Testo depositato
Attualmente, chiunque debba o voglia avere una vita sociale deve possedere un certificato COVID.
Chiunque sia responsabile di un ente pubblico o organizzi un evento in un luogo pubblico ha scaricato l'applicazione per controllare i certificati COVID.
Tenendo conto di questa nuova realtà, il certificato COVID e il suo controllo sollevano perplessità sulla cibersicurezza, la protezione dei dati personali e la responsabilità degli attori coinvolti.
Le informazioni trasmesse sono dati personali (nome, cognome, data di nascita) e sensibili, poiché riguardano la salute delle persone (vaccinate, guarite, data di vaccinazione, data del test...).
L'impiego del certificato light risponde solo parzialmente al bisogno di protezione. Per ottenere e utilizzare un certificato con dati limitati per una durata di 48 ore, bisogna richiederlo facendo domanda su un server dell'UFSP. Teoricamente, con questa procedura l'UFSP ottiene il certificato completo della persona, la data della richiesta e un'indicazione della localizzazione.
L'autrice dell'interpellanza sostiene i tentativi volti a combattere la pandemia, ma ritiene importante che i mezzi impiegati rispettino il principio di protezione dei dati.
Le risposte alle domande seguenti dovrebbero far luce sulla situazione:
1. Quali sono i dati registrati, conservati, protetti e utilizzati? Su quali server, gestiti da quali fornitori, e in quali Paesi transitano i dati impiegati per l'ottenimento del certificato?
2. Qual è il livello di sicurezza dei software che controllano i codici QR? Chi è autorizzato al controllo (quali sono le competenze richieste, le responsabilità, come sono impiegati i dati raccolti)? In virtù di quale legittima autorità può verificare l'identità delle persone nonostante il segreto medico?
3. Durante le discussioni sul certificato COVID, era stato chiesto che i dati fossero gestiti decentralmente, per evitare che l'UFSP avesse accesso ai dati di tutti. Qual è la situazione oggi?
4. Quali sono le misure previste dal Consiglio federale per rafforzare la protezione dei dati e limitare la trasmissione di dati personali o sensibili a terzi?