La gravità dell’attuale pandemia, che all’8 giugno ha superato i 9 milioni di contagi e i 473 mila decessi in tutto il mondo, ha il carattere di una vera emergenza globale e di una minaccia con cui dovremo convivere a lungo, almeno fino alla sviluppo di un vaccino sicuro, efficace e ampiamente disponibile. La risposta sanitaria a questa sfida passa per diversi strumenti, dal distanziamento sociale o lockdown, alla diagnosi precoce, al tracciamento degli infetti e delle persone con cui sono stati in contatto, a terapie che diventano, man mano, più efficaci.
Proprio il tracciamento, o contact tracing, si è da tempo consolidato come un elemento centrale di una strategia di risposta alla salute più ampia e olistica, in cui l’obiettivo non sia solo quello di curare i malati ma di prevenire il contagio. Il processo manuale per identificare con chi una persona infetta potrebbe essere entrata in contatto mentre era contagiosa è lungo e difficilmente scalabile per coprire popolazioni più grandi. Pertanto, per accelerare e dimensionare la risposta all’attuale pandemia di COVID-19, vengono sviluppate nuove soluzioni tecnologiche.
Tutto ciò ha fatto nascere un articolato dibattito internazionale che ha offerto diverse prospettive su come salvaguardare i punti fondamentali dei nostri sistemi legali occidentali. In che modo il tracciamento digitale dei contatti può essere utilizzato per salvare vite umane nel rispetto dei diritti individuali, incluso il diritto alla privacy?
In effetti, il contact tracing, seguito dal trattamento o dall’isolamento, è una misura di controllo chiave nella lotta contro le malattie infettive. È una forma estrema di controllo localmente mirato e nella forma digitale può essere molto efficiente, ma richiede informazioni esplicite sui percorsi di trasmissione della malattia da ciascun individuo, e quindi sulla rete di contatti. Evidentemente, tutto ciò può essere molto molto invasivo. A seconda dell’uso della geo-localizzazione, dei metodi e dei tempi di archiviazione dei dati, le soluzioni che rispettano i diritti umani e la privacy sono state chiaramente identificate, come notato dalle autorità europee e dal nostro Garante.
I loro numerosi interventi e linee guida sottolineano come sia il GDPR, sia la Direttiva e-Privacy contengono disposizioni specifiche che consentono l’uso di dati anonimi o personali per supportare le autorità pubbliche e altri attori sia a livello nazionale che dell’UE nei loro sforzi per monitorare e contenere la diffusione del virus. I principi generali di efficacia, necessità e proporzionalità devono guidare qualsiasi misura adottata dagli Stati membri o dalle istituzioni dell’UE che comporta il trattamento di dati personali per combattere la pandemia COVID-19.
La Commissione Europea ha chiesto un approccio comune per rafforzare l’efficacia degli interventi digitali e garantire il rispetto dei diritti e delle libertà chiave, in modo da garantire che gli sforzi individuali degli Stati membri per utilizzare i dati e gli strumenti tecnologici nella lotta al Coronavirus siano allineati e interoperabili e quindi più efficaci, dato che il virus non rispetta i confini nazionali.
Allo stesso tempo, si pone l’accento sulla necessità di garantire che i diritti fondamentali non siano scavalcati nella corsa per mitigare la diffusione del virus, con la Commissione che esorta le autorità di sanità pubblica e gli istituti di ricerca a osservare il principio di minimizzazione durante l’elaborazione di dati personali per la lotta al coronavirus. In particolare, tali organismi dovrebbero applicare garanzie appropriate, elencando la pseudonimizzazione, l’aggregazione, la crittografia e il decentramento come esempi di buone pratiche. Restano altresì indispensabili due cautele, come evidenziato in un articolo su Techcrunch:
1) l’importanza di applicare misure adeguate per garantire la trasmissione sicura dei dati dai fornitori di telecomunicazioni. Sarebbe inoltre preferibile limitare l’accesso ai dati agli esperti autorizzati in epidemiologia spaziale, protezione dei dati e scienza dei dati.
