Il COPASIR sull’APP anti-Covid IMMUNI.

Paola_Pisano

Il COPASIR ha trasmesso al Parlamento la sua relazione sull’app di tracciamento digitale anti covid  IMMUNI.

Ne ha dato notizia sul suo profilo twitter il co-relatore del provvedimento, Paolo Arrigoni.

L’altro relatore è Antonio Zennaro.

 

Il contesto

Il Comitato parlamentare per la sicurezza della Repubblica (COPASIR), ha  dunque approntato la sua Relazione sui profili del sistema di allerta Covid 19″  a conclusione di un ciclo di audizioni con i ministri della Salute e dell’Innovazione tecnologica, Roberto Speranza e Paola Pisano, con il direttore generale del Dis, Vecchione, e con il commissario all’emergenza coronavirus Domenico Arcuri.

La relazione chiarisce innanzitutto  che  per contact tracing si intende l’attività di tracciamento dei soggetti che potrebbero avere avuto contatti stretti con persone positive al Covid-19, come previsto dall’articolo 6 del decreto-legge n. 28 del 30 aprile 2020 ( in fase di conversione al Parlamento n.d.r.).

L’organismo rileva come si tratti però di stabilire criteri precisi, ancora non individuati nel citato decreto-legge, per definire quali possano essere considerati« contatti qualificati », cioè quelli che facciano scattare un alert, che segnali agli utenti di essere entrati in contatto stretto con un utente risultato positivo al virus, e dunque di essere a potenziale rischio di infezione.

Tale alert dovrebbe essere collegato all’effettuazione di un tampone, che al momento appare l’unica modalità certa per verificare il contagio al Covid-19 di un soggetto. Dovrebbero essere inoltre chiariti sia il meccanismo sia la responsabilità della immissione dei dati nella App. Tali dati, secondo il citato articolo 6, dovranno essere resi anonimi o, se ciò non sia possibile, pseudonimizzati.

L’architettura decentralizzata richiede necessariamente l’utilizzo di un Content Delivery Network (CDN), unico strumento che consenta di gestire efficacemente la mole di connessioni che si prevede per il funzionamento della App.

Questa tecnologia può essere oggi erogata sul territorio nazionale, tuttavia, non essendo al momento disponibile presso aziende italiane, dovrà essere acquisita ricorrendo a società estere, ancora da individuare.

Il COPASIR evidenzia come rimanga  da chiarire quali misure siano previste in caso di immissione di dati inesatti, sia per errori umani sia a seguito di attacchi informatici, oppure di vere e proprie emergenze, quali ad esempio la perdita dei dati (Disaster recovery).

In merito al contratto con la società  Bending Spoons, che ha sviluppato l’app,  la relazione sottolinea come, in base ad una clausola contrattuale  già sottoscritta con la società  la stessa si impegna a provvedere all’ulteriore sviluppo, a “regola d’arte” e con diligenza professionale, dell’App e di tutte le sue componenti e all’attività di test, collaudo, assistenza e manutenzione correttiva […] Le predette attività cesseranno in ogni caso salvo espressa e consensuale proroga, decorsi sei mesi dalla sottoscrizione del contratto stesso ».

Non si comprende quindi cosa accadrà in seguito.

Allo stato attuale non è dato sapere quali siano le caratteristiche tecniche minime dei cellulari per consentire l’installazione e il funzionamento della App.

 Le conclusioni del COPASIR

La parte più interessante della Relazione è contenuta nelle conclusioni.

Il Comitato ritiene, infatti di segnalare alcuni aspetti critici, che dovrebbero essere corretti, per evitare che l’efficacia della iniziativa risulti ridotta, e, soprattutto, che si possano determinare rischi connessi sia alla trasmissione dei dati dei cittadini, in ordine al rispetto della privacy e alla sicurezza dei dati personali, sia in particolare alla stessa gestione complessiva, dal punto di vista epidemiologico, dell’emergenza sanitaria.

In primo luogo, si rileva che la norma di cui al citato articolo 6 del decreto-legge n. 28 del 2020, istitutivo della piattaforma digitale, rinvia a successivi atti del Ministro della salute l’individuazione dei criteri sulla base dei quali verranno stabiliti i dati sanitari e personali da immettere nell’applicazione e le modalità con cui avverrà tale inserimento. Pertanto, il citato articolo 6 costituisce soltanto una cornice del progetto, i cui dettagli, molti dei quali rilevanti, devono essere ancora individuati e determinati, attraverso atti di natura amministrativa.

