EDPS ed Europol risolvono il conflitto tra security e privacy

EDPS ed Europol risolvono il conflitto tra security e privacy

In data 3 gennaio 2022 il supervisore europeo per la protezione dei dati personali, che vigila sugli enti europei, ha imposto ad Europol di limitare la sua attività di raccolta di dati, finalizzati a proteggere la società civile europea.

Fin dal primo giorno in cui venne pubblicato un regolamento in materia di protezione dei dati personali, nacque un conflitto fra esigenze di security e di privacy.

Le esigenze di security prevedono una raccolta assai vasta di informazioni, che devono essere successivamente correlate per mettere in evidenza attività criminose. Dall’altro canto, i regolamenti per solito impongono che la raccolta di dati personali sia ridotta al minimo necessario per le finalità della raccolta.

Un conflitto analogo si pone nel contesto della sanità, laddove, ad esempio, quando un bimbo è affetto da una malattia assai contagiosa, le esigenze di protezione dei suoi compagni di classe superano le esigenze di tutela della sua privacy.

È nel contesto di una indagine sviluppata dal supervisore europeo per la protezione dei dati personali, che è l’equivalente del comitato europeo per la protezione dati personali, ma che vigila solo sugli enti europei, che il 3 gennaio 2022 l’EDPS ha notificato ad Europol un ordine di cancellare i dati che riguardino interessati, che non abbiano un collegamento definito ad attività criminali.

Pubblicità

Con questo ordine si chiude un’attività di indagine, iniziata nel lontano 2019. Per la verità, già nel settembre 2020 l’EDPS aveva ammonito Europol in merito a una eccessiva quantità di dati raccolti: Europol aveva reagito, effettuando alcuni interventi, che però non sono stati ritenuti soddisfacenti dal supervisore europeo.

Ad esempio, Europol conservava questi dati per lunghi periodi, probabilmente superiori alle finalità dichiarate.

Alla luce di questa situazione, l’EDPS ha deciso di usare il suo potere di intervento, stabilendo i sei mesi il periodo di conservazione dei dati, in fase di categorizzazione. I dati che, al termine di questo periodo, non sono stati inseriti in specifiche categorie, debbono essere cancellati.

L’EDPS ha concesso un termine di 12 mesi ad Europol per attuare questo ordine, in relazione ai dati acquisiti in precedenza.

Questo intervento è particolarmente importante perché, come accennato in precedenza, il diritto alla protezione dei dati personali non è un diritto assoluto, come è stato più volte affermato, ma è un diritto che deve essere messo a confronto con altri diritti della società civile, altrettanto importanti.

Ad esempio, il diritto della tutela della salute della società civile può prevalere sul diritto alla protezione dei dati sanitari di alcuni cittadini.

Parimenti, il diritto alla protezione della società civile da attività criminose può prevalere sul diritto alla protezione dei dati personali di alcuni cittadini.

Appare evidente come talvolta possa essere difficile individuare un confine tra questi diritti ed ecco il motivo per cui, anche in passato, più volte le autorità garanti nazionali, supportate dal comitato europeo per la protezione dei dati, si sono espresse in merito.

Basti ricordare, al proposito, l’ormai famoso caso di una prostituta di una città del Nord, che risultò positiva all’AIDS. Le autorità sanitarie di quella città diffusero il nome della prostituta e misero in guardia tutti coloro che potevano averla frequentata, raccomandando di effettuare un accertamento per verificare la presenza di infezione da HIV. Il Garante di allora non obiettò, nella sostanza, alla decisione della struttura sanitaria cittadina, ma obiettò alla forma, suggerendo, ad esempio, di mettere a disposizione un numero verde, per tutti i cittadini, che avrebbe potuto fornire informazioni specifiche, senza il clamore, che la pubblicazione del comunicato stampa dell’azienda sanitaria ebbe in tutta la città.

Ancora una volta, c’è modo e modo per trovare un giusto equilibrio fra diritti fondamentali della società civile e diritti fondamentali del singolo cittadino.

Vedi provvedimento il supervisore europeo per la protezione dei dati personali(PDF)

Adalberto Biasiotti

Licenza Creative Commons

I contenuti presenti sul sito PuntoSicuro non possono essere utilizzati al fine di addestrare sistemi di intelligenza artificiale.