Articolo cura di Cultura Digitale Il Governo ha scelto l’app Immuni per la gestione del contact tracing nella fase 2 dell’emergenza...
Articolo cura di Cultura Digitale
Il Governo ha scelto l’app Immuni per la gestione del contact tracing nella fase 2 dell’emergenza coronavirus. Vediamo come funziona, come scaricarla (a breve) e come si è arrivati a questa scelta, insieme a un confronto con i sistemi utilizzati in altri paesi
Riccardo Berti
avvocato Centro Studi Processo Telematico
Alessandro Longo
Simone Zanetti
Avvocato in Verona
Si chiama “Immuni” ed è sviluppata dall’italiana Bending Spoons l’applicazione per iOS e Android prescelta dal Governo italiano per il contact tracing dei soggetti risultati positivi al virus, nella “Fase 2” dell’emergenza covid-19.
Vediamo quindi come si è arrivati a questa scelta, come scaricare l’app – il download sarà gratis e su base volontaria quando sarà disponibile a tutti, verso fine maggio – e quali sono le caratteristiche della soluzione, anche con un confronto con i sistemi di tracciamento dei contatti adottati in altri Paesi.
App Covid-19 Immuni: come funziona e dove trovarla
La motivazione della scelta di Bending Spoons e dell’app Immuni (sviluppata in partnership con Jakala e Centro Medico Santagostino) poggia su tre considerazioni ufficiali, ovvero:
capacità di contribuire tempestivamente all’azione di contrasto del virus;
conformità al modello europeo delineato dal Consorzio PEPP-PT (in effetti adottato in parte dall’app). Nota: da questo modello ora l’app si sta distaccando, andando incontro a quanto chiesto da Apple-Google, vedi sotto.
garanzie per il rispetto della privacy.
Gli ultimi due aspetti (considerando che il Consorzio PEPP-PT ha sempre escluso un approccio basato su GPS per i rischi privacy connessi) confermano che Bending Spoons sia stata scelta anche perché ha escluso un’invasiva soluzione basata su GPS, non in linea con le linee guida europee.
Come scaricare l’app Immuni (gratis) e quando
L’app potrà essere scaricata, su base volontaria e gratis, dal play store Android e dall’Apple store per dispositivi iOS (il download non sarà quindi disponibile, almeno inizialmente, su Windows Phone, su feature phone e su telefoni Android sprovvisti del play store).
Il Governo ha precisato che l’app sarà inizialmente sperimentata in alcune regioni pilota (oltre che, a quanto sembra, nelle sedi di Maranello e Modena della Ferrari, nell’ambito del progetto Back on Track), per poi essere adottata a livello nazionale. La data indicata più probabile ora è verso fine maggio.
Le caratteristiche pratiche dell’app Immuni
Venendo alle caratteristiche dell’app Immuni, questa sarà composta di due parti, una dedicata al contact tracing vero e proprio (via Bluetooth) e l’altra destinata ad ospitare una sorta di “diario clinico” in cui l’utente possa annotare tempo per tempo dati relativi alle proprie condizioni di salute, come la presenza di sintomi compatibili con il virus.
L’applicazione si fonda, come le soluzioni di Singapore, Apple e Google, sulla tecnologia Bluetooth Low Energy (BLE) e mantiene i dati dell’utente sul proprio dispositivo, assegnandogli un ID temporaneo, che varia spesso e viene scambiato tramite Bluetooth con i dispositivi vicini.
Come funziona il tracciamento coronavirus
Quando uno dei soggetti che ha scaricato l’app risulta positivo al virus, gli operatori sanitari gli forniscono un codice con il quale questi può scaricare su un server ministeriale il log degli ID con cui è stato in contatto nei giorni precedenti (a un metro, per un numero sufficiente di secondi), così da consentire il loro “abbinamento” agli utenti che hanno scaricato l’app.
Pare che a questo punto ci sia un “vaglio qualitativo” algoritmico dei contatti, per ridurre il rischio di falsi positivi, che valuta la vicinanza fra i dispositivi e tempo di esposizione fra gli stessi e restituisce un valore di “rischio contagio” e genera un elenco di persone da avvertire tramite smartphone.
Il server quindi fa sì che arrivi una notifica ai dispositivi di persone potenzialmente a rischio, sempre tramite l’app.
La notifica ha un messaggio deciso dalle autorità sanitarie e chiede di seguire un protocollo (isolamento, contattare numeri di emergenza per tamponi), non ancora deciso dal Governo.
I dati dei contatti restano sui dispositivi in forma anonima e cifrata.
La trasmissione dei dati, stando allo standard del progetto PEPP-PT (e anche di altri utilizzabili da queste app in Occidente), cui Bending Spoons aderisce, è cifrata e firmata digitalmente per garantire la massima sicurezza e riservatezza in questa fase di “uscita” del dato dallo smartphone del singolo utente.
Ancora il Governo non ha fatto sapere (né probabilmente ha deciso) quale sarà questo server; sostiene però che deve essere un’infrastruttura pubblica italiana.
App Immuni quasi obbligatoria?
Il ministero della Salute ha escluso che ci possano essere forme di imposizione di fatto dell’app, obbligandone l’uso per poter superare le limitazioni di mobilità della fase 2.
Questo rispondendo a un’alzata di scudi di varie forze politiche alla notizia che la commissione tecnico-scientifica del governo sul coronavirus stava appunto per formalizzare una proposta per rendere l’app quasi obbligatoria, di fatto.
La leva ipotizzata era renderla condizione necessaria per poter fruire dei vantaggi di mobilità della fase 2 e abbinandola all’autocertificazione coronavirus. Un’ipotesi – con la collaborazione di Domenico Arcuri e della task force di Vittorio Colao – che avrebbe potuto formalizzare nei prossimi giorni, ma poi smentita.
Un’app dal codice open source
Nota positiva dell’approccio italiano, che ci si augura verrà condivisa negli altri stati membri dell’Unione, è poi l’impegno da parte del Ministero per l’innovazione tecnologica e la digitalizzazione a rendere il codice dell’applicazione open source e quindi utilizzabile da altri governi nella lotta contro il virus e studiabile e revisionabile da chiunque vi abbia interesse, impegno che trova conferma nell’ordinanza del 16 aprile per la contrattualizzazione di Bending Spoons, dove si fa esplicito riferimento al fatto che la società, per spirito di solidarietà, si è resa disponibile a concedere licenza d’uso aperta, gratuita e perpetua al Commissario e alla Presidenza del Consiglio dei Ministri..
L’app Immuni cambia adottando un modello decentralizzato – con le Api di Google e Apple
Gli sviluppatori di Immuni, d’accordo con il ministero dell’innovazione, hanno deciso di cambiare in corso d’opera il modello di funzionamento, per aumentare la privacy, la sicurezza dei dati e andare incontro alle richieste di Google-Apple (non soddisfarle avrebbe per altro messo a rischio il buon funzionamento complessivo dell’app). Si seguono le idee del progetto Decentralised Privacy-Preserving Proximity Tracing (DP-3T) che si è separato da Pepp-Pt perseguendo un modello più decentralizzato.
Le novità saranno introdotte nelle prossime versioni dell’app e prima del rilascio finale.
La differenza principale rispetto a Pepp-Pt è che la crittografia-generazione delle chiavi avviene direttamente sui dispositivi utente (invece che su server).
Così, ogni volta che due cellulari si “incontrano” (ovvero rimangono ad una certa distanza per un certo tempo, due parametri che dovranno definire le autorità sanitarie), si scambiano il proprio identificativo anonimo generato localmente con crittografia. Quindi il cellulare dotato di app porta con sé soltanto una lista di numeri (privi di qualsiasi elemento identificativo della persona).
Il server si limita a diramare la lista degli identificativi anonimi tracciati sul dispositivo del paziente. Il cellulare con l’app riceve la lista e se si riconosce in questo identificativo manda la notifica all’utente.
Non c’è quindi più un server che contenga sia i dati di tracciamento sia le chiavi crittografiche. Viene così meno una possibilità di re-identificare i soggetti. Solo chi riceve la notifica sa di esserlo stato, di conseguenza.
Si noti che l’app seconda arrivata in Italia, Coronavirus Outbreak Control, segue al contrario un modello più centralizzato su server, per consentire un più ampio e profondo tracciamento dei contagiati asintomatici con un grafo sociale.
Come detto, non è solo una questione di privacy. Aderire al framework Apple-Google può ridurre anche il rischio di limiti nella funzionalità. I sistemi operativi mobili limitano infatti le applicazioni in background, possono terminare forzatamente il processo e (soprattutto su iOS) impediscono che un’app abbia il completo controllo del modulo bluetooth. Di conseguenza non avverrebbe il tracciamento. Il problema è aggravato quando a voler comunicare sono due cellulari di sistemi diversi (difetto di interoperabilità). Al momento gli sviluppatori hanno implementato un workaround per aggirare il problema (come gli sviluppatori di altre app simile).
Le API che saranno rilasciate da Google e Apple permettono però per la prima volta di risolvere a monte il problema. Le API sono interfacce di programmazione app che, in questo caso, consentono finalmente l’accesso alle funzioni bluetooth degli smartphone Android e iPhone.
Lo scopo è risolvere le citate criticità nel funzionamento delle app in background e l’attuale alto rischio di falsi positivi e negativi dovuti al fatto che mai prima d’ora il bluetooth era stato usato per un tracking (ma solo per una comunicazione fra due device).
Al momento però quello di Immuni, come di altre app europee, con Apple e Google è un lavoro solo “sulla carta”, perché i due colossi non hanno rilasciato il codice su cui lavorare effettivamente (e lo faranno pare solo verso metà maggio).
La privacy dell’app Immuni: una soluzione in linea con le linee guida Ue
La Commissione europea, nelle proprie linee guida sul contact tracing dell’8 aprile, oltre a precisare che la scelta tecnologica dell’Unione è quella di utilizzare soluzioni basate su Bluetooth, ha scandagliato la situazione nei vari stati membri (e membri EFTA) evidenziando che solo Cipro e Norvegia stanno vagliando soluzioni blended che sfruttano sia Bluetooth che GPS.
Essenziale, in questa fase, è appunto il coordinamento con le autorità europee, per arrivare ad una soluzione il più possibile omogenea che consentirà, quando sarà il momento, un più rapido ripristino dei movimenti di persone infra-comunitari.
Sul punto non resta quindi che augurarsi che l’Italia segua le indicazioni diffuse il 9 aprile scorso dall’ECDPC (European Centre for Disease Prevention and Control) in un report tecnico dettagliato, di cui parleremo di seguito, che contiene anche una proposta di algoritmo per gestire le segnalazioni di soggetti positivi o potenziali positivi e che lo sviluppo confluisca in un progetto comune europeo.
