Il Green Pass è revocabile in caso di positività?

La logica potrebbe suggerire che, quando una persona si ammala di COVID, il suo Green Pass sia revocabile.

La realtà non è così semplice.

COME FUNZIONA IL GREEN PASS

Il Green Pass è la versione italiana del Digital Green Pass europeo, strumento nato per permettere alle persone muoversi tra stati che hanno regole sanitarie diverse e gestiscono in maniera diversa vaccinazioni e tamponi.

Nella certificazione sono raccolti i dati personali del detentore, un ID univoco e l’indicazione sulla validità. Inoltre, contiene anche dati relativi al motivo del rilascio (vaccinazione, guarigione o tampone).
Tutte queste informazioni sono presenti sia nel PDF scaricabile che nel QR code.

Una volta emesso, il Green Pass è firmato con una chiave digitale, prodotta dall’autorità emittente, che viene verificata ogni volta in cui si esibisce la certificazione. La verifica determina la corrispondenza tra la firma e il contenuto del certificato.

Strumenti che si basano su strutture come questa sono generalmente dotati anche di sistemi di revoca, basati su delle liste di firme o di certificati considerati non più validi, emesse dalla medesima autorità.

Il meccanismo è simile a quello dei passaporti: vengono emessi ma possono essere annullati e perdere di validità se il loro numero identificativo rientra in liste specifiche.

PERCHÈ IL GREEN PASS NON È REVOCABILE: IL NODO DELLE LISTE

Al momento il Green Pass manca di un sistema di revoca.

In realtà, le normative sul Digital Green Pass (Regolamento EU 2021/953 e le linee guida eHealth) prevedono delle liste di revoca, le Certificate Revocation List (CRL).

Il considerando (19) del Regolamento (UE) 2021/953 spiega che:

“Per motivi medici e di salute pubblica e in caso di certificati rilasciati o ottenuti fraudolentemente, è opportuno che gli Stati membri possano stilare e scambiare con altri Stati membri, ai fini del presente regolamento, elenchi di revoca dei certificati per casi limitati, in particolare per revocare i certificati rilasciati erroneamente, come conseguenza di una frode o a seguito della sospensione di una partita di vaccino anti COVID-19 risultata difettosa.”

L’Italia ha recepito il punto, tant’è che l’Allegato B sezione 2 del DPCM sul Green Pass specifica che:

“Le certificazioni verdi Covid-19 possono essere revocate mediante l’inserimento del codice univoco della certificazione verde all’interno di liste di revoca. […] La lista di revoca è oggetto di scambio con gli altri Stati membri…”

Ma il regolamento eHealth, al paragrafo 6.1, indica chiaramente che i certificati sanitari non possono essere revocati una volta emessi:

“It is anticipated that health certificates can not be reliably revoked once issued, especially not if this specification would be used on a global scale.”

Il motivo è tutto sommato semplice.
Il Green Pass è dotato di un identificativo univoco ed è nominativo, quindi consente di identificare chiaramente il suo possessore. La creazione di liste come le CRL si porrebbe in contrasto con la normativa sulla privacy:

“Publishing of recovation information containing identifiers may also create privacy concerns, as this information is per definition Personally Identifiable Information (PII).”

Da una parte, questo spiega la necessità di porre una validità temporale limitata al certificato. Dall’altro, rappresenta però il nodo che rende al momento il Green Pass non revocabile in caso di positività del suo detentore.