Il governo ha pianificato che il deconfinamento, a partire dall’11 maggio, sarà accompagnato da una politica nazionale di screening e sondaggi sanitari Covid-19. L’8 maggio 2020, la CNIL ha deciso con urgenza un progetto di decreto che incorniciava i due sistemi di informazione, SI-DEP e Contact Covid, consentendo l’attuazione di questa politica sanitaria.

L’essenziale

• Venerdì 8 maggio 2020 la CNIL ha deciso un progetto di decreto che incornicia due file, SI-DEP e Contact Covid. Saranno utilizzati nel contesto dello screening di Covid-19 e dello svolgimento di indagini sulla salute il cui obiettivo è determinare chi potrebbe essere stato infettato da una persona ritenuta positiva.
• Il CNIL considera il sistema conforme al GDPR se vengono rispettate determinate garanzie. Rileva che questi fascicoli sono necessari per l’attuazione della politica sanitaria prevista dal governo per il deconfinamento. Richiede che tale necessità sia regolarmente rivalutata.
• Data la sensibilità del sistema, il CNIL ha richiesto ulteriori garanzie. Ha chiesto che il decreto venisse chiarito su diversi punti, al fine di minimizzare i dati, limitare l’accesso al trattamento a quanto strettamente necessario e garantire i diritti delle persone sui loro dati personali. Tali richieste sono state prese in considerazione dal decreto pubblicato questa mattina nella Gazzetta ufficiale. Ha inoltre formulato una serie di raccomandazioni per l’implementazione di questi sistemi di informazione, in particolare per quanto riguarda la sicurezza del sistema e la responsabilità delle persone che accedono ai file. 
• Il presidente della CNIL ha annunciato che avrebbe effettuato controlli nelle prime settimane dopo l’implementazione di questi nuovi file.

Il contesto

Nell’ambito della strategia generale di “progressivo deconfinamento” attuata dall’11 maggio, la legge estende lo stato di emergenza sanitaria dello stesso giorno autorizza la creazione temporanea di due file nazionali: il file SI-DEP e il file Contact Covid. Devono consentire di identificare le persone infette (“pazienti 0”), le persone che potrebbero aver contaminato (“caso di contatto”) e le catene di contaminazione. 

Mirano a fornire assistenza sanitaria e supporto alle persone infette dal virus o che possono essere infettate perché sono state in contatto con loro, nonché alla sorveglianza epidemiologica del virus. Questi file includeranno la salute e altri dati personali (identità, alloggio, viaggio, partecipazione a raduni, ecc.). Possono essere consultati da un gran numero di attori, in particolare da investigatori sanitari, il legislatore che ha autorizzato la revoca della riservatezza medica.

Il file SI-DEP centralizzerà in particolare i risultati dei test Covid-19, mentre il file Covid Contact raccoglierà informazioni sui casi di contatto e sulle catene di contaminazione.

Sistemi di informazione conformi al GDPR, soggetti a determinate garanzie

Il CNIL ha stabilito con urgenza, anche prima dell’adozione della legge che estende lo stato di emergenza sanitaria, sul progetto di decreto che definisce le condizioni per l’attuazione di questi trattamenti. 

Nell’eccezionale contesto di gestione della crisi sanitaria, considera il sistema che gli è stato presentato ampiamente in conformità con le norme generali sulla protezione dei dati (GDPR). Rileva che, nello stato delle analisi scientifiche raccolte dal governo, il sistema di indagini sanitarie e il monitoraggio epidemiologico previsti sono necessari per la riconfigurazione. 

Rileva che un certo numero di garanzie sono fornite dal progetto del governo, come la natura volontaria della partecipazione ai sondaggi, la limitazione dei dati sanitari elaborati nell’ambito del sistema o persino la natura temporanea di quest’ultimo.  

Tuttavia, nel suo parere dell’8 maggio ha ritenuto necessario che il progetto di decreto sottoposto ad esso fosse specificato su alcuni punti, di seguito dettagliati, e chiede che siano fornite garanzie giuridiche, tecniche e organizzative, per proteggere la privacy dei francesi. 

Il decreto pubblicato il 12 maggio ha seguito le raccomandazioni del CNIL. Un certo numero di ulteriori raccomandazioni del CNIL rientrerà nell’implementazione del sistema, come misure di sicurezza relative alla politica di autenticazione tramite password o alla tracciabilità di determinate azioni.

Le principali esigenze del CNIL

La CNIL chiede una grande vigilanza non appena i dati sanitari e i dati relativi a determinati aspetti della vita privata (identità, alloggio, professione, viaggio, persone incontrate, convivenza, ecc.) Verranno registrati in due file nazionali accessibili a un gran numero di persone.

• Il CNIL ha chiesto che il progetto di decreto venisse chiarito su alcuni punti, in particolare per inquadrare più precisamente i dati a cui ciascuna categoria di utenti dei due file avrà accesso , in base alla sua funzione nel sistema sanitario. Il decreto pubblicato il 12 maggio fornisce tale quadro. Dovrebbe essere tradotto, per quanto possibile, da misure tecniche che limitano l’accesso degli utenti a ciò che corrisponde alle loro esigenze.
• Chiede inoltre che il decreto non raccolga, senza ulteriori dettagli, informazioni sui “collegamenti” esistenti tra un “paziente 0” e un “caso di contatto” . Il decreto pubblicato il 12 maggio ha rimosso questa menzione e prevede solo la raccolta di informazioni precise e circoscritte su questo punto (conoscersi o meno, l’esistenza della convivenza, la data dell’ultimo contatto).  
• Il CNIL chiede inoltre agli investigatori e ad altre persone (personale di laboratorio, medici e altri professionisti della salute, farmacisti, ricercatori, ecc.) Chiamati a utilizzare il file per essere adeguatamente formati , e che un è istituito un sistema di rintracciabilità per le consultazioni in modo da identificare gli abusi ed essere in grado di sanzionarli.
• Il CNIL ha chiesto una riflessione più dettagliata sui periodi di conservazione dei dati . Rileva che la legge dell’11 maggio 2020, dopo la sua deliberazione, ha fornito forti garanzie su questo punto limitando la conservazione dei dati nel sistema di informazione a tre mesi dal momento della loro raccolta.
• Il CNIL ha anche osservato che il piano del governo ha essenzialmente escluso il diritto di opposizione , tranne per consentire a “paziente 0” di non divulgare il suo nome ai suoi “casi di contatto” e per determinate trasmissioni dei suoi dati per scopi di ricerca. Ha chiesto che la limitazione del diritto di opposizione ai file sia ridotta al minimo e rileva che il decreto ha aperto un diritto di opposizione a “casi di contatto” per il trattamento dei loro dati in Contact Covid. Saranno inoltre garantiti i diritti di informazione, accesso e rettifica.

Infine, il CNIL ha annunciato che seguirà da vicino il sistema. Un primo controllo verrà effettuato nelle prime settimane successive al suo spiegamento.

FONTE: AUTORITA’ PER LA PROTEZIONE DEI DATI DELLA FRANCIA – CNIL