Prove di bilanciamento tra il diritto alla privacy e il diritto alla salute (pubblica)

L’emergenza sanitaria globale causata dalla diffusione incontrollata del nuovo coronavirus, c.d. “Covid-19”, il blocco delle economie nazionali nonché le (future) ripercussioni sul mondo del lavoro stanno mettendo a dura prova la tenuta dei sistemi politici democratici ed il rispetto di alcune tra le più basilari libertà fondamentali, come la libertà di movimento e il diritto alla privacy.

Con riguarda a quest’ultimo, il presidente dell’Autorità garante italiana per la protezione dei dati personali, Antonello Soro, ha recentemente affermato che “il diritto alla privacy è un diritto non tiranno, e come tale soggetto a bilanciamento come altri beni giuridici, ovvero la salute pubblica”. Ha inoltre aggiunto che “l’emergenza è una condizione giuridica che legittima, in generale, la limitazione della libertà, purché limitatamente alle esigenze di contrasto a questa stessa e in maniera limitata nel tempo”.

Tale riflessione fa seguito al recente dibattito in merito alla necessità del trattamento dei dati personali sensibili nonché all’esigenza di  tracciare (c.d. geolocalizzazione) e controllare gli spostamenti degli individui al fine di contrastare l’ulteriore diffusione del Covid-19. Alcuni stati dell’Asia orientale hanno fatto del c.d. contact tracing la loro strategia per combattere la nuova pandemia. La Corea del Sud, con un utilizzo capillare ed invasivo della tecnologia, ha parzialmente limitato i casi di contagio. Da una parte, i controlli di massa tramite l’utilizzo di telecamere, social networks, carte di credito e cartelle cliniche hanno permesso di ricostruire in tempi rapidi gli spostamenti delle persone infette, le persone con cui sono entrate in contatto ed i luoghi dalle stesse frequentati; dall’altra, il governo coreano ha creato una applicazione (“Corona 100M“) da installare sui propri dispostivi mobili che, tra le cose, invia una notifica quando ci si trova ad una distanza di circa 100 metri dai luoghi frequentati da una persona contagiata.

Posto che i sistemi giuridici dei Paesi asiatici sono nettamente differenti rispetto a quelli dell’Europa occidentale, come coniugare e bilanciare il diritto alla privacy con la tutela della salute pubblica? Si può comprimere il diritto alla privacy? Su quali basi? Quali deroghe sono consentite e a quali condizioni?

In seguito alla dichiarazione dello stato di emergenza nazionale per mezzo della delibera del consiglio dei ministri del 31 gennaio 2020, la Protezione Civile ed il Governo hanno rispettivamente adottato ordinanze e decreti-leggi che hanno inciso in maniera più o meno evidente sul diritto alla privacy ai fini di limitare l’ulteriore propagazione del nuovo virus, tutelare la salute pubblica e, conseguentemente, impedire il collasso sanitario ed economico del Paese.

Tra le svariate misure adottate, ci soffermeremo sull’art. 5 dell’ordinanza del capo dipartimento della Protezione Civile n. 630 del 3 febbraio 2020 e sull’art. 14 del decreto-legge n. 14 del 9 marzo 2020.

In merito al trattamento dei dati, l’art. 5 della richiamata ordinanza ha disposto che i soggetti operanti nel Servizio nazionale di protezione civile, unitamente a quelli individuati nell’art. 1, possono realizzare trattamenti, ivi compresa la comunicazione tra loro, dei dati personali, anche sensibili, al fine realizzare gli scopi ed i compiti propri della Protezione Civile così come previsto dal decreto legislativo n. 1/2018 (c.d. Codice della Protezione Civile). A ciò si aggiunga che l’art. 14 dell’anzidetto decreto-legge ha ampliato il novero dei soggetti che potranno trattare e comunicare fra loro i dati personali, anche sensibili, fino al termine dell’emergenza sanitaria in atto (31 luglio 2020). Oltre ai soggetti operanti nel Servizio nazionale di protezione civile e gli attuatori dell’o.c.d.p.c. n. 630/2020, vi rientrano gli uffici del Ministero della salute e dell’Istituto Superiore di Sanità, le strutture pubbliche e private operanti nell’ambito del S.S.N. e tutti i soggetti deputati a garantire l’esecuzione delle misure di contenimento della diffusione del virus. A ciò si aggiunga che la comunicazione dei dati personali, con esclusione di quelli sensibili, a soggetti pubblici o privati diversi ed ulteriori rispetto a quelli individuati dall’ordinanza e dal decreto-legge, è effettuata se dovesse risultare indispensabile per attuare le misure emergenziali in atto.

Cosa significa ciò in concreto? Quali sono i dati che potranno essere trattati e comunicati a terzi? Fino a quando varranno tali provvedimenti? E cosa succederà “dopo”?

Si è visto che le disposizioni richiamate consentono a un novero molto ampio di persone, tanto fisiche quanto giuridiche, di trattare i dati personali. Il trattamento dei dati personali consiste nel raccogliere, registrare, organizzare, strutturare, conservare, estrarre, consultare, usare, diffondere e raffrontare le informazioni che riguardano ciascun individuo identificato e/o identificabile. In particolare, i soggetti come sopra individuati potranno avere accesso anche a quella particolare categoria di dati che vengono definiti sensibili. Ci si riferisce a quelle informazioni che sono idonee a rivelare l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose e filosofiche, l’appartenenza sindacale, i dati genetici e biometrici, nonché quelli relativi alla salute e all’orientamento e all’identità sessuale della persona. Si noti che vi rientrano anche i dati relativi alle condanne penali, alle misure di sicurezza nonché ai reati commessi.

