Il contact-tracing fuori dall’Italia (collana di ricerca)

Quando pensiamo ai cambiamenti epocali che la pandemia del COVID-19 ha apportato alle nostre vite, raramente tendiamo a includere nella lista anche il contact-tracing. Vuoi perché in Italia il dibattito sul tema è stato relativamente ridotto o riservato agli “addetti ai lavori”; vuoi perché meno radicale rispetto a misure senza dubbio più restrittive delle nostre libertà personali, il tracciamento dei contatti sembra esser stato maggiormente tollerato dalla collettività.

È fondamentale fare un’analisi critica su come questa misura possa far sorgere questioni di natura etica, oltre che questioni di privacy. In particolare, ci si deve interrogare come questo strumento possa essere democratico e inclusivo, adatto ad una società in cui nessuno rimane indietro o è considerato cittadino di serie B.

Alla luce di ciò, e della mancanza di studi in materia nel panorama italiano, Privacy Network ha deciso di condurre una ricerca con l’obiettivo di carpire a tutto tondo i vantaggi e gli svantaggi di questo strumento, cercando di avere un respiro internazionale.  La ricerca verrà pubblicata in una serie di articoli, a cadenza regolare.

Parte 1: Tracciamento dei contatti, le origini

Parte 2: Il contact-tracing nel XXI secolo: dalla MERS al COVID-19

Parte 3: L’approccio europeo e italiano al tracciamento dei contatti

Autore: Dipartimento Ricerca

Sebbene nel complesso le app di contact-tracing europee – e non solo – siano state criticate e non abbiano riscosso il successo e l’efficacia prospettata, è tuttavia opportuno analizzare quella che è stata indubbiamente una storia positiva nel panorama della strategia dell’Unione europea del tracciamento dei contagi da COVID-19: l’app irlandese COVID Tracker. Prima di approfondire le sue caratteristiche specifiche, è opportuno rilevare come questa si basi sul metodo GAEN, andando di conseguenza a rinsaldare ancor di più l’ormai consolidato consenso attorno alla preferibilità del sistema decentralizzato rispetto a quello centralizzato.

Solo due Paesi in Ue sono andati controcorrente ed hanno invece deciso di servirsi del metodo centralizzato: l’Ungheria e la Francia. La nostra analisi si concentrerà sull’applicazione francese, dato che solo lo 0,08% dei cittadini ungheresi ha scaricato l’app di contact-tracing, rendendo pertanto impossibile svolgere un’indagine sulla sua efficacia.

È innegabile infine, parlando di scelte fuori dal coro, che sia stata senza dubbio la Svezia – già nota alle cronache per il suo approccio “rilassato” nei confronti del COVID-19 – ancora una volta a farsi notare, in quanto uno tra i pochissimi Stati Membri dell’Unione europea (oltre a Bulgaria e Lussemburgo) a non aver mai sviluppato una propria app di contact-tracing. Un fatto, questo, indubbiamente inaspettato dato l’alto livello di digitalizzazione della pubblica amministrazione svedese e l’altissimo tasso di alfabetismo digitale che la contraddistingue.

Il caso irlandese

Seguendo una strategia relativamente comune ai suoi omologhi europei, nel marzo 2020 l’Health Service Executive (HSE) irlandese affida per 850.000 euro alla società Nearform, specializzata nello sviluppo di software per imprese, il compito di sviluppare l’app di contact-tracing che la Repubblica d’Irlanda avrebbe utilizzato per contenere la pandemia. Il lavoro è stato completato in soli tre mesi, addirittura cambiando il progetto in itinere, dato che originariamente l’azienda prevedeva di servirsi del modello centralizzato di raccolta dati. Il successo è stato pressoché immediato: circa il 20% della popolazione irlandese ha scaricato l’app nelle 36 ore successive al suo lancio, e nelle fasi più acute dell’epidemia la percentuale ha raggiunto il 49%, con 1.3 milioni di utenti attivi. Di fatto, il valore percentuale più alto all’interno dell’Unione europea, se si considera che tra i suoi altri Stati Membri la media si aggira invece attorno al 20% della popolazione.

Caratteristiche e funzionalità dell’app

Per quanto riguarda il funzionamento in concreto dell’app, questa è basata sul sistema di notifica (Exposure Notification System, ENS) creato da Apple e Google. Nello specifico, una volta scaricata, i suoi utenti non devono inserire alcuna informazione personale se non, su base volontaria, il proprio numero di telefono. Creato con successo il proprio profilo, il sistema genererà dei codici anonimi, che verranno aggiornati ogni 10-20 minuti. Nel caso poi in cui due utenti si trovino in contatto per un periodo superiore o uguale a 15 minuti, tramite la tecnologia Bluetooth l’app permette lo scambio dei rispettivi codici, conservati per due settimane all’interno della memoria dei rispettivi smartphone.

Qualora un soggetto risultasse positivo ad un test COVID, questi riceve un codice da parte dell’HSE, da inserire nel campo richiesto. Allo stesso tempo, i codici memorizzati nelle ultime due settimane (corrispondenti al numero di persone incontrate dal soggetto infetto) vengono inviati al server dell’app, la quale poi provvede a notificare i contatti del soggetto contagiato. Fin qui, quindi, nessuna novità rispetto al canonico sistema decentralizzato descritto negli articoli precedenti.

Tuttavia, una particolarità di COVID tracker è data dal fatto che i suoi utenti possono, a loro scelta, comunicare in tempo reale con il personale sanitario per ricevere consigli su come meglio comportarsi in caso di contagio, senza tuttavia dover condividere la propria identità o posizione.

Come spiegare il successo dell’approccio irlandese?

È possibile elencare schematicamente varie ragioni che possono spiegare il successo di COVID Tracker. Nello specifico:

1. Una strategia comunicativa altamente efficace e semplice da parte del Governo che ha contribuito a generare fiducia nei cittadini, nonché una classe politica che nel complesso ha espresso la serietà e unità necessaria per infondere certezza nella collettività circa la sicurezza dell’app e suoi effetti benefici per la lotta al COVID-19;
2. Un continuo dialogo con l’Autorità competente in materia di Protezione dei Dati Personali, il Sistema Sanitario e l’Ufficio Centrale di Statistica, oltre che con numerose ONG impegnate nel campo della tutela dei dati personali al fine di realizzare il miglior prodotto possibile;
3. Un design dell’app “elementare” che ha consentito anche alle fasce della popolazione più avanti con l’età di rapportarsi con relativa semplicità alla tecnologia del contact-tracing;
4. Trasparenza dell’intero processo, culminata con la pubblicazione del codice sorgente dell’app su Github.

L’esperienza francese

Passiamo ora al vero outsider per quanto concerne l’implementazione delle app di contact-tracing in Unione europea. La Francia è stata infatti l’unica a rimanere fedele al suo approccio originario, sostenendo che il modello sottostante all’attività di tracciamento dei contagi da COVID-19 dovesse essere quello centralizzato. Le ragioni che il Governo francese ha addotto per difendere questa sua presa di posizione possono sintetizzarsi nel fatto che motivi di pubblica sicurezza si frapporrebbero a che la gestione di un prodotto così delicato non passasse in mano a società private, per di più extraeuropee. Una posizione, va detto, legittima e assolutamente lecita, visto anche il parere positivo espresso dall’Autorità francese per la protezione dei dati personali (Commission nationale de l’informatique et des libertés, CNIL) circa la sua configurazione e sviluppo.

Stop Covid, numeri e ragioni alla base del suo fallimento

Ad ogni modo, contrariamente a molti suoi omologhi europei, la Francia ha impiegato più tempo del dovuto a sviluppare la sua prima app di tracciamento (Stop Covid) – ed il fatto che il suo lancio sia coinciso con un periodo caratterizzato da una diminuzione dei casi di Coronavirus nonché con la graduale uscita dal primo lockdown imposto dall’Eliseo sembra aver scoraggiato i cittadini francesi a scaricarla. I numeri, infatti, sono stati nettamente insufficienti: 2,6 milioni di download in 4 mesi, corrispondenti a circa il 2% della popolazione, e solo 472 notifiche di allerta, cifre chiaramente lontane dal target prefissato dall’esecutivo. 

È altamente probabile, peraltro, che ci siano altri motivi dietro la scarsa adesione dei francesi a Stop Covid. Una strategia comunicativa deficitaria ed una genuina preoccupazione circa la non sufficiente protezione dei propri dati personali hanno infatti giocato un ruolo fondamentale nell’incrementare la diffidenza dei francesi nei confronti del contact-tracing. In particolare, un ricercatore dell’INRIA (uno dei centri di ricerca incaricato dello sviluppo di Stop Covid) esperto in crittografia ha fatto notare come la quantità di dati raccolti dall’app fosse ben maggiore di quanto promesso, andando infatti a ricomprendere anche quelli di persone incontrate saltuariamente e per un tempo inferiore a 15 minuti (fatto chiaramente in contrasto con il principio di minimizzazione di raccolta dei dati previsto dal CNIL nel suo parere e dal GDPR). Anche le istituzioni europee hanno espresso a loro tempo non poche perplessità e critiche velate in relazione alla mancanza di interoperabilità dell’app francese, dal momento che altri 16 Paesi l’avevano a quel tempo invece assicurata e messa in pratica al fine di ritornare ad una libertà di movimento intra-europea paragonabile a quella precedente alla pandemia.

Tous Anti Covid: missione compiuta?

Stanti le difficoltà e le criticità suddette, in una complessa operazione di rebranding, l’esecutivo guidato da Jean Castex ha deciso di sostituire Stop Covid con una nuova app di contact-tracing a partire da ottobre 2020: Tous Anti Covid. Sebbene basata sullo stesso sistema centralizzato, è possibile individuare una serie di motivi che possono spiegare il suo maggior successo, dato che al 30 agosto 2021 circa 30 milioni di francesi avevano scaricato l’applicazione, ossia i servizi complementari che offre ai propri utenti.

Nello specifico, Tous Anti Covid permette ai propri utilizzatori di:

1. controllare in tempo reale i dati relativi all’epidemia; 
2. fungere da “portafoglio elettronico” dove caricare il proprio green pass, e prima che iniziasse la campagna vaccinale, di scaricare facilmente l’autocertificazione da esibire in caso di uscita dopo il coprifuoco;
3. avere a disposizione le raccomandazioni ed i consigli del Ministero della Salute in caso di positività al COVID-19;
4. avere rapido accesso a Dépistage Covid, una mappa aggiornata in tempo reale su cui sono mostrati i possibili centri dove poter effettuare un Test PCR o antigenico ed il relativo tempo di attesa;
5. poter fruire dei propri servizi in sei lingue diverse, incluso l’inglese.

Svezia e contact-tracing: una storia poco scontata

Sebbene la Svezia, come noto, abbia approcciato in modo poco convenzionale l’insorgere dell’epidemia da COVID-19, mettendo in atto misure lasche e molto poco generalizzate, a loro tempo l’Agenzia svedese per le emergenze civili (Myndigheten för Samhällsskydd och Beredskap, MSB), l’Agenzia nazionale per la salute pubblica e il Consiglio nazionale per la salute e il benessere si sono schierati in modo netto a favore della creazione di un sistema di contact-tracing. Tuttavia, il percorso si è rivelato più complesso di quanto immaginato, e si è concluso con un nulla di fatto.

I primi malumori

Per capire perché non si sia riusciti a raggiungere un compromesso è opportuno partire da aprile 2020. In quel periodo infatti la MSB, scavalcando la disciplina sugli appalti pubblici, decide di affidare in via diretta, senza prima passare per una gara pubblica, a Platform 24 Healthcare lo sviluppo oltre che la gestione della futura app di contact-tracing. Quando la notizia diventa di pubblico dominio, tuttavia, iniziano a sorgere non pochi problemi.

