UE propone passaporto vaccinale: il Garante dice no!

A Bruxelles il prossimo 17 marzo verrà formalizzata dalla Commissione europea la proposta di un pass vaccinale europeo.

Continua la corsa alle vaccinazioni di massa in tutta l’Unione Europea, con la prospettiva di ritornare ad una libera circolazione tra tutti gli Stati membri. Al fine di permettere lo spostamento “in sicurezza” si sta paventando l’adozione del c.d. “green pass” che certifichi l’avvenuta vaccinazione, o l’immunizzazione della persona.

Il Presidente della Commissione europea, Ursula von der Leyen, ha dichiarato attraverso il proprio profilo Twitter: “Presenteremo questo mese una proposta legislativa per un Green Pass digitale. L’obiettivo è quello di fornire prova dell’avvenuta vaccinazione, l’esito negativo di eventuali test effettuati e eventuali informazioni sull’avvenuta guarigione dal Covid-19”.

Qual è l’impatto di questa iniziativa a livello privacy? Vediamo di chiarire quali sono le regole del gioco.

La normativa privacy è armonizzata. Con il Reg. UE n. 2016/679, conosciuto ai più come GDPR, i principi alla base delle attività di trattamento di dati personali sono comuni a tutti gli Stati membri dell’Unione. Nella sostanza, vi sono delle regole condivise in materia di trattamento dei dati sanitari (quanto si vuole inserire nel passaporto vaccinale rientra in questa categoria di dati personali).

Nello specifico l’art. 9 GDPR impone il divieto di: “[…] trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.

Vi sono poi delle specifiche deroghe che prevedono la possibilità di trattare questa “particolare” tipologia di dati personali elencate dal secondo comma dell’articolo, tra cui il consenso espresso dell’interessato, la previsione normativa dell’attività di trattamento, il dato manifestamente reso pubblico dal cittadino coinvolto.

Pertanto, si potrà procedere ad un’attività di trattamento di dati sanitari esclusivamente nei casi previsti dalla normativa, salvo che l’interessato abbia liberamente prestato il proprio consenso.

Ad oggi, tuttavia, non esiste alcuna normativa italiana, o di altri Stati membri, che preveda tale tipologia di documento, ed è da escludere la richiesta del consenso dell’interessato per questa specifico documento: il consenso deve essere sempre espresso liberamente, e deve sempre essere concessa la possibilità di revocare quanto precedentemente espresso. In soldoni, con la revoca del consenso non si potrebbe più procedere all’acquisizione dei dati necessari alla predisposizione del passaporto sanitario.

Con propria nota del 1° marzo, il Garante ha ribadito: “[…] che il trattamento dei dati relativi allo stato vaccinale dei cittadini a fini di accesso a determinati locali o di fruizione di determinati servizi, debba essere oggetto di una norma di legge nazionale, conforme ai principi in materia di protezione dei dati personali (in particolare, quelli di proporzionalità, limitazione delle finalità e di minimizzazione dei dati), in modo da realizzare un equo bilanciamento tra l’interesse pubblico che si intende perseguire e l’interesse individuale alla riservatezza.

Aggiungendo poi che: “[..] l’utilizzo in qualsiasi forma, da parte di soggetti pubblici e di soggetti privati fornitori di servizi destinati al pubblico, di app e pass destinati a distinguere i cittadini vaccinati dai cittadini non vaccinati è da considerarsi illegittimo”.

La situazione è, dunque, ad un punto di stallo. Attendiamo la pronuncia del Parlamento le prossime settimane.