L’assegnazione da parte di una task force ministeriale costituita da 74 esperti nominati dal Ministero dell’Innovazione Tecnologica e la Digitalizzazione a Bending Spoon di creare la app di italiana di contact tracing per il controllo dei contagi sul territorio nazionale ha scatenato da subito critiche e perplessità.
Critiche che partono dal fatto che le policy sulla gestione della privacy, fattore dirimente quando si parla di tracciamento dei contatti, non sono state rese pubbliche.
Poi non è stato chiaro come il pool di esperti abbia fatto la propria valutazione sulla base della sola presentazione del progetto,
Infine pare non sia stato eseguito alcun test sui dati che contano in questo caso specifico, ossia quelli dati sanitari.
Il ministero diretto da Paola Pisano ha risposto con una nota che ripercorre tutte le fasi che hanno portato a Immuni, partendo dalla costituzione del gruppo di lavoro in accordo con il Ministero della Salute per valutare e proporre soluzioni tecnologiche basate sull’analisi dei dati e affrontare l’emergenza sanitaria, sociale e economica da Covid-19.
I 74 esperti del gruppo di lavoro, diviso in otto sottogruppi, sono stati scelti in collaborazione con il Ministero della Salute, l’Istituto Superiore di Sanità e l’Organizzazione Mondiale della Sanità. L’Agcm, il Garante Privacy e l’Agcom non partecipano direttamente ai lavori ma forniscono pareri su questioni relative a proprie competenze.
I componenti del gruppo di lavoro, dice il Ministrero, sono stati individuati in base a comprovata esperienza nelle rispettive discipline di riferimento e partecipano all’attività a titolo gratuito.
Come si è arrivati al contact tracing
Una ricognizione preliminare sul contact tracing è stata fin dall’inizio una delle priorità identificate insieme con il Ministro della Salute.
Se determinazioni di Governo e Parlamento permettessero di renderlo operativo, dice il Ministero, il contact tracing potrebbe aiutare a identificare individui potenzialmente infetti prima che emergano sintomi e, se condotto in modo sufficientemente rapido, potrebbe impedire la trasmissione successiva del virus dai casi secondari.
Gli standard di tracciamento manuale dei contatti forniti dall’European Center for Disease Prevention and Control (ECDC) a marzo 2020 relativamente all’epidemia di Covid-19 indicano in 12 ore il tempo medio per ogni operazione di contact tracing.
L’operazione richiede l’utilizzo di tre unità di personale specializzato. Il suo tasso di successo è peraltro insufficiente a identificare tutti i contatti del soggetto che ha contratto il virus o comunque a ridurre il numero di contatti secondari infettati non identificati e isolati sotto l’unità. Dunque, per il Ministero, la soluzione manuale non assicura di interrompere la riproduzione epidemica.
L’uso della tecnologia di contact tracing sarebbe invece in grado di dare un contributo rilevante a un tracciamento di prossimità molto più efficiente e rapido di quello tradizionale.
Pe il ministero diretto da Pisano la tecnologia per il tracciamento dei contatti potrebbe essere adottata in modalità compatibili con le necessità di rispettare diritti e libertà fondamentali dei cittadini sanciti dalla Costituzione.
In una direzione che può soddisfare queste esigenze si sono mosse a livello europeo diverse iniziative (PEPP-PT, DP-3T, ROBERT) che mirano a definire standard tecnologici per realizzare una soluzione tecnica che renda possibile il tracciamento di contatti tramite smartphone basato su codice libero e open source, nel pieno rispetto del diritto alla privacy dei cittadini.
Più recentemente, ricorda il Ministero, anche Apple e Google hanno annunciato un’iniziativa congiunta che prevede il rilascio di un sistema di contact tracing decentralizzato ed integrato nelle loro piattaforme in linea con molti dei principi dei progetti europei.
Il 15 aprile 2020 la Commissione europea ha pubblicato le linee guida per la realizzazione di applicazioni finalizzate al tracciamento dei contagi (Mobile applications to support contact tracing in the EU’s fight against COVID-19 – Common EU Toolbox for Member States).
Commissione UE ha affermato che le app mobili hanno il potenziale per rafforzare le strategie di tracciamento dei contatti personali e che sono necessarie a contenere e invertire il corso della diffusione del Covid-19. Gli Stati membri riconoscono che l’interoperabilità tra queste app può non solo aiutare i servizi sanitari nazionali ma anche facilitare la riapertura delle frontiere interne dell’Ue.
