Stando alle informazioni ottenute e riportate da Alessandra Longo sul Sole 24 Ore, la versione distribuita al pubblico dell’app Immuni – prescelta dal Governo per facilitare le attività di contact tracing necessarie ad un efficace opera di monitoraggio e contrasto della diffusione del coronavirus Covid-19 – sarà basata sulla decentralizzazione dei dati.
Il Sole 24 spiega: “I cellulari generano al proprio interno, con l’app, un proprio identificativo anonimo. Se lo scambiano ogni volta che entrano in contatto (via bluetooth). Ogni cellulare contiene la lista di questi codici anonimi. I giochi cominciano quando un operatore sanitario trova un caso di coronavirus. Allora permette al paziente di caricare su un server questi identificativi anonimi con cui il suo smartphone è entrato in contatto. Il server manda a tutti gli smartphone dotati di app la lista dei codici. Se l’app riconosce il proprio in quella lista manda la notifica all’utente (del tipo: “sei stato vicino a un contagiato da covid-19 per un tempo e una distanza sufficienti dal permettere l’infezione”; dà quindi istruzioni su cosa fare, ma su questo aspetto il Governo deve ancora decidere)”.
Spiccata la differenza rispetto alla versione attualmente in fase di test basata su un modello dove i codici sono invece generati da un server centralizzato, non dai dispositivi utente. In tale ipotesi, ci sarebbe un’unica residenza sia per i dati di contatto sia per le chiavi che servono a re-identificare l’utente. Un assetto, quello imperniato su un server centrale, che costituirebbe un maggiore pericolo in termini di cybersecurity (data breach) e che non porrebbe un presidio by design adeguato ad avversare potenziali iniziative di indebita sorveglianza governativa.
Il modello decentralizzato prevede che non esista quindi un luogo unico dove vengano conservati tutti gli input univoci inviati e ricevuti dagli utenti che utilizzano l’app Immuni. Se nelle vicinanze di un utente c’è un’altra persona che ha scaricato l’app, i due smartphone interagiscono via bluetooth e solo su questi dispositivi resta traccia dello scambio di informazioni. Solo qualora una delle due persone risultasse positiva, il sistema ne sarà informato dagli organismi sanitari e solo a quel punto l’app del soggetto infetto comunicherà con il server centrale che provvederà ad avvisare gli utenti che si riterranno aver incrociato in modo pericoloso il soggetto positivo.
Strutturandosi un sistema decentralizzato, l’app Immuni sarà più confacente al principio di minimizzazione del trattamento propugnato dal GDPR. Si garantirà, grazie alla decentralizzazione, un maggior livello di tutela della riservatezza e protezione dei dati personali così come richiesto da:
- Google e Apple che saranno i maggiori distributori tramite i propri app store;
- autorevoli esponenti della comunità accademica mondiale (vedi qui sulla loro lettera aperta);
- la Guida Orientamenti sulle app a sostegno della lotta alla pandemia di covid-19 relativamente alla protezione dei dati recentemente emanata dalla Commissione Europea;
- le più recenti considerazioni rese dall’European Data Protection Board (EDPB) tramite le Guidelines 03/2020 on the processing of data concerning health for the purpose of scientific research in the context of the COVID-19 outbreak e le Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak.
La speranza è che, trattandosi di una misura che incide sulle libertà individuali dei cittadini, il rilascio dell’app Immuni sia preceduto da una regolamentazione ex lege che specifichi i principi GDPR seguiti e le caratteristiche tecniche adottate per osservarli. Starà al Garante Privacy (qui il suo ultimo intervento in merito) e al Copasir (che ha preannunciato audizioni) appurare che le caratteristiche del sistema siano in linea con quanto auspicato, anche in termini di decentralizzazione.