Da questo punto di vista è senz’altro positivo che nell’ordinanza firmata dal Commissario Straordinario Arcuri il 16 di aprile vi sia il riferimento al fatto che Bending Spoons (lo sviluppatore dell’app Immuni) è stato scelto anche perché fa parte del menzionato progetto PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing), il che fa ben sperare circa un approccio in linea con le istituzioni europee, anche se non va dimenticato che il progetto PEPP-PT non è un progetto istituzionale ma nasce dal raggruppamento di vari soggetti privati, sebbene la Commissione lo abbia esplicitamente menzionato tra le iniziative europee di interesse nelle proprie linee guida.
La scelta di un modello più decentrato più andare ancora più incontro alle richieste della Commissione europea, che aveva indicato l’opportunità di seguire modelli che minimizzino l’utilizzo dei dati.
E il Gps? Come si è arrivati a preferire Blending Spoon
All’inizio si parlava anche in Italia di soluzioni blended che uniscono ai dati BLE un tracciamento basato sulla geolocalizzazione.
Bending Spoons, lo sviluppatore della app “Immuni” scelta con ordinanza del 16 aprile dal Commissario Straordinario Arcuri, aveva inizialmente adottato proprio questo approccio “misto” salvo poi eliminare l’opzione per il GPS nel progetto presentato al Ministero, visto il clima sfavorevole verso queste soluzioni (scelta che poi si è rivelata vincente). In effetti, secondo alcune fonti di stampa, uno degli applicativi con cui l’app Immuni è stata fino all’ultimo in ballottaggio è Coronavirus Outbreak Control, una soluzione non troppo dissimile, basata su BLE ma che prevedeva (con scelta su base volontaria dell’utente) la possibilità di azionare un “secondo livello” di tracciamento basato su GPS (con un raggio molto amio, 100 metri, per ostacolare la re-identificazione).
La notizia dell’utilizzo del GPS da parte di molte delle applicazioni proposte al Ministero aveva destato preoccupazioni perché rischiava di allontanare la soluzione italiana da quelle condivise a livello europeo, anche se c’è da dire che una soluzione che sfrutti sia Bluetooth che GPS sarebbe molto più efficace nella valutazione “qualitativa” dei contatti tracciati.
Con il Bluetooth è possibile tracciare un contatto a prescindere da dove questo sia avvenuto. Per gli applicativi basati unicamente su tale dato, quindi, un passante incrociato per strada ed un collega di lavoro con cui si condivide l’ufficio non fanno differenza.
Con la tecnologia GPS, che traccia non solo il contatto ma anche dove questo è avvenuto, è possibile qualificare il contatto e capire se si tratta di un contatto momentaneo, se il contatto è avvenuto in un luogo in cui la distanza di sicurezza e i presidi individuali sono rispettati o meno, se il contatto è stato o meno prolungato, etc.
Per lo stesso motivo (ovvero per la disponibilità di una maggior quantità di dati) è possibile anche che la persona contattata perché è stata esposta ad un soggetto positivo, sia in grado di riferire come e quando è stata a contatto con il soggetto infetto, permettendo così di escludere contatti “solo formali” e di concentrare le misure preventive su contatti con effettivo rischio di trasmissione del contagio.
In tal modo sarebbe, dunque, possibile meglio individuare e rintracciare la presenza di eventuali focolai con dati che sarebbero obiettivamente e qualitativamente più interessanti rispetto a quelli basati unicamente su tecnologie Bluetooth. Il beneficio però è ora orientativamente considerato inferiore ai rischi.
Questo genere di soluzioni ha come contraltare un approccio certamente più invasivo nei confronti del diritto alla riservatezza degli utenti, in quanto in grado di individuare tutti gli spostamenti effettuati da quest’ultimi, comportando così una presumibile violazione del principio di minimizzazione previsto dal GDPR.
Oltretutto, nel caso in cui la base giuridica venga individuata (come suggerito da più parti) nell’esigenza di tutelare la salute pubblica, l’utilizzo massiccio di dati riguardanti la geolocalizzazione dei fruitori dell’app potrebbe comportare altresì la violazione dei principi di proporzionalità e necessità previsti dalla Convenzione Europea sui diritti dell’uomo (art. 8 CEDU), nella Carta dei diritti fondamentali dell’UE (artt. 7 e 8 Carta di Nizza).
Nello scegliere quale soluzione tecnologica adottare per il contact tracing il Governo si è quindi trovato di fronte ad una scelta non solo tecnologica ma anche politica. Se la decisione fra BLE solo o accompagnato da dati GPS era una scelta meramente tecnica che ha pro e contro, si sarebbe trattato di una decisione di ben poco impatto se l’Italia fosse stata da sola ad adottarla.
L’ordinanza del 16 aprile sembra confermare che la possibilità di utilizzare il GPS sia infine stata esclusa dal Governo.
Chi è Bending Spoon, gli sviluppatori dell’app Immuni
Tutto questo considerato, al ministero dell’Innovazione – e di conseguenza ad Arcuri – la scelta dell’app di Immuni è sembrata quella preferibile. Perché rispettava le linee guida europee in fatto di privacy; ma anche per le caratteristiche dei soggetti che c’erano dietro.
Bending Spoon è una pmi innovativa con 150 sviluppatori, fondata nel 2013, e di Milano. E’ considerato uno dei principali sviluppatori di app, con oltre 200 milioni di download complessivi, un fatturato 2018 riportato di 45,5 milioni di euro. Amministratore delegato, Luca Ferrari. Nel capitale, anche H14, holding dei figli di Berlusconi.
