua opinion la presidente dello EDPB Jelinek, l\u2019eventuale trattamento di dati di traffico telefonico anche a fini di geolocalizzazione ricade ancora sotto quanto previsto dalla direttiva\u00a02002\/58\/CE, che prevede che gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli art. 5 e 6, all\u2019articolo 8 paragrafi da 1 a 4, e dell\u2019articolo 9 di detta direttiva qualora tale restrizione costituisca, ai sensi dell\u2019articolo 13, paragrafo 1, della direttiva 95\/46, \u201cuna misura necessaria, opportuna e proporzionata all\u2019interno di una societ\u00e0 democratica per la salvaguardia della sicurezza nazionale (cio\u00e8 della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell\u2019uso non autorizzato di sistemi di comunicazione elettronica\u201d.<\/p>\n

Quindi \u00e8 certamente possibile un intervento sul contact tracing <\/em>digitale, ma esso, per evitare la \u201csindrome cinese\u201d evocata nel recente libro della Zuboff, deve rispettare rigorosamente i seguenti presupposti: deve trattarsi di disciplina di carattere primario e rigorosamente proporzionata.<\/p>\n

\u00a0Non \u00e8 detto che, stanti i presupposti emergenziali inediti nei quali ci si trova ad operare, questi requisiti vengano oggi rispettati.<\/p>\n

Mi soffermer\u00f2 su quattro questioni, che mi sembrano particolarmente pressanti.<\/p>\n

i) <\/em>Quanto alla fonte, il rischio non mi pare che possa tanto configurarsi nell\u2019alternativa fra una legislazione organica che preveda il procedimento da adottare e l\u2019autorit\u00e0 giudiziaria cui eventualmente il cittadino possa rivolgersi, ovvero di un intervento governativo con decreto-legge, posto che nel nostro caso proporzionalit\u00e0 implica il carattere assolutamente temporaneo del trattamento. \u00c8 vero, infatti, che il fine non pu\u00f2 che essere quello dell\u2019uscita dall\u2019emergenza: occorre dunque che gli strumenti messi in campo abbiano solo ed esclusivamente questa finalit\u00e0 ed abbiano una durata limitata nel tempo, tale da garantire che, una volta terminata l\u2019emergenza, i dati vengano distrutti e non siano pi\u00f9 utilizzabili se non, eventualmente, in forma aggregata ed anonima, al solo fine di ricerca. D\u2019altra parte queste due prospettive appaiono conciliabili, nella misura in cui la decretazione d\u2019urgenza possa poi essere eventualmente corretta, migliorata e \u201cmessa a regime\u201d attraverso l\u2019ineludibile passaggio parlamentare, che deve evidentemente costituire la sede per realizzare la accountability politico-governativa fondamentale in questo settore.<\/p>\n

I veri problemi sono piuttosto altri due: la cd. soft law <\/em>e il rapporto con la legislazione regionale.<\/p>\n

Come si \u00e8 detto, le iniziative de facto <\/em>o di livello normativo comunque non primario tendono a moltiplicarsi, evidentemente ponendosi fuori dal sistema tracciato dal combinarsi fra fonte europea e fonte nazionale. Si pensi, ad esempio, alla recente nota ENAC del 23 marzo 2020, prot. 32363, relativa all\u2019uso dei droni per il monitoraggio dello spostamento dei cittadini sul territorio comunale, con la quale si autorizzano tutti gli \u201cEnti di Stato di cui all\u2019art. 744 del Codice della Navigazione e delle Polizie Locali dei Comuni italiani\u201d ad operare in deroga a svariati requisiti di registrazione e di identificazione nonch\u00e9 anche su aree urbane, senza la necessit\u00e0 di alcuna autorizzazione da parte di ENAC. Questa vicenda dovrebbe allarmare tutti, come cittadini. Non si dimentichi, peraltro, che dopo un primo intervento il 16 luglio 2015, l\u2019ENAC ha pensato bene di emendare il proprio regolamento cinque mesi dopo, vale a dire il 21 dicembre di quello stesso anno. Alla luce di queste e altre analoghe esperienze nazionali degli stati membri, la Commissione europea ha dovuto correre ai ripari, presentando una proposta di revisione del regolamento UE 216\/2008, al fine di riappropriarsi dei poteri normativi in materia di droni fin qui delegati, tra gli altri, appunto all\u2019ENAC.<\/p>\n

