La privacy al tempo del Covid

Nuove regole di sopravvivenza

Come avevamo accennato in un precedente articolo le ultime restrizioni legate al Green Pass, recentemente introdotte dal governo, aprono tutta una serie di interrogativi.

A parte la scelta, assolutamente senza precedenti, di dare la possibilità ad esercenti di attività pubbliche di poter richiedere di controllare certificazioni sanitarie, le riflessioni da fare sono tante.

Secondo il DL 23 luglio 2021, n. 105, possono verificare la Certificazione:

• I pubblici ufficiali nell’esercizio delle relative funzioni.
• Il personale addetto ai servizi di controllo delle attività di intrattenimento e di spettacolo in luoghi aperti al pubblico o in pubblici esercizi iscritto nell’elenco di cui all’articolo 3, comma 8, della legge 15 luglio 2009, n. 94.
• I soggetti titolari delle strutture ricettive e dei pubblici esercizi per l’accesso ai quali è prescritto il possesso di certificazione verde Covid-19, nonché i loro delegati.
• Il proprietario o il legittimo detentore di luoghi o locali presso i quali si svolgono eventi e attività per partecipare ai quali è prescritto il possesso di certificazione verde Covid-19, nonché i loro delegati.
• I gestori delle strutture che erogano prestazioni sanitarie, socio-sanitarie e socio-assistenziali per l’accesso alle quali in qualità di visitatori sia prescritto il possesso di certificazione verde Covid-19, nonché i loro delegati.

Inoltre, è previsto che l’interessato, su richiesta del verificatore, esibisca un proprio documento di identità in corso di validità ai fini della verifica di corrispondenza dei dati anagrafici presenti nel documento con quelli visualizzati dall’App.

Ovvero, il titolare di un esercizio pubblico o un suo delegato dovrebbe essere legittimato a chiedere all’interessato di esibire un documento.

L’art. 651 del Codice penale recita:

Chiunque, richiesto da un pubblico ufficiale nell’esercizio delle sue funzioni, rifiuta di dare indicazioni sulla propria identità personale, sul proprio stato, o su altre qualità personali, è punito con l’arresto fino a un mese o con l’ammenda fino a euro 206.

Non esiste nessuna legge che prescriva l’obbligo di avere con sé un documento di riconoscimento, tranne ovviamente la patente di guida mentre si conduce un veicolo.

È sufficiente che il soggetto declini le proprie generalità, non essendo richiesto che fornisca i documenti attestanti la propria identità personale.

In merito si è pronunciata in modo abbastanza chiaro il Ministro dell’Interno, Luciana Lamorgese, che in merito ha dichiarato:

I ristoratori non devono controllare l’identità dei clienti.

Dovrebbe rimediare una circolare, ma il condizionale è d’obbligo.

Ma torniamo alla privacy.

Per richiedere il Green Pass vuol dire che ci troviamo di fronte ad un’azienda che non solo è in regola con il GDPR n. 2016/679.

Ovvero, analisi rischio privacy, procedura di trattamento e conservazione dei dati sensibili, nomina del responsabile del trattamento, ecc..

Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
GDPR n. 2016/679 – Art. 24

Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.
GDPR n. 2016/679 – Art. 29

Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.
GDPR n. 2016/679 – Art. 32, 4

1.Il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti:

a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
b) sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
GDPR n. 2016/679 – Art. 39

Ma non solo.

Il GDPR prevede la distinzione tra dati personali e dati sensibili, introducendo tutta una serie di ulteriori obblighi.

Quali dati possono essere definiti sensibili?

È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
GDPR n. 2016/679 – Art. 9

Quali sono gli adempimenti, ad esempio, del titolare di un ristorante?

Designare gli addetti alla verifica dei Green Pass, stendere le istruzioni sulle operazioni di verifica e consegnarle agli incaricati, effettuare controlli sul rispetto delle istruzioni.

A verificare il Green Pass dovrebbe essere il titolare o una persona delegata.

I soggetti delegati di cui alle lettere c), d), e) ed f) del comma 2 sono incaricati con atto formale recante le necessarie istruzioni sull’esercizio dell’attività di verifica.
DPCM 17 giugno 2021 – Art. 13, comma 3

In generale, i Titolari del trattamento che dal 6 agosto 2021 organizzeranno attività al chiuso o nelle strutture sopra riportate, devono predisporre:

• Nomina e istruzioni al soggetto designato al controllo Green Pass Covid-19
• Informativa privacy – artt. 13 e 14 del GDPR 2016/679 – controllo Green Pass
• Scheda del trattamento “Controllo Green Pass”, che costituirà parte integrante del Registro dei trattamenti obbligatorio ai sensi dell’art. 30 del GDPR.

La delega dovrebbe essere affidata a soggetti formati.

Quindi, se l’esercizio non è in regola con questi adempimenti, e la persona che ci chiede il Green Pass non è in regola con questi adempimenti, ci troviamo in palese violazione delle norme sulla privacy, per cui sono previste sanzioni amministrative pecuniarie fino a 10 milioni di euro.