Il 30 luglio la Commissione Europea ha annunciato il prossimo avvio di una grande sperimentazione di sorveglianza biometrica per tutti i cittadini non UE. Dal 12 ottobre, chiunque vorrà attraversare le frontiere Schengen senza essere cittadino di un suo paese dovrà fornire la propria immagine facciale e le proprie impronte digitali.
Questo nuovo modello di gestione frontaliera si chiama Entry-Exit System (EES), e dopo quattro rinvii susseguitisi dal 2022, alla fine partirà con una prima prova di sei mesi, dopo i quali diventerà attivo in tutti i punti di passaggio dello spazio Schengen. In molte occasioni già sostituiti da visti elettronici, nel giro di poco non ci saranno più i timbri sui passaporti.
Tutti i viaggiatori non cittadini di un paese che appartiere all’area Schengen, che ne varcano i confini per soggiorni di breve durata (fino a 90 giorni ogni 180), dovranno fornire i propri dati biometrici. Com’è ovvio, un’operazione di tale portata ha sollevato molti dubbi e ancor più critiche, vista la sensibilità delle informazioni immagazzinate.
Infatti, a controllare il sistema EES sarà eu-Lisa, l’agenzia europea che si occupa della gestione delle information technologies (IT) nell’area UE. Nata nel 2011 con sede a Tallin, la ue-LISA avrà il compito di creare un archivio centralizzato con tutte le informazioni personali di milioni di viaggiatori non europei.
A ogni passaggio di frontiera, verrà prodotto automaticamente un documento digitale con il nome, il passaporto, data e luogo di ingresso o di uscita del viaggiatore, a cui verranno associate le impronte digitali e il pattern dei tratti facciali. Ogni profilo personale sarà valido per tre anni.
È facile capire perché molte organizzazioni si siano battute contro l’EES: si tratta di uno strumento di sorveglianza biometrica di massa, una pratica che viene considerata fortemente lesiva dei diritti della persona e della privacy. L’EDRI, una delle principale reti europee per i diritti digitali, insieme ad altre 52 organizzazioni, avevano già definito tali sistemi come “una delle più gravi minacce ai diritti fondamentali e alla democrazia mai registrate”.
Del resto, anche l’AI Act europeo avrebbe, teoricamente, vietato i sistemi di sorveglianza biometrica in tempo reale negli spazi pubblici. E qui viene il punto della questione. Questa limitazione prevede varie eccezioni per ciò che riguarda motivazioni di ordine pubblico: ricerca di persone, crimini, emergenze.
Al di là del fatto che l’obbligatorietà del riconoscimento tramite impronte e tratti del viso è in evidente contrasto con l’AI Act – così come col Regolamento generale sulla protezione dei dati, il GDPR – i dati ottenuti con l’EES saranno resi disponibili anche all’Europol, con cui la eu-LISA ha un accordo di collaborazione, così come con altre agenzie legate al settore della sicurezza.
Se si prende una precedente sperimentazione, anche questa in deroga agli stessi principi che la UE dice di difendere, anche il sistema EURODAC era stato proposto per raccogliere i dati biometrici di migranti, richiedenti asilo, apolidi, e persone soccorse in missioni di salvataggio.
Non ci vuole molto a capire come questo ecosistema digitale venga rafforzato in un clima crescente di guerra esterna e interna, proprio per implementare ulteriori sistemi di sorveglianza di ogni categoria di persone che possono essere considerate ‘pericolose’. Sappiamo bene quanto sia facile affibbiare l’etichetta di terrorista o simile a chi esprime dissenso, e l’EES rappresenta un ulteriore scivolamento verso una piena ‘democratura’, se non un limpido autoritarismo.
Fonte
Visualizzazione post con etichetta GDPR. Mostra tutti i post
Visualizzazione post con etichetta GDPR. Mostra tutti i post
27/02/2023
La competizione globale investe TikTok
La Commissione Europea ha annunciato giovedì scorso di aver richiesto al proprio personale di rimuovere l’app TikTok dai propri dispositivi di lavoro e da quelli privati in cui siano presenti anche strumenti e documenti di lavoro. In alternativa, possono rimuovere questi ultimi, e la stessa richiesta sembra arriverà a breve a Consiglio e Parlamento Europeo.
La preoccupazione dichiarata è quella che la compagnia cinese possa essere un cavallo di Troia per far arrivare informazioni riservate a Pechino, e se ne possa così avvantaggiare nella competizione globale. In sostanza, viene annunciata come una questione per aumentare la sicurezza informatica, oggi al centro della preoccupazione di tutti i grandi attori della scena internazionale.
La possibilità di perseguire questa linea era stata ventilata già da Trump qualche anno fa, e nel dicembre 2022 è stato approvato un disegno di legge per il bando di TikTok dai dispositivi governativi, presentato da quattro membri repubblicani del Congresso statunitense. A dimostrazione che la linea di scontro con l’avversario strategico cinese è portata avanti in maniera bipartisan, da democratici e repubblicani.
Preoccupati dal clima di diffidenza nei loro confronti, i dirigenti del social network controllato da ByteDance avevano giocato d’anticipo. Il CEO di TikTok, Shou Zi Chew, in questi mesi ha incontrato su sua richiesta alti funzionari UE, tra cui il Commissario europeo al mercato interno, Thierry Breton, e quella per la concorrenza, Margrethe Vestager.
