La scia dell’untore: privacy, ICT e virus non informatici

L’attuale pandemia legata al COVID-19 sta incidendo radicalmente sulla salute e, in generale, sui comportamenti di una porzione sempre più ampia dell’umanità; ma sta rimodellando anche il ruolo che le tecnologie dell’informazione e della comunicazione reciteranno nella vita di ognuno di noi.

Da una parte, l’industria dell’hardware sta accusando una battuta di arresto senza precedenti. All’ovvio calo delle vendite si aggiunge la contrazione della produzione di device (come dimostra il caso degli iPhone, prodotti in Cina), a sua volta affiancata dalla sostanziale situazione di stallo in cui si trova lo sviluppo strategico delle reti 5G. Dall’altra, sembra invece godere di un momento di straordinaria espansione la realizzazione di software edi soluzioni cloud-based.

All’isolamento fisico si sta contrapponendo una contiguità digitale che attraversa ogni aspetto della socialità: il lavoro diventa smart working, lo studio diventa e-learning, il commercio diventa digital commerce, la spesa diventa home delivery, le prestazioni professionali diventano on demand services, le riunioni diventano web conferences, e via dicendo in un tripudio anglofonico ormai non più arginabile.

In un simile scenario la vita sociale si muove dunque quasi esclusivamente in rete: flussi di dati di proporzioni incalcolabili (bigger data) mettono in connessione soggetti che altrimenti sarebbero sostanzialmente isolati, oltre che a livello fisico, anche sul piano comunicativo. Stiamo assistendo così a una digitalizzazione di traffici informativi senza precedenti, continuamente alimentata dal ricorso di massa a strumenti di cloud computing, alla condivisione via web di documenti, a videochiamate e teleconferenze.

Questi dati dicono tutto di noi. Dal traffico sulla rete di un certo device è possibile ricostruire l’attività lavorativa, gli interessi culturali, le opinioni politiche, le preferenze sessuali, persino le paure e le speranze di un determinato individuo. Per questo motivo i dati devono essere protetti, tanto sul piano giuridico quanto sul piano tecnico. Ma mai come oggi questi dati sono diventati appetibili, per il valore politico ed economico che veicolano. Aziende private puntano a profilare potenziali clienti, indagandone capacità e propensione all’acquisto. Criminali informatici — oramai organizzati sempre più spesso in vere e proprie reti malavitose digitali — sfruttano botnet e malware per realizzare frodi che fanno leva sulla paura del contagio (proponendo per esempio l’acquisto di rimedi miracolosi oppure di materiali di protezione). Enti governativi, magari animati da finalità non esattamente democratiche, rastrellano dati per assicurare ordine e controllo.

L’impiego di tecnologie come blockchain[i] e deep learning[ii] può risultare di straordinario aiuto nella gestione di un’emergenza sanitaria globale, consentendo per esempio un approvvigionamento più efficiente di mezzi di protezione personale oppure l’accelerazione nella formulazione di diagnosi basate su esami strumentali. Un approccio open consente inoltre di rendere disponibili a tutti e in tempo reale i dati relativi all’epidemia, organizzandoli per area geografica e consentendo una valutazione della situazione (a chiunque abbia le conoscenze per interpretarli). E, ancora, hanno raggiunto livelli impressionanti di precisione le tecnologie capaci di registrare i movimenti di merci, di flussi finanziari, nonché — ovviamente — di persone.

In quest’ultima prospettiva, l’esperienza cinese nella gestione della pandemia mostra potenzialità enormi. E, ovviamente, solleva problemi altrettanto importanti. Le nuove tecnologie di riconoscimento facciale sperimentate durante l’emergenza del Coronavirus, per esempio, si sono rivelate capaci di superare l’ostacolo rappresentato finora dalle mascherine (che fino a pochi mesi fa ad Hong Kong erano usate dai manifestanti per dissimulare la propria identità). Ma pensiamo anche ai robocop che richiamano i passanti al rispetto delle prescrizioni di igiene pubblica, o ai droni che controllano l’osservanza del coprifuoco o che consegnano beni di prima necessità in una zona rossa, oppure ai “caschi intelligenti” in dotazione alle forze dell’ordine per rilevare la febbre a una distanza di cinque metri.

