Ci possiamo ancora permettere uno Stato minimo digitale? Qualche riflessione a partire dall’app. Immuni

1. Una delle questioni più dibattute durante questa emergenza sanitaria è stata quella relativa alla decisione dei governi europei, ispirati dalle esperienze asiatiche, di adottare tecnologie di tracciamento dei contatti personali per rafforzare con strumenti tecnologici i rispettivi sistemi di sorveglianza epidemiologica.

La vicenda, che in Italia ha ruotato attorno all’app. Immuni, ha fatto emergere alcune questioni su cui è necessario confrontarsi, che attengono principalmente al ruolo dello Stato nelle questioni digitali, all’uso della tecnologia e dei dati per la cura di interessi pubblici, in un momento storico in cui la centralità dei dati, della loro gestione e del loro possesso è evidente ed indiscutibile non solo per prendere decisioni di interesse collettivo, ma anche per la stessa tenuta democratica dei nostri ordinamenti.

2. In linea con gli altri Stati europei, il governo ha adottato con l’art. 6 del decreto legge 30 aprile 2020 n. 28 una scelta tecnologica di tracciamento dei contatti personali composta da due strumenti: un’applicazione, l’oramai celebre Immuni della società Bending Spoons S.p.a.[1] e una piattaforma centralizzata di conservazione dei dati, gestita dal Ministero della salute.

L’applicazione ha delle caratteristiche molto precise: è un’applicazione volontaria, basata su un sistema a sorgente aperta e interoperabile con le applicazioni scelte dagli altri Stati europei; utilizza la tecnologia bluetooth per registrare i contatti personali di prossimità, attraverso lo scambio automatico di codici anonimi e criptati tra gli smartphone; contiene un sistema di allerta per segnalare al possessore del dispositivo l’avvenuto contatto con persone che risultano positive al virus; infine è dotata di un sistema di conservazione dei dati di tipo decentrato, cioè non comporta nessuna cessione di dati a piattaforme esterne al dispositivo mobile, almeno fino a quando il cittadino interessato non risulterà positivo.

La piattaforma centralizzata di conservazione dei dati, infatti, subentra solo nel caso in cui il cittadino individuato come positivo al virus consegnerà all’amministrazione sanitaria un codice generato dall’applicazione in cui è contenuta la lista dei codici corrispondenti ai contatti personali avuti nel periodo epidemiologicamente rilevante. L’amministrazione non avrà il controllo diretto dei dati relativi ai contatti personali, ma manderà verso tutti i cellulari degli utenti che nei 14 giorni precedenti si sono imbattuti nella persona positiva al virus, stando a meno di due metri di distanza da lui per almeno 15 minuti, una notifica, che consiglierà a chi la riceve di contattare l’amministrazione sanitaria, in particolare il medico di base o il pediatra di libera scelta, o di mettersi in isolamento. Secondo il decreto, la piattaforma verrà realizzata esclusivamente con infrastrutture localizzate sul territorio nazionale e sarà gestite dalla SOGEI, una società a totale partecipazione pubblica, tramite programmi informatici a titolarità pubblica, mentre i dati verranno trattati direttamente dal Ministero della salute.

3. La scelta di ricorrere a questa soluzione tecnologica e normativa è criticabile sotto due profili.

In primo luogo, ricorrere a tecnologie di tracciamento per “mappare” il percorso del virus e per coadiuvare la sorveglianza epidemiologica è una scelta tecnologica molto invasiva, più invasiva di altre soluzioni che potevano essere praticate. La Regione Veneto, ad esempio, è riuscita a ricostruire le relazioni interpersonali dei soggetti positivi e una mappa dinamica dell’epidemia di quartiere, arrivando fino al singolo condominio, senza il ricorso a tecnologie di tracciamento dei contatti, ma solo attraverso l’integrazione delle banche dati in suo possesso (epidemiologiche; anagrafiche; fiscali; previdenziali e del lavoro)[2].

In secondo luogo, è discutibile il modo attraverso il quale il legislatore ha operato il bilanciamento tra la tutela della salute e la tutela riservatezza dei dati personali, rendendo il sostegno tecnologico alla sorveglianza epidemiologica eccessivamente dipendente da opzioni soggettive, che rischiano di incrinarne l’efficacia.