2) la necessità di una pronta distruzione dei set di dati al termine dell’emergenza è un altro elemento chiave della guidance tecnica.
La maggior parte delle implementazioni si concentra sulla notifica dell’esposizione: notificare a un utente che è stato vicino a un altro utente a cui è stata diagnosticata una diagnosi positiva e metterlo in contatto con le autorità sanitarie pubbliche. Questo tipo di App può essere efficace nell’aiutare la lotta contro la pandemia COVID-19 se esistono anche test diffusi e tracciabilità dei contatti basata su interviste.
In estrema sintesi, per il tracciamento dei contatti si rileva una summa divisio a seconda se avvenga:
A) utilizzando la geolocalizzazione: alcune App propongono di determinare quali coppie di persone sono state in contatto tra loro raccogliendo dati sulla posizione (compresi i dati GPS) per tutti gli utenti e cercando persone che si trovavano nello stesso posto contemporaneamente. Ma il rilevamento della posizione non è adatto alla ricerca dei contatti dei casi di COVID-19, poiché i dati provenienti dal GPS di un telefono cellulare o dalle torri cellulari non sono abbastanza precisi da indicare se due persone hanno avuto uno stretto contatto fisico (ovvero entro un raggio di circa 1,80 metri). Ma è abbastanza accurato per esporre informazioni sensibili e identificabili individualmente sulla casa, sul posto di lavoro e sulle abitudini di una persona.
B) utilizzando il ‘monitoraggio di prossimità’: le App di monitoraggio della prossimità utilizzano Bluetooth Low Energy (BLE) per determinare se due smartphone sono abbastanza vicini da consentire ai loro utenti di trasmettere il virus. BLE misura la prossimità, non la posizione, e quindi è più adatto per la traccia dei contatti dei casi COVID-19 rispetto alle informazioni sulla posizione del cellulare o GPS. Quando due utenti dell’App si avvicinano, entrambi dispositivi stimano la loro vicinanza utilizzando la potenza del segnale Bluetooth. Se stimano che siano distanti meno di un metro e ottanta per un periodo di tempo sufficiente, ogni dispositivo registra un incontro con il codice dell’altro. Quando un utente dell’App viene a sapere di essere infetto da COVID-19, altri utenti possono essere informati del proprio rischio di infezione.
Tuttavia, l’uso di telefoni cellulari per le App di tracciamento dei contatti ha portato un intenso dibattito al crocevia di sanità pubblica, protezione dei dati e privacy. Anche la fiducia nella tecnologia e i potenziali interessi economici e strategici sono al centro della discussione. Fra le preoccupazioni principali: che la progettazione o l’utilizzo inadeguati di tali App possano portare a stigmatizzazione, aumento della vulnerabilità e fragilità, discriminazione, persecuzione e attacchi all’integrità fisica e psicologica di determinate popolazioni. Ciò tocca la questione più ampia dell’uso responsabile della tecnologia in contesti, come la risposta alle crisi, in cui la fiducia è fondamentale.
Il rischio poi che i dati raccolti allo scopo di tracciare i contatti possano essere utilizzati per altri scopi – o collegati ad altri set di dati per identificare e potenzialmente profilare ulteriori individui – è un aspetto centrale. Questo “ scope creep” potrebbe portare a sorveglianza intrusiva o uso commerciale non richiesto. Parallelamente, le App di tracciamento dei contatti non sono immuni da attacchi informatici e perdite di dati che potrebbero esporre la privacy e la sicurezza dei loro utenti.
Il tracciamento digitale dei contatti richiede insomma controlli ed equilibri solidi ed efficaci per monitorare la sua efficacia e garantire una gestione trasparente ed equa dell’ecosistema globale; la salute pubblica e i diritti individuali, specialmente in relazione alla privacy, devono poter lavorare di pari passo. Norme scientifiche, etiche e giuridiche aggiornate dovrebbero essere saldamente integrate in questo processo e dovrebbero essere considerate valide solo le soluzioni basate su un approccio di protezione dei dati by design.
