Tracciamento dei contatti e democrazia: lettera aperta ai decisori

Si pubblica la lettera aperta redatta dal Nexa Center For Internet And Society sul contact tracing alla quale ho aderito.

Per adesioni: leggi l’informativa privacy e scrivi a media@nexa.polito.it, specificando la qualifica.

La lettera aperta con i nomi dei firmatari è consultabile al seguente indirizzo:

https://nexa.polito.it/lettera-aperta-app-COVID19

20 aprile 2020

L’uso di tecnologie e dati digitali svolge – e ancor più svolgerà – un ruolo importante nelle strategie di sanità pubblica attuate dagli Stati per contrastare l’epidemia COVID-19. Relativamente allo specifico, cruciale tema del tracciamento dei contatti, registriamo sia aspettative di efficacia molto dibattute per l’uso di un’applicazione per telefono mobile o dispositivi indossabili (nel seguito congiuntamente “app”), sia una preoccupante sottovalutazione dei rischi connessi alla messa in campo di “app” non adeguate.

L’adozione di una “app” può costituire un valido ausilio ma non può sostituire la professionalità del personale sanitario, che deve prendere le ultime decisioni e deve comunicarle con umanità e competenza alle persone coinvolte. Tale tecnologia dovrà essere inserita in una efficace strategia sanitaria complessiva e dovrà essere largamente accettata e utilizzata dalla popolazione. Affinché quest’ultima condizione si realizzi è essenziale che tale tecnologia sia trasparente, sia sicura e rispetti i diritti e le libertà fondamentali delle persone: solo così si potrà conquistare la fiducia dei cittadini e suscitare il loro desiderio di contribuire al contrasto dell’epidemia utilizzando una “app” installata sul loro dispositivo personale.

NON È SOLO UN PROBLEMA DI PRIVACY

Il potere generato dall’accesso e dal trattamento di grandi moli di dati personali è in grado di modificare profondamente i rapporti e le relazioni tra le persone e soprattutto tra i diversi attori sociali, tra consumatori e imprese e inevitabilmente tra i cittadini e lo Stato. È un potere reale ed ambito.

Il diritto alla protezione dei dati personali, diventato per la prima volta diritto fondamentale proprio qui in Europa, tenta di governare questo potere ed ha un perimetro molto più ampio della semplice tutela della riservatezza e della privacy, diritto a cui molti in questo periodo sono astrattamente disposti a rinunciare in cambio di sicurezza sulla propria salute.

I sistemi di sorveglianza e profilazione di massa resi possibili dalle tecnologie digitali, generano facilmente diseguaglianze e discriminazioni e senza adeguate e stringenti garanzie possono minare l’esercizio di tutti i diritti della persona, nessuno escluso.

La complessa disciplina che ha trovato uniforme regolamentazione nel GDPR, nelle varie Direttive collegate e nelle leggi nazionali, mira a tutelare non solo e non tanto la privacy, ma in ultimo la dignità della persona nel corretto esercizio dei suoi diritti fondamentali.

Per queste ragioni le scelte politiche che come società faremo in questo particolare momento di emergenza nell’utilizzo di tecnologie digitali per la lotta al contenimento ed alla diffusione del virus saranno determinanti nel disegnare domani il rapporto tra cittadini e Stato. Anche la scelta di una semplice “app” determinerà se siamo in grado di utilizzare la tecnologia per proteggerci e migliorare le nostre esistenze, all’interno delle democrazie che abbiamo così faticosamente costruito, oppure se, attratti dal potere costituito dall’accesso ai dati personali della popolazione (in particolare i dati sanitari), l’emergenza diventerà, come accaduto spesso in passato, l’occasione per consolidare o creare nuovi poteri e contribuire a realizzare una società della sorveglianza che annullerebbe la dignità della persona e svuoterebbe le libertà civili e sociali.

Per queste ragioni è essenziale che la scelta di una tecnologia di tracciamento del contagio per la gestione della cosiddetta “fase 2” sia aderente e non in deroga alle garanzie dettate dalla normativa europea in tema di protezione dei dati personali e più in generale ai diritti fondamentali.

LA PRIVACY PUÒ SUBIRE LIMITAZIONI IN EMERGENZA, MA CONFORMEMENTE ALLE GARANZIE PREVISTE DALLA NORMATIVA A PROTEZIONE DEI DATI

La normativa prevede espressamente trattamenti di dati personali in fasi emergenziali “se il trattamento è necessario a fini umanitari, tra l’altro per tenere sotto controllo l’evoluzione di epidemie e la loro diffusione o in casi di emergenze umanitarie, in particolare in casi di catastrofi di origine naturale e umana.” (considerando 46 GDPR).

