Raccogliamo volentieri questa bottiglia, dentro alla quale abbiamo trovato il messaggio di Priscilla Robledo. Laurea in giurisprudenza, master in proprietà intellettuale, una esperienza in due studi legali internazionali, una vocazione per la tutela dei diritti civili, lavora nel settore del campaigning digitale e no profit e si occupa di lotta alla corruzione dal 2013. E’ stata project manager di “Riparte il futuro”, l’associazione nata con il supporto di Libera e Gruppo Abele e poi confluita in “The Good Lobby” e Priscilla continua il suo impegno in questa organizzazione che vuole “far sentire la nostra voce dove c’è bisogno”.
Il Consiglio dei Ministri ha approvato un decreto legge a firma del Ministro della Giustizia Bonafede che regola alcuni aspetti dell’app di tracciamento dei contatti scelta dal governo per la gestione della Fase 2 e successive dell’epidemia di Covid-19. Al di là delle considerazioni pratiche (la app non servirà a nulla se non vi sarà anche una risposta coordinata e pronta del sistema sanitario), è bene analizzare alcuni aspetti tecnici.
Il fatto che sia stato approvato un decreto legge è positivo, poiché prevede un vaglio parlamentare. In base alla Costituzione, il decreto-legge ha efficacia provvisoria, ma poi il Parlamento deve convertirlo in legge entro massimo 60 giorni: anche in questo caso però il tempismo non è proprio una nostra medaglia al petto, dato che l’app dovrebbe essere pronta a fine maggio.
Ad ogni modo, il decreto fa chiarezza su (solamente) alcuni aspetti e fornisce alcune rassicurazioni in tema privacy. In primo luogo, la volontarietà: scaricare l’app non sarà obbligatorio e se una persona non la scaricherà non potrà subire conseguenze negative a motivo di ciò (principio della parità di trattamento fra chi ha l’app e chi no). In secondo luogo, la tecnologia: poiché l’app userà i dati di prossimità, adotta una tecnologia bluetooth. Ciò è positivo poiché il bluetooth permette di identificare un dispositivo, cioè un cellulare, senza identificare la persona; inoltre registra solo se due dispositivi sono venuti in contatto (nel caso di questa app, per più di 15 minuti) e non registra invece gli spostamenti delle persone come fa invece la geolocalizzazione tramite gps. Quest’ultima tecnologia è stata espressamente esclusa nel decreto.
Poi, il decreto ribadisce alcuni dei principi chiave della legge a protezione dei dati personali (il General Data Protection Regulation), e cioè la necessità di fare una valutazione di impatto dell’app sulla protezione dei dati personali (obbligo che finora nessuno al Ministero dell’Innovazione sembrava ricordare), minimizzazione della raccolta dei dati e cancellazione dei dati al termine dell’emergenza e non oltre 31 dicembre 2020. Su quest’ultimo punto, a dire il vero, il decreto si contraddice: da un lato prescrive che i dati siano cancellati, ma dall’altro apre alla possibilità che vengano anche resi anonimi o aggregati per fini di ricerca.
Ma cancellazione, anonimizzazione e aggregazione non sono affatto la stessa cosa. Se cancello i dati, non li trovo più. Se li anonimizzo o li aggrego, li posso de-anonimizzare e disaggregare. Soprattutto se sono (mal)intenzionata a farlo. Questo apre allo spinosissimo tema che però sembra non destare la minima preoccupazione al Ministero: la sicurezza informatica. Avremo raccolto una mole pazzesca di dati sanitari, e quindi sensibilissimi e molto appetibili da fondi di investimento, assicurazioni, banche, governi stranieri. Chiunque lavori nel campo del software sa che la diffusione accidentale o fraudolenta di dati personali degli utenti non è questione di se, ma di quando. Ma il Governo pare non essersi nemmeno accorto della figuraccia che ha fatto l’Inps giusto poche settimane fa (in effetti, in pandemia il tempo scorre diversamente, forse lo hanno dimenticato). Oltre al rischio del furto (e rivendita) di dati, vi è quello dell’attacco informatico: immaginate che partano migliaia di messaggi automatici finti che avvertono le persone che sono state in contatto con una persona positiva e impongano loro di chiudersi in casa. Creare falsi positivi, scatenare il panico, e frustrare tutto il sistema di tracciamento e raccolta crea in hacker malintenzionati una trepidazione simile a quella di un influencer quando esce un nuovo filtro di Instagram.
