“THE BIG BROTHER”: LA TUTELA DELLA PRIVACY AL VAGLIO DELLA PANDEMIA
- Introduzione
L’emergenza sanitaria globale causata dalla diffusione pandemica del COVID-19 sta mettendo a dura prova l’intera umanità. Com’è noto, per via della sua gravità, un’emergenza pandemica sconfina il campo sanitario e investe capillarmente ogni aspetto della vita pubblica e privata, cambiando tanto le nostre abitudini quotidiane, quanto rafforzando il ruolo degli esecutivi mediante il sovente uso della decretazione d’emergenza, come previsto dall’art. 77 della nostra Costituzione.
Tuttavia, se è vero che questa è la prima grande prova che l’era post-moderna si trova a dover gestire, è anche vero che le autorità dispongono oggi rispetto al passato di nuovi strumenti per fronteggiare in modo più efficace l’uso della tecnologia per ridurre la diffusione del virus. È altresì vero, però, che tale previsione da parte dei governi non sembra essere di natura innocua, ma risulta essere un mezzo tanto potente e utile, quanto un mezzo pericoloso per la tutela dei diritti umani e, più in particolare, della privacy dell’individuo.
È pertanto necessario, in uno stato emergenziale di sorveglianza temporanea, sorvegliare lo stesso sorvegliante, affinché non si alterino radicalmente – e in prospettiva futura – tali diritti. Come ha ammonito tempestivamente anche Amnesty International, le misure di contenimento del virus devono essere necessariamente previste per legge, necessarie, proporzionate, temporanee, trasparenti e, in ultimo, devono presentare un’adeguata supervisione, allo scopo di evitare che misure di sorveglianza diventino dispositivi permanenti.
Difatti, negli ultimi due mesi, sono sorte nuove forme di tracciamento, il c.d. contact tracing, ovvero la rilevazione della posizione di un individuo identificata tramite il GPS integrato nello smartphone che ormai ognuno di noi possiede. Paesi come l’Austria, il Belgio, la Germania e la stessa Italia hanno infatti attivato questo strumento, raccogliendo dati anonimi e aggregati. Altri Paesi, come la Cina, l’Ecuador, Corea del Sud e Israele, non rispettano invece l’anonimato della rilevazione, determinando una grave violazione dei diritti di privacy.
Altri strumenti tecnologici impiegati riguardano invece l’intelligenza artificiale e big data, come il riconoscimento facciale, strumento già impiegato in Cina e Polonia.
È bene quindi tenere a mente che questi strumenti, se non controllati e limitati, possono sopravvivere al mondo post Covid, soprattutto laddove la tecnologia non è sostenuta da governi democratici e trasparenti, configurando le terribili società della sorveglianza o, per dirla con un parallelismo letterario, il Grande Fratello immaginato da George Orwell in 1984.
- La normativa “composita” in tema di tutela della privacy
Il quadro normativo in riferimento alla tutela della privacy è – in assenza di una Convenzione internazionale che disciplini espressamente l’argomento – decisamente frammentato e composito, una combinazione di norme nazionali, regionali e strumenti di soft law.
Un primo tassello giuridico volto a tutelare la privacy dell’individuo è posto all’art.17 del Patto Internazionale sui diritti civili e politici e nel relativo Considerando n.16, che specifica il diritto di ogni persona ad essere protetta da ogni ingerenza arbitraria o illegale da parte dello Stato o di altre persone fisiche e giuridiche.[1] Nel par.1 è espressamente stabilito l’obbligo per gli Stati contraenti di adottare un’adeguata legislazione volta a rendere effettivo tale diritto. Il par. 4 introduce e specifica il concetto di arbitrarietà, configurando “l’interferenza arbitraria” anche per le condotte previste per legge, qualora quest’ultima difetti rispetto alle norme contenute nel Covenant. Di particolare rilevanza appare il par.8, che disciplina le deroghe che i diritti enucleati nel Covenant possono subire, posto che siano designate per legge e in circostanza circoscritte. In conformità all’art.17, si ritiene infatti inderogabile l’integrità e la segretezza della corrispondenza, che dev’essere garantita de iure e de facto. Peraltro, la stessa corrispondenza trova tutela di rango costituzionale nel nostro ordinamento all’art.15, comma 1.[2] Nel Covenant, è espressamente disposto che la corrispondenza dev’essere consegnata al destinatario senza alcuna intercettazione e senza essere aperta o altrimenti letta. Così come la sorveglianza, sia essa elettronica o di altra natura, dovrebbe essere proibita. Della medesima proibizione è destinatario il tracciamento.