La necessità di una soluzione condivisa in Europa
Per quanto fosse auspicabile che l’Unione Europea sviluppasse una soluzione condivisa per il contrasto tecnologico del virus (soluzione che, in prospettiva, avrebbe aiutato ad attuare una più rapida ripresa dei movimenti di persone intra-comunitari) e per quanto una simile condivisione di intenti e strumenti sia stata fatta propria dal Garante Europeo della Protezione dei Dati e dalla Commissione Europea con raccomandazione del 08 aprile 2020, la “corsa” alla tecnologia per combattere il virus è in ogni caso da accogliere con favore, nella speranza che i singoli paesi dell’U.E. abbiano la lungimiranza necessaria per garantire l’interoperabilità delle soluzioni o almeno l’umiltà necessaria per adeguarsi al progetto più promettente sorto nell’ambito dell’Unione.
Come ha ricordato il Garante Privacy Europeo Wojciech Wiewiorowski, una applicazione europea con una forte sicurezza e che garantisca il rispetto della privacy degli individui è l’unica soluzione percorribile, perché “da grandi database derivano grandi responsabilità” e pensare di affrontarle da soli sarebbe una grave miopia da parte dei governi dell’Unione.
I vantaggi di una soluzione condivisa europea sarebbero almeno due. La possibilità di continuare a tracciare le persone anche oltre-confine, senza cambiare app (interoperabilità delle soluzioni). La possibilità di condividere dati di funzionamento degli algoritmi e approcci per affinarne l’efficienza.
Il Ministro per l’Innovazione Tecnologica ha precisato che la soglia (condivisa anche dal Garante Privacy) di efficacia dell’applicativo è l’adozione da parte di almeno il 60-70% degli italiani. Trattandosi di uno strumento del tutto volontario e visto il fatto che in Italia non tutte le fasce di popolazione hanno adeguata dimestichezza con gli smartphone, è evidente che il problema principale (che determinerà il successo o il fallimento dell’applicazione) sarà proprio quello di raggiungere questa soglia di adesione. Per risolvere questo problema si sta pensando a misure che incentivino il download dell’applicazione.
Altro problema di cui tener conto è quello delle misure complementari a supporto dell’iniziativa di contact tracing.
Come dimostrato dai successi riscontrati dalla soluzione adottata della Corea del Sud, la soluzione tecnologica non può prescindere dagli ulteriori due elementi di cui è composto l’ormai noto assioma delle “tre T”, composto da Testing, Tracing, Treating.
Il che significa che la tecnologia deve trovare il proprio complemento in un sistema in grado di effettuare controlli, tramite tamponi, per individuare i positivi, nonché di isolare i casi meno gravi, per i quali l’assistenza sanitaria potrà avvenire anche a distanza.
Nulla di questo è stato deciso.
Come intende il Governo gestire il post-tracking (u clic dall’app per ordinare il tampone, un contact center a chi riceve notifica)? Come incentiverà il download massivo (posto che rinuncia all’obbligatorietà in qualsiasi forma, anche solo di fatto)? Come scioglierà il nodo del server, sicuro e al tempo stesso di “proprietà italiana”?
App Immuni: i chiarimenti del Ministero
Con nota del 21 aprile 2020 il Ministro per l’innovazione tecnologica e la digitalizzazione Paola Pisano ha fornito i primi chiarimenti riguardo all’app “Immuni”.
L’app è stata inoltre “vittima” di una serie di analisi più o meno fondate su dati reali (è difficile infatti dare giudizi attendibili su un software senza che questo sia stato nemmeno rilasciato).
Questa inondazione di notizie ha rischiato e tuttora rischia di minare la fiducia degli italiani in questa soluzione tecnologica che, essendo destinata all’adozione volontaria, necessita di un’immagine invece chiara e positiva per raggiungere il break-even point.
Il Ministero, nella sua nota, rimarca quindi che l’applicazione prescelta (tra 319 proposte) sarà orientata alla privacy e sarà open source.
Con riguardo alla privacy queste le precisazioni del Ministero:
– L’applicazione non accederà alla rubrica dei contatti, non chiederà di conoscere il numero telefonico dell’utente e non invierà SMS per la notifica dei soggetti a rischio (operazione che sarà gestita all’interno dell’app).
– L’applicazione non conserverà i dati relativi alla geolocalizzazione degli utenti, ma registrerà esclusivamente i contatti pseudonimizzati (tramite ID) di prossimità, rilevati mediante la tecnologia Bluetooth LE.
– L’applicazione sarà gestita interamente da soggetti pubblici (questo uno dei paletti del sottogruppo “Profili giuridici della gestione dei dati connessa all’emergenza” in seno al Gruppo di lavoro ministeriale).
Il Codice sorgente sarà rilasciato con licenza Open Source MPL 2.0. La sigla “MPL”, che sta per Mozilla Public License, individua la licenza pubblica sviluppata dalla Mozilla Foundation e qui viene proposta nella sua ultima evoluzione, la 2.0. Si tratta di una licenza di tipo copyleft (“permesso dell’autore”) che consente la libera diffusione e sviluppo dell’opera e di suoi derivati a patto che il codice originario sia attribuito all’autore e che il nuovo software (c.d. “Opera Maggiore”) sia anch’esso rilasciato sotto licenza MPL.