Il regolamento europeo sulla privacy, il GDPR, prevede che i dati degli europei devono rimanere nel vecchio continente, e per questo l’azienda cinese ha già aperto un data center in Irlanda e stava pianificando di aprirne altri due. Ma la stessa responsabile della privacy per TikTok Europa, Elaine Fox, aveva dichiarato che alcuni dipendenti del gruppo, sparsi un po’ in tutto il mondo, avevano accesso a queste informazioni, pur nel rispetto dei protocolli europei.
Le rassicurazioni sulla gestione del colosso asiatico non devono essere bastate se ora si arriva a questa soluzione. I dipendenti della Commissione avranno tempo fino al 15 marzo per rispettare queste direttive, e sembra che alcuni paesi UE stiano pensando di adottare gli stessi provvedimenti. È il caso dell’Olanda e dell’Italia, sempre in prima fila nel mostrarsi “più realista del re”. Inoltre, attualmente TikTok è coinvolta in due indagini delle autorità irlandesi.
Anche se è comprensibile la necessità di sicurezza, è evidente come questa decisione si inserisca in un quadro di irrigidimento delle relazioni internazionali. TikTok ha commentato la notizia etichettandola come “sbagliata e basata su pregiudizi”, soprattutto per la sua unilateralità e il fatto che appena un paio di settimane fa il CEO era stato a Bruxelles, proprio in un rapporto di confronto trasparente con le istituzioni comunitarie.
Nonostante la UE continui a giocare su un terreno ambiguo, sapendo come non possa fare a meno della Cina a livello economico, la spinta alla guerra e allo scontro con il Dragone che esprime il Blocco Euroatlantico sta facendo sentire il suo peso. E soprattutto, la sta facendo sentire entrando a gamba tesa anche sui dispositivi e le attività private dei funzionari europei.
In vista delle europee del 2024, il Parlamento Europeo inoltre ha dato via libera al confronto comunitario che dovrebbe portare a un testo sulla pubblicità politica. Tra le altre cose, si vorrebbe vietare alle entità non basaste nella UE di poter finanziare attività in tale senso. Un segnale di crescente preoccupazione rispetto alle influenze che possano venire da blocchi estranei.
Un incancrenirsi delle relazioni, senza nascondere la competizione politica oltre che quella economica, che fa presagire scenari futuri sempre più delicati. Vedremo se la UE continuerà in una politica di scontro duro e puro con Pechino o le motivazioni di maggiore autonomia dagli USA prenderanno il sopravvento. In ogni caso, i venti di guerra spirano in maniera evidente su un mondo diviso e non più globalizzato, neanche sul piano dei social network che di quella “globalizzazione” erano stati l’emblema portato dentro la vita quotidiana di miliardi di persone.
Fonte
La preoccupazione dichiarata è quella che la compagnia cinese possa essere un cavallo di Troia per far arrivare informazioni riservate a Pechino, e se ne possa così avvantaggiare nella competizione globale. In sostanza, viene annunciata come una questione per aumentare la sicurezza informatica, oggi al centro della preoccupazione di tutti i grandi attori della scena internazionale.
La possibilità di perseguire questa linea era stata ventilata già da Trump qualche anno fa, e nel dicembre 2022 è stato approvato un disegno di legge per il bando di TikTok dai dispositivi governativi, presentato da quattro membri repubblicani del Congresso statunitense. A dimostrazione che la linea di scontro con l’avversario strategico cinese è portata avanti in maniera bipartisan, da democratici e repubblicani.
Preoccupati dal clima di diffidenza nei loro confronti, i dirigenti del social network controllato da ByteDance avevano giocato d’anticipo. Il CEO di TikTok, Shou Zi Chew, in questi mesi ha incontrato su sua richiesta alti funzionari UE, tra cui il Commissario europeo al mercato interno, Thierry Breton, e quella per la concorrenza, Margrethe Vestager.
Il regolamento europeo sulla privacy, il GDPR, prevede che i dati degli europei devono rimanere nel vecchio continente, e per questo l’azienda cinese ha già aperto un data center in Irlanda e stava pianificando di aprirne altri due. Ma la stessa responsabile della privacy per TikTok Europa, Elaine Fox, aveva dichiarato che alcuni dipendenti del gruppo, sparsi un po’ in tutto il mondo, avevano accesso a queste informazioni, pur nel rispetto dei protocolli europei.
Le rassicurazioni sulla gestione del colosso asiatico non devono essere bastate se ora si arriva a questa soluzione. I dipendenti della Commissione avranno tempo fino al 15 marzo per rispettare queste direttive, e sembra che alcuni paesi UE stiano pensando di adottare gli stessi provvedimenti. È il caso dell’Olanda e dell’Italia, sempre in prima fila nel mostrarsi “più realista del re”. Inoltre, attualmente TikTok è coinvolta in due indagini delle autorità irlandesi.
Anche se è comprensibile la necessità di sicurezza, è evidente come questa decisione si inserisca in un quadro di irrigidimento delle relazioni internazionali. TikTok ha commentato la notizia etichettandola come “sbagliata e basata su pregiudizi”, soprattutto per la sua unilateralità e il fatto che appena un paio di settimane fa il CEO era stato a Bruxelles, proprio in un rapporto di confronto trasparente con le istituzioni comunitarie.
