“Anonimizzazione totale è utopia. Gravi rischi per la democrazia”: a TPI l’esperto di privacy sui rischi delle app per il tracciamento dei positivi al Covid-19

In questi giorni di emergenza Coronavirus, giorni in cui siamo tutti sottoposti a delle fondamentali misure di contenimento sociale al fine di arrestare presto la corsa dei contagi da Covid-19, la domanda più inflazionata è senza dubbio quella relativa a quando finirà l’epidemia e potremo tornare alla normale quotidianità. E mentre dagli ultimi bollettini della Protezione civile arrivano segnali di miglioramento, in altri Paesi come la Cina – epicentro della pandemia – Singapore e Corea del Sud il numero dei contagi si è drasticamente ridotto, tanto che stanno pian piano riprendendo tutte le attività e le persone sono tornate a uscire dalle loro case. La Corea del Sud, in particolare, è stato il primo Paese democratico a riuscire a contenere la diffusione del Covid-19 senza mai applicare un lockdown generalizzato. Ma come? Grazie a efficienza amministrativa, fiducia nelle istituzioni e nuove tecnologie (qui l’intervista esclusiva su TPI al portavoce del ministero della Salute e del Welfare coreano che spiega come è stato possibile battere il Coronavirus con queste tre componenti). E proprio riguardo le nuove tecnologie, si parla appunto molto di app per il tracciamento dei contagiati dal Covid-19: sul tavolo del governo sono arrivate da università, aziende e centri di ricerca molte proposte di applicazioni per cellulari e soluzioni tecnologiche che possano contribuire ad arrestare la diffusione del Coronavirus. Uno dei temi più dibattuti e che genera non pochi timori, però, è quello relativo alla privacy e alla diffusione o uso improprio, oggi come domani, dei nostri dati sensibili. Soprattutto perché non ci sono dati più sensibili di quelli riguardanti la salute di un individuo e, stando a guardare l’enorme falla del sistema informatico Inps – che nella giornata del picco delle richieste per i lavoratori autonomi del bonus di 600 euro ha avuto un grave problema tecnico, poi spiegato con un attacco hacker direttamente dal presidente Pasquale Tridico, che ha reso visibili a tutti tantissimi dati sensibili dei cittadini – diciamo che in Italia non ci si sente proprio in una botte di ferro per quanto riguarda la tutela della privacy. Quindi, considerando una certa “arretratezza digitale” del nostro Paese e delle nostre amministrazioni pubbliche, le paure per le violazioni della privacy alimentate da alcuni vuoti normativi e sanzionatori ancora persistenti e una certa insofferenza degli italiani ad alcune metodologie di contenimento, ci si domanda quanto possa essere percorribile in Italia il sentiero del tracciamento digitale. Per questo TPI ne ha parlato con il prof. Alberto Gambino, Prorettore dell’Università Europea di Roma, avvocato cassazionista, presidente dell’Italian Academy of the Internet Code (IAIC) ed esperto di tematiche legate alla privacy.

Secondo il docente è necessario partire da una riflessione anche sulle differenze culturali e politiche tra l’Italia e i paesi orientali: “Considerando il costo, in termini di vite umane, di questa emergenza, e considerando il carattere “mediterraneo” degli italiani e, grazie al cielo, anche il nostro livello di democrazia, risulta impossibile adottare un modello di restrizione paragonabile a quello di Cina e Corea del Sud”. E questo significa, viste le caratteristiche del Covid-19, secondo Gambino “trascinarsi questa epidemia fin quando non ci sarà un vaccino”. “Ed è evidente che non possiamo vivere, anche dopo Pasqua, in condizioni di clausura. Non è immaginabile. E poi c’è il tema economico – osserva il professore – che non è da mettere in secondo piano. “Di fronte a una situazione del genere non c’è dubbio che una app che ci consenta di poter vivere la quotidianità sapendo quali sono i luoghi sicuri da frequentare e quali no, ci semplificherebbe la vita e ci consentirebbe di ridurre il contagio“. Perché il contagio proseguirà, ma in questo modo avremmo modo di renderlo sostenibile per il sistema sanitario. Perché il vero tema è non avere una concentrazione di casi in pochi giorni come sta capitando in queste settimane”.