In questo contesto, la ‘data protection by design’ si basa su un’architettura decentralizzata, progettata per mantenere il maggior numero possibile di dati sui dispositivi degli utenti. Altre caratteristiche essenziali includono la limitazione dello scopo per mitigare il rischio di ‘scope creep ’ e un periodo prefissato di conservazione dei dati, garantendo che gli strumenti digitali di tracciamento dei contatti vengano prontamente dismessi quando non sono più necessari.
Un esempio notevole di protocollo decentralizzato è quello proposto dal consorzio DP-3T (Decentralized Privacy-Preserving Proximity Tracing), successivamente adottato dalla Croce Rossa austriaca e dalla Confederazione Svizzera e supportato dall’iniziativa Apple/Google.
Nelle parole del documento di presentazione del protocollo DP-3T, “il nostro protocollo è una dimostrazione del fatto che sono possibili approcci rispettosi della tutela della privacy al tracciamento di prossimità e che paesi o organizzazioni non devono accettare metodi che supportano il rischio di uso improprio”. “Laddove la legge richiede rigorose necessità e proporzionalità e il supporto della società sostiene il ‘tracciamento di prossimità’, questo design decentralizzato offre un modo resistente agli abusi per realizzarlo”.
Infine, il metodo decentralizzato si adatta meglio al modello di protezione dei dati dell’UE anche con riferimento all’interoperabilità, come accennato: “i telefoni di utenti che visitano paesi stranieri, sia per lavoro sia per svago, devono essere in grado di catturare i beacon dagli utenti nei paesi che visitano e includere i beacon dei pazienti con diagnosi COVID-19 in quei paesi nel loro calcolo dell’esposizione. Allo stesso modo, i residenti di un paese devono essere in grado di ricevere notifiche se a un visitatore del loro paese viene diagnosticata la COVID-19”.Ecco perché secondo me non si può che concordare con il nostro Garante Privacy, quando afferma che “se gestita con metodo democratico, anche l’emergenza può risolversi in una parentesi destinata a lasciare inalterata – persino per certi versi più forte- la nostra democrazia. La chiave è nella proporzionalità, lungimiranza e ragionevolezza dell’intervento, oltre che naturalmente nella sua temporaneità. Il rischio che dobbiamo esorcizzare è quello dello scivolamento inconsapevole dal modello coreano a quello cinese, scambiando la rinuncia a ogni libertà per l’efficienza e la delega cieca all’algoritmo per la soluzione salvifica. Così, una volta cessata questa emergenza, avremo anche forse imparato a rapportarci alla tecnologia in modo meno fideistico e più efficace, mettendola davvero al servizio dell’uomo”.
Saggio di piacevole lettura, in grado focalizzare l’attenzione del lettore su vari campi, dallo scientifico al giuridico, passando per varie discipline dell’aria medica, tuttavia senza mai annoiare e mantenendo sempre vivo l’interesse.
Bellissimo!!
Grazie mille! In effetti, credo si tratti del primo “esperimento” che si prefigga di verificare i punti di convergenza fra impostazioni, formae mentis, procedure e risultati afferenti a varie discipline, peraltro abbastanza diverse fra loro. Verificare le possibilità scaturenti da un simile “melting pot” multidisciplinare è stato per me davvero interessantissimo e, spero, utile ai lettori per cercare di impostare un quadro unitario con qualche punto fermo in un “mare magnum” di temi e concetti spesso di elevata complessità. Una ragione di più per “semplificare” l’esposizione e renderli “edibili” a un pubblico vasto e che si è trovato a fronteggiare, oltre che una pandemia devastante anche una vera e propria “infodemia”, contro la quale, nel nostro piccolo, abbiamo cercato , appunto, di fare chiarezza.