Nonostante la UE continui a giocare su un terreno ambiguo, sapendo come non possa fare a meno della Cina a livello economico, la spinta alla guerra e allo scontro con il Dragone che esprime il Blocco Euroatlantico sta facendo sentire il suo peso. E soprattutto, la sta facendo sentire entrando a gamba tesa anche sui dispositivi e le attività private dei funzionari europei.
In vista delle europee del 2024, il Parlamento Europeo inoltre ha dato via libera al confronto comunitario che dovrebbe portare a un testo sulla pubblicità politica. Tra le altre cose, si vorrebbe vietare alle entità non basaste nella UE di poter finanziare attività in tale senso. Un segnale di crescente preoccupazione rispetto alle influenze che possano venire da blocchi estranei.
Un incancrenirsi delle relazioni, senza nascondere la competizione politica oltre che quella economica, che fa presagire scenari futuri sempre più delicati. Vedremo se la UE continuerà in una politica di scontro duro e puro con Pechino o le motivazioni di maggiore autonomia dagli USA prenderanno il sopravvento. In ogni caso, i venti di guerra spirano in maniera evidente su un mondo diviso e non più globalizzato, neanche sul piano dei social network che di quella “globalizzazione” erano stati l’emblema portato dentro la vita quotidiana di miliardi di persone.
Fonte
15/04/2020
Virus e algoritmi. Impariamo da un’esperienza dolorosa
Il Governo sta valutando se seguire il modello coreano che, tramite
un’app, traccia gli spostamenti di chiunque per prevenire l’ulteriore
diffondersi del virus. Chi deciderà la tracciatura e come verrà imposta?
Quali dati verranno raccolti e come verranno gestiti? Verranno
tracciati tutti o solo gli infetti? Alcune riflessioni in punta di
diritto.
di Giovanna De Minico*
In questi giorni il Governo si sta chiedendo se seguire e come il modello coreano che traccia gli spostamenti di chiunque per prevenire l’ulteriore diffondersi del virus. Chiariamo che col termine “prevenire” si vogliono indicare quegli atti che anticipano con prognosi ex ante il verificarsi di un evento futuro, ma incerto nell’accadere. Nel nostro caso il rischio è la diffusione del virus e la sua velocità di propagazione da individuo a individuo. A differenza delle prognosi ex ante che si fanno rispetto al terrorismo, l’epidemia si caratterizza per la certezza dell’an, mentre l’incertezza riguarda solo il tempo della propagazione e la sua ampiezza.
Questa precisazione era necessaria per capire meglio il perimetro entro il quale il legislatore dell’emergenza si deve muovere quando valuta, misura e compensa i due beni a confronto, libertà fondamentali e sanità pubblica, equivalenti costituzionalmente anche in termini di certezza tra costi e benefici. Diversamente accade col terrorismo, dove al danno sicuro alle libertà corrisponderà un vantaggio probabile alla sicurezza, ignorandosi se accadrà il prossimo attacco.
Al momento questo bilanciamento è stato fatto comprimendo le nostre libertà: non usciamo, non lavoriamo, non ci incontriamo. Nell’elenco dei beni sacrificati la privacy non figurava ancora, era stata mantenuta indenne.
Da noi si vorrà diffondere nei nostri telefonini intelligenti un’app, la quale dovrà raccogliere in un unico pool i dati che ci riguardano. E questa sarà la prima fase. Poi i dati di ciascuna confluiranno in un server centrale: il secondo step. E infine un algoritmo li interrogherà, li intreccerà e secondo una logica, a noi oscura, vi dedurrà valutazioni funzionali alla prevenzione. Si pensi a un provvedimento di quarantena vigilata ordinato nei confronti di una lunga catena di persone con cui un individuo, poi risultato infetto, era entrato in contatto.
Quali sono i problemi per un giurista?
Di metodo e di fine.
Metodo
Il primo riguarda come e chi deciderà la tracciatura. Il dato positivo è lineare: l’art. 9 del Regolamento UE 2016/679 (da ora GDPR) vieta il trattamento dei dati sensibili, ma nel porre il divieto contempla tra le vie di fuga (art. 9, par.2, lett.i) le esigenze di pubblica utilità, tipizzate, anche se non in via esclusiva, nella salute pubblica. Queste possono giustificare che il divieto si rovesci nella facoltà di tracciare, proprio come l’eccezione deroga alla regola generale. Spetterà agli Stati membri dell’Unione decidere se attivare o meno questo ius singulare.
In questa valutazione il decisore non è solo, ma neppure integralmente supportato dalla tecnica. Quest’ultima potrà confortarlo sulla metodologia più appropriata, la meno invasiva possibile, ma la decisione se ricorrervi o farne a meno rimarrà affidata alla scelta dell’Autore politico. Questi in ultima istanza dovrà rendere il conto di ciò che ha fatto o non fatto a chi lo ha eletto. Quindi, il tentativo già battuto da Macron, che in più occasioni sembra voler proteggere le sue decisioni come ineluttabili conseguenze di quanto sentenziato dal Comité di saggi istituito ad hoc, non è un esempio da seguire. In democrazia chi decide, deve rendere il conto in ultima istanza al corpo elettorale e quindi non si può nascondere sotto l’ombrello protettivo dell’indispensabilità tecnica.
