Pieno rispetto della Privacy, con la decentralizzazione dei dati e il sistema Bluetooth

Immuni approvata dal Garante della Privacy

Il 29 aprile 2020 il Garante della privacy, Antonello Soro, ha espresso parere favorevole al sistema di contact tracing dei contagi da Covid-19 da attuare con l'applicativo Immuni, la quale non presenta contrasti con i principi di protezione dei dati personali. Le motivazioni che hanno portato al parere favorevole sono i seguenti:

- È previsto da una norma di legge sufficientemente dettagliata;

- Si fonda sull’adesione volontaria dell’interessato;

- È preordinato al perseguimento di fini di interesse pubblico;

- Appare conforme ai principi di minimizzazione e ai criteri di privacy by design e by default;

- Si conforma al principio di trasparenza nei confronti dell’interessato, garantendone la dovuta informazione;

- Ammette l’ulteriore precisazione delle caratteristiche di dettaglio del trattamento e delle misure di sicurezza adeguate da parte del Ministero della Salute (Cfr. Parere sulla proposta normativa per la previsione di una applicazione volta al tracciamento dei contagi da COVID-19 - 29 aprile 2020 [9328050], Registro dei provvedimenti n. 79 del 29 aprile 2020).

L'App Immuni? Dovremmo fare fronte comune e usarla
Paolo Barberis, consigliere per l'Innovazione del presidente del Consiglio dei Ministri, co-fondatore dell’acceleratore Nana Bianca e creatore dell’azienda Dada, tende a smorzare i toni delle polemiche che ruotano intorno al tema della privacy: "Non credo sia il momento dei complottismi di fronte a un contagio che sta portando conseguenze sia a livello sanitario che economico, tra contagiati e PIL in crollo. Non penso che sia una priorità dello Stato spiare i cittadini adesso. Serve da parte di tutti uno sforzo civico. L'app può essere uno strumento che lavora al nostro fianco. Ci può fornire [...] i superpoteri per frenare il contagio. Dandoci consapevolezza. E avvisandoci se è il caso di entrare in quarantena. Dovremo convivere con questo virus. Se rimane in giro il problema comunque rimarrà. Avere più informazioni possibili ci può permettere di aiutare la discesa della curva" (Francesco Marinari, Coronavirus e app contro il contagio: "Usiamola tutti insieme. E al bando i complottismi", “La Nazione”, 21 aprile 2020).

L’AD del Santagostino, Luca Foresti, che sta collaborando con Bending Spoons nello sviluppo di Immuni, in merito al tema della protezione dei dati e relativi rischi, afferma: “oggi decidiamo continuamente di dare i nostri dati ad aziende private che ci danno servizi e ci inviano pubblicità: Apple, Google, Amazon, Microsoft li impiegano per creare valore per se stesse. Qui siamo in mezzo a un’epidemia che sta uccidendo 500-600 persone al giorno e minacciando la salute di tutti. Chiunque può valutare il rischio per la privacy a fronte di quello per la salute, considerando che la app non chiede nome, cognome né numero di telefono e ha una tecnologia pensata con gli esperti di tutela dati per evitare abusi” (Elena Tebano, Immuni, Foresti: “La nostra app di tracciamento che tutela privacy. Il governo deciderà come trattare i dati”, “corriere.it”, 17 aprile 2020).

Per la privacy il sistema Immuni è il male minore

Secondo quanto scrive Gianfranco Giardina, Ingegnere, giornalista e divulgatore CE e ICT - Direttore responsabile di “DDAY.it”, le accese polemiche su Immuni e i potenziali rischi legati alla privacy potrebbe decretare il fallimento del sistema di tracciamento: “Ben lungi voler sottovalutare l'importanza della privacy, ma tante polemiche tra quelle che si stanno sviluppando attorno all'app Immuni come ‘rischio per la riservatezza’ spesso sono alimentate da questioni più formali che altro. Se poi uniamo a questo, la ridda di fake news più o meno volontarie che stanno circolando, è evidente che Immuni venga ammazzata in culla, senza alcuna colpa peraltro. Il meccanismo di anonimizzazione messo a punto da Apple e Google sembra veramente il minore dei mali, anche rispetto ad altre architetture prospettate nelle scorse settimane. Ma soprattutto, Immuni sembra molto meglio, anche in tema di privacy, rispetto alle attività di contenimento del contagio ‘tradizionali’. Infatti senza Immuni, la privacy diventa del tutto aleatoria, con tutti i contatti noti del positivo che vengono allertati ‘a mano’, spesso venendo a conoscenza direttamente del nome e cognome del potenziale ‘untore’. Certo, non c'è alcun meccanismo massivo, ma in un mondo senza app Immuni, la privacy, ammesso che sia un valore sacro almeno tanto quanto la salute pubblica, è giornalmente molto più violata. Non considerare questo aspetto, vuol dire voler condurre una battaglia contro Immuni ‘a prescindere’ " (Gianfranco Giardina, App Immuni: con queste premesse, è totalmente inutile. Cambiare passo o lasciar perdere, “dday.it”, 30 aprile 2020).