Quanto alla legislazione, come \u00e8 noto il vice presidente della Regione\u00a0Lombardia, ha dichiarato, ad esempio, che questa ha chiesto e ottenuto da gestori telefonici un numero imprecisato ma rilevante di dati di traffico telefonico di cittadini lombardi o persone viventi nel territorio della Regione e li ha incrociati con dati di altri interessati, prevalentemente risultati positivi a test sul coronavirus, al fine dichiarato di verificare se e in che misura le ordinanze del Governo e della Regione impattavano sui comportamenti dei cittadini. Non mi pare che le regioni possano intervenire in materia. Sul punto pu\u00f2 essere utile notare che quando il giudice amministrativo ha affrontato sinora ex professo <\/em>la questione della compatibilit\u00e0 del potere di ordinanza con la privacy (nel caso dell\u2019ordinanza del sindaco di Messina che, fra l\u2019altro, imponeva la registrazione on-line dei dati personali di coloro che intendessero attraversare lo stretto) ha perentoriamente data un parere nel senso dell\u2019illegittimit\u00e0 \u2013 anche su questo fronte \u2013 del provvedimento, per violazione della potest\u00e0 legislativa statale (Cons. St., sez. I, 7 aprile 2020, n. 735).<\/p>\n

La fonte primaria, quindi, dovr\u00e0 essere statale e non vi saranno margini per interventi regionali in materia.<\/p>\n

ii) <\/em>Quanto alla proporzionalit\u00e0 bisogna intendersi. \u00c8 da condividere l\u2019impostazione di chi ritiene che in questa materia proporzionalit\u00e0 implichi: soluzioni pseudo-anonimizzate che evitino trattamenti che esulino da compiti e responsabilit\u00e0 di tipo epidemiologico; carattere assolutamente temporaneo del trattamento; suo legame con strategie di \u201cvigilanza attiva\u201d (tamponi sui soggetti potenziali positivi non sintomatici).<\/p>\n

Dal combinato disposto degli articoli 5 e 6 del Regolamento, che determinano le condizioni di liceit\u00e0 e le finalit\u00e0 della raccolta dati, si ricavano i principi generali che il titolare del trattamento deve seguire nella raccolta dei dati personali degli utenti. In particolare, il regolamento europeo sancisce la necessit\u00e0 che i dati personali vengano raccolti per finalit\u00e0 determinate, esplicite e lecite nei limiti di quanto necessario per il raggiungimento dello scopo peri quali sono stati raccolti. L\u2019unione di questi due principi determina la nascita del c.d. principio di minimizzazione del trattamento. Tale principio \u00e8 cardine della normativa europea, per cui non pu\u00f2 subire ingiustificate limitazioni.<\/p>\n

Pi\u00f9 discutibile mi pare invece l\u2019approccio di chi ritiene che in questi casi la proporzionalit\u00e0 deve attuarsi tramite l\u2019immediata adozione di misure di massimo rigore che, se fondate invece su approccio improntato a gradualit\u00e0 potrebbero poi implicare, data la presumibile inefficacia, successivi provvedimenti beni pi\u00f9 invasivi dei diritti individuali e della collettivit\u00e0. Sembra evocarsi qui la nota immagine della \u201crana bollita\u201d. Senonch\u00e9 una cosa \u00e8 la valutazione giurisdizione che in sede cautelare viene effettuata in questi convulsi e tristi giorni, rispetto alla quale pu\u00f2 essere assolutamente comprensibile una particolare attenzione del giudice per la prevalenza l\u2019interesse pubblico alla salute (sul diritto al lavoro, es. Cons. St., sez. III, decreto presidenziale 30 marzo 2020, n. 1553; sulla tutela preventiva delle interdittive antimafia, es. Tar Calabria, Reggio Calabria, decreto presidenziale 16 marzo 2020, n. 55) altra \u00e8 la proporzionalit\u00e0 e adeguatezza delle misure legislative che determineranno presumibilmente il trattamento digitale dei dati, che deve essere adottata nel rispetto dei principi d\u2019una societ\u00e0 democratica, ai sensi dell\u2019art. 15 della direttiva 58\/2002 CE. In effetti quando si tratta di privacy il diritto alla salute deve essere ponderato con pi\u00f9 attenzione, attenendo la prima al nucleo fondamentale della dignit\u00e0 umana.<\/p>\n