Qualsiasi tecnologia che implichi il trattamento di dati personali dei cittadini anche in emergenza dovrà essere pienamente aderente, per la specifica finalità perseguita, ai principi dettati dal GDPR (in particolare Artt. 5, 25, 30, 32), e in Italia dovrà rispettare il più alto livello di tutela previsto dal D.L.vo 101/2018 in relazione ad alcune categorie particolari di dati tra cui i dati sanitari.

Nel trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante, la normativa prevede come base di liceità del trattamento una riserva relativa di legge, dunque un vaglio democratico parlamentare, che, nel rispetto dei principi di limitazione delle finalità e di conservazione e del principio di minimizzazione dei dati, specifichi i tipi di dati che possono essere trattati, le operazioni eseguibili per le singole finalità e le misure di tutela (art. 2-sexties Codice Privacy); in relazione ai dati sanitari (dati ambiti ad alto valore commerciale), sono necessarie misure di garanzia individuate ad hoc dall’Autorità Garante in relazione a ciascuna categoria di dati, avendo riguardo alla specifiche finalità del trattamento (art. 2 septies Codice Privacy).

Una finalità di tracciamento dei contatti è diversa, per tipologia di dato e per le misure di sicurezza necessarie, da una finalità di telemedicina o da una finalità di certificazione amministrativa quale può essere un nulla-osta alla circolazione, una autocertificazione digitale, un “passaporto immunitario”, o da una mappatura geolocalizzata del contagio. Troppo spesso nelle comunicazioni alla stampa in relazione all’adozione di “app” i decisori confondono e non differenziano le differenti finalità e i diversi trattamenti.

Su invito del Consiglio europeo la Commissione Europea ha presentato una tabella di marcia verso la revoca delle misure di contenimento del coronavirus. Nel documento il tracciamento dei contatti e l’allerta mediante l’uso di applicazioni mobili è una delle misure per il contenimento ed il controllo della pandemia e la misura viene descritta nel documento in piena aderenza ai principi individuati dallo European Data Protection Board. Lo stesso Parlamento Europeo ha preso chiara posizione su alcuni requisiti chiave delle tecnologie di tracciamento dei contatti.

A livello europeo è dunque possibile utilizzare dati digitali di prossimità se memorizzati nei dispositivi, e quindi senza ricorrere a server centralizzati, e senza derogare o limitare alcun principio o norma a protezione dei dati personali.

A questi principi, in un’ottica necessariamente paneuropea, deve attenersi anche l’Italia che all’esito di una procedura di selezione di diverse proposte, ha scelto la soluzione denominata “Immuni” proposta dalla Bending Spoons S.p.a.

LE NOSTRE PREOCCUPAZIONI

Siamo preoccupati che nell’effettiva messa in campo dell’applicazione (o delle applicazioni) si possano insinuare interessi che hanno priorità diverse da quella della tutela dei diritti fondamentali dei cittadini e che quindi siano adottate e implementate soluzioni in deroga alla normativa a protezione dei dati.

Inoltre ci preoccupano anche alcuni aspetti tecnici riguardanti le specifiche del protocollo alla base del modello tecnologico e sanitario prescelto e del software acquisito che non sono ancora stati sufficientemente chiariti, in particolare la disponibilità del software con il codice sorgente completo e con licenza di software libero, la possibilità (appresa da alcuni organi di stampa) di acquisire dati quali la geolocalizzazione e la scelta tra un sistema di archiviazione delle informazioni centralizzato e uno decentralizzato.

La “Risoluzione del Parlamento europeo sull’azione coordinata dell’UE per lottare contro la pandemia di COVID-19 e le sue conseguenze” del 15 aprile (n.2020/2616(RSP)) ha chiesto espressamente “che la memorizzazione dei dati sia completamente decentralizzata” (punto 41) per le app nazionali di tracciamento contatti COVID-19 e che i protocolli e il codice siano resi pubblici al fine di permettere verifiche indipendenti relative in particolare agli aspetti di privacy e di sicurezza. Sono delle questioni fondamentali in termini di sicurezza e minimizzazione dei dati.