Innanzitutto, come rilevato da vari esperti specializzati in materia di appalti pubblici, tra cui Andrea Sundstrand, professore di Diritto Pubblico presso l’Università di Stoccolma, l’affidamento diretto non sembrava poter essere giustificato sulla base delle esigenze di assoluta urgenza addotte dalla MSB visto che, tra le altre cose, il contratto non prevedeva un limite alla sua durata, andando conseguentemente a configurare una sorta di necessità ed urgenza annualmente reiterate senza giustificazioni adeguate.

Quanto ci si può fidare di Amazon?

Parallelamente a questo viene fin da subito fatto presente come Platform 24 Healthcare  si serva di Amazon Web Services (AWS) come proprio servizio cloud. In ragione di ciò, tanto consulenti esterni chiamati dalla stessa MSB ad effettuare l’analisi dei rischi e vulnerabilità del progetto quanto l’Autorità svedese per la protezione dei dati personali hanno ricordato come sulla base del Cloud Act statunitense il governo statunitense avrebbe, sotto certe condizioni, il diritto ad accedere ai dati conservati da Amazon; inoltre, se una società ricevesse richiesta dall’intelligence statunitense di condividere alcune informazioni che possiede, sulla base del Foreign Intelligence Surveillance Act (FISA), le società in questione non sarebbero autorizzate a farlo sapere ai propri utenti, e dovrebbero acconsentire. Due eventualità, queste, che dunque si sarebbero frapposte ad una tutela assoluta che dati sensibili quali quelli potenzialmente ottenuti dall’app di contact-tracing avrebbero richiesto.

Dal canto suo, la MSB si è sempre difesa dai suddetti richiami affermando che i dati degli utenti sarebbero stati non solo anonimi ma anche criptati, ed inoltre che la loro conservazione sarebbe avvenuta in un data center svedese. Proprio su quest’ultimo punto tuttavia vari esperti hanno replicato che per quanto possa essere assicurato uno “stoccaggio” dei dati in territorio svedese, questo non implichi necessariamente un’elaborazione all’interno della Svezia. Inoltre, per gli esperti è da stigmatizzare la mancata richiesta di rendere il software open source nel contratto stipulato con Platform 24 Healthcare.

È stato anche fatto notare come i termini del contratto stipulato tra il potenziale sviluppatore dell’app statale di contact-tracing ed Amazon possano essere cambiati unilateralmente da quest’ultima, con un pericolo concreto di insufficiente protezione dei dati personali raccolti.

Aumentando considerevolmente le voci critiche nei confronti della possibile partnership tra l’amministrazione svedese e Platform 24 Healthcare (anche in relazione ai circa 590.000 euro mensili che i contribuenti svedesi avrebbero dovuto pagare qualora l’app fosse entrata in funzione), la MSB decide di rescindere il contratto, assumendosi piena responsabilità del fallimento dell’operazione e adducendo come ulteriore giustificazione il fatto che non avrebbe avuto senso sviluppare un’app di contact-tracing a maggio 2020, momento caratterizzato da un numero di contagi particolarmente basso.

---

Fonti:

Anonimo (2020), ‘Building the gold-standard COVID-19 contact tracing app within 3 months’, NearForm, 24 luglio. Disponibile su: https://www.nearform.com/work/covid-app-development/ (Ultimo accesso: 18 novembre 2021).

Anonimo (2020), ‘Technology the COVID Tracker app uses’, HSE Ireland, 26 novembre. Disponibile su:  https://www2.hse.ie/services/covid-tracker-app/technology-the-covid-tracker-app-uses.html (Ultimo accesso: 18 novembre 2021).

Anonimo (2020), ‘The real lessons from Sweden’s approach to covid-19’, The Economist, 10 ottobre. Disponibile su:  https://www.economist.com/leaders/2020/10/10/the-real-lessons-from-swedens-approach-to-covid-19 (Ultimo accesso: 18 novembre 2021).

Anonimo (2021), ‘Cos’è successo all’App Immuni’, Il Post, 18 febbraio. Disponibile su: https://www.ilpost.it/2021/02/18/immuni-app-draghi/ (Ultimo accesso: 18 novembre 2021).

