PRIVACY – APP “IMMUNI” E BLUETOOTH | Intervista a Francesco Pizzetti

PRIVACY – APP “IMMUNI” E BLUETOOTH
Intervista a Francesco Pizzetti – Professore di Diritto Costituzionale e Presidente Autorità Garante della Privacy dal 2005 al 2012

Lodovico Marenco
Buongiorno, siamo oggi qui con il Professor Francesco Pizzetti che è ordinario di Diritto Costituzionale ed è stato Presidente dell’Autorità sulla Privacy dal 2005 al 2012 se non ricordo male.

Francesco Pizzetti
Si.

Lodovico Marenco
Buongiorno Professore e grazie del tempo che ci dedica.

Francesco Pizzetti
Buongiorno a voi.

Lodovico Marenco
Senta, volevo chiederle, visto che lo smartworking, il Covid, ci ha in qualche modo cambiato la vita e la salute, quindi anche la privacy collegata alla salute, ha portato sul tavolo diversi temi. Per esempio, per gesire il distanziamento e la sicurezza, si sta parlando in tutto il mondo, e quindi anche in Italia, di App o strumenti digitali che sono collegato o con la georeferenziazione o comunque vengono installati sui telefonini per gestire in sicurezza la relazione tra due persone e quindi abbiamo due diritti primari, quello della privacy e quello della salute. Come si possono conciliare?

Francesco Pizzetti
Mah, insomma, ormai direi che con gli interventi, non pochi, dell’autorità garante, in particolare del presidente Soro, in Parlamento, fuori dal Parlamento, ed i pronunciamenti, sia dell’autorità garante che con provvedimenti collegiali e linee guida, e delle autorità europee, molta della narrazione che si faceva qualche tempo fa ha trovato la sua giusta collocazione. Evitiamo la fatica di dire che prevale il diritto alla salute: il problema non è che ci sia un diritto fondamentale che prevale sugli altri: la nostra Corte Costituzionale ha avuto modo di dichiarare con una frase che è molto felice “Non esiste un diritto fondamentale tiranno rispetto agli altri. Tutti i diritti devono stare in equilibrio”. Quindi il problema è l’equilibrio tra i diritto fondamentali che si traduce nel non comprimere inutilmente un diritto fondamentale per tutelarne un altro quando questo non è necessario, quindi andiamo oltre. Non c’è dubbio, ma l’hanno detto i garanti in tutti i modi possibili, che il diritto alla protezione dei dati personali è eccedevole rispetto alla tutela del diritto alla salute. Però attenzione! Questo poi lo dice il GDPR, lo dice lo stesso codice italiano dopo le modifiche del Decreto Legislativo 108, il problema è che questo è legittimo se si rispettano una serie di condizioni. La prima condizione è che deve basarsi su una scelta o del Legislatore Europeo, questa compressione, o del Legislatore Nazionale quindi solo i legislatori europeo o nazionale possono individuare il punto di equilibrio tra diritto alla privacy e diritto alla salute. Per questo qualcuno, io stesso, ho sottolineato l’utilità che il nostro Governo, al di là di provvedere con DPCM, tenga un rapporto costante con il Parlamento meglio se utilizzando una fonte di rango legislativo come infatti si fa utilizzando i decreti legge. Secondo, oltre alla fonte che però è importante perché ovviamente come sappiamo, ed una volta di ricordava molto di più, il Governo è espressione della maggioranza, il Parlamento è espressione di tutto il corpo elettorale, quindi siccome qui sono in ballo i diritti fondamentali di tutti, è bene che l’organo costituzionale che per definizione rappresenta tutto il corpo elettorale sia coinvolto. Se poi si vuole parlare in termini di fonti è bene che ci sia una copertura legislativa e stessa cosa se la compressione deve avvenire direttamente a livello europeo. La seconda cosa che è bene dire è che la decisione anche del legislatore è sindacabile dal giudice costituzionale e dalla Corte Costituzionale europea, dalla Corte di Giustizia europea ed anche dai giudici che siano poi chiamati ad applicare la legge che comprime la tutela dei dati personali in termini di ragionevolezza perché la compressione di un diritto fondamentale ad opera della tutela di un altro diritto è legittima in quanto sia ragionevole. Il principio di ragionevolezza implica in quanto sia necessaria e/o utile, cioè serve davvero; secondo quando il legislatore indichi anche in che misura questa compressione può avvenire cioè dove si individua il punto di equilibrio, quindi il giudice, la Corte Costituzionale, l’ha fatto molte volte, sindaca innanzitutto la ragionevolezza: serve, questa compressione, per raggiungere lo scopo che vuoi raggiungere? È un po’ il principio di protezione dati in ordine alluso dei dati rispetto al fine. Poi la ragionevolezza deve essere accompagnata dall’utilità: si dimostra che effettivamente questa compressione determina un’implementazione del diritto alla salute o no? Perché se la risposta è no è chiaro che è irragionevole cioè il principio è la ragionevolezza della compressione. Poi, ma in particolare per la protezione dei dati personali, il GDPR, il regolamento europeo e anche il codice italiano aggiungono altro: che il legislatore che è il decisore ed adotta la decisione sulla base del principio di ragionevolezza e di necessità o bisogno di comprimere il tuo diritto alla protezione dei dati personali, perché devo tutelare la salute di tutti, lo faccia individuando anche quali sono le tutele che mi riconosce, a me cittadino di cui si sta comprimendo il diritto, come posso fare valere i miei diritti ed altre specificazioni che abbiamo già avuto modo di sottolineare più volte. Quindi la risposta è si: basta con la storia che il diritto alla salute prevale. Si che prevale, lo sappiamo che prevale, però c’è modo e modo di farlo prevalere e innanzitutto il principio di ragionevolezza, di necessità, di efficacia e poi le tutele che mi dà. Per esempio, se tu tuteli la salute degli altri usando un mio dato personale sbagliato, che non corrisponde alla realtà e da quali derivano limitazioni alla mia libertà personale, come faccio a dirtelo, come faccio a ricorrere per ottenere la verifica del dato che tu stai usando? E via enumerando quindi proporrei anche qui il go on, andiamo oltre. Si, è possibile comprimere la protezione dei dati personali per tutelare il diritto fondamentale alla salute però facendosi carico di definire in che misura questa compressione è legittima da parte del legislatore ed individuando anche le tutele che si conoscono ai cittadini tutti quando si tratta dei loro dati anche se in un contesto nel quale la tutela alla salute impone la compressione di questo diritto.

Lodovico Marenco
Ecco, ma il cittadino Francesco Pizzetti scaricherebbe l’App Immuni oppure no?
Francesco Pizzetti
Il cittadino Francesco Pizzetti, allo stato ha molte domande alle quali non sa dare risposta perché, per quanto la sua conoscenza, questa risposta non è data e riguarda molti aspetti. Io ho firmato, insieme all’avvocato Lisi ed altri colleghi un documento che contiene domande, alcune sono state soddisfatte indiscutibilmente dal Ministro, altre restano domande aperte, tipo, essenzialmente la dimostrazione, la base sostanziale di questa cosa, che questa App serva. Io ho capito, credo, spererei di aver capito, come funziona. Mi rimane il problema di come si individuano i telefonini con il quale il mio è entrato in contatto con un sistema Bluetooth con riferimento alla situazione di potenziale contagiato dell’intestatario del telefonino che è stato in contatto con il mio. Ed è un elemento essenziale per giustificare la trasmissione al mio telefono di un allarme: tu sei stato più di un quarto d’ora nell’area di un telefonino che a noi risulta essere di proprietà in uso di un soggetto che presenta alte probabilità di poter essere a trasmissione di contagio. Allora questa è alla fine la domanda fondamentale alla quale io non riesco a dare una risposta per me convincente perché ovviamente implica una grande quantità di dati relativi alla conoscenza del possessore di telefonini che siano risultati malati o portatori di Coronavirus in modo ragionevolmente accettato, e poi mi si deve anche spiegare, posto che io abbia questi dati, e questi dati siano ragionevolmente veri, ragionevolmente, come funziona la trasmissione della comunicazione sul mio telefonino. Cioè chi fa scattare? È un obbligo giuridico del proprietario del telefonino che si sospetta malato di Coronavirus di mandare attraverso un comando al mio telefonino la notizia che sono stato nel raggio di azione di un telefonino posseduto da un malato di Coronavirus? È un soggetto centrale che possiede i dati relativi alla diffusione del virus che opera? Cioè, chi congiunge, qual è il ponte che congiunge i due lati del Canyon, quello dove sto io e quello dove sta il telefonino con quale il mio è entrato in contatto magari mezz’ora prima e che è malato di Coronavirus? Questo, almeno per me, sembra un elemento che si tende a superare “no no, questo è fatto autonomamente dall’applicazione” si, ma l’applicazione lo fa nella misura in cui è in grado di distinguere tra dieci telefonini nell’arco dei quali sono stato quale, se tutti e 10, se uno solo, se tre, se due, erano in possesso di un malato di Coronavirus fermo rimanendo che di tutte le incognite, ma questo vale sempre quando uso dati di tracciamento via telefono, perché può darsi che il telefonino non fosse affatto nelle mani del titolare della scheda telefonica, che l’avesse prestato ad un altro, che fosse rimasto per dimenticanza nel cassetto di un albergo ma questo vale sempre quando io presumo che la macchina sia guidato dall’intestatario di proprietà al Pra, tanto che lascio la possibilità al proprietario di segnalarmi che la macchina non ce l’aveva lui e quindi la multa va fatta ad un altro. Ma di nuovo, a questo punto, c’è il problema di chi mi segnala o mi dice come posso fare a segnalare che vorrei una verifica sulla veridicità dell’allarme che mi si è mandato? Ecco, questi sono due punti che, leggendo, io ho letto quello che ho potuto, può darsi benissimo mi siano sfuggiti molti elementi, quindi non essendoci una illustrazione pubblica definita e dall’altra parte, essendo dichiarato che l’App ha ancora bisogno di perfezionamenti, di modalità di affinamento della sua utilizzazione non c’è niente di così sconvolgente quindi, oggi come oggi, non le saprei rispondere. Io la scaricherò ben volentieri se sarà ragionevolmente certo della sua ragionevole utilità e della protezione dei dati personali che riguardano me, le eventuali persone entrate in contatto con il mio telefonino. Aggiungo che il tema, ma siamo dentro un contesto che ha molto di complicato per cui oggi discutere delle misure per la lotta all’epidemia è un po’ come discutere dell’esistenza di Dio in un conclave, viene visto come una cosa come minimo not polite ma ci sono molte cose che meriterebbero di essere approfondite. Gliene segnalo una che non mi sembra essere ancora emersa. Si sceglie il sistema bluetooth per spiegare, a chi abbia voglia ancora di starci a sentire, cos’è il sistema bluetooth. Provo a dirlo io che non sono un tecnologo quindi lei completi e