Di seguito trovate riportati i vari comma e a seguito una personale spiegazione del tutto ed eventuali note personali.
1. Al solo fine di allertare le persone che siano entrate in
contatto stretto con soggetti risultati positivi e tutelarne la
salute attraverso le previste misure di prevenzione nell'ambito delle
misure di sanita' pubblica legate all'emergenza COVID-19, e'
istituita una piattaforma unica nazionale per la gestione del sistema
di allerta dei soggetti che, a tal fine, hanno installato, su base
volontaria, un'apposita applicazione sui dispositivi di telefonia
mobile. Il Ministero della salute, in qualita' di titolare del
trattamento, si coordina, sentito il Ministro per gli affari
regionali e le autonomie, anche ai sensi dell'articolo 28 del
Regolamento (UE) 2016/679, con i soggetti operanti nel Servizio
nazionale della protezione civile, di cui agli articoli 4 e 13 del
decreto legislativo 2 gennaio 2018, n. 1, e con i soggetti attuatori
di cui all'articolo 1 dell'ordinanza del Capo del Dipartimento della
protezione civile n. 630 del 3 febbraio 2020, nonche' con l'Istituto
superiore di sanita' e, anche per il tramite del Sistema Tessera
Sanitaria, con le strutture pubbliche e private accreditate che
operano nell'ambito del Servizio sanitario nazionale, nel rispetto
delle relative competenze istituzionali in materia sanitaria connessa
all'emergenza epidemiologica da COVID 19, per gli ulteriori
adempimenti necessari alla gestione del sistema di allerta e per
l'adozione di correlate misure di sanita' pubblica e di cura. Le
modalita' operative del sistema di allerta tramite la piattaforma
informatica di cui al presente comma sono complementari alle
ordinarie modalita' in uso nell'ambito del Servizio sanitario
nazionale. Il Ministro della salute e il Ministro per gli affari
regionali e le autonomie informano periodicamente la Conferenza
permanente per i rapporti tra lo Stato, le regioni e le province
autonome di Trento e di Bolzano sullo stato di avanzamento del
progetto.
I dati, sembra che verranno gestiti e condivisi tra una serie di enti pubblici e privati, anche tramite sistema di Tessere Sanitaria, quindi probabilmente disponibili anche per mezzo del FSE, al fine di allertare i soggetti ritenuti a rischio e per l'adozione di misure di sanità pubblica, non meglio specificate.
2. Il Ministero della salute, all'esito di una valutazione di
impatto, costantemente aggiornata, effettuata ai sensi dell'articolo
35 del Regolamento (UE) 2016/679, adotta misure tecniche e
organizzative idonee a garantire un livello di sicurezza adeguato ai
rischi elevati per i diritti e le liberta' degli interessati, sentito
il Garante per la protezione dei dati personali ai sensi
dell'articolo 36, paragrafo 5, del medesimo Regolamento (UE) 2016/679
e dell'articolo 2-quinquiesdecies del Codice in materia di protezione
dei dati personali di cui al decreto legislativo 30 giugno 2003, n.
196, assicurando, in particolare, che:
a) gli utenti ricevano, prima dell'attivazione dell'applicazione,
ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679,
informazioni chiare e trasparenti al fine di raggiungere una piena
consapevolezza, in particolare, sulle finalita' e sulle operazioni di
trattamento, sulle tecniche di pseudonimizzazione utilizzate e sui
tempi di conservazione dei dati;
In questo punto si può capire che ogni utente, dovrà ricevere adeguate e complete informazioni sull'uso che verrà fatto dei propri dati, da parte dell'applicazione, prima della sua installazione.
b) per impostazione predefinita, in conformita' all'articolo 25
del Regolamento (UE) 2016/679, i dati personali raccolti
dall'applicazione di cui al comma 1 siano esclusivamente quelli
necessari ad avvisare gli utenti dell'applicazione di rientrare tra i
contatti stretti di altri utenti accertati positivi al COVID-19,
individuati secondo criteri stabiliti dal Ministero della salute e
specificati nell'ambito delle misure di cui al presente comma,
nonche' ad agevolare l'eventuale adozione di misure di assistenza
sanitaria in favore degli stessi soggetti;
Qui si parla che i dati personali raccolti dall'applicazione, saranno "esclusivamente" quelli necessari ad avvisare gli utenti di essere stati in stretto contatto con soggetti "infetti", permettendo così anche l'attuazione di misure di assistenza adeguate.
