Parere del Garante n. 386 del 24/11/2022

Autorizzazione alla prosecuzione del Sistema di allerta Covid-19

Il Garante per la protezione dei dati personali esamina la richiesta del Ministero della salute di continuare il trattamento dei dati personali effettuato mediante il Sistema di allerta Covid-19 (app Immuni), alla luce di una valutazione di impatto sulla protezione dei dati personali aggiornata nel 2022. Il provvedimento si colloca nel quadro dell’evoluzione normativa successiva all’istituzione del sistema, introdotto dall’art. 6 del d.l. 30 aprile 2020, n. 28, convertito dalla legge 25 giugno 2020, n. 70.

Quadro normativo e precedenti interventi

Il Garante richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003 e i precedenti atti relativi al medesimo trattamento, tra cui:

• il parere del 29 aprile 2020 sul Sistema di allerta Covid-19;
• l’autorizzazione all’avvio del trattamento del 1° giugno 2020;
• i successivi provvedimenti del 25 febbraio 2021 e del 28 aprile 2022.

Sono inoltre richiamati gli interventi normativi e amministrativi che hanno inciso sul funzionamento del sistema, tra cui il d.l. 24 marzo 2022, n. 24, in particolare l’art. 10, relativo alla proroga dei termini correlati alla pandemia.

Aggiornamento della DPIA trasmessa dal Ministero

Con nota del 20 ottobre 2022, il Ministero della salute ha trasmesso una valutazione di impatto sulla protezione dei dati personali aggiornata "alla luce della normativa sopravvenuta". Il Garante prende atto che l’aggiornamento tiene conto dell’evoluzione della disciplina emergenziale e dei correlati profili di protezione dei dati.

Profili sostanziali oggetto di revisione

Il provvedimento evidenzia che la DPIA revisionata recepisce, in particolare:

• le modalità di sblocco delle funzionalità dell’app Immuni mediante invio delle TEK da parte dell’interessato e validazione dell’OTP;
• la cessazione dell’attività del call center nazionale;
• la possibilità di utilizzare l’app Immuni anche per scaricare la certificazione verde Covid-19 di cui all’art. 9 del d.l. 22 aprile 2021, n. 52;
• i termini di conservazione dei dati personali.

Il Garante collega tali modifiche ai recenti interventi normativi e alle indicazioni già rese nel precedente parere del 28 aprile 2022, che aveva segnalato la necessità di aggiornare anche i parametri di rilevazione dei contatti stretti di soggetti risultati positivi al Covid-19 in funzione dei mutati criteri sanitari rilevanti.

Valutazione in materia di protezione dei dati

L’Autorità ritiene che le misure descritte nella valutazione d’impatto siano adeguate a mitigare i rischi per i diritti e le libertà degli interessati, considerando che i trattamenti sono svolti per l’esecuzione di compiti di interesse pubblico. Il riferimento espresso è agli artt. 36, par. 5, e 58, par. 3, lett. c), del GDPR, che fondano il potere di esame e autorizzazione del Garante nel contesto della DPIA.

Esito del parere

Il Garante autorizza il Ministero della salute a continuare il trattamento relativo al Sistema di allerta Covid-19 di cui all’art. 6 del d.l. 30 aprile 2020, n. 28. Il provvedimento è quindi favorevole, senza prescrizioni ulteriori riportate nel testo esaminato.

Mezzi di impugnazione

È richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo in cui ha sede/residenza il titolare del trattamento, entro trenta giorni dalla comunicazione del provvedimento, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 1° settembre 2011, n. 150.