Ad esempio, il sistema di C.T. ( contact tracing n.d.r.)  viene definito complementare rispetto alla ordinaria modalità in uso nell’ambito del SSN, mentre il Comitato ritiene che esso dovrebbe essere considerato integrativo ditali modalità, per evitare che il C.T. digitale sostituisca il tracciamento ordinario.

La norma inoltre prevede che il tracciamento riguarderà solo le persone risultate positive al Covid-19, ma, a tale riguardo, il Comitato ritiene che l’unico dato da dover immettere nella App dovrebbe essere un codice anonimo risultante dall’effettuazione di un tampone, escludendo quindi altre procedure che al momento non abbiano evidenza scientifica .

La norma peraltro sul punto non chiarisce qual è il soggetto titolato ad inserire nella App tale codice anonimo, e inoltre non definisce controlli e disposizioni in ordine a quale sia la conseguenza di un alert, cioè quali comportamenti dovranno essere adottati da chi riceva la notifica di avere avuto contatti con una persona risultata positiva al Covid-19 e quali eventuali conseguenze derivino dalla mancata adozione degli stessi.

In generale, appare necessario che l’attuazione della piattaforma avvenga con criteri univoci sul territorio nazionale, evitando la possibilità di interpretazioni restrittive o comunque differenziate da parte delle Regioni ed Enti locali, tali da introdurre ingiustificate limitazioni alla libera circolazione dei cittadini. In proposito, il comma 4 del citato articolo 6 del decreto-legge n. 28 dispone che «Il mancato utilizzo dell’applicazione […] non comporta alcuna conseguenza pregiudizievole ed è assicurato il rispetto del principio di parità di trattamento».

Il Comitato ritiene che tale disposizione possa risultare insufficiente a escludere eventuali provvedimenti più restrittivi, da parte di soggetti istituzionali o da privati, volti a selezionare l’accesso delle persone (a luoghi, zone territoriali, locali pubblici o privati eccetera), sulla base dell’utilizzo o del mancato utilizzo dell’applicazione. Tale eventualità sarebbe infatti in netta contraddizione con quanto dispone il comma 1 dell’articolo 6 circa l’installazione su base volontaria dell’applicazione dicontact tracing. Più in generale, si tratta, a parere del Comitato, di evitare che si determinino facilitazioni o discriminazioni connesse all’utilizzo, o mancato utilizzo, della App.

 L’utilità dell’app

Tale preoccupazione è legata anche alla necessità, pubblicamente espressa, che l’utilità della App possa essere assicurata da un numero consistente di adesioni (quale che esso sia).

Non è emerso dalle audizioni svolte quale base numerica di volontari sia adeguata alla finalità per cui è stata pensata la piattaforma; è inoltre evidente che se al numero di adesioni non corrispondesse la capacità organizzativa di effettuare tamponi, l’efficacia della misura sarebbe molto limitata, a fronte di una rilevante cessione di dati personali.

Si evidenzia inoltre la necessità di rispettare rigorosamente il termine massimo del 31 dicembre 2020, previsto dall’articolo 6,comma 6, del citato decreto, entro il quale dovrà cessare l’utilizzo della piattaforma e i dati dovranno essere cancellati o resi definitivamente anonimi.

I rischi geopolitici

Sulla base di quanto sopra esposto, si possono inoltre evidenziare rischi non trascurabili sul piano geopolitico, che secondo quanto emerso dalle audizioni sarebbero non mitigabili. Infatti, la definizione dettata da privati dell’architettura dell’intero sistema informatico, inclusa la App, nonché la necessità di ricorrere a soggetti privati non nazionali, per quanto da considerare affidabili, per il CDN destinato a contenere i dati raccolti, potrebbero prestarsi a manipolazioni dei dati stessi, per finalità di diversa natura: politica, militare, sanitaria o commerciale. Si sottolinea inoltre come la possibile alterazione dei dati potrebbe far sovrastimare o sottostimare l’entità stessa dell’epidemia. Va inoltre evidenziato come, qualora ciò dovesse essere confermato, la soluzione di trasmettere i dati dei cittadini italiani alla Content Delivery Network pare contrastare con il contenuto dell’articolo 6, comma 5, del decreto-legge n. 28 del 30 aprile 2020, in cui si esplicita in maniera chiara che la piattaforma, di titolarità pubblica ,è realizzata esclusivamente con infrastrutture localizzate sul territorio nazionale e gestite dalla società di cui all’articolo 83, comma 15, del decreto-legge 25 giugno 2008, n. 112, convertito, con modificazioni, dalla legge 6 agosto 2008, n. 133.