In merito alle disposizioni presenti nella CEDU, si consideri invece l’art.8, comma 2[3]. A differenza del Patto citato pocanzi, tali disposizioni disciplinano le condizioni di ammissibilità dell’interferenza posta in essere da un organo pubblico, prevedendo che: siano previste per legge; siano necessarie alla generale sicurezza nazionale; al benessere economico del Paese; alla prevenzione dei reati; che corrispondano agli scopi tutelati, di cui la stessa protezione della salute collettiva. Sempre la CEDU, all’art. 15[4], prevede la c.d. “clausola di sospensione”, ovvero la deroga – da parte dello Stato – degli obblighi assunti in virtù della ratifica della Convenzione, di cui poi si dovrà verificare la sussistenza di ammissibilità d’invocazione e il rispetto dei limiti posti dalla Convenzione all’esercizio del diritto di deroga. Tuttavia, le disposizioni contenute nell’art. 15 non hanno efficacia self-executing, ma prevedono la notifica al Segretario Generale del Consiglio d’Europa da parte dello Stato che intende avvalersene. A tal fine, è richiesta la sussistenza di uno stato di guerra e o di emergenza pubblica e che tale emergenza sia attuale o, quantomeno, imminente. Allo stato attuale, l’Italia non ha ancora provveduto a notificare l’attivazione dell’esercizio di deroga come previsto dall’art.15, comma 3 della CEDU, sebbene abbia, già il 31 gennaio 2020, dichiarato lo “stato di emergenza in conseguenza del rischio sanitario connesso all’insorgenza di patologie derivanti da agenti virali trasmissibili”.[5]
Capillare è invece il sistema normativo fornito dall’Unione Europea, che fa perno sul “Regolamento generale per la protezione dei dati personali” (GDPR), il cui art.1 sancisce la protezione dei dati di carattere personale come un diritto fondamentale. L’art.23, disciplinando le limitazioni che lo Stato può introdurre, prevede che esse siano previste per legge e che contengano determinate indicazioni riguardo: le finalità; le categorie dei dati personali; la portata delle limitazioni introdotte; le garanzie per prevenire abusi o illeciti; il titolare del trattamento; i periodi di conservazione e le garanzie applicabili; i rischi per i diritti e le libertà degli interessati; il diritto degli interessati di essere informati della limitazione, a meno che ciò possa compromettere la finalità della stessa.
Tuttavia va riconosciuto che – come peraltro ribadito sia dal Garante per la protezione dei dati personali sia dall’European data protection board (EDPB) – le norme contenute nel GDPR, per effetto dell’art. 23, sarebbero suscettibili di compressione in presenza di alcune situazioni emergenziali, come quella attuale di carattere sanitario, purché tale limitazione “rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica” (Regolamento n.679/2016, art.23, par.1). Così anche l’art. 9 (Trattamento di categorie particolari di dati personali) che, se al par.1 dispone il divieto di trattare i dati personali elencandone le categorie[6], al par. 2 si definiscono le condizioni di non applicabilità rispetto quanto tutelato nel paragrafo 1. Dunque, all’art.9, par.2, lett. i), e in relazione alla minaccia della salute collettiva, si dispone espressamente che quanto affermato nel paragrafo 1 non si applica se “il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica”.
Tant’è che il Comitato europeo per la Protezione dei Dati, l’organismo garante della corretta applicazione del GDPR, ben consapevole di tale problema, ha pubblicato, il 20 marzo 2020, una specifica Dichiarazione sul trattamento dei dati personali nel contesto dell’epidemia Covid-19. L’incipit di questo documento è chiaro: «le norme in materia di protezione dei dati (come il regolamento generale sulla protezione dei dati) non ostacolano l’adozione di misure per il contrasto della pandemia di coronavirus». Tuttavia, il Comitato si affretta a precisare che «anche in questi momenti eccezionali, titolari e responsabili del trattamento devono garantire la protezione dei dati personali degli interessati».
Meritevole di nota, in tema di tutela dei dati personali, è la Direttiva e-Privacy del 2002 – considerata lex specialis rispetto al GDPR – il cui art. 15 garantisce agli Stati membri la possibilità di limitare – attraverso il ricorso a «disposizioni legislative» – gli obblighi in materia di riservatezza dei dati sul traffico per finalità determinate e purché in «una misura necessaria, opportuna e proporzionata all’interno di una società democratica».