Con ciò vogliamo dire è che niente è inevitabile, come l’emergenza non è una fonte di per sé legittimante il diritto eccezionale, perché è necessario passare per le fonti ordinem dell’ordinamento, così la valutazione tecnica sarà solo il sostengo ragionevole alla politica, superabile se questa lo voglia.
Chiarito il ruolo giocato dalla tecnica nel rule-making, una particolare attenzione merita il “come” il legislatore imporrà questa tracciatura.
Se il Governo dovesse porsi l’alternativa tra decreto-legge e dpcm, come ha fatto finora (D.L. 6/2020, art. 3), riterrei che si stia giocando una chance che in punto di diritto non ha mai avuto. La Costituzione ha già risolto il dualismo ex ante nel momento in cui ha presidiato le libertà con la garanzia della riserva di legge. E anche a voler intendere come relativa la riserva a difesa della nostra privacy, essa comunque significa che il legislatore deve parlare per primo e quindi già dettare una disciplina sufficientemente prescrittiva. Solo in seconda battuta potrà intervenire l’atto normativo secondario del governo, il regolamento. Qui il decreto-legge – ad esempio il D.L. 19/2020 che al momento è l’ultimo di questa lunga serie – se è pur vero che non ha disposto una girata in bianco al Presidente del consiglio, è però innegabile che abbai fatto meno di quanto avrebbe dovuto fare per soddisfare quella assorbente attribuzione di competenza consegnata nella riserva. L’art. 2 dell’ultimo decreto-legge enumera le misure restrittive delle libertà, ma lascia alla valutazione politica del Presidente del consiglio la scelta di quale rendere concretamente operante, senza neanche vincolare il suo libero apprezzamento politico ai parametri della necessità, qui degradata ad adeguatezza, e della precauzionalità, qui diluita nella proporzionalità.
Se si continuasse su questo pentagramma, la privacy sarebbe retrocessa dinanzi alla sicurezza non per volontà di legge, e neppure di un decreto-legge, più che legittimo vista l’urgenza del provvedere, ma in forza di un atto formalmente amministrativo del Presidente del consiglio. La degradazione della fonte, e con essa l’amministrativizzazione delle libertà, non è una querelle per i soli addetti ai lavori, toccando fin nelle ossa tutti noi cittadini. Infatti, le prerogative in difesa delle libertà, intangibili dal potere costituito in tempo di emergenza sono state alleggerite fino a evaporare: e allora il dpcm è stato proposto come una risorsa fungibile al decreto-legge. Questa disinvolta sostituzione tra fonti rovescia in un colpo solo troppe regole del nostro stato di diritto: il dpcm ha un’efficacia definitiva, contro la temporaneità e provvisorietà del decreto-legge; il primo si risolve nella volontà incontestabilmente monocratica, contro la subordinazione del decreto-legge alla parola ultima del Parlamento; è esente dall’esame di legittimità preventivo, anche se sommario, del Capo dello Stato, cui non sfugge invece il decreto-legge e, infine, è sindacabile dai giudici comuni, contro il riesame della Corte costituzionale sulla coppia decreto/legge di conversione.
In sintesi, stante l’urgenza la tracciatura potrà essere disposta con decreto-legge, e non con la tecnica combinata di un decreto che si limita ad annunciarla e di un dpcm che in concreto la dispone.
Quest’ordine vincolante di interventi è peraltro imposto anche dal diritto comunitario: il GDPR che, se nell’art. 9 apre a tracciature in casi eccezionali, facendo saltare il divieto generalizzato, al tempo stesso impone che a farlo sia la legge, cioè l’atto espressivo massimo della sovranità popolare, non dunque un atto, quale il dpcm, preposto a continuare, non già ad avviare ex novo il disegno politico.
La questione sulla fonte legittimata a parlare non ha nulla a che vedere con un giudizio di merito sulle regole poste, facile a esprimersi a fatto compiuto, ma difficile quando i rimedi vengono disegnati in anticipo rispetto all’evento temuto nel tentativo di valutare secondo proporzionalità, necessarietà e precauzionalità quanto probabilmente accadrà. E in questa riffa di critiche al Governo, la più irragionevole è quella di chi ha ritenuto inutile, se non pericoloso per i sentimenti, lo stare tutti agli “arresti domiciliari” perché sarebbero le prescrizioni del Governo a trasformare ogni individuo in un potenziale autore, non certo il virus, nobilitato da questo pensiero all’ennesima fake news in coerenza col tempo di Internet. La conseguenza di questa tesi negatrice dei fatti è l’illegittimità dello stato d’emergenziale dichiarato non per proteggerci, ma come scusa per affermare poteri eccezionali e conservarli a emergenza esaurita. Riteniamo che questo rischio, sempre insito quando si apre una stagione emergenziale, non vada contrastato negando la realtà, cioè con l’equazione il virus = bugia, ma con il rispetto delle garanzie dello stato di diritto, la cui osservanza si impone ai nostri governanti soprattutto in tempo di emergenza. Ed è proprio intorno a queste garanzie – ordine delle fonti del diritto, riserva di legge, intangibilità del nocciolo duro dei diritti – che proviamo a ragionare in questo scritto.