Le finalità del trattamento dei dati ed i rischi.

Peraltro, appare quanto mai opportuno porre all’attenzione anche che, alla luce del comma 3 dell’articolo del citato decreto-legge, i dati raccolti attraverso l’applicazione non potranno essere trattati per finalità diverse da quella di allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi e tutelarne la salute, salva la possibilità di utilizzo informa aggregata o comunque anonima, per soli fini di sanità pubblica, profilassi, statistici o di ricerca scientifica. Per quanto appena evidenziato, un simile « transito di dati » – anche se fosse temporaneo e avvenisse esclusivamente per mezzo di sistemi informatici presenti sul territorio nazionale – dovrebbe obbligatoriamente essere non solo chiarito ed esplicitato, ma anche e soprattutto regolamentato con estrema attenzione sotto il punto di vista giuridico, al fine di adempiere a quanto previsto dalla normativa europea e nazionale in materia di trattamento di dati personali. In tal senso, potrebbe essere opportuno verificare che nessun attore nazionale e soprattutto internazionale, ivi compresa la società aggiudicataria dello sviluppo della App, possa in qualsivoglia modo accedere direttamente o incidentalmente ai dati raccolti, anche nel caso in cui questo soggetto abbia dato un qualsiasi apporto – anche tecnologico – per la realizzazione o per l’efficacia del sistema nazionale di allerta Covid-19. Ciò al fine di impedire che simili informazioni – rilevanti sia sul piano della qualità sia della quantità e soprattutto della capillarità – possano più o meno direttamente entrare nel possesso di attori europei e internazionali, sia pubblici sia privati, a vario titolo interessati.

 

La preoccupazione per il ruolo della società bending Spoons.

Il Comitato esprime preoccupazione per il fatto che dopo l’entrata in esercizio della App Immuni, che dovrà comunque essere preceduta da fasi di test, la Bending Spoons, secondo quanto previsto dal contratto, continuerà la sua attività di aggiornamento dell’applicazione per un periodo di sei mesi, determinando quindi una potenziale dipendenza del sistema posto in essere da tale sviluppo tecnologico, affidato anche in questo caso a una società privata. Sul punto non risulta chiaro se l’attività di aggiornamento della App da parte di Bending Spoons possa svolgersi in sovrapposizione e/o congiunta-mente con l’attività di PagoPA.

 

Il rischio tecnologico.

Né può essere sottovalutato il rischio tecnologico, anch’esso difficilmente mitigabile, almeno nel breve periodo, consistente in possibili attacchi di tipo informatico da parte di hacker o  altri soggetti o in possibili truffe ai danni degli utilizzatori della App. La tecnologia Bluetooth risulta infatti particolarmente vulnerabile a intrusioni i cui effetti, in questo contesto, potrebbero essere tali da diffondere allarme ingiustificato nella popolazione, ad esempio mediante l’invio di messaggi falsi o fraintendibili, relativi, inter alia, allo stato di salute o al possibile contagio dei destinatari. In ogni caso, il fatto che il sistema non preveda la geolocalizzazione, elemento su cui il Comitato concorda, se da un lato tutela la privacy, dall’altro esclude che si possa procedere a individuare, e quindi a sanificare, determinati ambienti o zone potenzialmente infette. Infine, dalle audizioni svolte non sembra praticabile una interoperabilità con le soluzioni adottate, o in via di adozione, da parte degl ialtri principali Paesi europei, considerato anche che non è stata decisa una linea comune a livello di Unione europea (sebbene sia stata adottata il 17 aprile scorso una comunicazione della Commissione con alcuni orientamenti per gli Stati membri circa la App di tracciamento). Questo aspetto appare decisivo per la piena funzionalità del sistema, soprattutto in un Paese a vocazione turistica come il nostro, che dovrebbe assicurare la libera circolazione delle persone all’interno dell’Unione europea.

@fulviosarzana