È però il settore degli smartphone — diventati ormai vere e proprie protesi digitali — quello in cui l’esperienza cinese ha mostrato sviluppi di particolare rilevanza. Alcune applicazioni, come le diffusissime Alipay e WeChat, sono state arricchite da funzionalità speciali: ad ogni utente è stato assegnato un Health Code, corrispondente a un determinato colore (verde, giallo o rosso). Questo codice può essere rapidamente scansionato all’ingresso di mezzi pubblici, condomini o centri commerciali, consentendo l’accesso (verde), impedendolo e invitando il cittadino al rientro nella propria abitazione (giallo), o imponendo un isolamento immediato (rosso). Secondo alcune fonti, l’applicazione segnala anche la posizione dell’utente alle autorità. In questa medesima direzione vanno le applicazioni basate sulla georeferenziazione fornita dal GPS dello smartphone che sono state introdotte in Corea del Sud. Si tratta di programmi che hanno l’obiettivo di assicurare il rispetto della quarantena (ma anche di segnalare alle autorità sanitarie notizie sul proprio stato di salute), la cui installazione non è obbligatoria ma fortemente raccomandata.

Soluzioni di questo tipo potrebbero essere applicate anche in Italia?

Per quanto riguarda lo sviluppo di software per affrontare l’emergenza sanitaria, sono state prodotte alcune nuove applicazioni, dedicate per esempio alla autodiagnosi (come CoVtest). Ma la strategia complessiva portata avanti sembra essere stata un’altra: usare programmi già esistenti, riadattandoli alle mutate esigenze. In questo senso si è mosso il programma di “Solidarietà Digitale”, sotto l’egida del Ministero dell’Innovazione (!), che ha offerto l’accesso a una serie di servizi ‘gratuiti’ (quotidiani, piattaforme di smart working, caselle di posta elettronica certificata), e che in molti casi sembrano piuttosto strumenti di marketing degni di un tecnopusher: ti offro ora l’accesso gratis per un mese ai miei video, al mio software, al mio cloud, poi facciamo i conti a emergenza rientrata (quando ho creato una dipendenza). Anche nel delicatissimo settore dell’istruzione, scuole di ogni ordine e grado hanno fatto ricorso in massa a strumenti ‘gratuiti’, senza porsi il problema dei dati raccolti e della loro destinazione. Del resto è noto che alcuni prodotti per la scuola di enorme diffusione — come Microsoft Office 365 — a seguito del Cloud Act voluto dall’amministrazione Trump consentono la trasmissione dei dati generati e salvati europei alle agenzie governative USA.

In Italia, lo stato di eccezione che stiamo vivendo ha prodotto una sospensione di alcuni diritti costituzionali (basti pensare all’art. 16 Cost.: “Ogni cittadino può circolare e soggiornare liberamente in qualsiasi parte del territorio nazionale”). Il diritto alla riservatezza non poteva restare immune dalla decretazione d’urgenza. Si è cominciato con la previsione dell’obbligo di comunicare alle aziende sanitarie territoriale ogni soggiorno in zone a rischio epidemiologico, per arrivare a un decreto-legge (d.l. 14/2020) che dispone espressamente, per quanto riguarda il trattamento dei dati sanitari dei cittadini interessati dal Coronavirus, una serie di deroghe a favore della Protezione civile, del Ministero della Salute e dell’Istituto  Superiore  di Sanità, delle strutture pubbliche e private che operano nell’ambito del Servizio sanitario nazionale e dei soggetti deputati a monitorare e garantire l’esecuzione delle misure disposte per contenere il COVID-19.