Come si è arrivati a Immuni
Come spiega la nota ministeriale, e stata avviata una cosiddetta fast call for contribution nell’ambito dell’iniziativa “Innova per l’Italia: la tecnologia, la ricerca e l’innovazione in campo contro l’emergenza Covid-19” (una richiesta pubblica di offerte volta a raccogliere contributi da aziende, università, centri di ricerca e società civile nell’ambito dei dispositivi per la prevenzione, la diagnostica e il monitoraggio per il contenimento e il contrasto del diffondersi del coronavirus, promossa dai Ministri di Sviluppo Economico, Università e Ricerca e Innovazione Tecnologica e Digitalizzazione).
La fast call for contribution si è svolta tra il 24 e 26 marzo per individuare le migliori soluzioni digitali disponibili su applicazioni di telemedicina e assistenza domiciliare dei pazienti nonché tecnologie e strategie basate sulle tecnologie per il monitoraggio “attivo” del rischio di contagio.
Le proposte di soluzioni tecnologiche sono state 319 per il monitoraggio e 504 per la telemedicina.
Sono state sottoposte alla valutazione del “Gruppo di lavoro data-driven per l’emergenza Covid-19” costituito con decreto del Ministro per l’Innovazione Tecnologica e la Digitalizzazione e formato da esperti suddivisi in otto sottogruppi in ragione dell’oggetto del lavoro da svolgere.
I sottogruppi “Tecnologie per il governo dell’emergenza” (tenuto a individuare possibili soluzioni offerte dalle tecnologie digitali per gestire l’emergenza e contenere il contagio) e “Profili giuridici della gestione dei dati connessa all’emergenza” (preposto a valutare i vincoli normativi per l’utilizzazione e la condivisione dei dati personali in soluzioni tecnologiche di contenimento) hanno fornito approfondite analisi e hanno informato dei primi risultati del loro lavoro l’Autorità Garante per la protezione dei dati personali, l’Autorità Garante della concorrenza e del mercato e l’Autorità per le garanzie nelle comunicazioni.
Il 30 marzo 2020, su iniziativa del Segretario Generale della Presidenza del Consiglio dei Ministri, è stata convocata una riunione in videoconferenza di coordinamento per le eventuali iniziative governative da adottarsi a valle della selezione della soluzione tecnologica di contact tracing.
Alla videoconferenza hanno partecipato i rappresentanti dei Ministri di Interno, Giustizia, Salute, Innovazione tecnologica e la digitalizzazione e Servizi del Comparto Sicurezza dello Stato.
Ha fatto seguito una successiva riunione di coordinamento in videoconferenza il 4 aprile 2020. In questa sede sono state espresse e valutate posizioni e suggerimenti dei partecipanti anche alla luce delle relazioni prodotte dal gruppo di lavoro, contenenti le valutazioni – sia dal punto di vista tecnico, sia dal punto di vista giuridico – delle proposte analizzate, messe a disposizione di tutti i partecipanti alle riunioni di coordinamento.
Il gruppo di lavoro ha concluso indicando, fra tutte le soluzioni esaminate, quelle maggiormente valide e idonee a essere testate per eventualmente essere adottate nell’attuale situazione emergenziale.
Il sottogruppo “Profili giuridici della gestione dei dati connessa all’emergenza” ha evidenziato che: Le soluzioni tecnologiche esaminate più in linea con il quadro giuridico, in generale, funzionano come segue: il segnale Bluetooth LE (Low Energy) degli utenti che hanno scelto di installare una specifica applicazione viene registrato dalle analoghe applicazioni con le quali “entrano in contatto”; quando un utente viene diagnosticato contagiato dal Covid-19 il suo dispositivo trasmette i dati al server del soggetto pubblico che gestisce il sistema [alcune delle soluzioni valutate prevedono tale trasferimento su base sistematica e non condizionata], che provvede quindi a informare gli altri utenti – che abbiano egualmente volontariamente installato la medesima app – di essere a rischio contagio perché sono entrati in contatto con una persona risultata contagiata.
