Dopo le polemiche sorte negli ultimi giorni su "Immuni", la app anti-contagio scelta dal Governo per tracciare i movimenti delle persone in vista dell'avvio della Fase 2 dell'emergenza Coronavirus, sul quale è intervenuto anche il presidente del Garante Privacy Antonello Soro, specificando che “Nessuno può illudersi che basta tracciare i contatti, serve poi il test diagnostico. Se non si fanno i tamponi immediatamente dopo aver individuato gli infetti, la app è inutile”, il Comitato europeo per la protezione dei dati personali ha pubblicato le Linee guida che chiariscono le condizioni e i principi per l'uso proporzionato dei dati di localizzazione e degli strumenti di tracciamento dei contatti, in due ambiti specifici:

• utilizzo dei dati di localizzazione a supporto della risposta alla pandemia tramite la definizione di modelli della diffusione del virus, al fine di valutare l’efficacia complessiva di misure di isolamento e quarantena;
• utilizzo del tracciamento dei contatti per informare le persone che sono probabilmente entrate in contatto ravvicinato con soggetti successivamente confermati positivi, al fine di interrompere tempestivamente la trasmissione del contagio.

In via generale, viene precisato che i dati e le tecnologie utilizzati per contribuire alla lotta al COVID-19 devono servire a dare maggiori strumenti alle persone, piuttosto che a controllarle, stigmatizzarle o reprimerne i comportamenti.

In particolare, relativamente all'utilizzo delle APP di tracciamento dei contatti, il Comitato ha sottolineato il fatto che il loro ricorso dovrebbe essere volontario e non dovrebbe basarsi sulla tracciabilità dei movimenti individuali, bensì sulle informazioni di prossimità relative agli utenti, sottolineando che il regolamento generale sulla protezione dei dati (RGPD) e la direttiva 2002/58/CE (la "direttiva relativa alla vita privata e alle comunicazioni elettroniche", direttiva e-privacy) contengono norme specifiche che consentono l'uso di dati anonimi o personali per sostenere le autorità pubbliche e altri soggetti, a livello nazionale e dell'UE, nel monitoraggio e nel contenimento della diffusione del virus SAR-CoV-22.

Il monitoraggio sistematico e su larga scala dell'ubicazione e/o dei contatti tra persone fisiche costituisce una grave interferenza nella vita privata, che può essere legittimata solo facendo affidamento su un'adozione volontaria da parte degli utenti per ciascuno dei rispettivi scopi. Ciò implica, in particolare, che le persone che non intendono o non possono utilizzare tali applicazioni non dovrebbero subire alcun pregiudizio.

Tuttavia, la circostanza per cui l'uso di app per il tracciamento dei contatti avvenga su base volontaria non implica che il trattamento dei dati personali debba necessariamente basarsi sul consenso, infatti, qualora autorità pubbliche forniscano un servizio sulla base di un mandato conferito dalla legge e conformemente ai requisiti stabiliti da tale legge, la base giuridica più pertinente risulta essere la necessità del trattamento per lo svolgimento di un compito di interesse pubblico, ossia l'articolo 6, paragrafo 1, lettera e), del Regolamento generale sulla protezione dei dati.

La loro diffusione dovrebbe essere accompagnata da misure di sostegno volte a garantire che le informazioni fornite agli utenti siano contestualizzate e che le segnalazioni possano essere utili al sistema sanitario pubblico. In caso contrario, queste applicazioni potrebbero non esplicare appieno la propria efficacia.

Per quanto riguarda il principio della limitazione delle finalità, le finalità devono essere sufficientemente specifiche così da escludere trattamenti ulteriori per scopi non correlati alla gestione della crisi sanitaria causata da COVID-19 (ad esempio, per fini commerciali o per le attività di contrasto di matrice giudiziaria o di polizia).