Sempre in ambito europeo, non si può infine dimenticare la Carta dei diritti fondamentali dell’Unione Europea, detta anche Carta di Nizza, il cui art. 8 afferma che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano e pone i principi di lealtà e trasparenza, richiedendo che il trattamento si fondi o sul consenso o su un altro fondamento legittimo previsto dalla legge. Essa impone, inoltre, che il rispetto di tali regole sia affidato al controllo di un’autorità indipendente, quale in Italia il Garante per la Privacy. La carta di Nizza, peraltro, è il primo strumento a scindere tutela della privacy (art.7) e tutela del trattamento personale dei dati (art.8). Anch’essa comunque prevede, all’art.52, condizioni di derogabilità simili alle precedenti.[7]
In ambito normativo nazionale, invece, si colloca il Codice Privacy (D. Lgs. n. 196/2003) che, riguardo la possibilità di rilevazione della posizione degli individui da parte delle autorità, all’art.126 dispone che “I dati relativi all’ubicazione diversi dai dati relativi al traffico, riferiti agli utenti o agli abbonati di reti pubbliche di comunicazione o di servizi di comunicazione elettronica accessibili al pubblico, possono essere trattati solo se anonimi o se l’utente o l’contraente ha manifestato previamente il proprio consenso, revocabile in ogni momento, e nella misura e per la durata necessari per la fornitura del servizio a valore aggiunto richiesto”, sancendo dunque l’unica possibilità di rilevazione in forma anonima e aggregata.
Sul punto, in piena emergenza COVID-19, il governo italiano, nel decreto-legge del 9 marzo 2020, di cui all’art.14, dispone che allo scopo di assicurare la più efficace gestione dei flussi e dell’interscambio di dati personali, i soggetti deputati a monitorare e a garantire l’esecuzione delle misure disposte, possono effettuare trattamenti dei dati personali, anche in relazione agli articoli 9 e 10 del Regolamento UE 2016/679, che risultino necessari all’espletamento delle funzioni attribuitegli nell’ambito dell’emergenza determinata dal diffondersi del COVID-19. In altre parole, il presente decreto autorizza il trattamento dei dati personali nel contesto emergenziale anche senza il consenso degli interessati, seppure successivamente richiamando i principi dell’art. 5 del GDPR. È quindi fondamentale, nella gestione dell’emergenza, che vi sia un ruolo preminente del Garante per la Privacy, affinché lo stato di diritto rimanga ineludibile tramite il ruolo di “sorveglianza dei sorveglianti”.
- Il modello orientale di sorveglianza
Se questo è il quadro normativo d’insieme riguardo la garanzia dei diritti individuali in tema di privacy e trattamento dei dati personali, occorre constatare, sul piano pratico e attuale, come nel continente asiatico l’implementazione di strumenti tecnologici di sorveglianza nella fase di convivenza con il virus (anche detta “Fase 2”) sia già pressoché operativa e non senza preoccupazioni riguardo la loro liceità.
Si potrebbe addirittura delineare un modello asiatico – che accomuna le misure prese in merito da Singapore, Corea del Sud e Cina – basato sulla raccolta di dati di massa senza particolare tutela per i cittadini, i cui dati vengono trattati e rilevati senza consenso e non in forma anonima.
Il modello Singapore, che pur essendo stato uno dei primi Paesi ad essere colpito dal virus dopo la Cina ha ben contenuto la sua diffusione, deve probabilmente la sua efficienza al minuzioso impiego tecnologico durante tutte le fasi dell’emergenza. Tramite il contact tracing, ovvero il tracciamento delle persone, è infatti possibile alle autorità sanitarie testare tutti i casi di influenza e polmonite e procedere ad una quarantena sorvegliata da remoto tramite un’applicazione. I soggetti sottoposti a quarantena vengono infatti costantemente monitorati tramite la rilevazione della posizione e il non rispetto del regime domiciliare forzato comporta salate multe pecuniarie, se non la reclusione o, addirittura, la revoca della cittadinanza.
