Il professor Gabriele Della Morte, docente di Diritto internazionale nella facoltà di Giurisprudenza, insieme con gli studenti della Law Clinic di Diritto internazionale: Amedeo Bardelli; Rosa Calise; Michele Corgatelli; Claudia D’Urbano; Daniele Forcella; Andrea Melchionda; Claudia Parisi; Livia Proietti; Roberta Sergi hanno analizzato dal punto di vista giuridico l’app “Immuni”, predisposta dal governo per tenere sotto controllo i contagi da Covid-19. Queste le conclusioni cui sono giunti.
Alla luce delle considerazioni riportate, riteniamo che il bilanciamento ottimale tra l’obiettivo perseguito e le restrizioni della tutela dei dati personali si articola lungo la direttrice che segue.
La crisi che abbiamo vissuto è senza eguali: la velocità di diffusione di questo virus ha reso necessario un altrettanto rapido tracciamento del contagio sfruttando gli strumenti che la tecnologia ci mette a disposizione. L’app “Immuni” è senza dubbio utile a questo scopo. Tuttavia, vi sono concrete riserve sulla sua efficacia. In particolare, risulta altamente improbabile che venga raggiunta una copertura idonea ad un corretto funzionamento e tale circostanza non può non incidere sul bilanciamento complessivo.
La valutazione complessiva dell’app “Immuni” deve risentire pertanto di un approccio ‘olistico’ fondato, in particolare, sulle cd. ‘tre t’: accanto al tracciamento dei contagi (tracing), occorre garantire un numero di tamponi adeguato (testing) oltre al trattamento sanitario dei contagiati (treatment).
Di seguito pubblichiamo l’analisi giuridica che hanno condotto.

 “Immuni”: di cosa si tratta, come funziona, cosa la distingue dalle altre app di tracciamento

Uno dei punti cruciali nella transizione verso la cosiddetta “fase 2” della gestione italiana alla crisi epidemica è rappresentato dai sistemi di contact tracing. A tale scopo, lo scorso 16 aprile 2020 il Commissario straordinario per l’attuazione e il coordinamento delle misure di contenimento e contrasto dell’emergenza epidemiologica Covid-19, insieme con il gruppo di lavoro istituito dal Ministero per l’Innovazione Tecnologica e la Digitalizzazione, in accordo con il Ministero della Salute, in armonia con le linee guida pubblicate lo stesso giorno dalla Commissione Europea, ha scelto l’applicazione con cui avverrà il tracciamento dei contagi. Si tratta dell’app “Immuni”, proposta dalla società italiana “Bending Spoons”, la quale sfrutta la tecnologia Bluetooth Low Energy. In questo modo è possibile rilevare la vicinanza tra due smartphone e rintracciare, in modo anonimo, i contatti di una persona risultata positiva al Covid-19 al fine di individuare i potenziali contagiati. Più nello specifico, tenuto conto delle linee guida della Commissione dell’Unione Europea (UE), nonché delle indicazioni del Ministero per l’Innovazione e delle specifiche fornite da Apple e Google, oltre che del decreto legge 30 aprile 2020, n. 28 entrato in vigore 1° maggio 2020 e, da ultimo, del parere positivo dell’Autorità garante per la protezione dei dati personali, l’app “Immuni” funziona nel modo seguente.

L’installazione è su base gratuita, volontaria e accessibile agli individui maggiori di 14 anni. Può essere eliminata in ogni momento, con la conseguente rimozione di tutti i dati raccolti. In ogni caso il decreto legge 30 aprile 2020, n. 28 sancisce (par. 6) che l’utilizzo dell’applicazione debba essere interrotto alla data di cessazione dello stato di emergenza e comunque non oltre il 31 dicembre 2020, dies ad quem «tutti i dati personali trattati devono essere cancellati o resi definitivamente anonimi».
Una volta scaricata l’app genera dei codici identificativi anonimi, che mutano ogni 15 minuti, per far sì che non possano mai essere associati ad una persona fisica particolare. Quando due applicazioni si trovano nelle vicinanze, provvedono, tramite il segnale Bluetooth, a scambiarsi i rispettivi identificativi.