Il sistema, inoltre, sarà sviluppato tenendo conto dei sistemi di contact tracing internazionali. Sul punto il Ministero menziona, oltre a PEPP-PT, di cui fa parte Bending Spoons, anche DP-3T, sigla che sta per “Decentralized Privacy-Preserving Proximity Tracing“, ovvero la soluzione di tracciamento proposta da un team di vari ricercatori, con base in Svizzera, e che è una delle soluzioni che rientrano tra quelle coinvolte nel progetto PEPP-PT (che è un “contenitore” di vari progetti ispirati da principi comuni come il rispetto della privacy e l’interoperabilità a livello europeo), e ROBERT, sigla che sta per “ROBust and privacy-presERving proximity Tracing protocol” e che è stata promossa dall’Istituto francese per la ricerca nell’informatica e nell’automazione e dal Fraunhofer AISEC.
Il Ministero ricorda poi che il sistema terrà conto anche dell’evoluzione dei modelli annunciati da Apple e Google.
Il Ministero precisa infine che la società Bending Spoons si è impegnata, sempre gratuitamente e pro bono, a completare gli sviluppi software necessari per la messa in esercizio del sistema di contact tracing (circostanza in grado di spiegare, pare, l'”appalto di servizi” cui fa cenno l’Ordinanza del Commissario Arcuri del 16 aprile scorso, che alcuni commentatori avevano inteso quale abdicazione della gestione del servizio al contraente privato).
Non resta che augurarsi che questi chiarimenti plachino il fiume di notizie (e di critiche) riguardo all’app Immuni, senza decretarne la fine prima ancora del suo rilascio e lasciando le (eventuali) censure, a quel momento e a ragion veduta.
Le soluzioni in Cina, Corea e Singapore
Per contestualizzare la soluzione italiana, è utile ricordare la “via orientale” al contact tracing, spesso vista come intrusiva e a volte coartata e quindi da scartare a priori.
In realtà molte delle idee che oggi si sperimentano in Europa discendono dalle sperimentazioni fatte in Asia, che hanno provato in molti casi la loro efficacia nel contrasto al virus, anche se a volte “dopate” da una mole di dati personali carpiti ai cittadini senza alcun bilanciamento fra diritto alla salute pubblica e diritto alla riservatezza.
Tra le toolbox più virtuose va senz’altro annoverata quella sviluppata a Singapore, dove una buona fetta della popolazione ha scaricato la app TraceTogether, sviluppata con dovizia da un’agenzia governativa, sfruttando la tecnologia Bluetooth Low Energy (BLE).
Il sistema cifra i dati dell’utente su server governativi e gli assegna un ID temporaneo, che varia spesso e viene trasmesso da un dispositivo all’altro quando questi si trovano a “portata” del segnale Bluetooth.
Il sistema ha però delle problematiche di implementazione, la prima delle quali è il fatto che ha necessità di una percentuale di adozione (ricordiamo, su base volontaria), sul totale della popolazione, molto elevata per poter funzionare e la seconda discende dalla natura stessa della tecnologia Bluetooth che, a seconda del modello di smartphone posseduto, può captare soggetti a distanza diversa (teoricamente fino a 100 metri) con i quali non necessariamente si è entrati in contatto con modalità tali da poter comportare un contagio.
La app è poi del tutto inutile se il governo non connette i dati raccolti ad azioni positive (es. contattare e sottoporre a tampone tutti i soggetti che hanno avuto contatti nelle due settimane), azioni che non possono essere particolarmente penalizzanti (altrimenti si otterrebbe, presumibilmente, un drastico calo delle adozioni)
Il codice sorgente dell’app sviluppata a Singapore è open source ed è stato pubblicato sul web con il nome di progetto OpenTrace (che comprende il protocollo BlueTrace per garantire la privacy dei cittadini) e potrà fare da base per applicazioni sviluppate in altri paesi.
La Cina, dal canto suo, ha invece sfruttato applicativi già presenti sugli smartphone dei propri cittadini (WeChat e Alipay) oltre a sperimentare numerose diverse soluzioni localmente.
Il “problema” cinese è che l’adozione di simili strumenti era spesso imposta o comunque connessa alla possibilità di ricevere servizi.
Altra soluzione sperimentata in Cina, e che è difficile pensare possa trovare applicazione in Europa, è quella dell’utilizzo di software per monitorare il rispetto delle misure restrittive, quasi fossero un “braccialetto elettronico” sui generis.
A prescindere dal fatto che una simile misura deve essere connessa ad una (difficilmente immaginabile) legge che imponga ai cittadini di muoversi tassativamente con il cellulare acceso (con livello di batteria sufficiente da garantire il ritorno a casa).
Ulteriore metodologia da considerare è quella di recente implementata ad Hong Kong, dove a tutti i soggetti in ingresso viene consegnato un braccialetto che ne monitora i movimenti per la durata della loro presenza.
La soluzione coreana, via mediana fra quella adottata a Singapore e il ventaglio di app cinesi, ha dalla sua un rigoroso approccio su base volontaria, ma non è molto rispettosa del dato personale dei cittadini sottoposti a tracciamento e non potrà quindi (ci si augura) essere presa a modello nel contesto europeo.
Le soluzioni di Google e Apple in USA
L’unica vera alternativa allo sviluppo di una applicazione a livello europeo è forse la soluzione globale proposta da Google ed Apple.
Questa soluzione è ancora in via di sviluppo ed è stata recentemente presentata da Google ed Apple e dovrebbe essere sviluppata entro la metà del mese di maggio.
