Domenico Arcuri, commissario straordinario all'emergenza (Imagoeconomica)
Roma, 20 aprile 2020 - ‘Immuni’ è l’app scelta dal governo come strumento per contenere il contagio da Coronavirus, ma perché abbia successo deve essere utilizzata da almeno il 60% degli italiani (soglia sotto la quale non garantirebbe l’efficacia): per arrivarci, e sarà durissima senza incentivi, vanno tranquillizzati i cittadini sui dubbi circa la privacy. Il Comitato per la sicurezza della Repubblica intende approfondire la questione dell’app ‘Immuni’, "sia per gli aspetti di architettura societaria sia per quanto riguarda le forme scelte dal commissario Arcuri per l’affidamento e la conseguente gestione dell’applicazione". Lo annuncia il presidente del Copasir, Raffaele Volpi, che dopodomani metterà il tema all’ordine del giorno del Copasir e che non esclude l’audizione dello stesso Arcuri davanti al Comitato, "trattandosi di sicurezza nazionale". A favore di un approfondimento si sono espressi esponenti di M5s, Pd, Lega, FI, Fdi. "La app di contact tracing denominata ‘Immuni’, è una questione di sicurezza nazionale che deve investire l’azione del Copasir" avevano annunciato in una nota congiunta i deputati Antonio Zennaro, capogruppo del M5S nel Copasir, ed Enrico Borghi, rappresentante del Pd nel Copasir. E nelle opposizioni la preoccupazione è anche maggiore. «Sulla app per il tracciamento del virus del governo non c’è nessuna garanzia per la privacy degli italiani e sulla sicurezza sui server" attacca il leghista Alessandro Morelli, che chiede l’audizione di Arcuri. "Va coinvolto il Garante della privacy" chiede in una interrogazione il deputato Federico Mollicone di Fratelli d’Italia. L’app, secondo l’ordinanza di Arcuri del 16 aprile, è concessa dalla Bending Spoons, la società italiana creatrice, in "licenza d’uso aperta gratuita e perpetua". Codice ‘open source’ quindi, in mano al governo. Ma il codice sorgente sarà reso pubblico in modo da consentire a chiunque ne abbia le competenze di analizzare l’app in una ottica di sicurezza e privacy? Non è chiaro se il governo lo farà.
L’app potrà essere scaricata gratis e l’uso sarà volontario e gratuito. In pratica funziona così: la installi, accendi il Bluetooth e dimentichi il tutto. Ogni volta che il Bluetooth del telefonino entra in contatto con quello di un altro telefonino dotato della stessa app si scambierà un identificativo alfanumerico (un ID temporaneo che cambia ogni 15 minuti), che verrà salvato sul cellulare. Se il proprietario del telefonino si ammala o viene trovato positivo gli viene consegnato (a lui o ai suoi parenti) un codice Tan (Transaction autentication number) con il quale può inviare ad un server ministeriale, attraverso l’app, i dati su tutte le persone che ha incontrato negli ultimi 15 giorni, e che erano dotate della stessa app sul telefonino.
In maniera automatica queste persone verranno allora raggiunte da un messaggio che le avvertirà che sono entrate in contatto con una persona positiva al Covid 19, dando loro una serie di istruzioni. Bene? In teoria. L’aver evitato la geolocalizzazione Gps e aver usato il solo Bluetooth, sembra garantire la privacy. Anche l’invio dei dati a un server ministeriale (pur se Immuni, teoricamente, consente l’invio a più server, anche privati, se il governo dovesse deciderlo) va in questa direzione. Ma ci sono aspetti meno chiari. I sistemi operativi prevedono infatti delle limitazioni al funzionamento di app in background, ad esempio limitando le funzionalità del Bluetooth, che è proprio il sistema che viene utilizzato dall’app per entrare in contatto con altri telefonini. Per aggirare questo ostacolo, su ‘Immuni’ si prevede l’uso di Api ( interfaccia di programmazione) di Google e Apple. Ma il problema è: come ovviare al rischio che queste Api non usino i dati raccolti? Non è del tutto chiaro. Altro punto da analizzare è: ammesso che il server sia ministeriale e situato in Italia (punto fondamentale), chi fa la manutenzione del server? A chi è affidata la ‘disaster recovery’, che, prevedendo interventi in caso di guasto fatale, ha pieno accesso al server con i dati sensibili? Altro punto è il vaglio quantitativo usato dall’app (fino a che distanza il Bluetooth considererà un contatto sospetto e lo registrerà? Su tutto questo il Copasir vuole vederci chiaro.