Decentralizzazione dei dati e sistema Bluetooth proteggono i dati

“Gli sviluppatori di Immuni, d’accordo con il ministero dell’innovazione, hanno deciso di cambiare in corso d’opera il modello di funzionamento, per aumentare la privacy, la sicurezza dei dati e andare incontro alle richieste di Google-Apple (non soddisfarle avrebbe per altro messo a rischio il buon funzionamento complessivo dell’app). Si seguono le idee del progetto Decentralised Privacy-Preserving Proximity Tracing (DP-3T) che si è separato da Pepp-Pt perseguendo un modello più decentralizzato [...].
La differenza principale rispetto alla precedente Immuni e a Pepp-Pt è che la crittografia-generazione delle chiavi avviene direttamente sui dispositivi utente (invece che su server).
Così, ogni volta che due cellulari si ‘incontrano’ (ovvero rimangono ad una certa distanza per un certo tempo, due parametri che dovranno definire le autorità sanitarie), si scambiano il proprio identificativo anonimo generato localmente con crittografia. Quindi il cellulare dotato di app porta con sé soltanto una lista di numeri (privi di qualsiasi elemento identificativo della persona).
Il server si limita a diramare la lista dei codici anonimi dei contagiati. Non c’è quindi più un server che contenga sia i codici dei cellulari sia le chiavi crittografiche. Viene così meno una possibilità di re-identificare i soggetti. Solo chi riceve la notifica sa di esserlo stato, di conseguenza.
Si noti che l’app seconda arrivata in Italia, Coronavirus Outbreak Control, segue al contrario un modello ancora più centralizzato su server (che in questo caso conterrebbe i dati dei contatti, dei contagiati, le chiavi), per consentire un più ampio e profondo tracciamento dei contagiati asintomatici con un grafo sociale [...].
Le API sono interfacce di programmazione app che, in questo caso, consentono finalmente l’accesso alle funzioni bluetooth degli smartphone Android e iPhone ” (Riccardo Berti, Alessandro Longo, Simone Zanetti, Immuni, cos’è e come funziona l’app italiana coronavirus, “agendadigitale.eu”, 7 maggio 2020).

Prima d’ora il sistema Bluetooth non era mai stato usato per il tracciamento, ma solo per mettere in comunicazione due dispostivi. le API sviluppate da Apple e Google permettono ora la comunicazione dei Bluetooth dei dispositivi delle due case, consentendo una decentralizzazione dei dati, che in questo modo non devono più essere gestisti da un server esterno, ma dai singoli dispositivi, sempre in forma anonima e crittografata. Gli sviluppatori stanno lavorano per ridurre il rischio di falsi positivi, sfruttando le API di Apple e Google, in modo da calibrare meglio l’algoritmo di rilevazione della distanza, intervenendo sulla potenza del segnale Bluetooth e sui tempi di esposizione.

Nina Celli, 24 maggio 2020

Anche con il Bluetooth c’è trattamento dei dati, e non è detto che funzioni
L’App Immuni non utilizzerà la geolocalizzazione ma la connettività Bluetooth. Tuttavia, questa non è la migliore soluzione, poiché la tecnologia Bluetooth è molto vulnerabile, meno affidabile e presenta notevoli limiti: il Bluetooth “non ha una banda di comunicazione generica come il Wi-Fi, ma utilizza i profili specifici del dispositivo, che cambiano da costruttore a costruttore. Inoltre la banda è super affollata e se le antenne Bluetooth sono a bassissima potenza, sui dispositivi meno costosi il Bluetooth può avere prestazioni mediocri e scadenti. L'altro motivo è legato al software che gestisce il Bluetooth, che non è mai privo di bug, che cambia a seconda del dispositivo elettronico, senza documentazione e senza supporto”.
Alla luce delle evidenti contraddizioni di Immuni, dalla volontarietà, che potrebbe comprometterne l’utilità, al sistema Bluetooth, che potrebbe renderla meno attendibile: “o si utilizza uno strumento che abbia sin dall’inizio tutti i requisiti di funzionalità tecnologica, prevedendo quelle opportune garanzie richieste dalle Autorità di protezione dei dati personali oppure si evita del tutto di ricorrere ad uno strumento che sin dall’inizio presenti forti perplessità circa l’effettivo funzionamento e che comunque comporta sempre un trattamento di dati personali di particolare delicatezza” (Michele Iaselli, App Immuni vs Covid-19: ma è una soluzione davvero efficace?, “altalex.com”, 20 aprile 2020).