Per tutte le ragioni suddette, in relazione alla specifica finalità di tracciamento dei contatti e a fronte di un dibattito pubblico salutare ed importante ma non sempre chiaro e adeguatamente informato, i sottoscritti, nel richiamare le indicazioni della Commissione UE, del European Data Protection Board e del Parlamento Europeo, ritengono essenziale comunicare in particolare ai decisori a cui spettano le difficili scelte di governo dell’attuale fase di emergenza.

LE COSE PER NOI IMPORTANTI

1) VOLONTARIETÀ – La collaborazione e la responsabilizzazione dei cittadini è fondamentale: nessuna applicazione e nessun artificio tecnologico potrà esser efficace senza di esse. Ma responsabilizzazione e collaborazione presuppongono fiducia reciproca. Nel periodo di cosiddetto “lockdown” la cittadinanza ha con grande senso civico rispettato le indicazioni delle autorità, anche quando sono state confuse e contraddittorie. Lo Stato e le Autorità, adottando soluzioni che rispettano i principi e la normativa a protezione dei dati, e dunque tenendo saldo il timone della tutela dei diritti fondamentali, avranno la fiducia dei cittadini e con essa collaborazione e senso di responsabilità. L’uso dell’app dovrà esser volontario e libero: nessuna limitazione o discriminazione potrà essere determinata dal mancato utilizzo dell’”app”.

2) UNA SOLA APP; UNA SOLA FINALITÀ; PER IL TEMPO STRETTAMENTE NECESSARIO – La finalità specifica di una app di tracciamento dei contatti deve essere il tracciamento dei contatti per la ricostruzione delle vie interpersonali di contagio. La complessità dell’obiettivo generale perseguito, cioè governare la convivenza con il virus, non deve indurre a sfruttare un trattamento specifico, effettuato per una finalità specifica, per altre finalità diverse ed ulteriori. Nel rispetto dei principi di privacy e di “security by design”, limitazione delle finalità, minimizzazione e limitazione della conservazione dei dati dovrà esser dunque escluso il trattamento di dati di geolocalizzazione -utili semmai per altre finalità estranee al tracciamento dei contatti- ed i dati dovranno essere tutti cancellati al termine del periodo di utilità degli stessi ai fini della ricostruzione del contagio. Riteniamo errato pensare di legare l’app di tracciamento dei contatti ad ulteriori funzionalità quali autocertificazioni online o più o meno improbabili nulla-osta di circolazione che richiedono altre e diverse valutazioni di liceità del trattamento.

3) TRASPARENZE, VERIFICABILITÀ E SICUREZZA – Il software delle tecnologie da adottare deve essere disponibile pubblicamente, con il codice sorgente completo e con licenza di software libero, e quindi liberamente verificabile da parte di chiunque e deve rispettare i più alti standard di sicurezza informatica.

Il protocollo su cui si basa l’applicazione e le specifiche dell’architettura del sistema, al pari dei documenti che hanno portato e porteranno alle scelte dei decisori, inclusa la necessaria valutazione d’impatto e i preventivi pareri del Garante della Privacy, devono essere pubblici e disponibili con licenza libera, e quindi liberamente verificabili.

Deve essere trasparente il governo complessivo dell’intero processo di tracciamento inserito nelle più ampie strategie di contenimento del virus nella “fase 2”: non solo, come necessario, in relazione alla normativa a protezione dei dati, ma in relazione a tutti i processi decisionali, dalle autorità competenti per tutti i provvedimenti derivanti dagli output del sistema sino ai sistemi di controllo e verifica su tutti i soggetti coinvolti, pubblici e privati, al fine di escludere qualsiasi interesse commerciale o di altra natura che possa inficiare o deviare la finalità perseguita.

4) ADOTTARE TECNOLOGIE E APPROCCI DECENTRALIZZATI – La memorizzazione dei dati deve essere completamente decentralizzata. I dati, opportunamente protetti con sistemi di anonimizzazione o di pseudonimizzazione, devono essere conservati localmente sui dispositivi, dove deve avvenire anche il calcolo del rischio di infezione. Se sarà necessario l’utilizzo di server centrali, dovranno essere trasmesse a tali server soltanto chiavi anonime e temporanee corrispondenti agli utenti infetti, in mondo che non sia consentito di risalire all’identità delle persone. La soluzione decentralizzata risponde appieno all’esigenza, propria dell’intera normativa a protezione dei dati, di lasciare ai cittadini il controllo sulle loro informazioni personali. È un elemento fondamentale che può agevolare la fiducia e la collaborazione e sottrae a qualsivoglia autorità, agenzia o soggetto la possibilità di usi impropri di dati sanitari che come noto possono avere alto valore commerciale e di “intelligence”.