Molto più invasivo risulta essere il modello sudcoreano che, oltre ad aver proceduto a tamponi di massa anche in forma drive-in (tamponi eseguiti in automobile senza che il paziente esca dalla sua autovettura), sta facendo un ampio uso di strumenti tecnologici tramite lo sviluppo di nuove e invasive app di tracciamento. Ce ne sono più di una, in quanto molte sono sviluppate da privati, ma la più significativa è quella governativa, “Corona 100m”. Questa applicazione consente a chiunque di vedere la data in cui un individuo è risultato positivo ai test, insieme alla nazionalità, al sesso, all’età e ai luoghi visitati dal paziente, che viene così “esposto” al pubblico. La minuziosità di tali informazioni, difatti, vanifica l’anonimato, rendendo deducibile l’individuo attraverso la descrizione. Si hanno notizie di numerose discriminazioni al riguardo: negozi costretti a chiudere perché risultati frequentati da una persona poi rivelatasi positiva ai test, presunti tradimenti scovati attraverso i tracciati ed esposti al pubblico sui social, e così via.[8]
Inoltre, l’app invia una notifica quando nell’arco di 100 metri è presente un utente affetto da Covid-19 ma, nel complesso, quello sudcoreano è un metodo che annienta la privacy ed espone volutamente gli infetti allo stigma sociale. Tanto per citare un esempio concreto, come scritto in un articolo pubblicato sul Washington Post, una donna coreana ha spiegato di aver smesso di frequentare luoghi di aggregazione LGBT non solo per l’ovvia esigenza di evitare luoghi affollati, ma anche per il terrore che in caso risulti positiva il suo orientamento sessuale possa diventare pubblico.[9]
Invasivo risulta anche il modello Taiwan, che ha recentemente approvato una legge che autorizza il governo a condividere informazioni, foto e video sulle persone colpite dal virus che hanno violato la quarantena e si registrano casi in cui a smartphone spenti (magari anche solo in seguito allo scaricamento della batteria) sono seguite, poco dopo lo spegnimento dell’apparecchio, ispezioni domiciliari da parte della polizia.
Infine, il modello “Grande Fratello” cinese, è basato su un ampio monitoraggio pubblico dei cittadini e sull’uso aggressivo delle quarantene che – a detta degli esperti – è il principale fattore di contenimento del virus. L’amministrazione cinese, da sempre poco trasparente e noncurante di qualsivoglia diritto di privacy, sta infatti rafforzando tecniche di sorveglianza di massa facendo uso di tecnologia, big data e intelligenza artificiale. WeChat e Alipay, le due app più popolari e usate da tutti in Cina, sono state infatti integrate con un sistema chiamato Health Code, che assegna automaticamente alle persone uno dei tre colori in base alla loro cronologia di viaggio, il tempo trascorso negli hotspot dell’epidemia e l’esposizione a potenziali portatori del virus, al fine di determinare uno stato di quarantena o meno. I dati confluiscono poi in un database e si sommano a quelli già in possesso dal governo. Il modello cinese, in buona sostanza, si caratterizza di nuovi e vecchi e assodati metodi di sorveglianza, tipici di una società non democratica. Scanner del telefono, tecnologia di riconoscimento facciale ed enormi database di volti e impronte digitali sono tra gli strumenti utilizzati.[10] Ingenti quantità di dati personali (compresi dati biometrici) vengono raccolti dal governo e custoditi dalla polizia. Lavoratori migranti, minoranze, voci contrarie al regime e tossicodipendenti sono tutti profilati e la situazione sanitaria emergenziale conferisce paradossalmente una certa legittimità a questo sistema draconiano già ampiamente sviluppato prima del Covid-19.
- La posizione del Garante della Privacy: verso un modello italiano?
Dal canto suo, l’Italia pensa alla “fase 2” volgendo lo sguardo a Oriente ma, allo stesso tempo, ben conscia che tali misure risulterebbero lesive dei diritti di privacy e trattamento dei dati personali esposti pocanzi. Diverse sono le applicazioni sviluppate in Italia per questa fase dell’emergenza Covid-19 e saranno valutate dalle autorità sulla base di diversi paramenti: tecnologia, impatto e privacy. La decisione finale spetterà poi al Governo in accordo con il Garante della Privacy. Proprio quest’ultimo ha però espresso la sua posizione riguardo le soluzioni che si stanno studiando per fronteggiare la fase di convivenza con il virus, anche mediante l’uso di tecnologie aventi la finalità di monitorare l’andamento epidemiologico.