Ancora più nel dettaglio, il sistema funziona secondo la procedura che segue. Nell’ipotesi in cui un soggetto che abbia attivato l’app non contragga il virus, la lista dei contatti contenuta nel proprio smartphone risulta inaccessibile e i dati saranno eliminati quando non più necessari. Diversamente, nel caso in cui il proprietario dello smartphone risulti positivo potrà (facoltativamente) caricare sul server pubblico (Sogei, gestito dal Ministero delle finanze) attraverso l’assistenza di un operatore sanitario i codici casuali che il proprio dispositivo ha generato nel corso dei giorni precedenti. “Immuni” controlla periodicamente i codici presenti sul server e li confronta con quelli salvati sul dispositivo dell’utente. In questo modo l’algoritmo dell’app determina se l’utente sia stato esposto a un potenziale contagio. In caso di risposta affermativa, avverte l’utente di mettersi in contatto con gli operatori sanitari al fine di affrontare secondo i protocolli opportuni le fasi successive.

Tutto ciò premesso, occorre innanzitutto rilevare che la disciplina contenuta nel Regolamento generale sulla protezione dei dati personali (GDPR) comporta che le soluzioni valide per gli Stati membri dell’Unione Europea si distinguano da quanto realizzato in altri Paesi.

In Cina, ad esempio, si è deciso di ricorrere ad applicazioni di largo uso quotidiano, quali WeChat e Alipay, per dar vita ad un sistema fortemente intrusivo. Infatti, tramite l’assegnazione di un codice sanitario sulla base degli spostamenti precedenti, al cittadino è comunicato se è libero di circolare o se deve auto-isolarsi. Anche il sistema adottato in Corea del Sud non risulta compatibile con la normativa europea, basandosi sulla geo-localizzazione e sul tracciamento tramite carta di credito.

Più simile all’idea italiana è l’app “TraceTogether” realizzata in Singapore, anch’essa basata sul sistema Bluetooth. Considerata la bassa percentuale di adozione, essa non è risultata particolarmente efficace. Per contro in Australia l’app “COVIDSafe” ha registrato più di due milioni di installazioni dopo solo poche ore dal relativo lancio. Anch’essa è su base volontaria e basata sullo scambio dei dati tramite Bluetooth, con la differenza che nell’ipotesi di contatto con un contagiato la persona interessata riceve un SMS. Da ultimo, non si può non guardare con attenzione agli sviluppi della partnership tra Google ed Apple. I due giganti, oltre a contribuire alla realizzazione delle singole app nazionali, hanno annunciato di stare lavorando ad una tecnologia che consentirà il tracciamento a livello globale, senza che sia necessaria un’app apposita.

Law in the books (osservazioni sulla normativa applicabile)

La normativa internazionale di riferimento è ricca di indicazioni a riguardo. Alcune di esse sono inscritte nel Patto sui diritti civili e politici delle Nazioni Unite e nella Convenzione 108 del Consiglio d’Europa. Altre sono deducibili dagli strumenti propri dell’UE, come nel caso del GDPR, della direttiva ePrivacy, oltre che della Carta dei diritti fondamentali dell’Unione europea (cd. Carta di Nizza).

Nel valutare la compatibilità dell’app “Immuni” con la normativa appena evocata occorre innanzitutto distinguere se tale app tratti esclusivamente dati personali, cioè ogni dato relativo a una persona fisica identificata o identificabile, oppure anche dati sensibili, come quelli relativi alla salute (ex art. 4 GDPR). Nella prima ipotesi la normativa di riferimento è principalmente quella prevista dall’art. 6 GDPR, dedicato alle condizioni di liceità del trattamento dei dati personali. Nella seconda ipotesi (dati sensibili), invece, la normativa è quella sancita all’art. 9 par. 2, lett. a), g), h) e i) del GDPR, relativa ad una varietà di casi che orbitano intorno al consenso o al prevalente interesse pubblico. Inoltre, il par. 4 del medesimo articolo attribuisce agli Stati membri la possibilità di introdurre ulteriori limitazioni relative al trattamento dei dati sulla salute. La suddetta possibilità in capo agli Stati di limitare la disciplina relativa ai dati sensibili per finalità determinate è prevista anche dall’art. 15 della direttiva ePrivacy. Con riferimento all’attuale crisi sanitaria tali principi generali sono stati ulteriormente specificati dalla raccomandazione della Commissione Europea n. 518 del 8 aprile 2020 e dal documento elaborato, il 15 aprile 2020, dal e-Health Network. Ulteriori spunti di riflessioni sono stati avanzati, inter alia, dal Comitato europeo per la protezione dei dati personali (che ha stabilito delle apposite linee guida in tema) e dalla sezione della Task Force “Immuni” che si è occupata dei profili giuridici dei dati.

