search

ministero-salute / it-dgc-verificac19-sdk-android

Digital Covid Certificate SDK
Apache License 2.0
57 stars 30 forks source link

Salvataggio dati #140

Closed bobbysimon24 closed 2 years ago

bobbysimon24 commented 2 years ago

Apro questo ticket più per un dubbio, e questo mi sembra il posto giusto per trovare la risposta senza impazzire a leggere 100 documenti diversi. In pratica mi sembrava di aver letto qualche mese fa che non si può salvare la modalità con la quale si è scansionato un green pass perchè con quell'informazione si può risalire al tipo di green pass letto e quindi se ha il vaccino o tampone ecc... Oggi mi è stato posto il quesito e mi è venuta in mente questa cosa, però non ritrovo più il documento dove mi era capitato di leggerlo e quindi ho paura di essermelo inventato. Qualcuno sa rispondermi? Nel caso vi chiederei anche di condividere il link al documento in questione.

rawmain commented 2 years ago

Buonasera @bobbysimon24

In pratica mi sembrava di aver letto qualche mese fa che non si può salvare la modalità con la quale si è scansionato un green pass perchè con quell'informazione si può risalire al tipo di green pass letto e quindi se ha il vaccino o tampone ecc...

Nell'ambito delle verifiche terze con integrazione/utilizzo di SDK (tanto DGC-SDK Android/Kotlin quanto SDK/Lib terze parti autorizzate dal Ministero della Salute) è espressamente VIETATA qualsiasi forma di conservazione/salvataggio/trasferimento dei dati connessi alle validazioni. Tradotto, non va salvato proprio nulla, mica solo l'info relativa allo scanmode selezionato per le validazioni.

Vedansi le condizioni di conformità trattamento dati ex Art. 13 del DPCM 12/10/2021.

\ L'unica deroga in merito è infatti definita dalla Legge n° 165 19/11/2021 & riguarda solo le verifiche terze di accesso ai luoghi di lavoro.

Qualora il lavoratore volontariamente consegni copia della propria certificazione al datore di lavoro, questi può operare le procedure di custodia e conservazione anche dei relativi esiti periodici di validazione - incl. quelli effettuati con utilizzo SDK, a patto di rispettare le disposizioni normative vigenti in merito & evitare in ogni caso trattamenti per finalità ulteriori rispetto alla validazione accessi.

\ Per il resto, valgono anche le seguenti condizioni generali in merito agli scanmode :

bobbysimon24 commented 2 years ago

Grazie @rawmain , Quindi nel caso dei lavoratori che consegnano il green pass questo dato se ho capito bene si può salvare?

loreberti89 commented 2 years ago
  • In ambito di verifiche terze sono VIETATE a priori le validazioni contestuali con scanmode multipli = deve essere selezionato uno soltanto, noto tanto al verificatore quanto all'intestatario della certificazione.

Ciao, una domanda su questo punto. Non ho capito il senso, quindi non potrei dire ok se entro come lavoratore in azienda ti controllo con lo scan mode WORK, mentre se entri in azienda come VISITATORE o ESTERNO ti controllo con il Controllo BASE?

rawmain commented 2 years ago

Ciao @bobbysimon24 & @loreberti89

Grazie @rawmain , Quindi nel caso dei lavoratori che consegnano il green pass questo dato se ho capito bene si può salvare?

Prego ;) .

Si, solo in tale caso specifico/particolare (deroga per datori di lavoro ex Legge 165/2021) è ammessa la conservazione/custodia dei dati di input (qrcodetext) & output (timestamp verifica / status esito / scanmode WORK / cognome+nome & compleanno intestatario).

Richiede ovviamente che siano pienamente rispettate le disposizioni previste di conformità per il trattamento dati, tanto per la gestione dell'adesione volontaria del lavoratore quanto per le procedure di custodia dei dati trattati nelle validazioni periodiche.

Pertanto, il trattamento degli output di validazione deve essere consentito solo ad incaricati designati ufficialmente da datore di lavoro per Ricezione e Conservazione del Green Pass + eventuale Referente Unico Covid (Covid Manager), qualora l'azienda abbia anche provveduto a nominare tale figura.

Inoltre, qualora il lavoratore svolga compiti/mansioni presso altri soggetti diversi dall'azienda con cui è in essere il rapporto subordinato (ved. outsourcing / body-rental), le aziende terze NON sono in alcun modo autorizzate a richiedere copia della certificazione a lavoratore somministrato / azienda fornitrice né ad operare procedure di conservazione/custodia dei relativi dati di validazione.

non potrei dire ok se entro come lavoratore in azienda ti controllo con lo scan mode WORK, mentre se entri in azienda come VISITATORE o ESTERNO ti controllo con il Controllo BASE?

Significa semplicemente che in ambito di verifiche terze l'output di validazione del qrcodetext deve essere relativo al controllo effettuato, verificando con le condizioni di un singolo scanmode, e non di più scanmode contemporaneamente.

L'output di validazione deve infatti contenere solo l'esito relativo allo scanmode previsto per lo specifico scenario d'accesso.

Pertanto, quando il visitatore/ospite si accredita/registra per l'accesso in azienda, deve esserci un output contenente solo esito validazione per tipologia verifica Base (e non p.es. anche l'esito per Rafforzata nel medesimo output).

Analogamente, quando il lavoratore procede al controllo in accesso, deve esserci un output per la sola tipologia Lavoro (e non anche gli esiti per Base e/o Rafforzata). Idem nel caso di validazione qrcodetext dei lavoratori in condizioni di deroga per conservazione/custodia input & output di validazione ex Legge 165/2021.

bobbysimon24 commented 2 years ago

Capito, grazie di nuovo ;)