Perché il progetto "Immuni" va messo subito in soffitta

Nove punti ancora oscuri della app di contact tracing

Sgombriamo il campo subito dagli equivoci. Le critiche all’app IMMUNI non riguardano la nostra privacy. Il Regolamento europeo 679/2016 (GDPR – General Data Protection Regulation), a cui si fa spesso riferimento per porre l’attenzione sulle regole che un sistema di tracciamento di prossimità dovrebbe rispettare, non si occupa o preoccupa della “privacy” delle persone fisiche. 

Al contrario: l’obiettivo primario è di proteggere i dati personali che altri trattano, favorendone la libera circolazione in maniera corretta, integra e coerente.

Leggo ancora qualcuno, persino giuristi, lamentarsi degli “orpelli” della “privacy” e riferire superficialmente che “chi si lamenta di Immuni poi è su Facebook”. Dobbiamo finirla sia con questo approccio qualunquista, sia con un semplicismo di fondo che non è utile a nessuno, specie su una questione molto delicata e complessa.

Un approccio serio e approfondito dovrebbe interessare tutti ed essere portato avanti anche da chi sostiene che, a determinate condizioni, questa applicazione possa essere realmente utile per il contenimento del virus.

Peraltro, i tanti dubbi sull’app Immuni non sono neppure di natura tecnica, ma prima di tutto metodologica. La tecnologia per sua natura è neutrale e sono quindi le strategie, i metodi di utilizzo, il contesto di sviluppo a rendere una tecnologia utile oppure totalmente inutile e quindi potenzialmente pericolosa.

Come Associazione ANORC il 24 aprile abbiamo portato all’attenzione della ministra Paola Pisano una serie di domande sull’applicazione IMMUNI. Le risposte della ministra si sono fatte attendere per parecchi giorni e sono arrivate solo l’11 maggio.

Purtroppo appaiono assolutamente insufficienti e generiche e soprattutto non corredate da documenti tecnici e contrattuali in grado di far comprendere la natura e il senso di questa complessa operazione, che è partita male (con una selezione poco trasparente verso una cordata di società almeno teoricamente molto interessata ai dati che verranno trattati tramite questa app) e sta proseguendo peggio nella sua implementazione.

Credo sia indispensabile ricordare che la vera trasparenza ex lege non si ottiene rispondendo, pur con cortesia e dovere istituzionale, attraverso una serie di FAQ, ma pubblicando doverosamente i documenti amministrativi richiesti.

Proviamo allora a sintetizzare i punti ancora oscuri del “progetto IMMUNI”:

1. Non abbiamo ancora la disponibilità dei contratti di sviluppo e manutenzione che legano il governo italiano alla società Bending Spoons. È grave perché non conosciamo i termini effettivi di questo impegno negoziale che comporterà nei suoi effetti una compressione di diritti fondamentali di cittadini italiani in nome di una strategia di prevenzione al virus che ancora non è stata precisata nella sua reale efficacia.
2. In mancanza della pubblicazione trasparente (ex lege dovuta) del vincolo contrattuale tra governo italiano e Bending Spoons, non sappiamo in che misura il nostro governo entrerà nella disponibilità e titolarità di tutti i codici sorgenti della soluzione proposta che – a quanto si sa – è stata scelta sulla base della sua adesione a modelli europei di contact tracing (PEPP-PT e DP-3T) ancora non definiti. Sembrerebbe deciso (la certezza - lo ripetiamo - non la possiamo avere in assenza di documenti pubblicati) che il governo italiano non avrà la piena “proprietà” della soluzione, ma solo una sua parziale disponibilità attraverso una limitata licenza open source (la MPL 2.0) sui codici sorgenti rilasciati da Bending Spoons.
3. Quindi, non conosciamo con esattezza i termini della licenza acquisita dal governo italiano e solo da oggi abbiamo la parziale disponibilità del codice sorgente della soluzione (ai fini del suo studio in termini di efficacia e sicurezza informatica), ma poco sappiamo di come questa soluzione sarà utilizzata (in un sistema centralizzato, decentralizzato o misto), né in che modo si interfaccerà con le API di Google e Apple.
4. Abbiamo incredibilmente scoperto in questi giorni che quindi Immuni è solo una striminzita cornice di un progetto sopranazionale più ampio portato avanti da grandi player privati di cui invece sappiamo poco o nulla. Di fatto, con la complicità opaca del governo italiano, rischiamo di cedere minuziosamente a loro anche quelle porzioni di esistenza che ancora non erano finite nella loro voragine digitale.
5. Sappiamo solo (sempre grazie alle dichiarazioni fornite gentilmente dalla ministra Pisano) che l’app Immuni “scambierà codici generati randomicamente con altri dispositivi che hanno installato l’app” (quindi ci sarà - a opera di qualcuno - un trattamento di dati personali pseudonimizzati), “grazie a segnali Bluetooth Low Energy” (si ricorda che questa tecnologia – a detta di molti esperti di sicurezza informatica – è particolarmente esposta ad attacchi hacker).
6. Sappiamo - anche grazie a ciò che Google ci ha “svelato” - che Immuni potrebbe potenzialmente sfruttare anche la localizzazione GPS degli smartphone e ospitare un diario clinico con informazioni sanitarie dell’utente. Siamo consapevoli che si vorrebbero escludere sia la geolocalizzazione e sia il trattamento di dati sanitari di natura direttamente identificativa, ma in uno scenario così confuso dal punto di vista tecnologico e strategico, appare difficile poter essere certi che quanto dichiarato sia poi concretamente realizzabile.
7. A oggi, non è stata ancora pubblicata (e quindi immaginiamo non realizzata) una particolareggiata DPIA (Data Protection Impact Assessment) come previsto ex lege. E sarebbe stato utile avere ogni dettaglio tecnico in relazione ai requisiti di privacy by design e privacy by default della soluzione offerta da Bending Spoons. Continuiamo ad attendere di poter visionare tali documenti.
8. A due mesi di distanza dalla selezione della soluzione, quindi, non abbiamo alcun reale dettaglio tecnico, alcun codice sorgente utile a comprendere davvero cosa sta accadendo, neppure la disponibilità dei contratti e di eventuali allegati. Non abbiamo alcuna evidenza delle strategie che il Governo stesso intende portare avanti attraverso questa app (abbiamo solo letto dichiarazioni spesso contraddittorie sulla “Fase 2” tra i vari protagonisti istituzionali della vicenda).
9. Non sappiamo neppure come verrà gestito il divario digitale che vede una fascia non trascurabile della popolazione sprovvista dei necessari dispositivi per poter effettuare l’installazione, né sappiamo come si intende raggiungere la soglia del 60-70% di utilizzo consapevole dell’app (che la renderebbe utile se accompagnata a una strategia diffusa di verifica dello stato di salute dei cittadini italiani).

Alla luce di questi elementi (e considerando che l’utilità del contact tracing è fortemente in discussione ormai a livello internazionale), risulta davvero difficile poter trarre considerazioni positive sia sull’utilità effettiva, che sulla ragionevolezza di questa intera operazione.

In altre parole, visto che la pandemia sembra essersi ridimensionata per altri motivi, forse sarebbe meglio accantonare tale pretenzioso progetto che va ben al di là degli interessi nazionali. Ci si limita comunque a sottolineare che, in mancanza di evidenze tecnologiche (basate ovviamente su una profonda verifica sulla protezione dei dati personali trattati) che evidenzino in modo certo che Immuni garantisca determinate condizioni (rendere i dati certi, integri, quindi non modificabili da terzi, e da cancellare in modo sicuro alla fine dell’emergenza), basare una strategia di contenimento della pandemia su un meccanismo potenzialmente manipolabile, appare davvero una follia.

Non ci si può non chiedere a questo punto a chi possa davvero interessare un progetto che non è più in grado di portare effettivi e diretti vantaggi al nostro Paese…

Post-Scriptum. Mi permetto un’ultima annotazione metodologica. So che su GitHub si sono resi disponibili alcuni (in realtà piuttosto generici) requisiti tecnici dell’app IMMUNI, oltre che il suo codice sorgente, in lingua inglese. Credo che sia utile ricordare che tale pubblicazione non può assolutamente ritenersi ufficiale perché qualsiasi documento rilevante ricevuto da una PA va considerato documento amministrativo (secondo l’art. 22 legge 241/1990) e quindi reso trasparente e accessibile su un sito istituzionale in lingua italiana, almeno sino a quando essa sarà considerata la nostra lingua ufficiale.