Il Garante ha, infatti, individuato nel criterio di gradualità l’approccio da seguire, ovvero l’adozione di quelle misure che siano, almeno in primo momento, meno invasive di altre. A tal riguardo, si pensi all’acquisizione di trend anonimi di mobilità che potrebbero essere sufficienti ai fini della prevenzione e che potrebbero permettere mappe attendibili dell’andamento epidemiologico. Laddove, invece, si intendesse acquisire dati identificativi, sarebbe necessaria una previsione normativa del trattamento dotata di adeguate garanzie e purché le misure dimostrino di essere utili nell’azione di contrasto, in misura proporzionale alle esigenze perseguite. Ad esempio, apparirebbe sproporzionata la geolocalizzazione di tutti i cittadini italiani, 24 ore su 24, non soltanto per la massività della misura ma anche perché non esiste un divieto assoluto di spostamento e dunque la mole di dati così acquisiti non avrebbe un’effettiva utilità.[11]
Oltretutto, tali provvedimenti debbono essere conciliati con un’adeguata risposta sanitaria, dal momento che risulterebbe inutile raccogliere milioni di dati su potenziali contagiati se poi non si hanno i mezzi per accertarne l’effettiva positività.
Si tratta, infine, di governare l’emergenza con metodi che siano e restino democratici. L’emergenza deve poter contemplare ogni deroga possibile purché non irreversibile e proporzionata: ovvero, non dev’essere un punto di non ritorno ma un momento in cui modulare prudentemente il rapporto tra norma ed eccezione. La duttilità del diritto, la sua capacità di adeguarsi al contesto contemplando le deroghe necessarie e proporzionate alle singole esigenze, pur senza intaccare il “nucleo duro” dei diritti fondamentali, è la più grande forza della democrazia.
- Conclusioni
Dunque, in questo trade-off tra diritto alla salute collettiva e diritto alla privacy, appare chiaro come ogni misura debba necessariamente inserirsi in una cornice democratica, seppure emergenziale. Occorre, in altre parole, evitare che l’eccezionalità del diritto emergenziale sfoci in una deriva autoritaria mascherata che comprima, senza adeguata proporzionalità e temporaneità, altri diritti fondamentali. Tale solidità democratica, almeno in Italia e fino ad oggi, non sembra essere a rischio, al contrario di altri Paesi – asiatici e non – che sembrano lucrare dall’emergenza in termini di potere.
Si badi bene allora – seppure con il buon fine di limitare la diffusione del virus – dall’imitare modelli distanti e poco democratici, poiché quel che qui può apparire come un rischio per la soppressione di alcuni diritti, altrove è proprio la non contemplazione del rischio a definire un’amministrazione “diversamente” democratica.
[1] Patto Internazionale sui diritti civili e politici, art. 17, General comment No. 16: article 17 (Right to privacy), par.1
[2] “La libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili”, art. 15 Cost, comma 1
[3] “Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.” CEDU, art.8 comma 2
[4] “In caso di guerra o in caso di altro pericolo pubblico che minacci la vita della nazione, ogni Alta Parte contraente può adottare delle misure in deroga agli obblighi previsti dalla presente Convenzione, nella stretta misura in cui la situazione lo richieda e a condizione che tali misure non siano in conflitto con gli altri obblighi derivanti dal diritto internazionale.”, CEDU, art. 15, comma 1
[5] Delibera del CdM del 31 gennaio 2020
[6] I dati in questione suscettibili di tutela riguardano informazioni che rivelino: l’origine razziale o etnica; le opinioni politiche; convinzioni religiose o filosofiche; appartenenza sindacale; dati genetici; dati biometrici intesi a identificare in modo univoco una persona fisica; dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona. Tutte queste categorie di dati, alla stregua dell’art. 9 par.1, sono da ritenersi non trattabili senza il consenso del diretto interessato.
[7] “Eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui”. (art. 52, par.1)
[8] https://www.osservatoriodiritti.it/2020/04/02/app-coronavirus-italia-corea/
[9] https://www.washingtonpost.com/world/asia_pacific/coronavirus-south-korea-tracking-apps/2020/03/13/2bed568e-5fac-11ea-ac50-18701e14e06d_story.html
[10]https://www.agendadigitale.eu/sicurezza/privacy/sorveglianza-di-massa-in-cina-cosi-funziona-il-modello-che-spaventa-loccidente/
[11] Intervista ad Antonello Soro, Presidente del Garante per la protezione dei dati personali, di Martina Pennisi, Il Corriere della Sera, 18 marzo 2020
Scarica il documento in PDF “THE BIG BROTHER”. LA TUTELA DELLA PRIVACY AL VAGLIO DELLA PANDEMIA