App nazionale e regionali sul contact tracing: aggiornate le FAQ del Garante sul trattamento dei dati personali ai tempi del Covid-19

Il Garante per la protezione dei dati personali (Garante) ha aggiornato le proprie FAQ sul trattamento dei dati personali nell’ambito dell’emergenza sanitaria causata dal Covid-19 aggiungendo alcune indicazioni sulle app – nazionale e regionali – sul contact tracing.

Il Garante ha ribadito che l’uso di app per il contact tracing non può e non deve essere obbligatorio.

La volontarietà dell’uso di tali app deve essere garantita anche dall’assenza di conseguenze per la mancata installazione che, seppure priva l’interessato della possibilità di ricevere avvisi automatici sugli eventuali contatti a rischio, non può rappresentare la condizione per l’esercizio di diritti e libertà fondamentali (inclusa la libertà di circolazione) o per usufruire di determinati servizi o beni.

La volontarietà deve caratterizzare anche l’uso di app di telemedicina per effettuare diagnosi o terapie a distanza (app di telediagnosi, teleconsulto, teleassistenza e telemonitoraggio utilizzate dal personale medico): il Servizio Sanitario Nazionale deve garantire la prestazione sanitaria anche a coloro che non possano o non intendano installare queste app, avendo in questo caso cura di implementare le disposizioni e i protocolli di protezione individuale.

Trattandosi di una diversa modalità di gestione del rapporto medico-paziente, che si basa essenzialmente sull’art. 9, par.2, lett. h) del GDPR, le app di telemedicina non richiedono l’acquisizione del consenso dell’interessato. Il consenso sarà, invece, necessario per tutte le app diverse da quelle di telemedicina o, comunque, non strettamente necessarie alla cura (app divulgative; app per la raccolta di informazioni sullo stato di salute della popolazione di un dato territorio).

Qualsiasi app deve essere configurata in modo da trattare solamente i dati strettamente necessari a perseguire le finalità del trattamento, evitando di raccogliere dati eccedenti. Inoltre, nella valutazione dei rischi, dovrà essere tenuto in debito conto anche l’eventuale trasferimento di dati a terzi, particolarmente se fuori dall’Unione Europea (e ciò, a maggior ragione, dopo la sentenza resa all’esito del c.d. caso Schrems II).