Il Garante Privacy si è attivato a seguito delle segnalazioni ricevute circa piattaforme che minano la riservatezza di coloro che sono risultati positivi al Coronavirus
Negli ultimi tempi l’utilizzo sempre maggiore di piattaforme che agevolano i soggetti risultati positivi al Coronavirus nel reperire informazioni o che più semplicemente permettono di consultare i risultati dei tamponi effettuati comporta necessariamente la verifica del rispetto dei principi sanciti dal Regolamento in materia di protezione dei dati personali (GDPR). In particolare, si tratta del principio di privacy by design (anche conosciuto come “principio di protezione dei dati fin dalla progettazione”) introdotto dal GDPR all’art. 25 paragrafo 1.
Nei giorni scorsi, infatti, il Garante Privacy ha avviato un’istruttoria a seguito di diverse segnalazioni provenienti da cittadini e da associazioni.
Referti (troppo?) accessibili online
In Lombardia, un’Agenzia di Tutela della Salute (Ats),ha messo a disposizione una piattaforma online per agevolare la raccolta di informazioni utili su cosa fare da parte di coloro che fossero risultati positivi al Coronavirus evitando le lunghe ed estenuanti attese ai centralini.
Il portale in questione consentiva a chiunque di scoprire se un amico, un parente o un conoscente fosse risultato positivo al Coronavirus inserendone, nel campo di ricerca, il codice fiscale e il numero di cellulare, quest’ultimo casuale. Grazie soltanto a queste due informazioni era infatti possibile verificare se una persona fosse risultata positiva, dal momento che la piattaforma risulta riservata soltanto a tali soggetti. Pertanto, un messaggio di errore da parte del sistema era semplicemente esemplificativo del fatto che quella persona non avesse contratto il virus.
Dopo essere stata informata del problema, l’Ats ha provveduto a correggere l’errore. Nel frattempo, il Garante Privacy non ha tardato nella formulazione delle sue richieste al titolare del trattamento richiedendo, tra le altre cose, di conoscere le misure di sicurezza adottate per evitare il ripetersi dell’episodio e il numero di interessati destinatari dei servizi messi a disposizione dalla piattaforma.
Casi analgohi
È stato portato all’attenzione del Garante Privacy anche il funzionamento di un’altra piattaforma che consente di consultare comodamente dal proprio dispositivo i referti dei tamponi inserendo il codice fiscale del paziente, le ultime cinque cifre della tessera sanitaria e un numero di cellulare. Compilati i campi richiesti, il sistema invia un codice tramite un SMS al numero indicato, che permette al soggetto di accedere e consultare il referto.
In questo caso però non si tratta di un meccanismo di autenticazione a due fattori seppur l’invio dell’SMS potrebbe indurre a ritenerne l’esistenza. Ciò perché in concreto il numero di cellulare non è associato preventivamente al paziente. Per cui il sistema non è in grado di riconoscere se quel numero di cellulare appartenga effettivamente al soggetto che si è sottoposto a tampone. Quindi per consultare il referto basterebbe disporre della sola copia della tessera sanitaria di un cittadino perché digitando il proprio numero di cellulare si riceve sul dispositivo un codice che permette di accedere a informazioni altrui.
Lo stesso meccanismo è utilizzato anche da un’altra applicazione scaricabile a partire dalla scorsa settimana dagli store. Seppur la stessa consenta l’accesso esclusivamente tramite il proprio ID di Google o Apple, basta inserire il codice fiscale e il numero di tessera sanitaria di un cittadino associandolo a un qualsiasi numero di telefono per avere accesso ai referti di quest’ultimo.
L’importanza del principio di privacy by design
Dall’esame dei casi sopra proposti emergono alcune perplessità in ordine alla corretta interpretazione e puntuale osservanza del principio di privacy by design.
Dalla lettura dell’art. 25, par. 1, del Regolamento emerge chiaramente la finalità che si propone il legislatore europeo quando, nell’ambito della valutazione di tutte le circostanze elencate (stato dell’arte, costi di attuazione, natura, ambito di applicazione, contesto, finalità e rischi), mira alla soddisfazione dei requisiti indicati nel Regolamento e alla tutela dei diritti dell’interessato. D’altronde, il fine ultimo del GDPR è proprio quello di garantire maggiore tutela all’interessato. Pertanto, in stretto collegamento con il principio di accountability, quello di privacy by design mira all’adozione da parte del titolare del trattamento di misure tecniche e organizzative sin dalla fase di progettazione che tutelino gli interessati dai rischi che un trattamento potrebbe comportare (ad esempio discriminazioni, furti d’identità, perdita di riservatezza).
Tutte le piattaforme prese in esame evidenziano lacune strutturali che impediscono di garantire la giusta protezione dei dati personali dei pazienti; tali dati, infatti, potrebbero essere conosciuti, senza alcun titolo, da altri utenti utilizzatori dei portali. E invece, trattandosi di informazioni inerenti lo stato di salute è sicuramente opportuna l’adozione di misure volte a garantire un elevato livello di sicurezza e riservatezza.
I requisiti di un servizio sicuro
Una corretta applicazione del principio di privacy by design risulta invece da altre piattaforme che consentono di visualizzare l’esito del proprio tampone inserendo uno username caratterizzato dal proprio codice fiscale e una password che viene consegnata su un foglio all’interessato il giorno dell’esame. In particolare, le istruzioni fornite riportano la password generata per quell’utente e l’indicazione di inserire quale username il proprio codice fiscale. In questo modo, se pur la persona smarrisse il foglio, nessuno, trovandolo, sarebbe in grado di accedere al sistema e consultare quel referto.
Naturalmente, in tutti i casi in cui i titolari del trattamento affidino a fornitori esterni la progettazione e l’assistenza di queste piattaforme dovranno, prima ancora di procedere alla sottoscrizione dell’atto di nomina a responsabile del trattamento, selezionare un fornitore che presenti “garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.
Tanto anche al fine di consentire un giusto equilibro tra la semplificazione – che vorrebbe offrirsi ai cittadini nel complesso periodo quale quello attuale, consentendo loro autonomia nella consultazione degli esiti degli esami – e un’adeguata tutela dei loro dati personali mediante l’utilizzo di portali che implementino adeguate misure di sicurezza.