In Italia c’è un tallone d’Achille, che ha il nome di legalità. Noi abbiamo delle regole, spesso fatte anche molto bene, ma quando queste regole vengono violate non si genera una reazione rigorosa e severa da parte sia di chi è chiamato a far rispettare tali regole che della collettività. Questo fa parte degli italiani. Forse adesso, con questa situazione del Coronavirus, qualche cittadino sta più attento ai comportamenti dell’altro, però questo mi fa dire che l’unico modo per rasserenare le persone che non vogliono particolari intrusioni nella loro vita privata è far sì che il decreto del governo, chiamato eventualmente a disciplinare un meccanismo di questo genere, sia accompagnato da una norma rigorosissima sugli effetti della violazione della privacy. E questo soprattutto guardando a quando l’emergenza sarà finita. Non si pensi solo all’oggi, ma anche al domani. Nel caso si faccia un decreto in cui si sospende l’attuazione del GDPR (Regolamento Generale sulla Protezione dei Dati, ndr), e quindi delle sue regole relative alla diffusione dei dati sanitari o genetici – perché una cosa è legata all’altra, è impossibile una atomizzazione del solo dato Covid-19 – è assolutamente necessario legarlo alla produzione di norme che facciano sentire il cittadino tutelato. Per come l’Italia gestisce questi dati a livello amministrativo – e il caso Inps di oggi ci apre gli occhi – come potrebbe essere possibile intercettare solo il dato Covid-19? Sarebbe anche inutile, francamente.

Certo, è evidentemente necessario. Perché se non abbiamo lo storico di un paziente e tutte le informazioni su quando ha contratto il virus, sulla recidività, sullo stato di positività e, soprattutto, sui margini di esposizione (quanti familiari ha il soggetto? dove lavorano?), non abbiamo un identikit essenziale. E anche se a volte si vuole far finta che non sia così, anche parlando con una società informatica piccola è possibile scoprire che inevitabilmente un dato è collegato ad un altro. E’ impossibile riuscire ad enucleare solo alcuni dati. Dato però per presupposto che ad oggi vale la pena procedere con un fascicolo sanitario elettronico, occorre inserire una sanzione forte per le violazioni della privacy. Non solo: i dati dovranno poi essere cancellati e, se solo qualcuno potrà essere identificato, dovrà esserci una punizione esemplare.

Il caso dell’Inps, che andrà sicuramente sotto la lente d’ingrandimento del Garante, è l’esempio del fatto che le violazioni della privacy vengono punite solo quando sono massive. Se c’è una falla ed escono fuori tanti dati – dati sensibilissimi perché in quel caso relativi anche alla posizione economica, personale e fiscale dei soggetti – allora è possibile domandare di prendere delle misure tali da scongiurare nuovi episodi analoghi nel futuro. Quello che io propongo invece è che, cessata questa emergenza, se per caso viene fuori che un utente si ritrova una comunicazione pubblicitaria che indirettamente fa capire che egli è stato in passato colpito dal Coronavirus, il soggetto che ha fatto la comunicazione marketing deve essere sottoposto a un reato penale della stessa entità di quello che punisce la tratta degli esseri umani. Questo è l’unico modo per creare un deterrente in un mondo come il nostro.

Esattamente. E questo richiede però appunto un intervento normativo, perché le attuali sanzioni del GDPR non ragionano in questi termini. E’ un discorso davvero delicato, perché se un domani un cittadino che è stato tracciato poi viene a scoprire in qualche modo che uno dei suoi dati sensibili è stato utilizzato da un’azienda, da una banca per la valutazione della concessione di un prestito, o da un ente assicurativo per la stipula di un’assicurazione sulla vita, allora quell’istituto, azienda o banca devono essere sanzionati al punto da dover dismettere la loro attività. Solo se arriviamo a questo livello sanzionatorio ci sarà davvero la fiducia delle persone in queste metodologie digitali di tracciamento e raccolta dati. Invece il GDPR ad oggi non è in grado di sanzionare un domani le eventuali violazioni della privacy e le aberrazioni che si potranno eventualmente compiere con i nostri dati sanitari.