Il sistema pensato dai colossi americani si basa sulla tecnologia Bluetooth Low Energy (BLE) e cifra i dati dell’utente sul proprio dispositivo, assegnandogli un ID temporaneo, che varia spesso e viene scambiato tramite Bluetooth con i dispositivi vicini.
Suona familiare?
E’ evidente che dobbiamo molto alla sperimentazione singaporiana ed alle altre precedenti da cui questa ha preso a sua volta spunto, che hanno consentito di sviluppare un sistema efficace di tracciamento da cui il mondo può trarre insegnamento.
Apple e Google però stanno cercando di fare qualcosa di più, per evitare il rischio di falsi positivi con la registrazione di “contatti” Bluetooth non significativi di un potenziale contagio (per l’eccessiva distanza fra le parti).
Gli ingegneri dei due colossi tech contano infatti di riuscire ad inserire una “soglia” di potenza del segnale del Bluetooth per escludere contatti non rilevanti.
La “app” ha inoltre un potenziale di adozione inedito in quanto verrà resa disponibile su tutti gli smartphone dei due produttori e potrà condividere i dati fra gli stessi.
Il progetto si compone di un primo momento in cui il programma potrà essere inserito nel codice di applicazioni predisposte dalle autorità di pubblica sicurezza, e si occuperà di raccogliere il log dei “contatti” fra il proprio ID (che varia tempo per tempo per ragioni di privacy) e quelli dei vari smartphone che entrano nel range del dispositivo.
In un secondo momento il programma potrà diventare un’applicazione autonoma o, nelle intenzioni degli sviluppatori, un semplice toggle per permettere di decidere se registrare o meno i “contatti”.
Una volta che la stessa non sarà più necessaria, le due società garantiscono che dismetteranno il sistema.
Il sistema funziona registrando i contatti per 14 giorni e consente, nel caso in cui un soggetto risulti positivo al contagio, di condividere i dati relativi ai contatti delle due settimane precedenti e di inoltrare un messaggio automatico a tutti questi contatti.
Il successo dell’applicativo dipende quindi dalla decisione dei vari governi di adottare questo standard e di implementarlo nelle rispettive applicazioni.
Dal punto di vista della sicurezza del sistema, il modo in cui lo stesso è costruito rende difficile, anche in caso di data breach, che un aggressore esterno possa riuscire ad abbinare gli ID con i relativi “contatti” a soggetti specifici.
D’altro canto Google ed Apple si trovano così a custodire una mole di dati (di movimento e inevitabilmente sanitari) davvero incredibile quando una situazione simile a quella adottata a Singapore consentirebbe di limitare il trattamento dei dati in capo all’autorità senza coinvolgimento di soggetti terzi.
Il progetto di Google ed Apple sarà quindi non solo una soluzione utilizzabile negli Stati Uniti, ma rappresenta una proposta globale che potrebbe essere utilmente applicata anche in Italia, specie se non si arrivasse in tempi brevi ad una soluzione condivisa all’interno dell’Unione Europea.
In Europa
All’interno dell’Unione sono già nati interessanti progetti per lo sviluppo di una soluzione comune.
Un gruppo di ricercatori ha sviluppato il progetto PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing) che ha destato l’interesse di numerose organizzazioni e governi.
Il sistema è focalizzato sul rispetto del GDPR e si basa, come le soluzioni di Singapore, Apple e Google, sullo scambio di un ID temporaneo che non può essere ricondotto ad un soggetto se non dietro sua scelta volontaria. In caso di contagio accertato l’utente contagiato può (sempre a sua scelta) inserire un codice TAN (transaction authentication number) fornito dall’autorità nell’applicazione, che è in grado di leggere il log dei 14 giorni precedenti e di “marcare” i contatti come soggetti esposti al contagio.
Il sistema prevede poi una gestione della “marcatura” anche quando gli applicativi sono diversi (es. fra distinti paesi dell’Unione). In questo caso l’ID “marcato” viene condiviso direttamente con le Autorità del Sistema Sanitario del paese presso cui è registrato lo smartphone, garantendo così un’interoperabilità sui generis alle varie soluzioni nazionali che condividono il medesimo protocollo.
L’Unione Europea, dal canto suo e come anticipato, ha in più occasioni sollecitato l’adozione di una soluzione condivisa a livello comunitario per la gestione tecnologica dell’emergenza sanitaria e ha realizzato una guida sullo sviluppo di applicazioni per il contrasto della pandemia COVID-19, licenziata lo scorso 15 aprile.
La guida precisa che la scelta europea è quella dello sviluppo di un’app basata su tecnologia Bluetooth Low Energy, che sia interoperabile a livello comunitario, scaricabile su base volontaria, rispettosa della privacy (e quindi fondata su ID temporanei localizzati sul dispositivo dell’utente), accessibile ed inclusiva.
La guida si occupa anche di allertare i singoli stati membri della possibilità che malintenzionati approfittino del rilascio dell’app ufficiale per diffondere app simili ma nocive (o semplicemente inutili), invitandoli a prendere le opportune precauzioni.
Quanto alle “soglie” del segnale Bluetooth, la guida afferma esplicitamente che, per minimizzare i falsi positivi, sia necessario inserire delle “soglie” nell’intensità del segnale Bluetooth che permettano di escludere soggetti a più di un metro e mezzo di distanza fra di loro.