E’ bene chiarire che tanto l’utilizzo quanto la comunicazione di tali dati ed informazioni non potranno avvenire in maniera indiscriminata. Infatti, la normativa di carattere emergenziale prevede che le attività descritte potranno avvenire solo ai fini di tutelare la salute pubblica, limitare la diffusione del contagio e far rispettare le misure di contenimento adottate con il d.l. n. 6/2020, convertito in L. n. 13/2020.

Come anticipato poco sopra, i dati sensibili e giudiziari potranno essere trattati e comunicati “solo” ed esclusivamente dai soggetti facenti parte del Servizio nazionale protezione civile, dal Ministero della salute, dall’Istituto Superiore di Sanità, dalle strutture pubbliche o private che operano all’interno del Servizio Sanitario Nazionale nonché da coloro che devono attuare o.c.d.p.c. n. 630/2020 e il d.l. n. 6/2020.

Tutto quanto sopra descritto potrà avvenire fino al termine dello stato di emergenza proclamato il 31 gennaio 2020 per la durata di 180 giorni. Dunque, i poteri speciali in merito al trattamento dei dati personali conferiti alla Protezione Civile, unitamente ai soggetti precedentemente citati, dovrebbero cessare il 31 luglio 2020. Come previsto dall’art. 14, co. 6 del d.l. 14/2020, al termine dello stato di emergenza tutti i soggetti investiti di tali straordinari poteri dovranno ricondurre il trattamento dei dati personali nell’ambito delle loro ordinarie competenze.

La nefasta emergenza sanitaria ha fornito un’importante occasione per valutare più da vicino la normativa nazionale ed europea riguardante la protezione dei dati personali e le deroghe consentite.

Pare, dunque, imprescindibile individuare correttamente il quadro normativo a tal fine rilevante:

1. Regolamento UE n. 679/2016 (c.d. GDPR);

2. Direttiva n. 2002/58/CE (c.d. direttiva e-privacy);

3. D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali).

Atteso che per ragioni di spazio non è possibile esaminare in modo dettagliato il corpus normativo richiamato, ci si limiterà a valutare se ed a quali condizioni siano previste delle deroghe al “normale” trattamento dei dati personali e se sia lecito comprimere il diritto alla privatezza.

Con riferimento al regolamento europeo n. 679/2016, si noti che una lettura più dettagliata del testo consente di affermare che, senza ombra di dubbio, il diritto alla privacy non è un diritto assoluto che non conosce limiti, confini e compressioni. Se, da un lato, il considerando 1 del regolamento de quo statuisce che “la protezione delle persone fisiche con riguardo al trattamento dei dati con carattere personale è un diritto fondamentale, dall’altro i considerando 16 e 46 dispongono che il presente regolamento non si applica al trattamento dei dati personali quando vi è in gioco la sicurezza comune dell’Unione Europea, quando è necessario tutelare la vita dell’interessato o di un’altra persona fisica e quando vi sono rilevanti motivi di interesse pubblico tra cui l’evoluzione e la diffusione di epidemie. A ciò si aggiunga che secondo l’art. 6 del reg. citato è sempre lecito il trattamento dei dati personali quando ciò si rende necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica, e, secondo l’art. 9, lett. i reg. cit. è sempre consentito il trattamento dei dati personali c.d. sensibili quando esso è necessario per motivi di interesse pubblico nel settore della sanità pubblica, come nel caso della protezione da gravi minacce per la salute pubblica di carattere transfrontaliero.

Con riguardo alla direttiva c.d. e-privacy, così come implementata nel D.Lgs. 19672003, si noti che essa regolamenta il trattamento dei dati personali nel settore delle comunicazioni elettroniche all’interno dell’Unione Europea. La direttiva cit. ha ad oggetto, tra le altre cose, il traffico dei dati delle comunicazioni elettroniche e la localizzazione tramite la telefonia mobile. In particolare, gli artt. 5 e 6 della direttiva cit. impongono la riservatezza della comunicazioni e la cancellazione dei dati sul traffico quando non sono più necessari ai fini della comunicazione. A ciò si aggiunga secondo l’art. 9 i dati relativi all’ubicazione diversi dai dati relativi al traffico possono essere trattati solo se resi anonimi o se il titolare ha prestato idoneo consenso. A tal proposito si rammenta che il considerando 14 definisce dati relativi all’ubicazione quelli che “possono riferirsi alla latitudine, longitudine e altitudine dell’apparecchio terminale dell’utente, alla direzione di viaggio, al livello di accuratezza dell’informazione sull’ubicazione, alla identificazione della cella di rete in cui l’apparecchio terminale è ubicato in un determinato momento, e al momento in cui l’informazione sull’ubicazione è registrata”.  La riservatezza di tali dati può essere limitati da parte degli Stati Membri, atteso che l’art. 15 della direttiva cit. consente di operare delle deroghe e, segnatamente, di conservare per un periodo di tempo limitato i suddetti dati quando vi sia in gioco la sicurezza pubblica.

Alla luce di tali considerazioni, si reputa che le misure legislative adottate siano adeguate nell’ottica di operare un bilanciamento tra il diritto alla privatezza e alla salute pubblica; ciò nonostante, è auspicabile che l’Autorità nazione garante della privacy eserciti tutti i poteri all’uopo previsti dalla legge per evitare che si verifichino abusi e che l’imponente massa di dati trattata venga utilizzata per finalità diverse rispetto a quelle normativamente previste.