c) il trattamento effettuato per allertare i contatti sia basato
sul trattamento di dati di prossimita' dei dispositivi, resi anonimi
oppure, ove cio' non sia possibile, pseudonimizzati; e' esclusa in
ogni caso la geolocalizzazione dei singoli utenti;
Viene confermato che l'app gestirà i dati dell'utente in forma anonima, ed eventuali segnalazioni a contatti di prossimità, sarannò anch'esse anonime.
Non si comprende bene il senso di "pseudonimizzati", se si tratti della possibilità di un utente di scegliere arbitrariamente il proprio "nickname" o se una qualche procedura automatica possa provvedere a generarne uno per l'utente.
In quest'ultimo caso, se la procedura fosse automatica, quali sarebbe i criteri di scelta?
Userà i dati in suo possesso (dati raccolti sull'utente, che dovrebbero essere anonimi anche localmente) per generare possibili combinazioni?
Questi dati saranno forniti da fonti esterne (sistemi remoti) sulla base di dati reali dell'utente?
Quasi sicuramente questo identificativo dovrà essere univoco a livello nazionale, tra tutti gli utenti utilizzatori dell'app, per poter associare correttamente e senza casi di omonimia, i dati raccolti con uno e un solo utente.
Infine, viene esclusa la "geolocalizzazione" degli utenti, quindi non dovrebbe esserci alcun utilizzo del GPS.
Rimangono aperte alcune questioni non specificate, la frequenza con cui questi dati vengano sincronizzati tra sistema remoto e app, e nonostante sia esclusa la geolocalizzazione e confermato il loro anonimato, non vi è garanzie sulle sicurezze dei canali di comunicazione adottati.
Con una frequenza molto alta di sincronizzazione, tenendo in conto che il dispositivo mobile può agganciarsi a vari ripetitori di prossimità a seconda degli spostamenti dei soggetti, sarebbe possibile in alternativa al gps, tracciare gli spostamenti di quest'ultimo.
Non essendo specificato tutto ciò, probabilmente che questi aspetti non saranno requisiti obbligatori.
Da tenere a mente dal punto di vista tecnico, che la comunicazione di prossimità tra i dispositivi, anche se non specificata testualmente, potrebbe avvalersi della tecnologia bluetooth, un sistema che sfrutta le onde radio per comunicazioni a brevi distanze, e considerato spesso poco sicuro.
Tenendo in conto ciò, si tenga a mente che i dati trasmessi via onde radio (siano essi bluetooth o wifi), sono facilmente intercettabili tramite appositi software, da parte di altri soggetti di prossimità.
Questi dati una volta raccolti, seppur inviati in maniera cifrata durante la comunicazione, possono essere decifrati possedendo specifiche chiavi di decodifica, che a loro volta possono essere raccolte durante l'intercettazione ed utilizzate per avere chiari i contenuti trasmessi.
Oltre questo, c'è la possibilità che queste comunicazioni possano anche essere soggete a tipi di attacco "Man in the Middle", ovvero in cui un malintenzionato si intrometta nella comunicazione tra due dispositivi, fingendosi uno dei due, al solo fine di ricevere i dati di comunicazione senza averne alcuna autorizzazione specifica.
Siate coscienti anche di questi aspetti.
d) siano garantite su base permanente la riservatezza,
l'integrita', la disponibilita' e la resilienza dei sistemi e dei
servizi di trattamento nonche' misure adeguate ad evitare il rischio
di reidentificazione degli interessati cui si riferiscono i dati
pseudonimizzati oggetto di trattamento;
In questo punto si discute che tutti i dati inviati dalla app verso i sistemi remoti, dovranno essere garantiti come riservati, e sempre fruibili nella loro interezza sino a tempo indeterminato da parte degli operatori di servizio.
Questo dovrebbe voler dire che i nostri dati, a discapito di chi manualmente li gestirà, saranno tutelati dalla legge ed utilizzati solo per i fini specificati e accettati dall'utente.
