Nella situazione di emergenza sanitaria dovuta alla pandemia di coronavirus, si è resa necessaria, per ragioni di accertamento e prevenzione (si pensi alla misurazione della temperatura corporea in aeroporto o dello stesso campionamento mediante “tampone”), la raccolta e il trattamento di un’elevatissima quantità di dati personali.
Per fare chiarezza sulle domande più frequenti su data protection e Covid-19, il Garante Privacy ha pubblicato il 04.05.2020 delle FAQ, suddividendo il documento per categorie: il contesto sanitario, quello degli enti locali, quello scolastico e il contesto lavorativo pubblico e privato.
Nella sostanza è importante sottolineare come il Garante abbia precisato che, nonostante la situazione di emergenza abbia portato alla deroga del normale rispetto delle norme relative al trattamento dei dati personali, le regole fondamentali persistono, con la conseguenza che, ad esempio, i dati forniti dai cittadini nella compilazione dei moduli messi a disposizione dal Governo non potranno essere utilizzati per finalità diverse da quelle previste e dovranno essere conservati, ove necessario, adottando le misure di sicurezza adeguate al rischio o che il datore di lavoro non potrà comunicare i nominativi dei dipendenti che sono risultati positivi al virus nemmeno al Responsabile per la sicurezza.
Quanto poi al settore medico, le FAQ precisano che non vi è stata alcuna deroga da parte della normativa d’urgenza sull’emergenza epidemiologica da COVID-19 e resta pertanto vietata la diffusione dei dati relativi alla salute da parte delle aziende sanitarie e di qualsiasi altro soggetto pubblico o privato. E’ fatto inoltre divieto di diffondere, attraverso siti web o altri canali, i nominativi dei casi accertati di COVID-19 o dei soggetti sottoposti alla misura dell’isolamento per finalità di contenimento della diffusione dell’epidemia.
A livello europeo si segnala la Dichiarazione formale in merito al trattamento dei dati personali nel contesto dell’epidemia da Covid-19, adottata dall’European Data Protection Board in data 19.03.2020, nella quale, premesso che l’emergenza è condizione legale per legittimare la restrizione della libertà purché tale restrizione risulti proporzionata e limitata al periodo specifico, si evidenzia l’importanza di garantire comunque la tutela dei dati personali delle persone fisiche interessate.
Il documento individua quattro aspetti: la liceità del trattamento, i principi fondamentali per il trattamento dei dati personali, l’utilizzo dei dati di localizzazione derivanti dai dispositivi mobili e il contesto lavorativo.
In ordine alla liceità del trattamento l’EDPB sottolinea che il GDPR si applica anche nel contesto relativo alla diffusione del Covid-19 e che nel settore della sanità pubblica non è necessario il consenso degli interessati, trattandosi di situazione emergenziale ex art. 9.2 lett. i) e lett. c) del GDPR. Per quanto concerne il secondo punto, si sottolinea come il trattamento debba essere svolto per scopi espliciti informando con chiarezza e trasparenza i soggetti interessati su modalità, finalità e tempo di conservazione, ed evitando la divulgazione a soggetti non autorizzati.
Quanto all’utilizzo di dati sulla localizzazione attraverso dispositivi mobili per monitorare, contenere e mitigare il contagio, l’EDPB raccomanda l’elaborazione dei dati di posizione e di tracciamento degli individui in forma anonima e l’utilizzo di misure che siano meno invasive possibili, o comunque proporzionate al rischio.
Per quanto riguarda poi l’ambito lavorativo, si precisa che il datore di lavoro può chiedere che gli vengano forniti dati relativi alla salute solo nei limiti della legislazione nazionale e che i controlli medici sui dipendenti dovranno essere effettuati nel rispetto della normativa per la salute e la sicurezza nei luoghi di lavoro. Eventuali comunicazioni circa la presenza di un caso di infezione di Covid-19 dovranno essere limitate solo alla specifica necessità, adottando misure di protezione efficaci e, in caso di divulgazione del nome, informando preventivamente l’interessato.