Il parere del Garante privacy e dell’EDPB
Dal punto di vista privacy il Garante italiano ha già espresso una diffusa opinione nell’audizione informale dell’otto aprile scorso, in cui ha evidenziato varie criticità nell’utilizzo di simili strumenti.
Il Garante ha (giustamente) dato per scontato che l’applicazione venga adottata su base volontaria (di qui il problema del raggiungimento di una sufficiente “massa critica” di utenti affinché lo strumento sia davvero utile) e che l’applicazione non venga utilizzata per finalità repressive (sorveglianza del soggetto in quarantena obbligatoria), due elementi di base che sembrano in effetti orientare anche le proposte a livello nazionale ed europeo.
Per quanto riguarda la volontarietà, il Garante giunge a tale affermazione, in ragione dell’impossibilità di imporre l’utilizzo di dispositivi elettronici, riferendosi nello specifico alle fasce della popolazione a cui tali strumenti, ovvero il cui uso quotidiano degli strumenti in questione può dirsi tutt’altro che scontato.
Proprio per questa ragione, secondo il Garante, l’adesione volontaria non dovrebbe “abbinare” il download della app all’accesso a servizi o beni (come accade in Cina), che ne determinerebbe una specie di coercizione indiretta all’utilizzo.
L’auspicio del Garante è, quindi, che il contact tracing, ove venga attuato in Italia, trovi un’adeguata cornice legislativa di rango primario fondata su esigenze di sanità pubblica, con adeguate garanzie per gli interessati (art. 9, p.2, lett.i) Reg. (Ue) 2016/679), anche in termini di temporaneità delle misure poste in essere.
In particolare, il sistema di norme dovrebbe possibilmente affidare la complessa filiera del contact tracing in mano pubblica, o comunque a soggetti privati i cui requisiti di affidabilità e trasparenza dovrebbero essere individuati legislativamente, oltre a prevedere espressamente la cancellazione di ogni informazione al termine del periodo di emergenza.
A presidio di eventuali abusi, il Garante suggerirebbe di prevedere specifici reati per coloro che utilizzino i dati per finalità diverse ed ulteriori rispetto a quella di garantire la salute pubblica (approccio, questo, discutibile essendo, si ritiene, adeguata la cornice penale per simili fattispecie, senza bisogno di innovazioni ad hoc).
Sotto il profilo delle soluzioni informatiche da adottare, Il Garante ha poi avallato l’utilizzo del Bluetooth per la raccolta dei dati, affermando che tale tecnologia: “restituendo dati su interazioni più strette di quelle individuabili in celle telefoniche assai più ampie, parrebbe migliore nel selezionare i possibili contagiati all’interno di un campione più attendibile perché, appunto, limitato ai contatti significativi (così parrebbero orientati Singapore e Germania).”
I dati pseudonimizzati riguardanti i “contatti” con altri soggetti dovrebbero rimanere salvati a livello locale su ogni singolo dispositivo, salvo poi finire in un server centrale nel caso il soggetto risultasse positivo, per consentire (tramite un calcolo algoritmico) di avvisare tutte le persone con cui lo stesso è venuto a contatto in un arco di tempo determinato.
Anche l’European Data Protection Board (EDPB) è intervenuto sulla questione, da ultimo con lettera del 14 aprile in risposta ad una consultazione del Gruppo Europeo dei Garanti da parte dalla Commissione Europea in relazione alla bozza della guida sullo sviluppo di applicazioni per il contrasto della pandemia COVID-19.
In quella sede l’EDPB ha avallato l’approccio “comunitario” promosso dalla Commissione, raccomandando però il confronto con le autorità garanti nazionali e lo sviluppo di una valutazione di impatto privacy prima di licenziare le soluzioni.
Il Gruppo dei Garanti ha inoltre ribadito che simili applicazioni dovrebbero essere installate su base volontaria dall’utente, precisando però che la base giuridica del trattamento non è quella del consenso dell’utente, ma piuttosto l’interesse pubblico rilevante e proporzionato alla finalità perseguita, come dettagliato da apposite normative nazionali che dovranno essere emanate sul punto.
Il Gruppo dei Garanti ha inoltre censurato l’utilizzo di soluzioni che possono accedere alla posizione dell’individuo, in quanto lo scopo delle applicazioni sarà quello di scoprire eventi (contatti con contagiati) e non quello di scoprire movimenti.
Quello che EDPB aggiunge rispetto a quanto emerso nel corso dell’audizione del Garante italiano è che l’utilizzo delle piattaforme di contact tracing non deve in nessun caso favorire la diffusione di un allarme sociale, ovvero comportare una stigmatizzazione dei soggetti risultati positivi (come avvenuto in certa misura in Corea del Sud).
L’unico fine deve essere espressamente quello di poter risalire la catena dei potenziali contagiati per prendere le misure appropriate al contenimento della pandemia.
Inoltre, il Gruppo dei Garanti indica come necessaria la presenza di un meccanismo che assicuri la correttezza del dato inserito nella app e la supervisione degli algoritmi utilizzati da parte di personale qualificato al fine di limitare il verificarsi di eventuali falsi positivi e negativi.
L’EDPB raccomanda, infine, il rispetto delle misure previste in materia GDPR ed ePrivacy e conclude anch’essa come il Garante italiano per la cancellazione o l’anonimizzazione dei dati raccolti con l’utilizzo dei sistemi in questione al termine dell’emergenza.
