Cookie free: nessun "biscotto" per spiare i lettori. Sono in corso di eliminazione i link di facebook, che tracciano chi clicca su "mi piace" o "condividi"

Covid-19, salute pubblica, contact tracing e GDPR

Privacy e sicurezza - Manlio Cammarata - 28 marzo 2020

La Fondazione Ugo Bordoni ha risposto alla chiamata dei Ministeri per l'innovazione, per lo sviluppo economico e dell'università e ricerca e ha presentato un'app per tracciare ogni nostro spostamento e ogni nostro contatto con altre persone. Il fine è di tenere sotto controllo l'epidemia, oggi da Covid-19, domani chissà. Lo hanno fatto in altri Paesi, ha funzionato. Non adottare una soluzione del genere sarebbe un errore imperdonabile.
Ma la privacy? domanda qualcuno.

La protezione dei dati personali per un'operazione di tutela della salute pubblica non è un problema. Tra un attimo vedremo perché. Prima è necessario capire come funzionerebbe l'app proposta dalla FUB. Lo ha spiegato il presidente della fondazione, il professor Antonio Sassano, considerato uno dei massimi esperti mondiali di reti di telecomunicazioni, con un'intervista e un video su Key4biz.

In poche parole, la app chiamata "Stop-Covid" serve a ricostruire i contatti ravvicinati recenti di una persona che ha contratto l'infezione, con lo scopo di individuare soggetti eventualmente contagiati. Per ottenere questo risultato non bastano le coordinate raccolte dalle varie app generalmente in uso, perché i dati ottenuti dalle celle della telefonia mobile e dalle connessioni WI-Fi abbracciano aree troppo vaste. Il GPS (dove c'è la copertura) è più preciso, ma occorre un dettaglio ancora più stretto.  E' necessario trovare chi si è trovato a "distanza di contagio" da una determinata persona, quindi in un raggio di pochissimi metri. Questa è un dato che si può ricavare dal campo del Bluetooth che, come tutti sanno, è molto limitato.

Resta il problema dell'intrinseca insicurezza del protocollo, che dovrà essere risolto, nei limiti del possibile, dalla stessa app (vedi Contact tracing via Bluetooth, attenzione alla sicurezza di Andrea Gelpi ). E' chiaro comunque che la vulnerabilità è sempre presente quando il Buetooth è acceso, quindi non sarà questa app a peggiorare la situazione. 

Vediamo ora la questione dal punto di vista della protezione dei dati personali. Prima di tutto consideriamo che l'autore della proposta è un soggetto di alto livello, che opera in ambito pubblico senza fini di lucro. Dunque non un privato, un'azienda commerciale che può trarre dall'iniziativa vantaggi economici o di altro tipo. Dalle prime anticipazioni si può immaginare che il trattamento dei dati potrà essere controllato in ogni dettaglio e sarà molto meno invasivo di tante altre app che ci spiano sistematicamente dai furbofoni (si veda, per esempio, Zoom, un'app oggi sulla cresta dell'onda per il lavoro e la formazione a distanza, invasiva della privacy a un livello impensabile – ne parla Umberto Rapetto su Federprivacy.org).

A questo punto la questione-chiave è nelle riserve di chi si scaglia contro la presunta, ennesima invasione della sfera personale, agitando il GDPR come in tempi non troppo lontani qualcuno agitava il libretto rosso di Mao.
Deve essere chiaro: in un trattamento di dati come questo il GDPR non c'entra. Lo esclude lo stesso Regolamento all'articolo 2, comma 2, lettera d):

Il presente regolamento non si applica ai trattamenti dei dati personali [...] effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.

Che vuol dire "non si applica"?  Vuol dire esattamente "non si applica". Come una legge sulla nautica da diporto non si applica alla coltivazione dei carciofi. Questo significa anche che il Garante per la protezione dei dati personali non ha voce in capitolo, perché la sua stessa esistenza e i suoi compiti sono previsti e regolati dal GDPR.

Ma non significa che il tracciamento dei singoli cittadini allo scopo di controllare una gravissima pandemia possa essere operato senza regole e senza garanzie. Lo impongono le regole non scritte della società civile e anche le regole scritte. Prima di tutte l'articolo 2 della nostra Costituzione: 

La Repubblica... riconosce e garantisce i diritti inviolabili dell'uomo.

E, nello stesso tempo, gli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea:

Articolo 7. Rispetto della vita privata e della vita familiare
Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni.

Articolo 8. Protezione dei dati di carattere personale
1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. [...]

Dunque la legge che imporrà l'uso di questa app (o di un'altra con gli stessi effetti di contact tracing) dovrà dettare con precisione i limiti del trattamento dei dati. In poche parole, quale entità pubblica sarà incaricata del trattamento e i limiti del trattamento stesso: le informazioni (anonimizzate o pseudonominizzate ove possibile, custodite cifrate su un cloud di una struttura pubblica in Italia), non potranno tassativamente essere usate per altri scopi. Al termine dell'emergenza potranno essere disponibili solo a scopo di ricerca scientifica (e per questo rientreranno nella normativa ordinaria). L'applicazione stessa dovrà disattivarsi e la disattivazione dovrà essere controllabile.

Ai difensori della privacy a tutti i costi si dovrebbe anche ricordare che fino a oggi, solo in Italia, il Coronavirus ha fatto più di diecimila morti, secondo le statistiche ufficiali (ma probabilmente molti di più). E che i trattamenti previsti per l'app anticontagio sono ben poca cosa rispetto a quelli sistematicamente operati dai signori dei big data con applicazioni che sono presenti su tutti i furbofoni. L'accesso alle rubriche personali,ai contenuti delle email e dei messaggi, il tracciamento via GPS e Wi-Fi, la registrazione degli acquisti e delle operazioni bancarie sono operazioni molto più invasive del contact tracing a fini sanitari.

E sono anche più subdole, perché non dichiarano apertamente le finalità di profilazione a fini commerciali e politici, grazie a informative parziali e, soprattutto, sostanzialmente illeggibili. Si applichino, i solerti Garanti, all'esame di queste informative e di questi trattamenti e verifichino se rispondono alle disposizioni del GDPR e delle normative nazionali.