E ora le questioni di fine
Esse sono poste nel GDPR che ripete, come il ritornello di una canzone estiva, che i dati vanno trattati nei limiti dello stretto necessario. Dunque, se la compressione del diritto è altrimenti evitabile, questa sarà la sola via da percorrere.
Tale leit motiv si combina bene con le misure precauzionali disseminate nel GDPR, tendenti a prevenire l’inutile sacrificio prima che sia troppo tardi, anche ricorrendo a tecniche di disegno che assicurano in anticipo la compatibilità del mezzo con un’inedita fisionomia della privacy.
E allora tornando alla nostra app, essa andrà strutturata in modo da raccogliere i nostri dati di geolocalizzazione, ad esempio, dove siamo stati e per quanto tempo? Oppure, sarà sufficiente il solo dato del nostro avvicinamento sociale, cioè se abbiamo rispettato la distanza di sicurezza nell’incontrare una persona per strada? In altre parole, l’app raccoglierà anche i dati superflui ai fini della prevenzione o solo quelli strettamente necessari per risalire a ritroso la catena dei contatti? La risposta non è nella tecnica che potrà orientare la macchina indifferentemente verso destra o sinistra, bensì nella volontà del legislatore, il solo legittimato a scegliere la sua direzione.
La call lanciata dal governo, che ci invitava a presentare progetti di app, non si è posta né la domanda relativa alla tipologia di dati, né quella sui soggetti da tracciare. Tutti noi o solo gli infetti? La soluzione omnibus appare funzionalmente più adatta perché la misura per prevenire il possibile contagio deve poter includere tutti, in quanto potenziali portatori del virus. Una cernita però si potrà, anzi si dovrà, fare in un momento successivo, quando le autorità competenti avranno accesso a dati. In questa fase saranno trasmessi loro solo i dati delle persone che hanno contratto il virus. Esito questo, suggerito dal principio, secondo il quale le liberà possono essere legittimamente compresse nella misura strettamente necessaria al conseguimento di uno specifico scopo, ragione ricorrente nei case law del giudice europeo in materia di prevenzione al terrorismo (C.G. 8 aprile 2014, Digital Rights Ireland c. Ireland).
Ancora nelle questioni attinenti al fine rientra l’interrogativo se l’esito dell’algoritmo si risolverà in una decisione esclusivamente automatizzata o si limiterà a essere una parte di un processo volitivo umano che assume l’algoritmo, ma al tempo stesso lo supera.
Ebbene, il GDPR, un po’ come per la tracciatura, pone un divieto: no automatizzazioni assolute, ma poi al rigo successivo, art. 22, par.2, lett.b., rompe il tessuto della drastica proibizione e apre ai provvedimenti meccanici, sempre che il legislatore lo voglia. A noi preoccupa proprio l’ipotesi che il decisore politico possa decidere di far coincidere l’esito dell’algoritmo con una misura limitativa ad applicazione automatica. Escludiamo che questa sia la via da seguire perché l’algoritmo potrebbe aver commesso errori, che invece la volontà dell’uomo è in grado di correggere. Si pensi a una localizzazione che porti a individuare una persona che ha visitato uno stabile, dove solo al 1 piano c’è un individuo infetto, non anche nelle abitazioni dislocate ai piani superiori. Se la conseguenza è trattare l’intero palazzo come interamente infetto, il rimedio peccherebbe per difetto. Pertanto, la misura a operatività automatica potrebbe essere la quarantena vigilata per tutti, e quindi in assenza di pericolo per la salute pubblica si spazzerebbero via in un colpo solo più diritti di più individui.
Un’ultima questione di fine, inteso ora come prospettiva ultima di questa policy precauzionale: quale sorte avrà la pesca a strascico dei nostri dati?
La voce europea risponderebbe che i dati devono essere cancellati, perché la privacy fa un passo indietro solo dinanzi alla sicurezza, cessato il pericolo tutto dovrà torna nella condizione in cui era prima, secondo quanto affermato dalla Corte di Giustizia prima ricordata.
Bene. Ma allora il server dove confluiscono i dati nostri, deve essere di proprietà del nostro Stato. Qui si chiedono due attributi: pubblicità e nazionalità. Diversamente, in caso di suo affidamento alla mano privata niente ci assicurerebbe che questa tracciatura non fosse utilizzata come merce di scambio contro denaro in una trattativa con i Google di turno, avidi di dati per alimentari i loro affari data driven. Se così fosse, avremmo rinunciato alle nostre libertà per assecondare i piani lucrativi dei Giganti della rete.
Quali suggerimenti positivi dal virus
Il primo positivo è la dimostrazione che le soluzioni tecniche non sono mai neutre, perché se procurano vantaggi a tutti o privilegi a pochi, dipende esclusivamente da come la mano pubblica le abbia orientate.
Il secondo positivo è nella spinta verso una generale solidarietà che ha bisogno dell’apporto di ciascuno di noi: sperimentare la solidarietà nel rinunciare quotidianamente a esercitare le nostre libertà per il tempo necessario.
Il terzo positivo si compie con l’apporto dei soggetti pubblici.
I nostri governanti darebbero prova di solidarietà nel conservare intatti alle generazioni future i diritti fondamentali, esposti a minacce più insidiose nella stagione dell’emergenza che non in tempi ordinari.