Si citano di nuovo "dati pseudonimizzati" nei sistemi remoti.
Essendo i dati a questo punto, in mano agli enti pubblici e privati, presso i loro sistemi remoti, i quali dovrebbero poterli utilizzare ai fini di allerta e di adozione di misure di sanità pubblica, come da comma 1, mi chiedo perchè mai debbano essere mantenuti anonimi anche presso i loro sistemi.
In che modo potrebbero poi contattare gli utenti eventualmente da tutelare in una situazione di pericolo sanitario se questi dati non sono pienamente "chiari"?
Probabilmente questo punto, rispetto a quanto scritto nel punto "a", saranno chiariti dall'app stessa, che probabilmente esplicherà quali informazioni di contatto saranno utilizzate per contattare l'utente e quali modalità.
e) i dati relativi ai contatti stretti siano conservati, anche
nei dispositivi mobili degli utenti, per il periodo strettamente
necessario al trattamento, la cui durata e' stabilita dal Ministero
della salute e specificata nell'ambito delle misure di cui al
presente comma; i dati sono cancellati in modo automatico alla
scadenza del termine;
In questo punto si confermano che i dati registrati dall'app, saranno salvati localmente sul dispositivo dell'utente, e cancellati in modo automatico, alla scadenza di un termine non definito.
Non è definito nemmeno se la cancellazione dei dati debba essere delegata autonomamente all'app, eventualmente a fine sincronizzazione, o se su richiesta da parte di un operatore da remoto.
Eventualmente questo punto sarà chiarito se e quando verranno rilasciati i sorgenti dell'app.
f) i diritti degli interessati di cui agli articoli da 15 a 22
del Regolamento (UE) 2016/679 possano essere esercitati anche con
modalita' semplificate.
Questo punto sancisce che i dati gestiti dovranno rispettare quanto dichiarato nel Regolamento (UE) 2016/679, il quale impone la tutela degli individui coinvolti a prescindere, della loro privacy, ed il loro diritto a chiedere eventuale esistenza e volendo la cancellazione di dati propri da sistemi remoti.
3. I dati raccolti attraverso l'applicazione di cui al comma 1 non
possono essere trattati per finalita' diverse da quella di cui al
medesimo comma 1, salva la possibilita' di utilizzo in forma
aggregata o comunque anonima, per soli fini di sanita' pubblica,
profilassi, statistici o di ricerca scientifica, ai sensi degli
articoli 5, paragrafo 1, lettera a) e 9, paragrafo 2, lettere i) e
j), del Regolamento (UE) 2016/679.
In questo punto dovrebbe essere quantomeno garantito che i dati personali registrati siano utilizzati solo a fini sanitari e di ricerca scentifica.
Per utilizzo in forma aggegata, personalmente non è chiaro se questi dati siano vincolati a questo trattamento e garanzie, anche nel caso in cui eventuali enti privati, citati nel comma 1, ne possano entrare in possesso ed aggregarli ai propri.
Ad esempio, un eventuale utente, potrebbe essere stato paziente di un ente privato per eventuali analisi private, ed i suoi dati limitati alle sole analisi effettuate, già in possesso dell'ente privato, il quale potrebbe aver posto le proprie condizioni di trattamento dei dati all'utente, con annessa firma di consenso.
Fino a che punto il regolamento UE prima citato, tutela questi dati?
4. Il mancato utilizzo dell'applicazione di cui al comma 1 non
comporta alcuna conseguenza pregiudizievole ed e' assicurato il
rispetto del principio di parita' di trattamento.
In questo punto si conferma che nessuno dovrebbe essere discriminato per la mancata installazione/utilizzo dell'app, ma non si capisce da parte di chi.
Non essendo un avvocato, non ho idea se a livello giuridico, questa definizione possa essere liberamente interpretata ed eventualmente un qualunque soggetto sentirsi libero di effettuare una discriminazione sociale, ad esempio non permettendo ad un cliente di entrare nel proprio locale o negozio perché sprovvisto dell'app.