Law in action (osservazioni sul test di necessità e proporzionalità)

Da quanto appena riportato si può desumere che all’interno degli Stati membri dell’Unione europea sono possibili limitazioni della tutela dei dati personali nelle ipotesi in cui dette compressioni siano previste dalla legge, rispettino il contenuto essenziale di tali diritti, perseguano scopi d’interesse generale e siano necessarie e proporzionali (cfr., inter alia, l’art. 52 della Carta di Nizza e l’art. 23 del GDPR).

In merito agli ultimi due requisiti, assume particolare rilevanza il test elaborato dal Garante europeo per la protezione dei dati, autorità di sorveglianza indipendente in materia, nelle “Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data” del 19 dicembre 2019.

Detto test si snoda intorno a ben otto criteri, attinenti necessità e proporzionalità. Nel valutare il rispetto del criterio di necessità occorre tenere in considerazione: 1) Il contesto dove la “factual description” della misura è chiamata a operare; 2) I diritti e le libertà suscettibili di compressioni; 3) gli obbiettivi che si intendono perseguire; e 4) l’individuazione tra le possibili opzioni efficaci di quelle meno invadenti.

Nel caso in cui si ritenga soddisfatto il requisito di necessità, occorre verificare i criteri attinenti quello di proporzionalità, ovvero: 1) l’idoneità della misura a perseguire l’obiettivo considerato rilevante; 2) l’estensione e l’intensità della interferenza in tema di diritti alla privacy e tutela dei dati personali; 3) il bilanciamento tra l’obbiettivo e l’interferenza precedentemente individuate; e 4) la previsione, ove necessario, di ulteriori garanzie a sostegno delle misure che non si rivelino proporzionali.

Considerato il primario interesse pubblico alla sanità e la scelta della soluzione meno invadente il test di necessità può ritenersi superato. Per quanto attiene al test di proporzionalità, è importante osservare la peculiarità del contesto italiano. Combinando i dati dell’Università di Oxford – secondo la quale l’efficacia dell’app è subordinata all’adesione di almeno il 60% della popolazione (in tal senso anche il Garante italiano per la protezione dei dati personali) – con quelli analizzati dal Censis – ai sensi dei quali i possessori di smartphone corrispondono al 73,8% degli italiani – appare chiaro che l’app debba essere scaricata dalla quasi totalità dei proprietari di smartphone. Se a ciò si aggiungono l’anzianità della popolazione italiana, la scarsa digitalizzazione della stessa, la non obbligatorietà della app e, da ultimo, la circostanza per cui senza uno smartphone compatibile non si può adoperare l’app (solo i dispositivi apple che supportano una versione di iOS pari o superiore alla 13.5 o di Android pari o superiore alla 6 possono scaricare la medesima), non è difficile immaginare una diffusione decisamente limitata.

Inoltre, pur supponendo che tali difficoltà risultino superabili, resta da verificare la compatibilità della interferenza ai sensi degli ulteriori criteri richiamati nel test. A tal riguardo occorre innanzitutto specificare che ci possano essere diverse tipologie di dati trattati dalle app e diverse modalità di compressione del diritto alla privacy e della tutela dei dati personali. A livello europeo le soluzioni prevalenti sono: l’utilizzo di dati di geolocalizzazione (GPS), il ricorso a sistemi di analisi statistica basati su dati aggregati provenienti da operatori di telefonia, l’impiego di sistemi peer-to-peer (Bluetooth e ultrasuoni) o ancora tracking misto.

Tutto ciò premesso, la soluzione italiana si contraddistingue positivamente per: l’opzione del sistema meno invasivo (Bluetooth); la volontarietà del ricorso all’app; il trattamento di dati sostanzialmente anonimi; la struttura pubblica e decentralizzata della gestione dei medesimi; e la caratteristica open source del codice. Riserve critiche concernono il risultato del test di proporzionalità alla luce dei parametri sopra indicati (con particolare riferimento ai punti 1 e 3).