chiarisca le mie carenze informative. Intanto può essere interessante sapere perché si chiama bluetooth: era il soprannome di un re, un capo tribù in sostanza, anglosassone, che aveva i denti blu ed è rimasto nella leggenda per questo soprannome e chi ha inventato il sistema bluetooth ha avuto la brillante idea di ricordare, di ridare notorietà a questo antico capo tribù sassone, quindi “denti blu” da questo soprannome di questo re/capo tribù. È un sistema di connessione con altre apparecchiature attraverso la wireless ma serve a connettere due device in sostanza, tato è vero che il sistema bluetooth si applica alle cuffie che adesso sempre di più le persone hanno senza fili, si può applicare alla stampante quando mando il comando via wireless senza collegamento filo, a molti altri strumenti, automobile, quello che vuole. Insomma io ho fatto degli esempi, quelli più facilmente comprensibili. Allora il problema è abbastanza chiaro: il mio telefonino si incrocia con altri telefonini che abbiano attivo anche loro il sistema bluetooth quindi rimane registrato che è entrato nel raggio di azione, mi pare di capire che si calcola intorno ai due metri, due metri e mezzo, di un’apparecchiatura, perché la potenza del bluetooth sui telefonini copre quest’ area, in altri casi è molto più ampia ma siccome consuma una quantità spaventosa di energia, è chiaro che si cerca di usare dei sistemi bluetooth che non ti scarichino la batteria del telefonino dopo 5 minuti. Allora, se io entro grossomodo in due metri di raggio, i due telefonini si scambiano informazioni, protocolli informatici che consentono di comunicare fra di loro e se poi io avessi voglia di comunicare con quel telefonino, quindi col soggetto che possiede quel telefonino, o viceversa. La stessa cosa se ho voglia di comunicare con le cuffie che metto nell’orecchio per sentire i suoni che il mio telefonino a quel punto attraverso il bluetooth manda alle mie cuffie nel mio orecchio. Il problema riguarda il fatto che io faccio questa operazione con ogni strumento dotato di bluetooth che incontro quindi può essere un telefonino, le cuffie che ascolto, una stampante e così via. E’ chiaro che si scambiano i protocolli solo se il mio bluetooth scopre il bluethoot di un altro telefonino e non mi preoccupa tanto questo, non vorrei essere subito banalizzato “ecco è ignorante pensa che il suo telefonino tenga conto del telefonino di una stampante” no, il problema è che però io attivo permanentemente un sistema che a qualunque soggetto installi un bluetooth di collegarsi con il mio […] Quindi siamo a un passo dal rendere la persona protagonista dell’internet delle cose quindi, come le cose dialogano tra loro via bluetooth, io col mio telefonino bluetooth dialogo con le cose quindi posso dare ordine al frigorifero di accendersi, al forno di spegnersi però io stesso non oggi, non con la App immuni, ovviamente, ma se si diffonde, come rischia di diffondersi sempre di più l’uso della tecnologia bluetooth per la localizzazione delle persone tramite telefonino, rischiamo di rendere le persone prigioniere, o meglio protagonisti del mondo delle macchine anche in modo involontario. Ovviamente, non essendo io un tecnologo posso lanciare segnali di allarme infondati però credo sia un interrogativo che è bene che ci facciamo. Cioè noi dobbiamo, finisco, assolutamente evitare di uscire da questa fase che per il momento ha realizzato una congiuntura molto favorevole, da un lato i cittadini capiscono che dalle nuove tecnologie non si può fuggire e cominciano ad apprezzare anche le positività delle nuove tecnologie, ma se noi usciamo, avendo incrementato la paura delle nuove tecnologie invece che la fiducia nelle nuove tecnologie, usciamo avendo fatto un danno clamoroso. Allora noi dobbiamo avere chiaro che siamo sfidati in questo momento, ed è qui che torna la protezione dei dati personali, ad assicurare l’accountability, cioè una responsabilità che non è una responsabilità giuridica ma è la responsabilità di conquistarsi la fiducia dei cittadini quindi bisogna che queste tecnologie, proprio perché si ritiene opportuno ricorrere ad esse, siano accompagnate da un’informativa estremamente chiara che consente ai cittadini di sapere e capire, scegliere consapevolmente e quindi avere fiducia perché gli si è spiegato tutto. E da questo punto di vista l’accoutability che non è una bella parola che tutti citano perché suona bene e poi cosa vuol dire si sa poco: è fondamentale: io dico sempre che nessuno sano di mente salirebbe su