Requisiti in materia di diritto di protezione dei dati per la raccolta di dati relativi alla salute da parte di privati nel contesto della lotta alla pandemia
22.01.2021 - Nella lotta alla pandemia di COVID-19 si ricorre sempre più spesso ad applicazioni digitali installate su smartphone sui quali solitamente si trovano tracce piuttosto consistenti dello stile di vita digitale dei relativi proprietari. Ne sono un esempio l’app SwissCovid lanciata dalla Confederazione o le cosiddette «tracing app» offerte da privati che dovrebbero facilitare il tracciamento di prossimità nei Cantoni.
In seguito alla disponibilità di test diagnostici rapidi e di vaccinazioni per far fronte all’attuale pandemia, diversi fornitori privati hanno annunciato di prendere in considerazione la possibilità di subordinare l’accesso a beni o servizi, a tempo debito, alla divulgazione dei risultati dei test o alla prova dell’avvenuta vaccinazione.
Se acquisiscono dati relativi alla salute dai propri concittadini nel contesto della pandemia, oltre alle prescrizioni di diritto pubblico concernenti i relativi piani di protezione per limitare la diffusione del coronavirus i privati sono tenuti a osservare anche le disposizioni della legge sulla protezione dei dati della Confederazione (LPD) e i principi ivi sanciti di proporzionalità e finalità del trattamento dei dati. Se i privati subordinano l’accesso a beni o servizi alla divulgazione di dati relativi alla salute, ciò può ledere la personalità degli interessati. Secondo l’articolo 13 LPD una simile lesione è ammissibile soltanto se è giustificata dal consenso della persona lesa, da un interesse preponderante privato o pubblico o dalla legge.
Se la richiesta e l’eventuale trattamento ulteriore dei dati relativi al test o alla vaccinazione rappresentano una violazione della personalità dipende dalle circostanze concrete del singolo caso, tanto più che né il diritto pubblico né quello privato prevedono normative esaustive in materia. L’IFPDT si compiace pertanto che gli uffici federali competenti stiano elaborando un regolamento interpretativo di un’eventuale normativa e delle sue conseguenze all’attenzione del Consiglio federale.
A prescindere dal fatto che si adottino o meno disposizioni in tal senso e da quando ciò avverrà, nell’attuale situazione pandemica l’Incaricato deve sempre attendersi che i privati possano acquisire sistematicamente dati relativi al test o alla vaccinazione nonché altri dati personali. L’IFPDT segnala quindi qui di seguito i requisiti in materia di diritto di protezione dei dati che i privati devono garantire di rispettare prima di subordinare l’accesso a beni o servizi alla divulgazione di questi dati personali.
- Adeguatezza del trattamento: per rispettare il principio di proporzionalità in materia di diritto di protezione dei dati, l’acquisizione e l’ulteriore trattamento dei dati personali devono essere idonei allo scopo. Nel valutare se l’acquisizione privata e l’eventuale ulteriore trattamento dei risultati di test e vaccinazioni sono adatti a contribuire in modo significativo alla protezione contro la trasmissione e la malattia, occorre tenere conto dei pareri delle autorità sanitarie competenti – in particolare dell’Ufficio federale della sanità pubblica – sulla validità dei test e sugli effetti della vaccinazione. La valutazione in materia di diritto di protezione dei dati si basa sui pareri e sulle pubblicazioni delle summenzionate autorità competenti in materia.
- Esigibilità del trattamento: occorre rinunciare ad acquisire i dati personali menzionati se fosse subordinato a essi l’accesso a beni o servizi, la rinuncia a questi ultimi non fosse ragionevole e l’accesso non potesse essere assicurato ragionevolmente anche in altro modo.
- Entità del trattamento e sicurezza dei dati: dopo aver valutato l’accesso occorre rinunciare a salvare o a trasmettere i dati personali acquisiti, a meno che un loro trattamento ulteriore non sia strettamente necessario e motivato in modo obiettivo o sia esplicitamente richiesto dalle parti interessate. Qualora sia necessario effettuare un trattamento ulteriore, occorre limitarne entità e durata al minimo indispensabile necessario per contrastare la pandemia. Occorre inoltre garantire la sicurezza dei dati mediante adeguate misure tecniche e organizzative.
- Tipo di trattamento: vi sono persone che sono riluttanti a mostrare uno smartphone dotato di un determinato programma perché temono un accesso ai dati del loro stile di vita digitale. E ve ne sono altre che per età, stato di salute o disabilità non sono neppure in grado di farlo. A esse occorre offrire, a condizioni analoghe, alternative ragionevoli all’acquisizione digitale dei dati personali menzionati.
- Trasparenza del trattamento: occorre informare gli interessati in modo completo e comprensibile sullo scopo e sulle modalità dell’acquisizione di dati e sull’eventuale trattamento ulteriore dei dati personali menzionati.
L’IFPDT segue l’evoluzione della situazione e si riserva il diritto di adottare misure relative al diritto della vigilanza nei confronti di privati se dovesse giungere alla conclusione che essi non adempiono i summenzionati requisiti della legge sulla protezione dei dati. Sono fatti salvi nuovi sviluppi e conoscenze scientifiche che richiedano una nuova valutazione o un’integrazione dei suddetti requisiti.