Articolo Pubblicazioni

Contact tracing e privacy by design: la lezione dell’app Immuni

di · Pubblicato il 13 luglio 2020

Abstract

A giugno 2020 è entrata in funzione in tutta Italia Immuni, l’app per avvisare chi è stato a contatto con una persona positiva al Covid-19. Il suo progetto è un esempio concreto di privacy by design applicata a un sistema di grande scala. L’articolo descrive la base normativa, l’architettura tecnica, le garanzie adottate e le questioni aperte, e ne trae indicazioni per chi progetta sistemi che trattano dati personali.

Vincenzo Calabrò | Contact tracing e privacy by design: la lezione dell’app Immuni
 

Il contesto

Nella primavera del 2020 molti paesi hanno cercato strumenti digitali per accelerare il tracciamento dei contatti delle persone positive al Covid-19. Le proposte iniziali andavano dalla raccolta della posizione GPS di tutti gli utenti a sistemi basati sulla prossimità rilevata via Bluetooth. Il dibattito si è concentrato sulla scelta tra modelli centralizzati, in cui i dati dei contatti finiscono su un server pubblico, e modelli decentralizzati, in cui restano sui telefoni. L’Italia ha scelto un’app, Immuni, sviluppata gratuitamente da un’azienda italiana e affidata alla gestione pubblica.

La base normativa

L’articolo 6 del decreto-legge 28 del 30 aprile 2020 ha istituito la piattaforma per il tracciamento dei contatti. La norma fissa alcune garanzie:
  • l’uso dell’app è volontario e il suo mancato uso non comporta conseguenze sui diritti delle persone;
  • i dati sono trattati esclusivamente per finalità di allerta delle persone esposte e di sanità pubblica;
  • non è consentita la geolocalizzazione degli utenti;
  • i dati sono conservati per il tempo strettamente necessario e cancellati al termine dell’emergenza, entro la data stabilita dalla legge;
  • il titolare del trattamento è il Ministero della salute, che deve effettuare una valutazione d’impatto sulla protezione dei dati.
Il Garante per la protezione dei dati personali ha autorizzato il trattamento il 1° giugno, dopo aver esaminato la valutazione d’impatto, e ha chiesto alcune misure aggiuntive, tra cui informazioni chiare agli utenti sui limiti del sistema e la possibilità di disattivare temporaneamente l’app.

Come funziona

Immuni usa il sistema di notifica delle esposizioni messo a disposizione da Apple e Google nei rispettivi sistemi operativi. Il funzionamento è il seguente:
  1. ogni telefono genera chiavi casuali giornaliere, da cui deriva identificativi che cambiano ogni dieci-venti minuti e che trasmette via Bluetooth Low Energy;
  2. i telefoni vicini registrano gli identificativi ricevuti, con durata e intensità del segnale, e li conservano in locale per quattordici giorni;
  3. quando un utente risulta positivo, un operatore sanitario gli fornisce un codice che autorizza il caricamento delle sue chiavi sul server;
  4. gli altri telefoni scaricano periodicamente le chiavi dei positivi, ricalcolano gli identificativi e verificano in locale se li hanno incontrati;
  5. in caso di esposizione a rischio, l’app mostra una notifica con le indicazioni da seguire.
Il server non conosce l’identità degli utenti, né chi ha incontrato chi, né dove. Conosce solo le chiavi casuali dei positivi che hanno scelto di caricarle.

Privacy by design in pratica

Il progetto applica in modo concreto i principi dell’articolo 25 del GDPR. La minimizzazione è garantita dalla raccolta dei soli identificativi casuali necessari. La limitazione della finalità è imposta dalla legge e dall’architettura, perché i dati non permettono altri usi. La decentralizzazione riduce l’impatto di un’eventuale violazione del server. Il codice sorgente è stato pubblicato, consentendo a chiunque di verificarne il funzionamento, e la documentazione tecnica descrive le scelte e i compromessi.

Le critiche

Il progetto non è stato esente da critiche. Nelle prime settimane si è discusso della scelta di affidare lo sviluppo a un’azienda privata con un accordo gratuito, dell’uso di infrastrutture cloud per i server, della dipendenza da un framework fornito da due grandi aziende statunitensi e della possibilità di rilevare la presenza dell’app tramite il traffico di rete. Alcune di queste osservazioni hanno portato a modifiche, come l’invio di traffico fittizio per rendere indistinguibili le comunicazioni dei positivi da quelle degli altri utenti. Il confronto pubblico, reso possibile dalla trasparenza del progetto, è stato esso stesso una garanzia.

I limiti

Le garanzie non eliminano tutti i problemi. Il Bluetooth misura la vicinanza in modo approssimativo, perché l’intensità del segnale dipende dalla posizione dei telefoni, da ostacoli e da pareti, quindi sono possibili falsi positivi e falsi negativi. L’efficacia dipende dalla diffusione dell’app e dalla rapidità con cui i positivi caricano le proprie chiavi. Il sistema funziona solo su telefoni relativamente recenti. Il modello decentralizzato rende inoltre più difficile per le autorità sanitarie valutare l’efficacia del sistema, proprio perché non raccoglie dati sui contatti.

Lezioni per chi progetta

Al di là del risultato sanitario, che potrà essere valutato solo nei prossimi mesi, il caso offre indicazioni utili. Il dibattito pubblico ha mostrato che la fiducia dei cittadini dipende dalla trasparenza su che cosa viene raccolto e perché. Un’architettura che rende impossibili certi usi convince più di qualsiasi promessa di non farli. Pubblicare il codice e la valutazione d’impatto permette controlli indipendenti. Fissare per legge finalità, durata e cancellazione dei dati offre garanzie che le sole policy aziendali non danno. Sono principi che valgono per qualsiasi sistema che tratta dati personali su larga scala.
 
Vedi anche: l’articolo del 2017 Privacy by design e by default, l’articolo del 2018 GDPR e data breach e l’articolo del 2018 Il pedinamento telematico.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn