La privacy ai tempi del coronavirus.

La necessaria proporzionalità delle misure di emergenza, tra tutela della salute e diritti individuali

L’Italia è stretta nella morsa del divieto di uscire di casa. Tale obbligo rappresenta una fortissima limitazione delle libertà individuali e comporta costi economici enormi, ma sembra essere l’unica risposta adeguata in un contesto di rapida espansione del contagio con tragiche conseguenze.

Ci dobbiamo però preparare a un futuro nel quale, anche per evitare impatti disastrosi sulle attività produttive, il divieto dovrà essere progressivamente allentato, presumibilmente prima che la malattia sia stata completamente estirpata.

In questo contesto molto si è parlato della possibilità di sostituire all’obbligo di non lasciare la propria abitazione, meccanismi di controllo sugli spostamenti delle persone. Tali meccanismi potrebbero essere efficacemente attuati quando si disponesse di molti test di positività, cosicché vi fosse un’elevata probabilità che se una persona fosse infetta dal virus, essa sarebbe risultata positiva al test. Diverrebbe così possibile, mediante i meccanismi di controllo, conoscere gli spostamenti delle persone positive, prima e dopo della loro positività, e rapportarli agli spostamenti delle persone non ancora positive. Ciò renderebbe possibile adottare tempestivamente misure sanitarie nei confronti di chi sia stato esposto a contatti con persone positive.

È bene ricordare che come dice lo stesso Regolamento privacy, la privacy non è un diritto “assoluto”, o meglio non è incomprimibile: essa può essere limitata per la necessità di realizzare legittimi interessi e diritti privati e pubblici.

Tra gli interessi che giustificano una limitazione della privacy vi sono certamente le esigenze della tutela della salute, individuale e pubblica. Tali esigenze possono giustificare una limitazione della privacy anche rispetto a dati sensibili, come i dati sanitari. Le limitazioni devono però avere un fondamento nella legge ed essere proporzionate. La proporzionalità consiste fondamentalmente in un bilanciamento di sacrifici e benefici: i benefici individuali e collettivi per la salute che si ottengono comprimendo la privacy debbono essere più importanti del sacrificio che risulta dalla compressione della privacy. La privacy è un diritto fondamentale, e il suo sacrificio è ammissibile solo se “ne vale la pena”, cioè se serve a realizzare benefici più importanti di quel sacrificio. Inoltre, il sacrificio deve essere “necessario”, cioè non deve essere possibile ottenere lo stesso beneficio per la salute con una minore limitazione della privacy.

Alla luce di queste esigenze, possiamo esaminare diverse possibilità, alcune già attuate in diversi paesi. Poiché le misure possono riguardare sia le persone positive che i loro contatti stretti (tutti soggetti attualmente all’obbligo di quarantena), parlando di positivi tout court includo di regola entrambi. Le misure elencate possono essere obbligatorie o invece facoltative, lasciate alla scelta del soggetto interessato. Quest’ultima opzione è maggiormente rispettosa della privacy, ma in assenza di forti motivazioni o incentivi adeguati, confidare nella scelta dei cittadini potrebbe pregiudicare l’efficacia dei controlli. Altra importante variazione concerne la possibilità che i dati vengano resi accessibili solo alle autorità sanitarie, a fini di analisi del fenomeno e intervento preventivo/terapeutico, o invece anche alle autorità di pubblica sicurezza, per l’attuazione coercitiva dei divieti connessi all’epidemia, o agli stessi cittadini, per finalità di autotutela.

Ecco le principali opzioni:

1. Registrazione delle persone positive. Tutte le persone risultate positive sono registrate in un registro elettronico (come già avviene anche per altre malattie infettive), accessibile da parte dei pubblici poteri a ciò autorizzati. Il registro delle persone positivi (e dei contatti stretti) al coronavirus consente alle strutture sanitarie di avere una mappa della diffusione del virus. Se i dati fossero accessibili anche alle forze di sicurezza, ciò potrebbe facilitare l’identificazione delle violazioni degli obblighi di quarantena, e quindi operare quale strumento di deterrenza.
   
   
2. Sorveglianza sugli spostamenti delle persone già registrate come positive. L’individuo positivo registrato si dota di dispositivo mobile, nel quale è attivata una app con funzionalità di geolocalizzazione, che ne trasmette la posizione a un’infrastruttura condivisa, pur senza registrarne in modo permanente i movimenti. In questo caso le autorità competenti avrebbero la possibilità di rilevare, in tempo reale, dove vi sia un individuo positivo. Alla rilevazione sanitaria si aggiungerebbe la possibilità di individuare chi sta violando gli obblighi di quarantena, intervenendo tempestivamente. Il funzionamento del controllo presuppone però che la persona positiva porti sempre con sé il proprio dispositivo, anche quando consapevolmente si sottrae alla quarantena.

• Coveglianza sugli spostamenti delle persone già registrate come positive Alla sorveglianza potrebbe aggiungersi la coveglianza (sorveglianza paritetica) quando i cittadini stessi, mediante il loro dispositivo potessero sapere se si trovano davanti ad una persona positiva, così da evitare contatti. L’app funzionerebbe come un sonaglio, teso ad avvertire circa la presenza di una fonte di infezione. Il dato fornito dall’app al cittadino sarebbe anonimo, ma potrebbe diventare personale, se il cittadino dovesse individuare l’individuo segnalato come positivo (vedo una persona che si avvicina, accompagnata dal pallino rosso, e quindi associo il pallino alla persona, anche se non ne conosco il nome).

• Sorveglianza sugli spostamenti delle persone risultate positive prima della loro positività. In questa ipotesi una volta che un cittadino sia risultato positivo, se ne ripercorrono gli spostamenti precedenti alla positività. Ciò presuppone che siano stati registrati preventivamente gli spostamenti dell’interessato prima che ne risultasse la positività, e quindi che siano registrati gli spostamenti di tutte le persone, positive e non positive (o di tutte quelle che abbiano aderito al progetto, in caso di facoltatività). Le autorità sanitarie potrebbero conoscere la dinamica della diffusione del contagio, e adottare scelte conseguenti rispetto a quanti siano stati in contatto con una persona infetta non ancora risultata positiva

Un accorgimento che limiterebbe l’impatto sulla privacy degli individui non-positivi, potrebbe consistere nel prevedere che i dati sugli spostamenti di questi rimangano sul loro dispositivo, e vengano trasferiti su un registro centrale solo dopo l’accertamento di positività. Questa soluzione non consentirebbe però alle autorità di determinare i contatti precedenti alla positività incrociando gli spostamenti di chi sia risultato positivo con gli spostamenti di altre persone.

Oltre che mediante geolocalizzazione, i contatti tra persone possono essere rilevate mediante app che registrino gli avvicinamenti (per esempio, a meno di due metri) di altri dispositivi dotati della stessa app, mediante tecnologie quali Bluetooth. In questo caso ogni dispositivo mobile registrerebbe gli identificativi di tutti i dispositivi avvicinati.

• Coveglianza sugli spostamenti delle persone risultate positive prima della loro positività. In questa ipotesi, gli spostamenti di tutte le persone, sia quelle successivamente risultate positive, sia quelle che non-positive sono registrati (come nell’ipotesi 4). Gli spostamenti di cui sia risultato positivo vengono incrociati gli spostamenti degli altri, e gli incroci che coinvolgono persone risultate positive vengono resi disponibili agli interessati (mi viene comunicato se e quando, nei miei spostamenti, ho avuto un contatto con una persona poi risultata positiva). Anche in questo caso, una soluzione più rispettosa della privacy delle persone non positive si avrebbe se i dati sugli spostamenti rimanessero sul dispositivo di ciascuno, venendo trasferiti su un registro centrale solo quando la persona risultasse positiva.

Qualora il trasferimento dei dati sugli spostamenti o sugli incontri fosse facoltativo, una questione chiave consiste nel come motivare le persone ad accettare che i dati sui propri spostamenti vengano registrati e resi accessibili a terzi. In particolare, nelle ipotesi 4 e 5 (che corrispondono al famoso modello coreano), la persona A divenuta positiva potrebbe non gradire che una persona B che è stato in contatto con lei possa sospettare o sapere di essere stata infettata o comunque messa a rischio proprio da A (la possibilità non è esclusa dall’anonimato, perché ad esempio, B potrebbe sapere che nel momento dell’incontro con un soggetto positivo stava conversando solo con A). Forse un incentivo sufficiente potrebbe consistere nel legare le due facce del sistema: da un lato il vantaggio di poter conoscere i propri incontri con soggetti risultati positivi, dall’altro lato lo svantaggio di rendere conoscibili a terzi i propri spostamenti qualora si risultasse positivo. Chi scarica l’app accetta entrambe le parti del contratto. Questa soluzione però mi sembra difficilmente attuabile quando i dati sullo spostamento di una persona dovessero restare sul dispositivo di questa fino all’accertamento della positività, a meno che non si preveda una sanzione per chi abbia accettato di usare l’app, e si rifiuti poi di trasferire i propri dati, quando sia risultato positivo.

Le opzioni non si limitano a quelle appena elencate, ma mi sembra siano le più significative. Una possibilità, molto intrusiva, attuata in alcuni paesi, consiste nella registrazione degli accessi ad uffici pubblici o aperti al pubblico: il cittadino è obbligato a registrare sul cellulare il codice a barre del locale cui accede, che viene trasmesso al registro centralizzato. Un’ulteriore possibilità, anch’essa limitativa delle privacy, oltre che fonte di possibili discriminazioni, consiste nell’assegnare automaticamente al cittadino un indice di rischio di contagio, calcolato in base alle sue attività, viaggi e incontri precedenti, e quindi sottoporre lo stesso a sorveglianza specifica e controlli anche prima di un test di positività, nel caso che il rischio calcolato superi la soglia stabilita.

La questione che ci dobbiamo porre è se in tutte queste ipotesi, i benefici per la salute siano superiori al sacrificio per la privacy. Si tratta di una “scelta tragica”, nel senso che qualsiasi opzione adottiamo, un importante valore individuale e sociale sarà compromesso, ma è una scelta inevitabile nelle condizioni in cui ci troviamo.

La questione fondamentale è quella della proporzionalità, il “ne vale la pena”. Vale la pena di adottare soluzioni molto limitative della privacy, come la 5 e la 6, che però probabilmente contribuirebbero a salvare qualche vita umana in più e faciliterebbero la ripresa delle attività economiche? Si può rispondere di sì, dato che la vita umana è valore supremo, ma noi spesso preferiamo soluzioni che presentano un certo rischio per la vita umana, a soluzioni che comportano un rischio minore (per esempio, perché non prevedere un limite di 80 km all’ora in autostrada, che ridurrebbe di molto gli incidenti mortali, implicando però una notevole perdita di tempo negli spostamenti). E quanto contano gli aspetti economici, rispetto alla privacy, considerando anche gli impatti negativi che una profonda crisi economica può avere sulla vita delle persone?

Altra questione è quella della necessità, applicata al modo in cui la soluzione tecnologica è stata attuata: era possibile limitare il sacrificio della privacy (e protezione dei dati) con ulteriori cautele?

Infine, le misure speciali di sorveglianza introdotte per contrastare il coronavirus dovrebbero essere strettamente limitate alla durata dell’epidemia. Bisogna però considerare il rischio che tali meccanismi di sorveglianza siano mantenuti anche dopo la fine dell’epidemia, e utilizzati per altri scopi.

In conclusione, mi sembra che la questione della sorveglianza sugli spostamenti quale misura anti-coronavirus sia molto aperta, e debba essere oggetto di un ampio e informato dibattito pubblico che includa aspetti sanitari e tecnologici, ma anche etici e giuridici.