La geolocalizzazione come misura di contrasto al Covid-19
L’utilizzo del servizio di geolocalizzazione per la finalità di contrasto alla diffusione del COVID-19 è possibile, a condizione che costituisca una misura necessaria, appropriata e proporzionata e che sia accompagnata da idonee misure di salvaguardia, in ottemperanza ai requisiti imposti dal GDPR e senza incorrerre in valutazioni approssimative.
Per far fronte all’emergenza sanitaria alcuni paesi, come la Sud-Corea o il Taiwan, hanno impiegato l’utilizzo della tecnologia dei big data e di particolari strumenti come il contact tracing e la geolocalizzazione, con lo scopo di contenere il contagio monitorando il virus e le persone contagiate.
Il modello sud-coreano adottato apre il dibattito sulla possibilità di applicare questo sistema anche nel nostro paese: una tale ipotesi è potenzialmente realizzabile, ovviamente risentendo dei vincoli e delle opportune tutele previste dalla normativa sui dati personali. Il GDPR prevede regole da applicare al trattamento di dati personali in un contesto di emergenza sanitaria come quello relativo a COVID-19, per esempio nel caso in cui i datori di lavoro devono trattare dati personali per motivi di sanità pubblico, ai fini di salvaguardia di interessi vitali o dell’adempimento di un obbligo di legge.
Quanto allo specifico punto della geolocalizzazione, lo stesso EDPB ha evidenziato la possibilità di ricorrere a tale tecnologia rinviando a quanto disposto dall’art. 9 della Direttiva e-Privacy (e alle sue implementazioni nazionali), nel quale si prevede che i dati relativi all’ubicazione possano essere utilizzati dall’operatore solo se resi anonimi – e dunque raccolti ed elaborati in forma aggregata – o, in alternativa, previo consenso dei singoli interessati. Qualora non sia possibile ricorrere a uno dei due presupposti appena citati, l’art. 15 della Direttiva e-Privacy (e quindi la legislazione nazionale che la recepisce a tutt’oggi), gli Stati membri possono introdurre misure legislative che consentano il loro trattamento ai fini di tutela della sicurezza nazionale e pubblica, che rispettino tuttavia i principi del GDPR e le garanzie ivi richieste. Il GDPR contempla la possibilità di effettuare trattamenti richiesti per “la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica” (art. 6) e per affrontare minacce alla salute pubblica di carattere transfrontaliero (art. 9). In tale contesto, l’impiego dei sistemi di geolocalizzazione nell’ambito di una legislazione di emergenza deve necessariamente essere “proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.
Sul punto, lo stesso EDPB ha evidenziato che, nel rispetto dei principi di proporzionalità e di finalità, sarebbe opportuno preferire le soluzioni meno invasive. In tal senso, se vengono introdotte misure che consentono il trattamento di dati non anonimi relativi all’ubicazione, lo Stato membro è obbligato a mettere in atto adeguate politiche di riservatezza al fine di garantire che i dati non vengano comunicati a soggetti non autorizzati, nonché opportune misure di salvaguardia come, ad esempio, la messa a disposizione di servizi di comunicazione “elettronici” che consentano all’interessato l’esercizio del diritto al ricorso giurisdizionale. L’EDPB ha altresì ricordato che tali misure sono soggette alla giurisdizione della Corte di Giustizia e della Corte Europea dei Diritti dell’Uomo in relazione alla loro conformità alla Carta dei diritti fondamentali dell’Unione europea e alla Convenzione Europea dei Diritti dell’Uomo.
In merito è altresì intervenuto il Garante italiano, sostenendo che “Bisognerebbe anzitutto orientarsi secondo un criterio di gradualità e, dunque, valutare se le misure meno invasive possano essere sufficienti a fini di prevenzione. Ove così non sia, si dovrà studiare modalità e ampiezza delle misure da adottare in vista della loro efficacia, proporzionalità e ragionevolezza, senza preclusioni astratte o tantomeno ideologiche, ma anche senza improvvisazioni. Il Garante fornirà, naturalmente, il suo contributo nello spirito di responsabilità e leale cooperazione istituzionale che ne ha sempre caratterizzato l’azione, nella consapevolezza della difficoltà del contesto attuale”.
Secondo quanto affermato dal Garante, apparirebbe sproporzionata la geolocalizzazione di tutti i cittadini italiani, 24 ore su 24, in quanto misura eccessivamente invasiva: al contrario, sarebbe utile la valutazione relativa alla geolocalizzazione quale mero strumento di ricostruzione della catena epidemiologica, raccogliendo unicamente i dati necessari al fine di contenimento del contagio, in ottemperanza ai principi di minimizzazione e finalità sanciti dal GDPR.
In conclusione, nell’ambito di una legislazione di emergenza, l’utilizzo del servizio di geolocalizzazione per la finalità di contrasto alla diffusione del COVID-19 è possibile, a condizione che costituisca una misura necessaria, temporanea e proporzionata e che sia accompagnata da idonee misure di salvaguardia, senza incorrerre in valutazioni approssimative e superficiali.