Carroll, R. (2020), ‘Cheap, popular and it works: Ireland’s contact tracing app success’, The Guardian, 20 luglio. Disponibile su:  https://www.theguardian.com/world/2020/jul/20/cheap-popular-and-it-works-irelands-contact-tracing-app-success (Ultimo accesso: 18 novembre 2021).

Ciucci, M. e Gouardères, F. (Maggio 2020), ‘National COVID-19 contact tracing apps’, Dipartimento tematico Politica economica e scientifica e qualità di vita, Direzione generale delle Politiche interne dell’Unione – Parlamento europeo. Disponibile su: https://www.europarl.europa.eu/RegData/etudes/BRIE/2020/652711/IPOL_BRI(2020)652711_EN.pdf (Ultimo accesso: 11 novembre 2021).

Commission nationale de l’informatique et des libertés (2020), ‘Deliberation N°. 2020-046 of April 24, 2020 delivering an opinion on a proposed mobile application called StopCovid’, CNIL.fr, 24 aprile. Disponibile su: https://www.cnil.fr/sites/default/files/atoms/files/deliberation_of_april_24_2020_delivering_an_opinion_on_a_proposed_mobile_application_called_stopcovid.pdf (Ultimo accesso: 18 novembre 2021).

Drodziak, N., et al. (2020), ‘The fate of Business Travel could hang on covid 19 tracing apps’, Bloomberg, 9 maggio. Disponibile su:  https://www.bloomberg.com/news/articles/2020-05-09/the-fate-of-business-travel-could-hang-on-covid-19-tracing-apps (Ultimo accesso: 18 novembre 2021).

Duball, J. (2020), ‘Centralized vs. decentralized: EU’s contact tracing privacy conundrum’, International Association of Privacy Professionals, 28 aprile. Disponibile su: https://iapp.org/news/a/centralized-vs-decentralized-eus-contact-tracing-privacy-conundrum/ (Ultimo accesso: 18 novembre 2021).

Facoltà di Medicina dell’Università di Lund (2021), ‘COVID Symptom Study Sverige’, Covid19app.lu.se, 6 settembre. Disponibile su: https://www.covid19app.lu.se/om-studien (Ultimo accesso: 18 novembre 2021).

Farries, E., et al. (2020), ‘HSE app: experts and public need to see details’, Irish Council for Civil Liberties, 29 aprile. Disponibile su: https://www.iccl.ie/news/hse-app-experts-and-public-need-to-see-details/ (Ultimo accesso: 18 novembre 2021).

Governo della Repubblica di Francia (2021), ‘TousAntiCovid, simple comme bonjour’, TousAntiCovid.gouv.fr. Disponibile su: https://bonjour.tousanticovid.gouv.fr/fonctionnalites/et-aussi (Ultimo accesso: 18 novembre 2021).

Governo della Repubblica di Francia (2021), ‘TousAnticovid, une seule app pour chaque étape’, TousAntiCovid.gouv.fr. Disponibile su: https://bonjour.tousanticovid.gouv.fr/en/why-tousanticovid (Ultimo accesso: 18 novembre 2021).

HSE Ireland (2020), ‘Covid Tracker Documentation’, Github, 26 giugno. Disponibile su: https://github.com/HSEIreland/covidtracker-documentation/blob/master/documentation/privacy/Data%20Protection%20Impact%20Assessment%20for%20the%20COVID%20Tracker%20App%20-%2026.06.2020.pdf (Ultimo accesso: 18 novembre 2021).

Institut national de recherche en sciences et technologies du numérique (2020), ‘L’équipe-projet StopCovid et l’écosystème des contributeurs se mobilisent pour développer une application mobile de contact tracing pour la France’, INRIA.fr, 26 aprile. Disponibile su: https://www.inria.fr/fr/stopcovid (Ultimo accesso: 18 novembre 2021).

O’Briend, C. (2020), ‘Race against time: The inside story of Ireland’s Covid Tracker app’, The Irish Times, 16 luglio. Disponibile su: https://www.irishtimes.com/business/technology/race-against-time-the-inside-story-of-ireland-s-covid-tracker-app-1.4303509 (Ultimo accesso: 18 novembre 2021).