I governanti dell’Unione sono dinanzi a una sfida decisiva: fare esperienza di un sentire politico comune concependo l’Italia, la Spagna, la Francia e gli altri Paesi come frammenti di uno stesso corpo politico, il quale per continuare a esistere deve funzionare come un unico armonico, responsabile e identitario. Diversamente, qualche sua parte potrebbe cedere al canto ammaliatore e amaro delle Sirene d’oriente.
* Prof. diritto costituzionale Università Federico II Napoli e Direttrice Centro Europeo di Ricerca Ermes: www.ermes.unina.it
L’articolo, anche se in una versione lievemente diversa, è già apparso qui. Alcune delle questioni qui solo accennate, tra cui, la Law of fear, le valutazioni precauzionali, il bilanciamento tra beni di rilevanza costituzionale in tempo di emergenza, sono state da me affrontate in: G. De Minico, Costituzione. Emergenza e Terrorismo, Jovene, 2016, e a quelle riflessioni mi sia consentito rinviare.
(3 aprile 2020)
Fonte
di Giovanna De Minico*
In questi giorni il Governo si sta chiedendo se seguire e come il modello coreano che traccia gli spostamenti di chiunque per prevenire l’ulteriore diffondersi del virus. Chiariamo che col termine “prevenire” si vogliono indicare quegli atti che anticipano con prognosi ex ante il verificarsi di un evento futuro, ma incerto nell’accadere. Nel nostro caso il rischio è la diffusione del virus e la sua velocità di propagazione da individuo a individuo. A differenza delle prognosi ex ante che si fanno rispetto al terrorismo, l’epidemia si caratterizza per la certezza dell’an, mentre l’incertezza riguarda solo il tempo della propagazione e la sua ampiezza.
Questa precisazione era necessaria per capire meglio il perimetro entro il quale il legislatore dell’emergenza si deve muovere quando valuta, misura e compensa i due beni a confronto, libertà fondamentali e sanità pubblica, equivalenti costituzionalmente anche in termini di certezza tra costi e benefici. Diversamente accade col terrorismo, dove al danno sicuro alle libertà corrisponderà un vantaggio probabile alla sicurezza, ignorandosi se accadrà il prossimo attacco.
Al momento questo bilanciamento è stato fatto comprimendo le nostre libertà: non usciamo, non lavoriamo, non ci incontriamo. Nell’elenco dei beni sacrificati la privacy non figurava ancora, era stata mantenuta indenne.
Da noi si vorrà diffondere nei nostri telefonini intelligenti un’app, la quale dovrà raccogliere in un unico pool i dati che ci riguardano. E questa sarà la prima fase. Poi i dati di ciascuna confluiranno in un server centrale: il secondo step. E infine un algoritmo li interrogherà, li intreccerà e secondo una logica, a noi oscura, vi dedurrà valutazioni funzionali alla prevenzione. Si pensi a un provvedimento di quarantena vigilata ordinato nei confronti di una lunga catena di persone con cui un individuo, poi risultato infetto, era entrato in contatto.
Quali sono i problemi per un giurista?
Di metodo e di fine.
Metodo
Il primo riguarda come e chi deciderà la tracciatura. Il dato positivo è lineare: l’art. 9 del Regolamento UE 2016/679 (da ora GDPR) vieta il trattamento dei dati sensibili, ma nel porre il divieto contempla tra le vie di fuga (art. 9, par.2, lett.i) le esigenze di pubblica utilità, tipizzate, anche se non in via esclusiva, nella salute pubblica. Queste possono giustificare che il divieto si rovesci nella facoltà di tracciare, proprio come l’eccezione deroga alla regola generale. Spetterà agli Stati membri dell’Unione decidere se attivare o meno questo ius singulare.
In questa valutazione il decisore non è solo, ma neppure integralmente supportato dalla tecnica. Quest’ultima potrà confortarlo sulla metodologia più appropriata, la meno invasiva possibile, ma la decisione se ricorrervi o farne a meno rimarrà affidata alla scelta dell’Autore politico. Questi in ultima istanza dovrà rendere il conto di ciò che ha fatto o non fatto a chi lo ha eletto. Quindi, il tentativo già battuto da Macron, che in più occasioni sembra voler proteggere le sue decisioni come ineluttabili conseguenze di quanto sentenziato dal Comité di saggi istituito ad hoc, non è un esempio da seguire. In democrazia chi decide, deve rendere il conto in ultima istanza al corpo elettorale e quindi non si può nascondere sotto l’ombrello protettivo dell’indispensabilità tecnica.
Con ciò vogliamo dire è che niente è inevitabile, come l’emergenza non è una fonte di per sé legittimante il diritto eccezionale, perché è necessario passare per le fonti ordinem dell’ordinamento, così la valutazione tecnica sarà solo il sostengo ragionevole alla politica, superabile se questa lo voglia.
Chiarito il ruolo giocato dalla tecnica nel rule-making, una particolare attenzione merita il “come” il legislatore imporrà questa tracciatura.
Se il Governo dovesse porsi l’alternativa tra decreto-legge e dpcm, come ha fatto finora (D.L. 6/2020, art. 3), riterrei che si stia giocando una chance che in punto di diritto non ha mai avuto. La Costituzione ha già risolto il dualismo ex ante nel momento in cui ha presidiato le libertà con la garanzia della riserva di legge. E anche a voler intendere come relativa la riserva a difesa della nostra privacy, essa comunque significa che il legislatore deve parlare per primo e quindi già dettare una disciplina sufficientemente prescrittiva. Solo in seconda battuta potrà intervenire l’atto normativo secondario del governo, il regolamento. Qui il decreto-legge – ad esempio il D.L. 19/2020 che al momento è l’ultimo di questa lunga serie – se è pur vero che non ha disposto una girata in bianco al Presidente del consiglio, è però innegabile che abbai fatto meno di quanto avrebbe dovuto fare per soddisfare quella assorbente attribuzione di competenza consegnata nella riserva. L’art. 2 dell’ultimo decreto-legge enumera le misure restrittive delle libertà, ma lascia alla valutazione politica del Presidente del consiglio la scelta di quale rendere concretamente operante, senza neanche vincolare il suo libero apprezzamento politico ai parametri della necessità, qui degradata ad adeguatezza, e della precauzionalità, qui diluita nella proporzionalità.
Se si continuasse su questo pentagramma, la privacy sarebbe retrocessa dinanzi alla sicurezza non per volontà di legge, e neppure di un decreto-legge, più che legittimo vista l’urgenza del provvedere, ma in forza di un atto formalmente amministrativo del Presidente del consiglio. La degradazione della fonte, e con essa l’amministrativizzazione delle libertà, non è una querelle per i soli addetti ai lavori, toccando fin nelle ossa tutti noi cittadini. Infatti, le prerogative in difesa delle libertà, intangibili dal potere costituito in tempo di emergenza sono state alleggerite fino a evaporare: e allora il dpcm è stato proposto come una risorsa fungibile al decreto-legge. Questa disinvolta sostituzione tra fonti rovescia in un colpo solo troppe regole del nostro stato di diritto: il dpcm ha un’efficacia definitiva, contro la temporaneità e provvisorietà del decreto-legge; il primo si risolve nella volontà incontestabilmente monocratica, contro la subordinazione del decreto-legge alla parola ultima del Parlamento; è esente dall’esame di legittimità preventivo, anche se sommario, del Capo dello Stato, cui non sfugge invece il decreto-legge e, infine, è sindacabile dai giudici comuni, contro il riesame della Corte costituzionale sulla coppia decreto/legge di conversione.
In sintesi, stante l’urgenza la tracciatura potrà essere disposta con decreto-legge, e non con la tecnica combinata di un decreto che si limita ad annunciarla e di un dpcm che in concreto la dispone.
Quest’ordine vincolante di interventi è peraltro imposto anche dal diritto comunitario: il GDPR che, se nell’art. 9 apre a tracciature in casi eccezionali, facendo saltare il divieto generalizzato, al tempo stesso impone che a farlo sia la legge, cioè l’atto espressivo massimo della sovranità popolare, non dunque un atto, quale il dpcm, preposto a continuare, non già ad avviare ex novo il disegno politico.
La questione sulla fonte legittimata a parlare non ha nulla a che vedere con un giudizio di merito sulle regole poste, facile a esprimersi a fatto compiuto, ma difficile quando i rimedi vengono disegnati in anticipo rispetto all’evento temuto nel tentativo di valutare secondo proporzionalità, necessarietà e precauzionalità quanto probabilmente accadrà. E in questa riffa di critiche al Governo, la più irragionevole è quella di chi ha ritenuto inutile, se non pericoloso per i sentimenti, lo stare tutti agli “arresti domiciliari” perché sarebbero le prescrizioni del Governo a trasformare ogni individuo in un potenziale autore, non certo il virus, nobilitato da questo pensiero all’ennesima fake news in coerenza col tempo di Internet. La conseguenza di questa tesi negatrice dei fatti è l’illegittimità dello stato d’emergenziale dichiarato non per proteggerci, ma come scusa per affermare poteri eccezionali e conservarli a emergenza esaurita. Riteniamo che questo rischio, sempre insito quando si apre una stagione emergenziale, non vada contrastato negando la realtà, cioè con l’equazione il virus = bugia, ma con il rispetto delle garanzie dello stato di diritto, la cui osservanza si impone ai nostri governanti soprattutto in tempo di emergenza. Ed è proprio intorno a queste garanzie – ordine delle fonti del diritto, riserva di legge, intangibilità del nocciolo duro dei diritti – che proviamo a ragionare in questo scritto.
E ora le questioni di fine
Esse sono poste nel GDPR che ripete, come il ritornello di una canzone estiva, che i dati vanno trattati nei limiti dello stretto necessario. Dunque, se la compressione del diritto è altrimenti evitabile, questa sarà la sola via da percorrere.
Tale leit motiv si combina bene con le misure precauzionali disseminate nel GDPR, tendenti a prevenire l’inutile sacrificio prima che sia troppo tardi, anche ricorrendo a tecniche di disegno che assicurano in anticipo la compatibilità del mezzo con un’inedita fisionomia della privacy.
E allora tornando alla nostra app, essa andrà strutturata in modo da raccogliere i nostri dati di geolocalizzazione, ad esempio, dove siamo stati e per quanto tempo? Oppure, sarà sufficiente il solo dato del nostro avvicinamento sociale, cioè se abbiamo rispettato la distanza di sicurezza nell’incontrare una persona per strada? In altre parole, l’app raccoglierà anche i dati superflui ai fini della prevenzione o solo quelli strettamente necessari per risalire a ritroso la catena dei contatti? La risposta non è nella tecnica che potrà orientare la macchina indifferentemente verso destra o sinistra, bensì nella volontà del legislatore, il solo legittimato a scegliere la sua direzione.