I presupposti essenziali delle valutazioni e considerazioni riassunte nel documento sono:
(a) che l’intero sistema integrato di contact tracing sia interamente gestito da uno o più soggetti pubblici e che il suo codice sia aperto e suscettibile di revisione da qualunque soggetto indipendente voglia studiarlo;
(b) che i dati trattati ai fini dell’esercizio del sistema siano “resi sufficientemente anonimi da impedire l’identificazione dell’interessato” [cfr. Considerando 26 GDPR] tenuto conto dell’insieme di fattori obiettivi, tra cui i costi, le tecnologie disponibili ed il valore della reidentificazione almeno in condizioni ordinarie e salvo il verificarsi di eventi patologici o, almeno, pseudo anonimi previa adozione di idonee misure idonee a limitare il rischio di identificazione degli interessati;
(c) che la decisione di usare la soluzione tecnologica sia liberamente assunta dai singoli cittadini;
(d) che raggiunta la finalità perseguita tutti i dati ovunque e in qualunque forma conservati, con l’eccezione di dati aggregati e pienamente anonimi a fini di ricerca o statistici, siano cancellati con conseguente garanzia assoluta per tutti i cittadini di ritrovarsi, dinanzi a soggetti pubblici e privati, nella medesima condizione nella quale si trovavano in epoca anteriore all’utilizzo della soluzione;
(e) che la soluzione adottata – nelle sue componenti tecnologiche e non tecnologiche – possa essere considerata, almeno in una dimensione prognostica, effettivamente efficace sul piano epidemiologico giacché, in difetto, diverrebbe difficile giustificare qualsivoglia, pur modesta e eventuale, compressione di diritti e libertà fondamentali”.
Il sistema di contact tracing dovrà essere finalizzato tenendo in considerazione l’evoluzione dei sistemi di contact tracing internazionali, oggi ancora non completamente definiti (PEPP-PT, DP-3T, ROBERT), e in particolare l’evoluzione del modello annunciato da Apple e Google.
Il codice sorgente del sistema di contact tracing sarà rilasciato con licenza Open Source MPL 2.0 e quindi come software libero e aperto.
L’applicazione non dovrà accedere alla rubrica dei contatti del telefono, non chiederà nemmeno il numero e non manderà SMS per notificare chi è a rischio.
Inoltre sarà necessaria l’integrazione delle indicazioni e dei protocolli sanitari stabiliti dal Ministero della Salute e dalle autorità sanitarie.
L’applicazione si baserà sull’installazione volontaria da parte degli utenti e il suo funzionamento potrà cessare non appena terminerà la fase di emergenza, con cancellazione di tutti i dati generati durante il suo funzionamento.
L’applicazione non conserverà i dati relativi alla geolocalizzazione degli utenti, ma registrerà esclusivamente i contatti pseudonimizzati di prossimità rilevati mediante la tecnologia bluetooth low energy.
Le linee generali dell’attività di ricognizione e valutazione avviata sulle possibilità di tracciamento sono state illustrate nella Camera dei Deputati dal Ministro per l’innovazione tecnologica e la digitalizzazione, chiamata in audizione l’8 aprile 2020 davanti alla Commissione Trasporti, Poste e Telecomunicazioni.
Con nota indirizzata il 10 aprile 2020 al Commissario straordinario del Governo per l’attuazione ed il coordinamento delle misure per il contenimento ed il contrasto dell’emergenza epidemiologica Covid-19, dottor Domenico Arcuri, il Presidente del Consiglio ha richiamato le osservazioni dei Ministri della Salute e per l’Innovazione Tecnologica e la Digitalizzazione. Il Presidente del Consiglio ha chiesto al Commissario di procedere rapidamente, nell’ambito dei poteri conferiti dall’articolo 122 del decreto-legge 17 marzo 2020, n. 18, a valutare le modalità con cui dare attuazione alla proposta dei due Ministri. Ha precisato che, in tali attività, il Commissario sarà supportato anche dai rappresentanti delle Amministrazioni competenti ratione materiae e da un rappresentante designato dal Presidente della Conferenza delle Regioni e delle Province autonome di Trento e Bolzano.
Il Commissario, raccordandosi con il Segretario Generale della Presidenza del Consiglio dei Ministri, ha quindi preso contatti con Bending Spoons il 16 aprile 2020, previa adozione dell’ordinanza n. 10/2020, e ha stipulato il contratto con cui la stessa società, ha concesso la licenza d’uso aperta, gratuita, perpetua e irrevocabile del codice sorgente e di tutte le componenti dell’applicazione.
La società si è poi impegnata, sempre gratuitamente e pro bono, a completare gli sviluppi software necessari per la messa in esercizio del sistema nazionale di contact tracing digitale.