5. La piattaforma di cui al comma 1 e' di titolarita' pubblica ed
e' realizzata dal Commissario di cui all'articolo 122 del
decreto-legge 17 marzo 2020, n. 18, convertito, con modificazioni,
dalla legge 24 aprile 2020, n. 27, esclusivamente con infrastrutture
localizzate sul territorio nazionale e gestite dalla societa' di cui
all'articolo 83, comma 15, del decreto-legge 25 giugno 2008, n. 112,
convertito, con modificazioni, dalla legge 6 agosto 2008, n. 133. I
programmi informatici di titolarita' pubblica sviluppati per la
realizzazione della piattaforma e l'utilizzo dell'applicazione di cui
al medesimo comma 1 sono resi disponibili e rilasciati sotto licenza
aperta ai sensi dell'articolo 69 del decreto legislativo 7 marzo
2005, n. 82.
In questo punto da quel posso capire, la piattaforma è realizzata dal commissario attualmente nominato per l'emergenza Covid-19, e gestita dal Ministero dell'economia e delle finanze, se non ho capito male...
I sistemi remoti dovrebbero essere localizzati su territorio nazionale, e non estero, quindi tutelati e soggetti alle leggi nazionali ed europee.
I software utilizzati, app e appliativi remoti, dovrebbe essere resi disponibili sotto licenza "open source" non meglio specificata, che stando al decreto legislativo 7 marzo2005, n. 82 non dovrebbero essere disponibili in maniera libera anche al pubblico.
Questo potrebbe voler dire che la app in questione, come anche i sistemi remoti, non saranno disponibili ai privati, nemmeno per analisi o conoscenza dei contenuti dei programmi.
6. L'utilizzo dell'applicazione e della piattaforma, nonche' ogni
trattamento di dati personali effettuato ai sensi al presente
articolo sono interrotti alla data di cessazione dello stato di
emergenza disposto con delibera del Consiglio dei ministri del 31
gennaio 2020, e comunque non oltre il 31 dicembre 2020, ed entro la
medesima data tutti i dati personali trattati devono essere
cancellati o resi definitivamente anonimi.
In questo punto si conferma che lo stato di emergenza dovrebbe cessare e non oltre il 31 Dicembre 2020, e che entro questa data, tutti i dati raccolti siano cancellati o completamente resi anonimi.
Quest'ultimo punto, riguardo i dati anonimi, personalmente lo trovo un po' confusionario, rispetto a tutte quelle affermazioni sull'anonimato dei dati e la pseudonimizzazione, che in assenza di chiarezza su quali dati puntuali siano anonimi e quali "chiari", sia sull'app che sui sistemi degli enti, qui si lascia intendere che a discapito di tutto questi dati possano essere cancellati definitivamente o solo resi anonimi nella complessità.
Tenendo in conto che in informatica, la cifratura dei dati richiede il possesso di una chiave, che potete intendere come una password, chiunque possieda questa chiave (molto probabilmente, chi gestisce i dati stessi e i servizi connessi) potrà in un qualunque momento rendere nuovamente leggibili questi dati.
Come già detto in precedenza, nonostante i dati siano anonimi o parzialmente anonimi, sia sui dispositivi in cui sia presente l'app, che su i sistemi remoti, di sicuro qualcuno da qualche parte avrà "la chiave di lettura" per questi dati, quasi sicuramente uno o più operatori/enti per attività di gestione degli stessi.
Finita l'emergenza, se questi dati non verranno cancellati, dove finiranno? Quale sarà il loro fine ultimo?
La piattaforma in essere, costituita per l'emergenza, sarà ancora mantenuta pure dopo la fine?
7. Agli oneri derivanti dall'implementazione della piattaforma di
cui al presente articolo, nel limite massimo di 1.500.000 euro per
l'anno 2020, si provvede mediante utilizzo delle risorse assegnate
per il medesimo anno al Commissario straordinario di cui all'articolo
122 del decreto-legge 17 marzo 2020, n. 18 con delibera del Consiglio
dei Ministri a valere sul Fondo emergenze nazionali di cui
all'articolo 44 del decreto legislativo 2 gennaio 2018, n. 1.
Si ha una cifra tonda per mettere in piedi il tutto, rimangono i dubbi del punto precedente, cosa succederà dopo?
Chi vivrà vedrà...