Bruno Mastroianni: “i dati non sono tutti uguali”

Il prof. Bruno Mastroianni, infatti, sottolinea la natura particolarmente sensibile dei dati che il cittadino è tenuto a conferire attraverso l’App Immuni, e invita ad applicare il principio di minimizzazione in riferimento ai dati che condividiamo, perché “i dati non sono tutti uguali”. Un conto sono gli atti pubblici, tipo le nostre interazioni social, mentre i dati sulla salute non sono atti pubblici: “I dati sulla salute hanno conseguenze sulla nostra maggiore o minore libertà, perché uno dei rischi del contact tracing fatto male è che ci siano delle discriminazioni tra gli immuni, tra chi è immunizzato, chi è sano, e quelli che invece sono a rischio” (Tracciati e tracciatori “diretta Facebook”, 23 aprile 2020).

Il problema dei “falsi positivi”

Utilizzare sistemi di tracciamento come il Bluetooth, meno invasivi ma anche meno accurati del GPS, porta con sé il rischio di “falsi positivi”, poiché sono sistemi non in grado di effettuare una valutazione “qualitativa” dei contatti e potrebbero fornire dati errati, generando panico tra gli utenti.
“il bluetooth non è pensato per tracciare dispositivi a raggio, per poter dire la distanza tra loro, ma solo banalmente per metterne in comunicazione due. Ebbene, gli sviluppatori lavorano, con le specifiche di Apple-Google, a un algoritmo che tenga conto di alcuni parametri, come potenza del segnale e la durata della visibilità reciproca dei dispositivi. L'algoritmo deve tenere conto che la potenza è influenzata da fattori ambientali, è più forte all'aperto, meno se c'è una parete tra i dispositivi (che così si vedono comunque, ma non se ne può desumere un possibile contagio)” (Alessandro Longo, App Immuni, tre nodi da sciogliere perché sia davvero efficace contro il virus, “Il Sole 24 Ore”, 21 aprile 2020).

Diverso sarebbe con la geolocalizzazione: “Con la tecnologia GPS, che traccia non solo il contatto ma anche dove questo è avvenuto, è possibile qualificare il contatto e capire se si tratta di un contatto momentaneo, se il contatto è avvenuto in un luogo in cui la distanza di sicurezza e i presidi individuali sono rispettati o meno, se il contatto è stato o meno prolungato, etc. Per lo stesso motivo (ovvero per la disponibilità di una maggior quantità di dati) è possibile anche che la persona contattata perché è stata esposta ad un soggetto positivo, sia in grado di riferire come e quando è stata a contatto con il soggetto infetto, permettendo così di escludere contatti ‘solo formali’ e di concentrare le misure preventive su contatti con effettivo rischio di trasmissione del contagio.
In tal modo sarebbe, dunque, possibile meglio individuare e rintracciare la presenza di eventuali focolai con dati che sarebbero obiettivamente e qualitativamente più interessanti rispetto a quelli basati unicamente su tecnologie Bluetooth” (Riccardo Berti, Alessandro Longo, Simone Zanetti, Immuni, cos’è e come funziona l’app italiana coronavirus, “agendadigitale.eu”, 7 maggio 2020).

I limiti del modello decentralizzato

In seguito all’accordo raggiunto da Apple e Google per creare un sistema API in grado far dialogare i due sistemi operativi tramite Bluetooth, ma anche come conseguenza delle polemiche sollevate in Italia per i rischi per la privacy connessi al sistema di centralizzazione dei dati, la software house milanese ha virato verso un modello decentralizzato, che prevede che i dati siano conservati sui singoli dispositivi e comunicati, all’occorrenza, al server ministeriale solo in caso di positività al virus.
Tuttavia, i sostenitori del modello centralizzato evidenziano la maggiore utilità in termini di informazioni, che dal server possono essere a disposizione del servizio sanitario per ricostruire un grafo sociale dei contagi, attraverso un trattamento dei dati in forma anonima e aggregata: “[il modello centralizzato] dà la possibilità di costruire un “grafo sociale” dei contatti avvenuti e quindi ampliare il raggio degli asintomatici da monitorare. Più centralizzi i dati, più lo puoi fare” (Alessandro Longo, L’App Immuni cambia. Seguirà il modello decentralizzato di Apple e Google, “Il Sole 24 Ore”, 22 aprile 2020).
Anche il modello decentralizzato permetterebbe tale funzione, ma solo se l’utente decide di mettere a disposizione di epidemiologi e gruppi di ricerca i dati in memoria nel suo dispositivo.