il Fatto Quotidiano, 23 aprile 2020
Ombre e problemi della app Immuni
Il fatto che la si scaricherà volontariamente è stato per ora messo al sicuro con le dichiarazioni del premier Conte. Il commissario dell’emergenza, Domenico Arcuri, però, ha sottolineato che senza la app di contact tracing si tornerà in lockdown, mentre gli esperti sostengono che sarà efficace solo se scaricata sul proprio telefono dal 70% degli italiani. Fermati questi punti, la app “Immuni” ha molte altre grane davanti e dietro di sè che stanno rendendo faticoso il suo ultimo miglio, problemi che non possono essere semplicemente catalogati come “tecnici”: dalla loro risposta dipendono aspetti politici ed etici.
Se in queste ore l’azienda creatrice della app, Bending Spoons, e il ministero della Salute stanno lavorando su un documento condiviso, ancora non si sa quale server custodirà i dati. La app, come licenziata dalla gruppo di lavoro del ministero dell’Innovazione, prevede (oltre alla rilevazione dei contatti tra le persone con il Bluetooth) una fase in cui i dati anonimizzati dei contatti sono conservati sui dispositivi e una fase in cui vengono trasferiti su un server, ovvero quando si palesa un positivo e si debba far arrivare la notifica alle persone “a rischio”. È stata progettata considerando come server quello della società creatrice Bending Spoons, ma ora tocca al ministero della Salute indicare quale sarà quello “pubblico”. Saperlo risponderà a questioni ancora aperte: chi deterrà legalmente i dati? Sotto quale legislazione saranno i server? Quali le garanzie?
Sullo sfondo c’è uno scontro di “filosofia” digitale che sta creando ulteriori rallentamenti. Bending Spoons ha aderito sin dall’inizio del progetto al consorzio Pan-European Privacy-Preserving Proximity Tracing (Pepp-Pt), appoggiato da ricercatori, aziende e governi e promotore dello sviluppo di app di contact tracing che rispondano a specifici parametri. Serve a questo punto uno “spiegone”. Il contact tracing digitale ha tre livelli di “pensiero”: il primo che vuole centralizzare nei server i dati di ogni fase, dalla raccolta dei contatti all’allerta; il secondo (che è quello di Immuni) che vuole centralizzare i dati raccolti via bluetooth solo quando si rivela un positivo; il terzo che, invece, prevede che i contatti e i dati restino sempre sui telefoni e che nei server finisca solo il codice del positivo.
Quest’ultima soluzione era stata sposata da un ramo del consorzio Pepp-Pt, denominato Dp-3T, che però è stato fatto fuori senza spiegazioni nei giorni scorsi e che risponde al cosiddetto principio di privacy by design (ovvero garantire la massima privacy già al momento della realizzazione di un software o hardware) previsto anche nel Gdpr, il regolamento europeo per la protezione dei dati. La defenestrazione ha messo in allerta gli esperti.
Secondo Lorenzo Zaccagnini, attivista della privacy e sviluppatore di software per blockchain e intelligenza artificiale, “i problemi di trasparenza dietro queste scelte hanno decretato l’uscita da Pepp-Pt di realtà come Isi, Cispa, Ethz, Epfl, Ku Leuven. I critici sottolineano la possibilità di ricostruire a ritroso i dati che possono consentire a terze parti, anche se escluse dal server centralizzato, di identificare i singoli”. Ci sono quindi rischi di attacchi con spyware o malware, usati da privati e governi per tracciare oppositori e giornalisti. “Le vulnerabilità, poi, possono intaccare i sistemi operativi Android di Google o iOs di Apple e invalidare anche l’app migliore. Sarebbe opportuno che l’audit di Immuni fosse fatto dal più ampio pubblico possibile”. Tanto più che in base al Regolamento Ue, i dati sanitari sono una categoria speciale e richiedono un livello di protezione più elevato. Possono essere raccolti se necessario per proteggere interessi vitali della persona e per motivi di rilevante interesse pubblico e di prevenzione, ma il trattamento, proporzionato allo scopo, deve prevedere “idonee e misure specifiche per salvaguardare i diritti fondamentali degli interessati”. E in caso di ricorso a nuove tecnologie per la loro elaborazione, che possano comportare rischi elevati per i diritti dei cittadini, serve una valutazione di impatto preliminare. L’assioma è però semplice: i dati che non possono essere rubati sono solo quelli che non vengono memorizzati.
In mezzo, ci sono le due maggiori aziende dei sistemi operativi per smartphone. Dal protocollo che il ministero della Salute deciderà di sposare (Pepp-pt o Dp-3T) dipenderà la compatibilità con il sistema che stanno realizzando Apple e Google, che sposano la filosofia della decentralizzazione e che gestiscono i sistemi operativi della quasi totalità dei telefoni. Ai governi (non solo all’Italia, ma anche alla Francia) interessa invece riuscire a gestire più informazioni possibili per tracciare i contagi più velocemente.
“Altri problemi riguardano i super-cluster, cioè i tracciamenti di molte persone per vicinanza ma senza un reale contatto, ad esempio se si è riparati da un vetro”, conclude Zaccagnini. Della squadra che sviluppa l’app Immuni fa parte Geouniq, società il cui sistema di geolocalizzazione individua la posizione di un cellulare, compreso il piano del palazzo, ma con un errore di 10 metri: implementare un sistema di questo tipo potrebbe creare enormi rischi di falsi positivi. Inoltre Bending Spoons produce molte app tra le quali Pico, un “raccoglitore” di dati che registra tutti i clic sulle altre app della società, li analizza, li aggrega e ne estrae informazioni. Pico interagirà con Immuni? A questa e altre domande Bending Spoons non ha risposto.