Il decreto istituisce un sistema di allerta più che un sistema di tracciamento, che fonda la sua efficacia sostanzialmente sulle scelte individuali dei cittadini, sulla loro volontà di scaricare l’applicazione, sulla loro scelta di avvisare o meno l’amministrazione sanitaria in caso di allerta o sulla loro responsabilità di restare in isolamento. Una soluzione che tutela impeccabilmente la riservatezza dei dati personali, ma sceglie di marginalizzare l’amministrazione sanitaria, di ridurre fortemente il suo ruolo naturale di soggetto di governo della politica di sorveglianza epidemiologica, ridimensionando l’efficacia del sostegno tecnologico e la tempestività di quest’ultima. L’amministrazione sanitaria non potrà disporre, dunque, dei dati relativi ai contatti personali, neanche dopo l’individuazione di una persona positiva, nonostante questi dati siano necessari sia per costruire una base conoscitiva adeguata per organizzare la sorveglianza epidemiologica “manuale” (complementare e successiva a quelle digitale), anche considerando la scarsità di personale che affligge l’amministrazione sanitaria, sia per contattare direttamente e tempestivamente coloro che hanno avuto contatti con il soggetto positivo al virus.

Un sistema, inoltre, che utilizza dati di prossimità, prodotti dalla tecnologia bluetooth, meno precisi nella ricostruzione del contesto del contatto personale, rispetto ai dati di geolocalizzazione, il cui utilizzo era stato ipotizzato nelle prime versioni di tracciamento dei contatti personali e successivamente accantonato perché ledeva eccessivamente la riservatezza dei dati personali. La scelta di evitare i dati di geolocalizzazione rischia di impedire, però, all’amministrazione sanitaria di ricostruire percorsi e luoghi, non solo per comprendere meglio il tipo di contatti avuti e il metodo più adatto di contenimento del virus in quel singolo caso, ma anche e soprattutto per organizzarsi adeguatamente, ad esempio, ad allertare i soggetti a rischio che non sono dotati di smartphone e app., che si siano trovati vicino a soggetti contagiati nelle stesse ore e nei medesimi luoghi pubblici o aperti al pubblico[3].

Una decisione che certamente fa dormire sonni tranquilli a coloro che temevano l’avvento strisciante del Grande Fratello di orwelliana memoria, ma che rischia di rendere complicato per l’amministrazione tutelare la salute dei cittadini con il supporto di questi strumenti, considerando la acclarata lacunosità di un tracciamento condotto solo “manualmente” – perché affidato per lo più alla memoria degli interessati, alla loro capacità di ricordare con precisione l’intero quadro dei contatti pregressi (molti accidentali e ignoti allo stesso soggetto interessato) – e la oggettiva carenza di personale che affligge il nostro sistema sanitario.

Il bilanciamento compiuto dal legislatore lascia perplessi, non tanto perché in questo caso particolare a differenza di altre libertà costituzionalmente tutelate la riservatezza dei dati personali è diventata un super-principio, difficilmente bilanciabile con gli interessi collettivi, anche in un periodo emergenziale, cosa che comunque lascia riflettere, ma perché è stata una scelta condizionata pesantemente soprattutto dall’interpretazione delle disposizioni del GDPR fatta propria dalle autorità europee e nazionali preposte alla tutela della riservatezza dei dati personali (e da larga parte del dibattito scientifico), che tradisce una cultura pregiudizievole nei confronti delle amministrazioni pubbliche.

4. L’interpretazione delle disposizioni del GDPR assunta sia dal Comitato europeo per la protezione dei dati, sia dal Garante per la protezione dei dati personali[4] hanno condizionato le scelte del Governo (più in generale dei governi europei) su tre aspetti fondamentali delle tecnologie di tracciamento e sui quali le disposizioni del GDPR presentavano delle opzioni alternative ed egualmente legittime: il tipo di dato da utilizzare per tracciare i contatti personali, la scelta della base giudica attraverso la quale legittimare il trattamento dei dati personali e, infine, il tipo di conservazione dei dati. In tutti e tre i casi le autorità garanti della riservatezza dei dati hanno suggerito – per alcuni studiosi anche in modo eccessivamente perentorio rispetto al dettato normativo[5] – che solo i dati di prossimità con tecnologia bluetooth, la volontarietà dell’applicazione e la conservazione prevalentemente decentrata dei dati avrebbero rispettato a pieno il dettato normativo del GDPR.

