App Immuni, via libera dal Garante Privacy

Discussa, attesa, annunciata, infine presentata e disponibile al download. Il percorso dell’app Immuni è sicuramente travagliato e il proseguimento della sua avventura non sarà sicuramente una passeggiata su di un tappetino rosso. Tuttavia una cosa è evidente: l’annuncio è avvenuto pressoché in concomitanza con il semaforo verde del Garante Privacy, come se fosse questo l’ultimo tassello fondamentale mancante per l’avvio del progetto.

Immuni: ok dal Garante Privacy

Il semaforo verde all’app Immuni è giunto con provvedimento dedicato a seguito dell’approfondita analisi dell’Authority. Tra le parole del Garante sembra trapelare la consapevolezza del fatto che tutto sia stato posto in essere in emergenza (e dunque con le problematiche che la fretta comporta), ma tra le righe sembra esserci una qualche riserva calmierata dal fatto che, in caso di qualsivoglia problema, si interverrà comunque in corso d’opera per blindare i dati personali e la struttura del progetto.

Una sorta di approvazione con riserva, insomma, ma al tempo stesso una approvazione controfirmata poiché tutto è stato posto in essere in modo “proporzionato”:

Sulla base della valutazione d’impatto trasmessa dal Ministero, il trattamento di dati personali effettuato nell’ambito del Sistema può essere considerato proporzionato, essendo state previste misure volte a garantire in misura sufficiente il rispetto dei diritti e le libertà degli interessati, che attenuano i rischi che potrebbero derivare da trattamento.

Tenuto conto della complessità del sistema di allerta e del numero dei soggetti potenzialmente coinvolti, il Garante ha comunque ritenuto di dare una serie di misure volte a rafforzare la sicurezza dei dati delle persone che scaricheranno la app. Tali misure potranno essere adottate nell’ambito della sperimentazione del Sistema, così da garantire che nella fase di attuazione ogni residua criticità sia risolta.

Il Garante si è voluto assicurare soprattutto che i cittadini italiani possano avere piena consapevolezza sul funzionamento dell’algoritmo alla base del contact tracing e sul fatto che potrebbero sussistere falsi positivi da gestire con massima tranquillità. L’Authority raccomanda inoltre massima cura nelle notifiche di allerta e nella sicurezza di ogni procedura posta in essere in termini di sicurezza informatica:

Dovrà anche essere garantita la trasparenza del trattamento a fini statistico-epidemiologici dei dati raccolti e individuate modalità adeguate a proteggerli, evitando ogni forma di riassociazione a soggetti identificabili e adottando idonee misure di sicurezza e tecniche di anonimizzazione. Dovranno essere introdotte misure volte ad assicurare il tracciamento delle operazioni compiute dagli amministratori di sistema sui sistemi operativi, sulla rete e sulle basi dati. La conservazione degli indirizzi Ip dei cellulari dovrà essere commisurata ai tempi strettamente necessari per il rilevamento di anomalie e di attacchi.

Il provvedimento del Garante è disponibile in versione completa sul sito dell’Authority. Tra le indicazioni più interessanti si può leggere in forma estesa la descrizione del sistema di registrazione dei contatti, tale da rendere efficace la procedura senza scambi di dati personali tra i device, nonché il modo in cui viene registrata la positività in collaborazione con le autorità sanitarie:

In caso di esito positivo di un tampone, nell’ambito dell’indagine epidemiologica effettuata dall’operatore sanitario del Dipartimento di prevenzione della Azienda sanitaria locale competente, viene chiesto al paziente se abbia installato l’app Immuni. In tal caso, l’operatore chiederà allo stesso se voglia rendere disponibili le proprie TEK al fine di allertare del rischio di contagio gli utenti con cui è entrato in contatto stretto nei giorni precedenti la diagnosi o la manifestazione dei sintomi. Qualora il paziente voglia procedere in tal senso, l’operatore sanitario richiede allo stesso di aprire l’app e di utilizzare la funzione di generazione del codice OTP (One Time Password), composto da 10 caratteri. Il paziente comunica tale codice OTP all’operatore sanitario e attende l’autorizzazione per effettuare il caricamento (c.d. upload) delle proprie TEK. L’operatore sanitario, utilizzando una specifica funzionalità resa disponibile sul Sistema TS, inserisce il codice OTP e la data di inizio dei sintomi forniti dal paziente, che vengono così trasmessi al backend di Immuni. Entro un limitato intervallo temporale (2 minuti e 30 secondi), il paziente dovrà completare la procedura di caricamento delle TEK generate sul proprio dispositivo negli ultimi 14 giorni, che sono trasmesse al backend di Immuni che, previa verifica dell’OTP, le elabora per individuare, sulla base della data di inizio dei sintomi, solo le TEK generate nei giorni in cui il paziente, sulla base della data di insorgenza dei sintomi dichiarata, deve essere considerato contagioso.

Il predetto meccanismo di autorizzazione è volto ad assicurare che siano caricate sul Sistema Immuni esclusivamente le TEK riferibili a utenti accertati positivi al Covid-19.

All’atto dell’upload delle TEK, l’app effettua anche il caricamento automatico sul backend di Immuni di alcune informazioni relative agli eventuali contatti stretti con soggetti positivi rilevati in precedenza.