Il decreto-legge ha sollevato varie questioni. Secondo alcuni interpreti, l’art. 14 del decreto potrebbe consentire alla Protezione Civile di disporre l’obbligo di installare applicazioni di tracciamento simili a quelle cinesi e coreane sopra ricordate. A scongiurare una simile interpretazione è stato il Garante Privacy, che nella persona di Antonello Soro ha insistito più volte sulla provvisorietà delle misure che stanno comprimendo o addirittura sospendendo alcuni diritti di rango costituzionale. L’emergenza legittima tali limitazioni della libertà — ha sostenuto Soro — purché le misure previste siano necessarie e proporzionali alle esigenze di salute pubblica e limitate temporalmente al protrarsi dello stato di eccezione. Del resto, la possibilità di limitare temporaneamente il diritto alla privacy per ragioni di salute pubblica o di sicurezza nazionale è espressamente previsto anche dalla normativa europea di riferimento (art. 16 del GDPR[iii] e art. 15 direttiva ePrivacy).

La questione, dunque, è quando l’uso di una applicazione di contact tracing possa rientrare nel perimetro giuridico della normativa in tema di protezione dei dati personali. Non mi riferisco qui — è bene sottolinearlo — alla raccolta di dati aggregati e anonimizzati che servano ad avere indicazioni generali sugli spostamenti dei cittadini, e quindi sul rispetto delle prescrizioni limitative della libertà di circolazione (come i dati delle celle telefoniche che alcune compagnie hanno messo a disposizione della Regione Lombardia). Penso, invece, a tecnologie capaci di localizzare soggetti identificati o identificabili con precisione notevolissima (combinando tecnologie GPS e Bluetooth, per esempio).

Il testo del decreto-legge non sembra in alcun modo autorizzare procedure d’ufficio tanto invasive come quelle riferibili ad una attività di tracciamento. O meglio: darebbe copertura giuridica a un ipotetico obbligo di installare applicazioni di contact tracing soltanto se le ordinanze della Protezione civile venissero considerate fonti “super-legali” dell’ordinamento giuridico italiano. Ma questa interpretazione forzerebbe gli equilibri costituzionali: se misure emergenziali ben possono derogare alle regole ordinarie (anche) per il trattamento dei dati personali, l’eccezione deve pur sempre rispettare principî come la proporzionalità, la necessità e la trasparenza. In caso contrario, la discrezionalità diventerebbe arbitrio.

Il principio generale del divieto di trattamento di dati personali — e a maggior ragione di dati sanitari — senza l’espresso consenso degli interessati trova deroghe puntualmente previste dal GDPR.  L’art. 9 (2) elenca le diverse eccezioni, e alla lettera i dispone che il divieto non sussiste quando “il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici”. In altre parole, per tenere sotto controllo l’evoluzione di una pandemia certo non vi è bisogno del consenso dell’interessato. Tuttavia, anche in questo caso si conserva il diritto di essere informati riguardo al trattamento dei propri dati sanitari. Anche di fronte all’emergenza, dunque, è fatto salvo il principio che ogni soggetto deve poter mantenere il pieno controllo dei propri dati personali.

 La geolocalizzazione forzosa di tutti i cittadini italiani (a meno che non sia totalmente anonimizzata, e quindi per certi versi inutile), anche in caso di emergenza, sembra pertanto incompatibile con l’ordinamento giuridico italiano. Ma rimane il problema di un eventuale obbligo di localizzazione per i soggetti risultati positivi al tampone. Regole chiare in ordine alla finalità e alla durata del tracciamento, e che assicurino la cancellazione dei dati non appena il soggetto non risulti più contagioso, dovrebbero rimanere punti fermi del dibattito, che invece ha innescato una corsa alla app miracolosa sull’onda dei fervori filotecnologici (stupefacenti e improvvisati) da parte di una vasta gamma di personaggi politici.

Il cosiddetto Ministero dell’Innovazione, evidentemente consapevole di non essere in grado di governare l’emergenza, ha fatto appello a centri di ricerca pubblici e ad aziende private (con una call for contributions — in english, of course! —  aperta per tre giorni, dal 24 al 26 marzo) per l’individuazione di possibili tecnologie utili nella lotta alla pandemia, chiedendo di avanzare proposte “per il tracciamento continuo, l’alerting e il controllo tempestivo del livello di esposizione al rischio delle persone e conseguentemente dell’evoluzione dell’epidemia sul territorio”. Tra le 319 proposte arrivate, alcune parlano espressamente di mappatura totale della cittadinanza, di obbligo di installazione di software, di dati inviati a una pluralità indeterminata di soggetti e senza alcuna anonimizzazione.

