Chi è autorizzato a verificare il green pass? Facciamo chiarezza

C’è un mistero sul controllo del Green Pass: coloro che sono incaricati di provvedere alla verifica della validità della certificazione verde, sono autorizzati a farlo?

Sono giorni che circolano rumors sull’illegittimità del controllo del lasciapassare verde da parte di esercenti dei locali, ristoranti, bar, palestre, luoghi di svago e simili. Girano catene di messaggi wathsapp e telegram che hanno il sapore del complottismo e video su youtube che mostrano esercenti imbufaliti e riottosi ai controlli a campione delle forze dell’ordine.

Questo cancan ci ha spinti ad effettuare delle verifiche più complete e … ad onor del vero … il mistero resta in piedi, perché sembra che la Legge non consenta che i controlli vengano effettuati senza una espressa autorizzazione dal titolare del trattamento dei dati, che sarebbe, udite udite, il Ministero della Sanità.

Andiamo per gradi ed analizziamo le disposizioni, invero assai confuse, cercando di metterle quanto più possibile in ordine

Ebbene, il 17 giugno 2021 il Presidente del Consiglio partoriva il DPCM in attuazione del dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante “Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da COVID-19“.

In questo DPCM, all’art. 15, al primo comma espressamente si stabiliva che Il Ministero della salute è titolare del trattamento  dei  dati della    Piattaforma     nazionale-DGC     realizzata,     attraverso l’infrastruttura del Sistema tessera sanitaria, dalla societa’  Sogei S.p.a.

Nei tre commi successivi, poi, il DPCM stabiliva che responsabili del trattamento dei dati raccolti sulla piattaforma sarebbero stati la Sogei SPA, il ministero dell’Economia e, per quanto concerneva i dati scaricati raccolti e conservati tramite APP Io, la società PagoPA SpA.

E sin qui, tutto sembra filare liscio.

Poi subentrano le note distinzioni tra green pass e super green pass, si susseguono i divieti e le limitazioni per i non vaccinati, si dà accesso a determinate attività ai soli possessori di certificazione verde rafforzata e tutto questo comporta la necessità di modifica del DPCM di giugno. Dunque dal seno della presidenza del consiglio sboccia il DPCM del 17 dicembre 2021, avente ad oggetto testualmente ” Modifiche al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021 in ordine alle disposizioni attuative del decreto-legge 26 novembre 2021, n. 172″.

Qui cominciano i problemi.

L’art. 1, comma 7, lett. h del Decreto in questione, infatti, aggiungendo al comma 9 dell’art. 15 del decreto del giugno precedente il comma dieci, espressamente prevede che “tutti  i  soggetti  preposti  alla  verifica   del   possesso   delle certificazioni  verdi   in   corso   di   validità   devono   essere appositamente autorizzati dal  titolare  del  trattamento,  ai  sensi degli articoli 29 e 32, paragrafo 4, del regolamento (UE) n. 2016/679 e 2-quaterdecies del decreto legislativo 30 giugno  2003,  n.  196  e devono ricevere le necessarie istruzioni in merito al trattamento dei dati connesso all’attività di verifica …“.

Ebbene, in primo luogo si è rilevato che l’art. 15 del DPCM di giugno non arriva al comma 9, ma si ferma al quattro. Cosa che fa di molto dubitare dell’accuratezza della redazione della norma, che va di seguito ad un comma che non esiste.

Ma in disparte la questione di drafting, che ci aveva lasciato tanto perplessi da averci indotto a fare molte verifiche, nel merito si stabilisce che tutti i soggetti a cui le norme attribuiscono l’onere di verificare la validità dei lasciapassare (e dunque anche gli esercenti, i ristoratori e baristi ecc ecc, come stabilito dalla Legge), potrebbero effettuare questa verifica solo se a ciò espressamente autorizzati dal titolare del trattamento e solo se da questo debitamente formati, come stabiliscono gli artt, 29 e 32 del Regolamento sul trattamento dei dati personali, il noto GDPR. E tutto ciò perché la verifica del QR Code determina e comporta un vero e proprio trattamento dei dati personali, così come espressamente riconosciuto dal governo che impone il rispetto della normativa in materia.

E dunque la domanda è legittima, esiste questa autorizzazione, il Ministro Speranza ha autorizzato il titolare della trattoria romana in piazza? E il baretto del vicolo?

Si chiede venia per l’irriverenza, ma sembra tanto macroscopica questa falla nel sistema che lascia increduli e dunque una spiegazione dovrà esserci e il Governo ce la vorrà fornire, anche perché in caso di violazione del rispetto delle norme sul trattamento dei dati personali, il rischio è alto per il controllore, che potrebbe incorrere in una sanzione, se denunciato dal cliente, che va dai 50 mila ai 150 mila euro.

Ad integrazione di quanto dedotto, si rappresenta che nella miriade di DPCM adottati ad integrazione dei precedenti, si è scovata la modifica apportata dal DPCM del che ha aggiunto il comma 7 all’art. 15 del DPCM del 15 giugno 2021. Il comma sette espressamente attribuisce anche ai soggetti preposti alla verifica del green pass la titolarità del trattamento dei dati. Occorre però segnalare che questo sembra cozzare col primo comma, che resta invariato e ne attribuisce la titolarità al Ministero della Salute.
Purtuttavia, si rappresenta che per quanto questo attribuirebbe la facoltà del controllo della certificazione verde, imporrebbe comunque i soggetti deputati al controllo dei green pass, qualora deleghino le funzioni ad altri, li forniscano non solo di autorizzazione scritta, ma anche della formazione necessaria, così come richiesto dal GDPR.
Nell’estrema confusione fatta dal governo nella gestione della pandemia si aggiunge un tassello, a quello che resta pur sempre un inestricabile groviglio di norme in cui si fa veramente fatica a districarsi.