Green pass base e rafforzato: le questioni sulla privacy ancora aperte

Il super “green pass” è operativo da diversi giorni, come previsto dal relativo decreto legge che si è aggiunto alle numerose e affastellate norme già vigenti in tema di certificazione Covid.

Ma molte questioni restano aperte circa l’uso di questo strumento, nelle versioni base e rafforzata. Alcune sono emerse durante un’audizione del Garante per la protezione dei dati personali in Senato.

La consegna al datore di lavoro

Com’è ormai noto, oggetto della verifica della certificazione verde – oltre a nome, cognome e data di nascita – è il solo Qr code attestante una certificazione in corso di validità.

Questo sistema impedisce che i “verificatori” conoscano il presupposto del certificato (vaccinazione, guarigione, tampone), evitando così il rischio di discriminazioni conseguenti.

Anche il Consiglio di stato ha escluso la sussistenza di «lesioni della riservatezza sanitaria» in relazione all’obbligo di esibizione del “green pass”.

La tutela fornita da questo sistema è, tuttavia, minata da una norma introdotta in sede di conversione di uno degli ultimi decreti del governo. È stata prevista, infatti, la facoltà di consegna, da parte dei lavoratori, di copia della certificazione verde al datore di lavoro.

Il diverso periodo di validità del “green pass” consente di evincerne il presupposto di rilascio. Ma al datore di lavoro dovrebbe essere preclusa la conoscenza di condizioni soggettive dei lavoratori, come la situazione clinica e convinzioni personali, in conformità alle garanzie sancite sia dalla disciplina di protezione dati sia dalla normativa giuslavoristica.

Anche per questo motivo il Garante ha suggerito di valutare l’opportunità di abrogare la disposizione sulla consegna del “green pass”, e ne aveva già sconsigliato l’adozione.

Super “green pass” e privacy

Com’è noto, dal 29 novembre nelle zone gialle o arancioni (e bianche dal 6 dicembre 2021 al 15 gennaio 2022, ove vi sono limitazioni) si può accedere o meno a certi luoghi a seconda della certificazione posseduta: rafforzata, a seguito di vaccinazione o guarigione, o base, anche a seguito di test.

I controlli dell’uno o dell’altro tipo di pass devono necessariamente avvenire secondo canali differenziati, così che il “verificatore” non accerti la causa che ne ha determinato l’emissione e, quindi, si rispetti la privacy degli interessati.

Il decreto legge “super green pass” ha autorizzato «interventi di adeguamento» dell’app VerificaC19 «nelle more» della modifica del dpcm del 17 giugno 2021 che – riguardo al “green pass” base – regola sia le specifiche tecniche dell’app stessa sia i controlli, tra le altre cose.

Cioè il legislatore, per velocizzare l’operatività della nuova certificazione rafforzata, ha previsto che prima fosse adattata l’app di verifica e solo successivamente la relativa disciplina, di cui al dpcm citato. E così è stato.

Dal 6 dicembre scorso, l’app prevede due “percorsi” informatici distinti – quello tradizionale e quello per le sole ipotesi di guarigione o vaccino – senza che il dpcm sia stato toccato.

Questo metodo lascia perplessi. Da un lato, la conformità della nuova soluzione operativa alla normativa in materia di privacy può essere valutata solo attraverso il dpcm che ne detta le specifiche tecniche.

Ma il testo non è ancora stato modificato, come detto, e lo sarà solo dopo diversi giorni dall’entrata in uso della nuova versione dell’app. Dall’altro lato, pure la disciplina dei controlli è contenuta del citato decreto che, per l’appunto, verrà modificato solo molti giorni dopo l’inizio dei controlli stessi.

Quindi, una norma di legge ha introdotto nuove verifiche, demandate a regole attuative, ma consente che tali regole vengano emanate dopo l’avvio delle verifiche, che intanto sono effettuate senza la relativa disciplina. Insomma, l’opposto di un iter coerente.

L’esenzione dalla vaccinazione

Da luglio 2021 un decreto legge ha previsto l’esenzione dall’obbligo di “green pass” per i soggetti esentati dalla vaccinazione «sulla base di idonea certificazione medica».

Lo stesso decreto ha previsto che con dpcm fossero individuate le «specifiche tecniche per trattare in modalità digitale le predette certificazioni, al fine di consentirne la verifica digitale, assicurando contestualmente la protezione dei dati personali».

Anche agli esentati da vaccinazione, come agli altri soggetti previsti dalla legge, andrebbe rilasciato un “green pass” con Qr Code, nome, cognome e data di nascita, verificabile attraverso il sistema C19. Ma in quasi cinque mesi la versione digitale delle certificazioni di esenzione non è stata realizzata, e ciò comporta problemi di tutela della privacy degli interessati, i quali continuano a dover esibire certificazioni cartacee di esenzione, come previsto dalla disciplina transitoria.

Sebbene la circolare del ministero della Salute su questo tema escluda che il certificato cartaceo indichi la motivazione clinica dell’esenzione stessa, questa modalità di gestione dei certificati determina, comunque, «l’indebita rilevazione di dati sanitari dell’intestatario» che – come rilevato dal Garante – potrebbero «esporlo a discriminazioni tanto più inaccettabili in quanto relative a una situazione di vulnerabilità».

Controlli e sospensione del “green pass”

Il decreto “super green pass” prevede che le prefetture dispongano un piano di controlli dei “green pass”, redigendo una relazione settimanale per il ministero dell’Interno.

Lascia perplessi la circostanza che le nuove disposizioni, le quali estendono l’uso della certificazione Covid e comportano conseguentemente anche una maggiore estensione dei relativi controlli, sanciscano che questi ultimi avvengano «nell'ambito delle risorse umane, finanziarie e strumentali disponibili a legislazione vigente, senza nuovi o maggiori oneri per la finanza pubblica».

In pratica, si dispongono più controlli, ma senza ulteriori stanziamenti. Questo significa che le risorse necessarie dovranno essere sottratte ad altri impieghi oppure che le verifiche delle certificazioni non potranno essere effettuate in maniera adeguata.

A proposito di controlli, il ministero della Salute sta finalmente risolvendo un problema esistente sin dall’inizio: il “green pass” non viene sospeso in caso di positività del suo titolare.

La mancata previsione deriva dal fatto che in tale caso si ha l’obbligo di isolamento, quindi il certificato verde, pur se valido, di fatto non potrebbe essere usato. Ma se la quarantena viene violata, il “green pass” resta utilizzabile dal suo possessore, e ciò compromette i controlli finalizzati al contenimento dell’epidemia.

Dal giugno scorso il Garante Privacy sottolinea «come l’efficacia a fini epidemiologici del green pass dipenda da verifiche periodiche sulla sua persistente validità». Pertanto, la sospensione del pass ai positivi – collegando le banche dati delle aziende sanitarie con la piattaforma nazionale Dgc, da cui attinge la app VerificaC19 – è un atto essenziale. Realizzarlo prima sarebbe stato meglio.

© Riproduzione riservata