iii) <\/em>un altro aspetto problematico ha a che fare con il tema delle decisioni amministrative automatizzate tramite algoritmi, molto dibattuto nella giurisprudenza amministrativa (si v. il caso della distribuzione dei posti dei docenti delle scuole secondarie nell\u2019ambito della cd. \u201cbuona scuola\u201d). \u00c8 corretto ritenere che, seppure vi siano spiragli in tal senso nel GDPR, il decisore politico non possa far coincidere l\u2019esito dell\u2019algoritmo con una misura limitativa ad applicazione automatica; l\u2019uomo deve poter correggere eventuali errori commessi dall\u2019algoritmo (v. De Minico sulle pagine di questa Rivista<\/em><\/a>). Sul punto \u00e8 doveroso aggiungere che il giudice amministrativo sembra avere un approccio ancora non univoco: da una parte si registrano sentenze che contestano radicalmente un processo decisionale gestito unicamente da un algoritmo preimpostato e predefinito onde tener conto in automatico di posizioni personali (v. Tar Lazio, sez. III-bis, 27 maggio 2019, n. 6606), dall\u2019altra vi sono decisioni pi\u00f9 possibiliste, che pretendono per\u00f2 il rispetto dell\u2019obbligo di motivazione, di trasparenza e di correttezza, oltre all\u2019ampiezza del sindacato giurisdizionale (v. Cons. St., sez. VI, 8 aprile 2019, n. 2270).<\/p>\n

iv) <\/em>infine, i nostri dati debbono confluire in un server di propriet\u00e0 e gestione rigorosamente pubblica, per evitare che la tracciatura venga utilizzata come merce di scambio in una trattativa con i Google o Facebook di turno, ampiamente esaminati nell\u2019indagine critica della Zuboff, dalla quale hanno preso avvio le presenti note.<\/p>\n","protected":false},"excerpt":{"rendered":"

di Giuseppe Tropea Nel capitolo intitolato \u201cLa sindrome cinese\u201d del gi\u00e0 ben noto ampio saggio su Il capitalismo della sorveglianza\u00a0 di Shoshana Zuboff, si osserva come il governo cinese stia sviluppando un sistema di \u201ccredito sociale\u201d destinato ad essere il \u201cnucleo\u201d del suo approccio ad internet. L\u2019idea \u00e8 di fare leva sull\u2019esplosione dei dati personali … Leggi tutto<\/a><\/p>\n

<\/div>
Condividi!<\/div>
<\/path><\/svg><\/span><\/a><\/path><\/svg><\/span><\/a><\/svg><\/span><\/a><\/path><\/svg><\/span><\/a><\/div>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"enabled":false},"version":2}},"categories":[4],"tags":[1177,269,1007],"class_list":["post-6965","post","type-post","status-publish","format-standard","hentry","category-attualita","tag-dati-personali","tag-privacy","tag-virus"],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"","jetpack_shortlink":"https:\/\/wp.me\/p84sDq-1Ol","jetpack_likes_enabled":true,"jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/posts\/6965","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/comments?post=6965"}],"version-history":[{"count":0,"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/posts\/6965\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/media?parent=6965"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/categories?post=6965"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lacostituzione.info\/index.php\/wp-json\/wp\/v2\/tags?post=6965"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}