Campania viola il GDPR con i green pass: il Garante avverte

Campania avvertita dal garante per violazione del GDPR, sì ai green pass ma rispettando la normativa

Il Garante “avverte” formalmente la Regione Campania sul fatto che il sistema dei green pass, che certifica l’avvenuta vaccinazione, o la guarigione come ancora la negatività, viola la normativa sulla privacy GDPR.

UNA CERTIFICAZIONE NECESSARIA

È il Presidente della Campania a trattare mediante ordinanza questo sistema di certificazione che prevede delle smart card su cui vengono registrati i green pass regionali. I green pass indicherebbero se la persona è stata vaccinata oppure se è guarita o se si è negativizzata. Il Presidente attraverso l’ordinanza “demanda all’Unità di crisi regionale la definizione delle modalità operative e la distribuzione di smart card su cui saranno registrati i pass Covid regionali”.
La certificazione è ritenuta dalla Regione necessaria al fine di fruire servizi turistici, alberghieri, di wedding, trasporti e spettacoli.

LE CRITICITA’

Secondo il Garante questa ordinanza presenta una serie di problemi:

1. questa iniziativa è priva di idonea base giuridica. Proprio perché è una disposizione che condiziona i diritti e le libertà personali dei cittadini, è ritenuta non ammissibile. Per limitare i diritti e le libertà è infatti necessaria una idonea normativa nazionale, non un’ordinanza regionale.
2. l’ordinanza prevarica le indicazioni del “Decreto riaperture”, introducendo per gli spostamenti o l’accesso di servizi l’esibizione del green pass.
3. l’ordinanza introduce le smart card al fine di utilizzarle come “sistema di rilascio di certificazione di avvenuta vaccinazione” senza però specificare:
   • chi è il titolare del trattamento
   • chi può accedere alle informazioni o utilizzare le informazioni
   • chi controlla l’autenticità delle certificazioni
     In questo modo violando il GDPR e i principi quali liceità, correttezza, trasparenza, privacy by designPrincipio che stabilisce che la protezione dei dati debba es... Leggi e by default
4. non è stata effettuata nessuna DPIA al fine di rilevare possibili rischi nel trattamento dei dati. Dati che in questo specifico caso sono estremamente delicati, trattandosi di dati che riguardano la salute dei cittadini. Quindi informazioni che appartengono alla categoria di dati particolari, specificamente sanitari, meritevoli di maggiore protezione.

L’avvertimento è stato comunicato anche al Presidente del Consiglio dei ministri e alla Conferenza delle Regioni e delle Province autonome.