Altre, per fortuna, si ispirano a modelli assai più rispettosi dei diritti di libertà, come quello proposto nell’ambito del progetto Pan-European Privacy Preserving Proximity Tracing (Pepp-Pt), e che si basa sul seguente sistema: il telefono A avverte la presenza del telefono B a una distanza rilevante per la trasmissione del virus; al telefono B viene assegnato un ID anonimo che viene registrato nella “storia di prossimità” del telefono B (e viceversa). Non vengono salvati dati personali o di geolocalizzazione, e nessun utente può accedere alla “storia di prossimità”, adeguatamente crittografata. I dati vengono cancellati automaticamente via via che diventano irrilevanti per la trasmissione del contagio. Se il soggetto che detiene il telefono A risulta positivo al virus, le autorità sanitarie forniranno un codice che permetterà la notifica del rischio di contagio a tutti i device entrati in prossimità con il telefono A. Il sistema Pepp-Pt prevede l’adesione su base volontaria, garantisce l’anonimato, non usa dati di geolocalizzazione: in altri termini, è in sintonia con la normativa europea sulla protezione della privacy. Andrà in questa direzione la scelta italiana?

 Il Parlamento, in sede di conversione del D.L. 9/3/2020, potrebbe introdurre nuove deroghe alla normativa vigente. Ma occorre ribadire che geolocalizzare le persone contagiate e positive al virus, e quindi tracciare le scie (digitali) di questi untori (reali), è un’attività delicatissima che deve svolgersi nel rispetto dei principî che circoscrivono finalità, durata e sicurezza del trattamento, e con la previsione della cessazione del controllo e della cancellazione dei dati una volta terminata l’emergenza. Il rischio di abusi — sia da parte pubblica sia da parte dei soggetti privati coinvolti nella filiera di raccolta dei dati — è concreto, così come reale è la possibilità di intrusioni malevole e di fughe di dati (come mostra il caso del sito INPS in questi giorni).

Nel frattempo, se il Parlamento latita, altri attori — pubblici e privati — si muovono. Il Presidente del Consiglio della Regione Veneto ha proposto di sospendere in tutta Italia le norme sulla privacy. In nome del contrasto alla pandemia, l’ENAC[iv] ha già autorizzato le polizie locali ad usare i droni in deroga ai requisiti di registrazione e di identificazione, al fine di “consentire le operazioni di monitoraggio degli spostamenti dei cittadini sul territorio comunale”. Sulla sponda privata, invece, operatori telefonici — da Vodafone a Deutsche Telekom, da Orange a Telefonica, da Telecom Italia a Telekom Austria — stanno prendendo accordi con la Commissione europea sulla condivisione dei dati di localizzazione dei telefoni cellulari per tracciare la diffusione del coronavirus; e tutto questo mentre Amazon, Apple, Facebook, Google e Microsoft fagocitano dati in quantità inusitate attraverso i servizi “gratuiti” che offrono.

Tempi bui attendono gli untori. E non soltanto loro, temo.

[i] E’ una struttura dati condivisa e immutabile. È definita come un registro digitale le cui voci sono raggruppate in blocchi, concatenati in ordine cronologico, e la cui integrità è garantita dall’uso della crittografia. Sebbene la sua dimensione sia destinata a crescere nel tempo, è immutabile in quanto, di norma, il suo contenuto una volta scritto non è più né modificabile né eliminabile, a meno di non invalidare l’intera struttura. ⇑

[ii] E’ un insieme di tecniche basate su reti neurali artificiali organizzate in diversi strati, dove ogni strato calcola i valori per quello successivo affinché l’informazione venga elaborata in maniera sempre più completa. ⇑

[iii] Regolamento Generale sulla Protezione dei Dati, regolamento n. 2016/679 ⇑

[iv] Ente Nazionale Protezione Civile ⇑