Leijonhufvud, J. (2020), ‘Anders Tegnell låter MSB bygga Corona-sajt – vill ha folkets hjälp att kartlägga spridningen’, Dagens industri, 8 aprile. Disponibile su:  https://www.di.se/digital/anders-tegnell-later-msb-bygga-corona-sajt-vill-ha-folkets-hjalp-att-kartlagga-spridningen/ (Ultimo accesso: 18 novembre 2021).

LibertiesEU (2020), ‘COVID-19 Contact Tracing Apps in the EU’, Liberties, 2 giugno. Disponibile su: https://www.liberties.eu/en/stories/trackerhub1-mainpage/43437 (Ultimo accesso: 18 novembre 2021).

Lindblom, J. (2020), ‘MSB kan betala halv miljon i månaden för direktupphandlad app’, ARBETAREN, 8 maggio. Disponibile su:  https://www.arbetaren.se/2020/05/08/msb-betalar-halv-miljon-i-manaden-for-stoppad-app/ (Ultimo accesso: 18 novembre 2021).

Lindblom, J. (2020), ‘Stora sekretessrisker med stoppad corona-app’, ARBETAREN, 15 maggio. Disponibile su: https://www.arbetaren.se/2020/05/15/stora-sekretessrisker-med-stoppad-corona-app/ (Ultimo accesso: 18 novembre 2021).

Pettersson, M. G., et al. (2020), ‘MSB om sågade corona-appen: Vi tar på oss ansvaret’, Sveriges Television AB, 26 maggio. Disponibile su: https://www.svt.se/nyheter/inrikes/oklar-framtid-for-havererade-coronaappen (Ultimo accesso: 18 novembre 2021).

Ramqvist, P. (2020), ‘Datainspektionen: Sekretessrisk att kartlägga coronasmittan’, SVERIGESRADIO, 18 aprile. Disponibile su: https://sverigesradio.se/artikel/7455184 (Ultimo accesso: 18 novembre 2021).

Reynaud, F. (2020), ‘Emmanuel Macron acte l’échec de l’application StopCovid et annonce une nouvelle version:  Tous anti-Covid’, Le Monde, 14 ottobre. Disponibile su: https://www.lemonde.fr/pixels/article/2020/10/14/emmanuel-macron-acte-l-echec-de-l-application-stopcovid-qui-sera-renommee-tous-anti-covid_6056049_4408996.html (Ultimo accesso: 18 novembre 2021).

Saetta, B. (2020), ‘App di contact tracing: soluzione o problema?’, Valigia Blu, 30 maggio. Disponibile su:  https://www.valigiablu.it/app-immuni-contact-tracing-soluzione-problema/ (Ultimo accesso: 18 novembre 2021).

Seibt, S. (2020), ‘StopCovid: chronique d’un échec annoncé’, France 24, 17 giugno. Disponibile su: https://www.france24.com/fr/20200617-stopcovid-chronique-d-un-%C3%A9chec-annonc%C3%A9 (Ultimo accesso: 18 novembre 2021).

Shahroz, M., et al. (2021), ‘COVID-19 digital contact tracing applications and techniques: A review post initial deployments’, National Center for Biotechnology Information, 5 settembre. Disponibile su:  https://www.ncbi.nlm.nih.gov/pmc/articles/PMC8132499/ (Ultimo accesso: 18 novembre 2021).

Soltani, A., Calo, R, e Bergstrom, C. (2020), ‘Contact-tracing apps are not a solution to the COVID-19 crisis’, Brookings Institute, 27 aprile. Disponibile su: https://www.brookings.edu/techstream/inaccurate-and-insecure-why-contact-tracing-apps-could-be-a-disaster/ (Ultimo accesso: 18 novembre 2021).

Untersinger, M. (2020), ‘L’application StopCovid, activée seulement par 2% de la population, connaît des débuts décevants’, Le Monde, 10 giugno. Disponibile su: https://www.lemonde.fr/pixels/article/2020/06/10/l-application-stopcovid-connait-des-debuts-decevants_6042404_4408996.html