un aereo per essere portato a 10 mila metri di altitudine se non avesse fiducia nella tecnologia degli aeromobili e nella capacità dei piloti di manovrarli, come nessuno sano di mente salirebbe su un FrecciaRossa che ti porta fino a 250 all’ira con tutto il tuo corpo e te stesso seduto in un seggiolino sapendo perfettamente che se a 250 all’ora capita un incidente e si deraglia hai altissime probabilità di non raccontarlo il giorno dopo a nessuno. Noi ci saliamo perché abbiamo fiducia che il FrecciaRossa non deragli, che l’aereo, di norma, non cada, ed è il problema vero, il problema per cui la gente ha paura di volare e non vuol salire su un aereo è perché la fiducia che si è cercato di creare nell’uso di questa tecnologia per lui non è sufficiente ed il suo stato d’ansia è superiore alla sua fiducia. Allora, quando si parla di accountability si parla di una cosa molto importante, così importante che si consente a chi tratta i dati anche di adeguare i trattamenti con flessibilità a norme giuridiche che gli indicano un obiettivo da raggiungere più che una modalità rigorosa per raggiugerlo, perché si sa che i trattamenti possono essere diversi, da caso a caso, da situazione a situazione. Lo stesso ragionamento per cui, se l’aereo è dotato di strumenti di navigazione che consentono di superare la nebbia io posso consentire il decollo anche in un aeroporto in capsulato dalla nebbia. Quindi la protezione dati lo sa benissimo, per quello che parla di accountability. Allora io vorrei lanciare un messaggio a tutti gli operatori del mondo delle telecomunicazioni : l’epidemia ha dato una grandissima occasione di crescita. Io capisco benissimo che le persone che da anni investono sul digitale di energia, di competenze, di sperimentazione oggi scalpitino sia per proporre le loro app, sia per proporre nuove forme di utilizzazione dei dati ma attenzione perché se non si conquista la fiducia dei cittadini, i cittadino scapperanno come fece Caino che si nascose, come è logico, intanto peccarono e poi cercarono anche di nascondersi. Avevano la sfortuna che Dio era onnisciente e vedeva benissimo dove erano. Ma tenete presente che diventa così importante la rinuncia a obbedire per ribellione e poi la voglia di nascondersi che la Genesi dice che il Signore Dio mentre li cacciava e li condannava alla pena eterna di conquistarsi con lacrime e sangue i mezzi per vivere, li dotò di cinture di pelle cioè gli consentì di nascondersi le parti intime l’uno all’altra perché dopo aver peccato non tolleravano l’uno la vista dell’altro. Allora se noi usassimo il sistema delle App, i droni, fino a spingere le persone a temere in qualunque momento di essere viste, controllate, condizionate, spiate, noi uccidiamo in culla una grande potenzialità che la tecnologia dà agli essere umani. Quindi altro che pensare che la protezione dati non serva: Mai come oggi, sempre di più man mano che si svilupperà la tecnologia digitale, accompagnarla con una tecnica di protezione dati adeguata diventa fondamentale.
Lodovico Marenco
Professore io la ringrazio molto per il tempo che mi ha dedicato e ci ha dedicato in questa dottissima illustrazione sul mondo della privacy.
Francesco Pizzetti
Grazie a lei e grazie a chi, se ci sarà, avrà avuto la pazienza di ascoltare queste lunghissime predicazioni di cui mi scuso. Il mio scopo, per cui ho risposto al suo gentile invito, è proprio quello di comunicare. Io faccio tutto quello che posso per comunicare questo mio modo di concepire la protezione dei dati personali perchè credo che ci stiamo giocando una cosa importantissima..

Lodovico Marenco
La libertà

Francesco Pizzetti
Migliaia di anni di civiltà greco giudaica, di filosofie, la filosofia greca, il libero arbitrio, la possibilità anche di peccare, di dannarci, se vogliamo, ma scherziamo, gli esseri umani, all’essere umano come lo concepiamo noi è consentito di dannarsi e dobbiamo adesso per suggestione del business o di imitare modelli del tutto diversi dai nostri impedire a tutti di peccare. Facciamo Minority Report. E’ già successo che a Washington due poliziotti si siano presentati alla porta di un normale cittadino e gli abbiano detto “la informiamo che per due giorni lei sarà sotto stretto controllo nostro perché, secondo le previsioni fatte sulla base dei dati a nostra conoscenza lei ha elevate probabilità di violare in modo pesante la legge nelle prossime 48 ore” che è Minority Report. Stiamo attento perché ci siamo affacciati sulle soglie di un canyon di cui non vediamo la profondità.