Via libera del Garante per la protezione dei dati personali al Green Pass. Disposto blocco provvisorio dell’App IO

Il GPDP ha preventivamente avvisato il Governo delle criticità dell’attuale versione del decreto “Riaperture”, il quale ha introdotto il green pass. E’ ad oggi ancora necessario individuare con chiarezza ed in sede di conversione in legge del decreto, i casi specifici in cui è possibile richiedere al cittadino di esibire la certificazione verde. In virtù della ancora poco chiara delimitazione del decreto, alcune regioni hanno applicato in maniere specifiche alle esigenze regionali il green pass, casi in cui è già intervenuto il GPDP.

L’Autorità sottolinea, inoltre, che anche il Regolamento europeo sul green pass, attualmente in fase di adozione, prevede che lo stesso possa essere utilizzato dagli Stati membri per finalità ulteriori, rispetto agli spostamenti all’interno dell’Ue, ma solo se ciò è espressamente previsto e regolato da una norma nazionale.

Il GPDP, nonostante il parere favorevole, ha sottolineato alcuni profili su cui si ritiene necessario intervenire per la tutela della privacy dei cittadini, di seguito solo alcuni punti su cui l’Autorità ha richiesto un maggiore accorgimento:

• le finalità per le quali potrà essere richiesto il green pass che dovranno essere stabilite con una norma di rango primario;
• la norma dovrà prevedere che le certificazioni possano essere emesse e rilasciate solo attraverso la Piattaforma nazionale-DGC e verificate esclusivamente attraverso l’App VerificaC19 (applicazione specifica e creata ad hoc per i green pass);
• va garantito che i verificatori possano conoscere solo le generalità dell’interessato, senza visualizzare le altre informazioni presenti nella certificazione (guarigione, vaccinazione, esito negativo del tampone).

Con distinto provvedimento, l’Autorità ha inoltre ordinato in via d’urgenza alla società PagoPA di bloccare provvisoriamente alcuni trattamenti di dati che prevedono l’interazione con i servizi di Google e Mixpanel. Questo comporterebbe un trasferimento verso Paesi terzi i dati particolarmente delicati, effettuato senza che gli utenti ne siano stati adeguatamente informati e abbiano espresso il loro consenso.