L’impiego dei dati di localizzazione dei dispositivi mobili è stato oggetto di alcune precisazioni da parte dal Comitato europeo per la protezione dei dati (EDPB) all’interno della dichiarazione relativa alle attività di trattamento dei dati personali nel contesto dell’epidemia da COVID-19, ed è possibile prevedere ulteriori e futuri interventi al fine di garantire una disciplina quanto più uniforme possibile all’interno degli Stati dell’Unione.
L’impiego dei dati relativi ai telefoni cellulari per il tracciamento degli spostamenti e delle posizioni è un argomento molto attuale di discussione all’interno dei governi e delle istituzioni, preso in considerazione per la pianificazione e l’attuazione di strategie per il monitoraggio, il contenimento e il contrasto della diffusione dell’epidemia. Fino a che punto è attuabile? L’EDBP ricorda che i principi fondamentali a tutela della protezione dei dati personali non possono essere oggetto di facile deroga, pertanto deve essere presa in considerazione, ad esempio, l’individuazione di un fondamento di liceità e la minimizzazione dei dati in relazione alle finalità da perseguire sin dalla fase di progettazione di tali sistemi. Inoltre, viene rimarcato che ogni misura adottata in contesti di emergenza deve essere contingente e limitata nel tempo.
Nel caso delle attività di trattamento di dati relativi alla localizzazione attraverso strumenti di comunicazione telefonica, deve essere assicurato il rispetto delle normative nazionali relative alla Direttiva ePrivacy secondo cui tali dati possono essere impiegati dall’operatore o assicurandone il formato anonimo o previo consenso da parte degli interessati. L’art. 15 della citata Direttiva, ad ogni modo, apre alla possibilità per ciascuno degli Stati membri di limitare per via legislativa i presidi a tutela della riservatezza delle comunicazioni e dell’impiego dei dati di traffico e di ubicazione, ad esempio, a condizione che la misura sia “necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica”, che “i dati siano conservati per un periodo di tempo limitato per i motivi enunciati” e sia garantita la conformità ai principi generali del diritto comunitario e, soprattutto, dei diritti e delle libertà della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali.
Qualora l’esigenza sia quella di inviare messaggi informativi all’interno di una determinata area, è possibile comunque trattare i dati in forma aggregata ed anonima, avendo una mappatura della concentrazione dei dispositivi mobili per zona ed escludendo ogni possibilità di risalire all’identità dei singoli interessati.
Qualora invece le intenzioni e l’impiego dei dati vadano oltre i meri intenti informativi, e sia dunque richiesto il trattamento di dati non anonimi, allora la disciplina in materia di protezione dei dati personali trova piena applicazione, consentendo agli Stati membri di adottare con legislazione d’urgenza alcune misure garantendo però alcune salvaguardie adeguate a tutela dei diritti e delle libertà fondamentali degli interessati. Fra queste, è ribadito, rientrano il rispetto dei principi di necessità e proporzionalità, attraverso la scelta di adottare misure meno intrusive e svolgendo in concreto delle preventive analisi dei rischi e degli impatti. Devono essere prese in considerazione le finalità e la persistenza dei trattamenti, anche per determinare la limitazione della conservazione (indicando termini certi e chiari) e delle finalità (evitando il c.d. secondary use del dato), oltre che le modalità per garantire una corretta trasparenza informativa nei confronti degli interessati.
Per quanto sia dunque evidente che il legislatore nazionale possa ricorrere a raccolte ed elaborazione massiva dei dati delle telco, è di chiara evidenza che pur nel contesto emergenziale non possa adottare decisioni arbitrarie nel comprimere illimitatamente i diritti degli interessati né nel coinvolgere eventuali soggetti privati all’interno dei processi di raccolta, elaborazione e conservazione.