Conclusioni
Se l’Italia manterrà la linea inaugurata da Singapore e perfezionata da Apple e Google, sviluppando (o aderendo a) una applicazione basata su Bluetooth Low Energy e rispettosa della privacy degli utenti, dal punto di vista tecnologico avremo una soluzione efficiente per il contact tracing nel nostro paese, che sarà di sicuro aiuto nella lotta al virus.
Il problema reale, però, deriva dal fatto che l’app Immuni “funzionerà” solo se si raggiunge una massa critica di utenti dell’applicazione (quel 60% della popolazione indicato da Garante e Ministero per l’Innovazione Tecnologica).
Per ottenere questo, la base irrinunciabile è poter contare un’applicazione semplice, ben fatta e con un livello tecnologico adeguato (sarà in proposito assolutamente necessario adottare e comunicare al pubblico le soluzioni tecnologiche per scongiurare falsi positivi via BLE).
Ma ciò non basta.
Se a Singapore è ipotizzabile che le persone scarichino in massa sul proprio smartphone un’applicazione che potrebbe cambiargli la vita (in peggio) costringendole a due settimane di quarantena prudenziale, è difficile pensare che altrettanto succeda in Italia (e in Europa).
Servirà quindi massima trasparenza sulle misure che potranno essere adottate nei confronti di chi è stato a contatto con soggetti positivi.
La soluzione ideale per garantire il massimo numero possibile di adesioni è quella per cui non succede nulla di negativo in caso di contatto con un soggetto contagiato: la app, una volta ricevuta l’indicazione che un soggetto è risultato positivo, invia una notifica a tutti gli ID che sono stati “a contatto” con lui nelle precedenti due settimane; il soggetto notificato è semplicemente messo nelle condizioni di conoscere il rischio contagio, starà a lui adottare volontariamente misure di maggior precauzione (magari “raccomandate” dalla app in fase di notifica).
Una strada intermedia è quella che prevede (compatibilmente con le disponibilità di tamponi) di sottoporre a test i soggetti notificati e sottoporli a misure di isolamento solo se risultati positivi.
La misura più drastica (adottata a Singapore) è quella che prevede misure di isolamento prudenziale per tutti i soggetti “a contatto” per come risulta dalla app.
Le prime due soluzioni potrebbero forse raggiungere il break-even del 60%, mentre con la terza il percorso si fa decisamente più in salita e renderà necessaria l’adozione di significativi “incentivi” per chi sceglierà di scaricare l’applicazione (con il rischio però di inquinare così il libero consenso dei soggetti monitorati).
In ogni caso è essenziale che la comunicazione istituzionale sia chiara e trasparente sulle possibili conseguenze una volta scaricata l’applicazione, incertezze o riserve per “possibili sviluppi futuri” rischiano di decretare la fine di questo sistema prima ancora che venga adottato.
La sfida quindi non è più solo tecnologia, ma soprattutto di comunicazione e immagine, in modo da persuadere il pubblico a fare uno sforzo (scaricando un’applicazione che potrebbe portare a spiacevoli conseguenze) per il bene di tutti.
Questo “rilevatore” sempre nelle nostre tasche potrebbe portarci poi a modificare i nostri comportamenti, magari spostandoci a una distanza superiore a quella di sicurezza dalle altre persone per evitare che anche brevi contatti ininfluenti (pensiamo ad un passante incrociato su un marciapiede o all’affiancamento di una vettura in un parcheggio) possano “marcarci” come positivi, se da un lato questo può aiutare nell’efficacia delle marcature, si tratta di un aspetto che potrebbe generare tensioni.
Qualcuno critica inoltre queste soluzioni perché, si dice, sarebbero state impattanti solo nelle fasi iniziali del contagio, quando il contact tracing mirato può impedire l’adozione di misure di quarantena, quali quelle in cui siamo oggi immersi.
Non bisogna però pensare che sia già troppo tardi per l’adozione sistematica di un’applicazione di contact tracing, anzi in questo momento è essenziale che queste applicazioni vengano adottate sistematicamente, per permettere di evitare eventuali contagi di ritorno quando verranno allentate le misure di contenimento oggi in essere e per consentire di seguire ed isolare i nuovi focolai che potrebbero presentarsi.
Un ultimo augurio è quello relativo all’adozione di una applicazione comune a livello europeo.
Conforta in questo senso la scelta di Bending Spoons, una società che ha sviluppato un’applicativo basato su Bluetooth Low Energy e quindi in linea con le indicazioni provenienti dall’UE e che partecipa ad un progetto europeo come PEPP-PT.
Preoccupa a questo punto l’effettiva capacità di Bending Spoons di vincere la sfida su cui stanno lavorando alacremente anche Google e Apple, ovvero fornire un’app affidabile nel tracciamento di contatti effettivamente sintomo di un possibile contagio, escludendo i falsi positivi (elemento critico specie se le conseguenze di un “contatto” possano incidere negativamente sulla vita delle persone) e limitando i falsi negativi.
In questo senso la sfida è rappresentata dalle incertezze sulla tecnologia Bluetooth e dalle diverse intensità di segnale che ogni dispositivo può “emettere”, oltre al fatto che l’acquisizione di questo tipo di segnale non “misura” di per sé la durata del contatto.
Solo un’app efficace sul punto, accompagnata da una comunicazione altrettanto efficace delle soluzioni adottate, potrà accompagnare gli utenti verso un’adozione graduale ma massiccia di questo importante strumento per la lotta alla diffusione del COVID-19.
—