L’interpretazione restrittiva dei Garanti fa emergere ancora una volta la loro tendenza a limitare, anche oltre il dettato normativo, il trattamento dei dati personali da parte delle amministrazioni pubbliche. Anche in questo frangente critico, come la crisi sanitaria, emerge una profonda sfiducia nei confronti delle amministrazioni pubbliche, dovuta ai possibili rischi connessi al riconoscimento ad essa della disponibilità, sebbene temporanea e finalizzata, di questi dati per curare gli interessi collettivi, in particolare quando intendono utilizzare tecnologie basate sull’utilizzo algoritmico dei dati. Sfiducia che evidentemente non tocca i giganti del web. La vicenda relativa alla scelta del metodo di conservazione dei dati personali è emblematica: con la preferenza verso un metodo decentrato di conservazione dei dati si sono preferiti i cloud di Google ed Apple alla piattaforma pubblica gestita dal Ministero della salute, anche di fronte al rischio di compromettere o quantomeno rallentare il sostegno tecnologico alla sorveglianza epidemiologica. Una interpretazione restrittiva certamente non del tutto arbitraria, ma che trova il suo humus nell’incompatibilità della disciplina sulla riservatezza dei dati con l’utilizzo di tecnologie di tracciamento dei contatti personali e, più in generale, con l’utilizzo di qualsiasi tecnologia basate sull’utilizzo algoritmico dei dati, indifferentemente dalle finalità pubbliche o private a cui esso è preposta[6].

Il contrasto alla pandemia con le tecnologie di tracciamento o con altre tecnologie basate sull’utilizzo algoritmico dei dati aprono prospettive conoscitive importanti e molte volte determinanti per tutelare la salute dei cittadini ed è efficace solo se la base di dati sulla quale può contare l’amministrazione sanitaria è ampia e completa, se le varie opzioni di interconnessione delle banche di dati sono maggiormente disponibili alle scelte discrezionali dell’amministrazione, se la piattaforma è interoperabile e la capacità di risposta delle autorità sanitarie al segnale tecnologico è immediata e da essa direttamente governata. Metodi che, ad oggi, possono essere applicati solo forzando l’interpretazione della disciplina sulla riservatezza dei dati personali, che diversamente (per come abitualmente applicata) scoraggia, se non vieta del tutto, tali metodiche[7].

5. Questi due profili di criticità devono essere osservati alla luce della situazione di digital dominance[8] in cui gli ordinamenti democratici occidentali sono immersi, che è emerso violentemente in questa vicenda.

La scelta iniziale dei governi europei era ricaduta su uno standard europeo di centralizzazione dei dati proposto dal Consorzio europeo Pan-European Privacy-Preserving Proximi-ty-Tracing (PEPP-PT). Google ed Apple – proprietarie dei due sistemi operativi (Android e IOS) che, insieme, operano sul 99% degli smartphone – hanno lavorato ad una soluzione di conservazione dei dati decentrata e hanno comunicato ai governi europei che avrebbero messo a loro disposizione i propri sistemi operativi solo se la tecnologia di tracciamento prescelta avesse avuto un metodo di conservazione decentrata dei dati. Un atteggiamento che ha costretto tutti i Paesi europei, compresi quelli che, come la Francia e il Regno Unito, avevano fortemente voluto un metodo di conservazione centralizzato, ad accettare loro malgrado le condizioni dei due giganti del web[9].

Mai come in questa situazione la forza dei giganti del web di imporre soluzioni tecnologiche al di là delle decisioni legittimate democraticamente degli Stati è risultata così evidente. Così come è stata evidente la debolezza degli Stati di fronte a questo potere non regolato, che si impone incontrastato non solo sugli altri operatori privati, ma anche sul potere pubblico.

7. In conclusione è doveroso porsi una domanda: ci possiamo ancora permettere uno Stato titubante sulle scelte e sull’uso della tecnologia e dei dati per la cura degli interessi collettivi ed incapace di confrontarsi in modo paritario con i giganti del web? Ci possiamo ancora permettere un ordinamento che, tutelando soltanto i diritti individuali nella rete (anche in modo poco efficace, soprattutto nel rapporto tra privati), non ha mai definito uno spazio normativo adeguato per permettere allo Stato di utilizzare la tecnologia e i dati per la cura degli interessi di tutti?

Un ripensamento complessivo della disciplina sulla riservatezza dei dati personali, verso una maggiore spazio per le amministrazioni pubbliche di utilizzare i dati personali per la cura degli interessi collettivi con tecnologie basate sull’utilizzo algoritmico dei dati, contribuirebbe non solo ad una migliore cura degli interessi pubblici, ma anche al possibile ridimensionamento della digital dominance. Quantomeno costituirebbe un tentativo, da parte dei poteri pubblici, di mitigare questa asimmetria, sempre più evidente e sempre più problematica per le nostre democrazie, tra poteri pubblici e poteri privati, incarnati dai giganti del web. Questo non significa sacrificare la tutela della riservatezza dei dati personali, ma solo cambiare gli strumenti e il momento della sua tutela, rendendola compatibile con un ruolo dello Stato e delle amministrazioni pubbliche tecnologicamente e conoscitivamente proattivo nella cura degli interessi pubblici, capace di utilizzare al meglio tutti gli strumenti tecnologici a disposizione, in particolare quelli che utilizzano i dati, con regole e limiti che garantiscano i diritti dei cittadini, compreso quello alla riservatezza dei dati personali.