La call lanciata dal governo, che ci invitava a presentare progetti di app, non si è posta né la domanda relativa alla tipologia di dati, né quella sui soggetti da tracciare. Tutti noi o solo gli infetti? La soluzione omnibus appare funzionalmente più adatta perché la misura per prevenire il possibile contagio deve poter includere tutti, in quanto potenziali portatori del virus. Una cernita però si potrà, anzi si dovrà, fare in un momento successivo, quando le autorità competenti avranno accesso a dati. In questa fase saranno trasmessi loro solo i dati delle persone che hanno contratto il virus. Esito questo, suggerito dal principio, secondo il quale le liberà possono essere legittimamente compresse nella misura strettamente necessaria al conseguimento di uno specifico scopo, ragione ricorrente nei case law del giudice europeo in materia di prevenzione al terrorismo (C.G. 8 aprile 2014, Digital Rights Ireland c. Ireland).
Ancora nelle questioni attinenti al fine rientra l’interrogativo se l’esito dell’algoritmo si risolverà in una decisione esclusivamente automatizzata o si limiterà a essere una parte di un processo volitivo umano che assume l’algoritmo, ma al tempo stesso lo supera.
Ebbene, il GDPR, un po’ come per la tracciatura, pone un divieto: no automatizzazioni assolute, ma poi al rigo successivo, art. 22, par.2, lett.b., rompe il tessuto della drastica proibizione e apre ai provvedimenti meccanici, sempre che il legislatore lo voglia. A noi preoccupa proprio l’ipotesi che il decisore politico possa decidere di far coincidere l’esito dell’algoritmo con una misura limitativa ad applicazione automatica. Escludiamo che questa sia la via da seguire perché l’algoritmo potrebbe aver commesso errori, che invece la volontà dell’uomo è in grado di correggere. Si pensi a una localizzazione che porti a individuare una persona che ha visitato uno stabile, dove solo al 1 piano c’è un individuo infetto, non anche nelle abitazioni dislocate ai piani superiori. Se la conseguenza è trattare l’intero palazzo come interamente infetto, il rimedio peccherebbe per difetto. Pertanto, la misura a operatività automatica potrebbe essere la quarantena vigilata per tutti, e quindi in assenza di pericolo per la salute pubblica si spazzerebbero via in un colpo solo più diritti di più individui.
Un’ultima questione di fine, inteso ora come prospettiva ultima di questa policy precauzionale: quale sorte avrà la pesca a strascico dei nostri dati?
La voce europea risponderebbe che i dati devono essere cancellati, perché la privacy fa un passo indietro solo dinanzi alla sicurezza, cessato il pericolo tutto dovrà torna nella condizione in cui era prima, secondo quanto affermato dalla Corte di Giustizia prima ricordata.
Bene. Ma allora il server dove confluiscono i dati nostri, deve essere di proprietà del nostro Stato. Qui si chiedono due attributi: pubblicità e nazionalità. Diversamente, in caso di suo affidamento alla mano privata niente ci assicurerebbe che questa tracciatura non fosse utilizzata come merce di scambio contro denaro in una trattativa con i Google di turno, avidi di dati per alimentari i loro affari data driven. Se così fosse, avremmo rinunciato alle nostre libertà per assecondare i piani lucrativi dei Giganti della rete.
Quali suggerimenti positivi dal virus
Il primo positivo è la dimostrazione che le soluzioni tecniche non sono mai neutre, perché se procurano vantaggi a tutti o privilegi a pochi, dipende esclusivamente da come la mano pubblica le abbia orientate.
Il secondo positivo è nella spinta verso una generale solidarietà che ha bisogno dell’apporto di ciascuno di noi: sperimentare la solidarietà nel rinunciare quotidianamente a esercitare le nostre libertà per il tempo necessario.
Il terzo positivo si compie con l’apporto dei soggetti pubblici.
I nostri governanti darebbero prova di solidarietà nel conservare intatti alle generazioni future i diritti fondamentali, esposti a minacce più insidiose nella stagione dell’emergenza che non in tempi ordinari.
I governanti dell’Unione sono dinanzi a una sfida decisiva: fare esperienza di un sentire politico comune concependo l’Italia, la Spagna, la Francia e gli altri Paesi come frammenti di uno stesso corpo politico, il quale per continuare a esistere deve funzionare come un unico armonico, responsabile e identitario. Diversamente, qualche sua parte potrebbe cedere al canto ammaliatore e amaro delle Sirene d’oriente.
* Prof. diritto costituzionale Università Federico II Napoli e Direttrice Centro Europeo di Ricerca Ermes: www.ermes.unina.it
L’articolo, anche se in una versione lievemente diversa, è già apparso qui. Alcune delle questioni qui solo accennate, tra cui, la Law of fear, le valutazioni precauzionali, il bilanciamento tra beni di rilevanza costituzionale in tempo di emergenza, sono state da me affrontate in: G. De Minico, Costituzione. Emergenza e Terrorismo, Jovene, 2016, e a quelle riflessioni mi sia consentito rinviare.
(3 aprile 2020)
Fonte
Iscriviti a:
Post (Atom)