Il Garante Per La Protezione Dei Dati Personali Sulle “Certificazioni Verdi”

Il Garante della Privacy, con provvedimento n. 156 del 23 aprile 2021, si pronuncia in merito ai trattamenti effettuati relativamente alle “certificazioni verdi” o “pass vaccinali” per COVID-19 previsti dal D.L. 22 aprile 2021, n. 52 – 23 aprile 2021.

Il Garante osserva innanzitutto che “il cosiddetto ‘decreto riaperture’ non garantisce una base normativa idonea per l’introduzione e l’utilizzo dei green pass su scala nazionale, ed è gravemente incompleto in materia di protezione dei dati, privo di una valutazione dei possibili rischi su larga scala per i diritti e le libertà personali”.

Risulta di conseguenza necessario un intervento urgente che soddisfi i requisiti previsti dal Regolamento (UE) 2016/679 e tuteli i diritti degli interessati (art. 25, par. 1, del Regolamento).

Le criticità illustrate dal garante sono:

Mancata consultazione del Garante: in violazione dell’art. 36, par. 4, del Regolamento, il decreto legge del 22 aprile 2021, 52, è stato adottato senza che il Garante sia stato consultato;
Inidoneità della base giuridica: l’impianto normativo non fornisce un’indicazione esplicita e tassativa delle specifiche finalità perseguite attraverso l’introduzione della certificazione verde, elemento essenziale al fine di valutare la proporzionalità della norma, richiesta dall’art. 6 del Regolamento, anche alla luce di quanto affermato dalla Corte Costituzionale nella sentenza n. 20 del 21 febbraio 2019, secondo cui la base giuridica che individua un obiettivo di interesse pubblico deve prevedere un trattamento di dati personali proporzionato rispetto alla finalità legittima perseguita;
Principio di minimizzazione dei dati: il decreto legge viola il principio di minimizzazione dei dati secondo cui gli stessi devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (art. 5, par. 1 lett. c) del Regolamento);
Principio di esattezza: si ritiene che il decreto violi anche il principio di esattezza dei dati secondo cui gli stessi devono essere esatti e, se necessario, aggiornati e devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (art. 5, par. 1, lett. d) del Regolamento);
Principio di trasparenza: Il decreto legge viola il principio di trasparenza in quanto non indica in modo chiaro le puntuali finalità perseguite, le caratteristiche del trattamento e i soggetti che possono trattare i dati raccolti in relazione all’emissione e al controllo delle certificazioni verdi (artt. 5, par. 1, lett. e) e 6, par. 3, lett. b) del Regolamento). Il decreto infatti, oltre a non individuare in modo puntuale le finalità, non indica i soggetti che trattano le predette informazioni e che possono accedervi, nonché quelli deputati a controllare la validità e l’autenticità delle certificazioni verdi;
Principi di limitazione della conservazione e di integrità e riservatezza: Le disposizioni del decreto violano anche il principio di limitazione della conservazione, secondo cui i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (artt. 5, par. 1, lett. e) e 6, par. 3, lett. b) del Regolamento). Si rileva inoltre che le disposizioni del decreto non forniscono adeguata garanzia rispetto al principio di integrità e riservatezza, atteso che non sono indicate le misure che si intende adottare per garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (artt. 5, par. 1, lett. f) e 32 del Regolamento).

Considerate le succitate criticità il Garante ritiene che “la disciplina della certificazione verde delineata dal decreto legge del 22 aprile 2021, n. 52, risulta pertanto non proporzionata rispetto all’obiettivo di interesse pubblico, pur legittimo, perseguito, in quanto non individua puntualmente le finalità per le quali si intende utilizzare la certificazione verde…”.

Infine, considerato che l’utilizzo della certificazione verde è operativo a partire dal giorno successivo alla pubblicazione del decreto legge, il Garante ritiene necessario un celere intervento al fine di tutelare i diritti e le libertà degli interessati.

Il provvedimento è stato difatti trasmesso al Presidente del Consiglio dei Ministri e a tutti i soggetti coinvolti nel trattamento.