Andando, però, oltre lo spauracchio del Grande fratello pubblico che, al di là delle intenzioni di coloro che lo invocano, è utile solo a inverare, in versione digitale, l’idea di Stato minimo, attento solo alla tutela dei diritti individuali, ma incapace di curare adeguatamente, con tutti gli strumenti possibili, anche di natura tecnologica, gli interessi a protezione necessaria che l’art. 3, comma 2 della Costituzione, gli affida[10]. Diritti individuali e interessi collettivi che oggi sono in balia di poteri privati non regolati ben più pericolosi per la tutela dei diritti fondamentali e per gli ordinamenti democratici.

[1] L’applicazione è stata scelta direttamente dal Governo a seguito di un avviso pubblico precedente al decreto legge che ne legittimava l’utilizzo. Per approfondire la procedura che ha portato alla scelta dell’app. si v. Clarizia P., Schneider E., Luci e ombre sulla procedura di selezione di “Immuni”, l’app del governo di tracciamento del contagio da Covid-19, in Osservatorio sullo Stato digitale – IRPA, 19 aprile 2020.

[2] La piattaforma di analisi dei dati utilizzata si chiama Digital Enabler e il suo funzionamento è riportato qui https://www.eng.it/case-studies/digital-enabler-veneto-covid-19.

[3] Sottolineano questi aspetti in modo puntuale L. Bolognini, Il bilanciamento tra diritti, libertà e interessi pubblici nel contact tracing è questione di alta politica, in Rivista Media Laws, 21 maggio 2020 e V. Zeno-Zencovich, I limiti delle discussioni sulle “app” di tracciamento anti-Covid e il futuro della medicina digitale, in Rivista Media Laws, 26 maggio 2020.

[4] Si v. EDPB,  Guidance  4/2020  on  the  use  of  location  data  and  contact  tracingtools in the context of the COVID-19 outbreak, 21-4-2020 e il Provvedimento del Garante per la protezione dei dati personali n. 79 del 29 aprile 2020 “Sistema di allerta Covid-19”, istituito dall’art. 6 del decreto legge 30 aprile 2020, n. 28.

[5] Si v. L. Bolognini, Il bilanciamento tra diritti, libertà e interessi pubblici nel contact tracing è questione di alta politica, cit..

[6] L’incompatibilità è ben descritta da T. Zarsky, Incompatible: The GDPR in the Age of Big Data, in Seton Hall Law Review, Vol. 47, No. 4(2), 2017.

[7] In una intervista pubblicata dal Corriere della sera il 01 giugno 2020, il responsabile del sistema informativo di Azienda Zero, l’ente pubblico a cui fanno capo le Aziende sanitarie locali del Veneto, ha dichiarato: «Inutile negarlo, in tempi normali non si sarebbero potute incrociare queste banche dati. L’abbiamo fatto nell’interesse superiore della salute pubblica partendo dall’idea che al sistema di contrasto non debba sfuggire neppure un caso positivo perché potrebbe essere generatore di morti. È chiaro che finita l’emergenza tutto dovrà rientrare».

[8] M. Moore, D. Tambini (a cura di), Digital Dominance: The Power of Google, Amazon, Facebook, and Apple, Oxford, Oxford University Press, 2018.

[9] Lo stato d’animo dei governi è evidente nella lettere che 5 ministri europei hanno mandato ai maggiori quotidiani nazionali il 25 maggio 2020, in cui rivendicano la sovranità digitale dei governi democraticamente eletti. In Italia sul Corriere della Sera, App contact tracing, l’appello dei ministri Ue: «I dati dei tracciati valgano anche oltre i confini».

[10] Per interessi a protezione necessaria si intendono «quegli interessi che in un determinato contesto storico, sociale culturale, economico e politico, le collettività possono e devono necessariamente soddisfare […] ai quali corrisponde una situazione almeno potenziale di doverosità da parte delle amministrazioni pubbliche». Si v. G. Rossi, Principi di diritto amministrativo, Torino, Giappichelli, 2010.