All’Inps a mio avviso più che un attacco hacker appare un problema del sistema e della sua gestione. Ma il vero tema di questa situazione è questo, e non parlo solo dell’Inps ma in generale delle amministrazioni pubbliche: non c’è formazione per il personale in tema di privacy, non ci sono sufficienti corsi di aggiornamento o preparazione, magari – anzi di sicuro – per via di una mancanza di risorse. Ma mentre molte aziende private hanno aggiornato i propri dipendenti sulle nuove normative del GDPR, tantissime amministrazioni non si sono affatto attrezzate in questa direzione. Quella dell’Istituto di Previdenza, comunque, è una vicenda della quale sapremo di più nei prossimi giorni, ma penso che sia assolutamente esemplificativa dello stato di digitalizzazione dell’amministrazione italiana.

E’ necessario capire che le competenze del settore sono molto qualificate e che professionalmente bisogna mettere in conto un certo impegno di spesa. E’ ovvio che sia un problema di budget per lo Stato, perché mi basta pensare al mondo delle università e a quanto troppo spesso ci si trovi costretti ad attingere a fondi interni, magari chiedendo a funzionari e impiegati di occuparsi di cose per le quali è appunto necessaria una alta specializzazione. Non ci si può improvvisare, capisce bene, esperti di tecnologia, diritto e privacy. Il caso eclatante di oggi dell’Inps – e non è nemmeno la prima volta che accade una cosa del genere – dimostra quanta attenzione e potenziamenti tecnologici meritano le amministrazioni pubbliche.

Nonostante si possono trovare su internet informazioni o interviste ad esperti di queste app per il tracciamento che le ritengono sicurissime e danno forti rassicurazioni sull’anonimato del dato, io rispondo che questo è quello che emerge solo all’esterno. Poi però ogni dato quando viene immesso inevitabilmente è in grado di creare un rapporto univoco tra un codice alfanumerico – ad esempio l’identificativo del proprio smartphone – con un nome e un cognome. Non è possibile escludere questa riferibilità: tutti noi, banalmente, quando navighiamo su internet siamo identificati da un indirizzo IP. Pensare quindi a una anonimizzazione assoluta è un’utopia. Ogni dato sanitario è facilmente riconducibile a una persona in carne ed ossa. Qui non stiamo giocando, ma stiamo determinando il fatto che, se quando sarà finita l’emergenza quei dati finiscono in mani sbagliate, la conseguenza è un cambio di livello di democrazia nel nostro Paese.

Nel senso che ci saranno cittadini di serie A e di serie B che saranno preferiti ad altri nell’aberrante scelta, che so, di un lavoratore efficiente, di un soggetto economico affidabile, di un investitore che può creare ricchezza o relativamente al possesso di un handicap.

Certo. Perché appunto, mettiamo caso che tra un anno abbiamo sconfitto il Coronavirus: tutti questi dati che fine fanno? Dati che sono transitati per le mani di abilissime multinazionali, perché la gestione di un tracciamento simile a quello utilizzato in Corea del Sud sarebbe guidata dal governo a livello politico, ma da aziende private a livello tecnologico. Basterà che queste aziende ci assicurino, giurando sul proprio onore, di aver eliminato i nostri dati sensibili? A me non basta questo e credo a nessuno. Il dato sanitario è quello che più di tutti è legato alla dignità della persona, ed è per questo che è così importante sanzionare in modo duro qualsiasi violazione della privacy in tal senso, oppure ci ritroveremo in un futuro in cui persone spregiudicate riterranno alcune persone “meno persone”.

1. Clamoroso: sul sito Inps pubblicati dati personali di chi chiede i 600 euro | FOTO  / 2. Esclusivo TPI: “Tamponi, tracciamento digitale e niente lockdown: così abbiamo contenuto il Coronavirus”. Il ministero della Salute della Corea del Sud spiega il modello coreano / 3. La strana corrispondenza tra la classifica delle città più inquinate e i focolai del Coronavirus (di S. Lucarelli)