Il rischio di interferenze e attacchi di questo tipo, che possono provenire anche da governi e organizzazioni straniere (da considerare che nella compagine soci di Bending Spoons ci sono dei fondi stranieri, oltre alla famiglia Berlusconi), ha per fortuna destato l’attenzione del Comitato parlamentare per la sicurezza della Repubblica. Il Copasir ha convocato il Commissario Arcuri e il Ministro per l’Innovazione Pisano in audizione martedì prossimo in vista della futura discussione d’aula sul decreto. Che però è un decreto del Ministro della giustizia Bonafede. Avranno usato un’app sbagliata per rintracciarlo?
La sicurezza non è l’unico aspetto di cui non si parla. Un altro tema delicato è quella della licenza con la quale il software di Immuni viene dato in concessione allo Stato. La licenza sarebbe il permesso che il titolare del software dà agli altri di usarlo. Il copyright rende il software segreto (come quello di Facebook) e/o a pagamento (come quando si compra il pacchetto Adobe), e in questo caso si dice che è un software chiuso. L’open source invece è un software aperto, quindi non è segreto: chiunque può accedere all’insieme di file (repository) che costituisce il codice sorgente, quindi vederne le funzionalità. E’ importante che il codice del software sia open perché ciò permette al pubblico di verificarne il funzionamento. Ci sono diversi tipi di licenze, e cioè perimetri diversi di possibilità di uso e titolarità, dei software.
A quanto si legge sui siti delle istituzioni (non ancora in testi di legge), il software sarà reso pubblico (open source), così come alcune associazioni fra cui The Good Lobby hanno chiesto fin dall’inizio di questa intricata faccenda. Non si capisce però perché abbiano scelto la licenza MPL2, dato che questo tipo di licenza interviene solo sul file e non sul codice sorgente sottostante. Sì, è open source, che possiamo dire per semplificare che significa copyleft, il contrario di copyright. Esistono varie licenze open source / copyleft: alcune sono deboli (weak copyleft) ed altre forti (strong copyleft). Se sono deboli o forti dipende dalla loro viralità (infelice ironia), cioè dalla capacità di condizionare il regime di licenza di qualunque altro codice che è stato sviluppato come miglioria di quello base. La licenza MPL2 è a bassa viralità, cioè debole: ciò significa che non condiziona il regime di licenza di eventuali miglioramenti del software sviluppati a partire da nuovi file di codice sorgente. Questi ultimi possono essere coperti da copyright e quindi restare segreti e privati.
In altri termini: ipotizziamo che l’app abbia, nella versione base, 10 funzionalità in open source. Se io domani aggiungo 5 nuove funzionalità alla app, sviluppando nuovi file di codice sorgente anziché andando a modificare i file originali, ecco che posso blindare il mio nuovo codice e farlo tornare segreto. MPL2 permette, con un po’ di tatticismi, di scorporare nuove funzionalità con codici privati. Poiché dobbiamo immaginarci che l’app rimarrà con noi per lungo tempo, e il commissario Arcuri ha accennato a sviluppi futuri legati ai diari clinici e al rapporto con il servizio sanitario nazionale, è evidente come questo aspetto sia tutt’altro che secondario.
Se questa scelta della licenza desta perplessità, l’atteggiamento complessivo del governo invece fa rabbia. Totale opacità del processo di selezione e delle conclusioni degli esperti (a cui è stata addirittura imposta la firma di un accordo di riservatezza!). Informazioni ufficiali rese in due blog post (blog post! L’ultimo di oltre duemila parole!) sul sito del Ministero dell’Innovazione. Fretta, poi mal gestita (convocazione a fine marzo; silenzio teso da duello nel Far West per oltre un mese; scelta di una soluzione che verrà poi modificata, dato che il protocollo Apple-Google per la decentralizzazione non sarà pronto prima del 15 maggio; comunicazioni inattendibili e contraddittorie da parte di membri del governo – come ad esempio il Ministro Di Maio secondo il quale l’app avviserebbe se stiamo entrando in contatto con una persona contagiata quasi fosse un match di Tinder). Mancata pubblicazione di anche solo uno stralcio di relazioni e valutazioni degli esperti, o del processo di selezione con il quale si è arrivato a scegliere Immuni (che forse cambierà pure nome).
Tutto questo è francamente inaccettabile. La popolazione sta affrontando misure restrittive della libertà e limitazioni ai diritti fondamentali senza precedenti, i confini legali vengono messi in discussione e i cittadini diventano sempre più disponibili a ogni possibile cambiamento. È importante che siano informati, che facciano scelte consapevoli. Per essere efficace, la app dovrà essere scaricata da una percentuale altissima di italiani: il Governo si deve guadagnare la nostra fiducia.
