Il Garante per la protezione dei dati personali, in relazione al fenomeno del proliferare di applicativi di contact tracing da parte di istituzioni pubbliche e soggetti privati, e anche in considerazione del perdurare dello stato d’emergenza disposto dal Governo, ritiene necessario chiarire quanto segue.

L’emergenza COVID-19 non rappresenta automaticamente, e di per sé, una base giuridica sufficiente volta a incidere su diritti e libertà costituzionalmente protette, legittimando trattamenti di dati particolarmente invasivi, quali appunto quelli atti a consentire il tracciamento dei contatti da parte di qualsiasi titolare pubblico o privato.

A tal proposito, questa Autorità, precisa che gli unici trattamenti di dati personali che, allo stato, possano vantare un’adeguata base giuridica, sono esclusivamente quelli che trovano il proprio fondamento in una norma di legge nazionale. Ogni altro trattamento finalizzato al contact tracing risulta pertanto privo di un’adeguata fonte giuridica legittimante e, pertanto, effettuato in violazione della normativa europea e nazionale in materia di protezione dei dati personali.

Roma, 10 agosto 2020