App immuni coronavirus ANSA-2

Dossier “Immuni”

Condividi:

Indagine sull’app di contact tracing

I dubbi e le critiche all’app Immuni stanno guadagnando l’attenzione del grande pubblico. Nonostante i buoni propositi, rimangono le perplessità che, al momento, ancora non trovano risposte esaurienti. Per cercare di comprendere meglio il dibattito, abbiamo svolto un’indagine approfondita sulla proprietà di Immuni, sulla scelta da parte del Governo e sulle implicazioni d’uso. Il risultato è un dossier completo ed approfondito.

  1. Che cosa è Immuni
  2. Chi ha sviluppato Immuni
  3. La scelta del Governo
  4. Le domande che vorremo fare
  5. Siamo già tracciati da Google…

A. Che cosa è Immuni

Immuni è il progetto di sviluppo dell’app di contact tracing selezionato dal Commissario Straordinario per l’emergenza Covid-19, Domenico Arcuri, con l’ordinanza nr. 10 / 2020 del 16 aprile 2020. L’ordinanza prevede la stipula di un contratto di cessione gratuita di licenza d’uso sul software e di appalto dei servizi gratuita di Bending Spoons, società proponente.

Il contact tracing, il sistema di rilevamento dei contatti personali, è particolarmente utile nella lotta al contagio del Covid-19 perché permette di stabilire ed avvisare quanti sono venuti in contato con un soggetto contagiato.

Immuni, seguendo la direttiva PEPP-PT (Privacy-Preserving Proximity Tracing), memorizza il codice identificativo anonimo di tutte le persone con cui interagiamo conservando i dati per un congruo lasso di tempo. Ogni giorno, Immuni verifica se nella lista dei nostri contatti non ci sia qualcuno risultato positivo e, nel caso ci fosse, segnala il pericolo di avvenuto contagio. La segnalazione del proprio stato di salute avviene nel Diario Clinico, dove si gestiscono i dati personali.

La tecnologia per il rilevamento dei contatti è il Bluetooth Low Energy (BLE) diffuso ampiamente da molti anni su tutti i dispositivi digitali (pc, tablet, smartphone, TV Smart…) tanto da essere adottato anche dai devices IoT. Parliamo di circa 4 miliardi di dispositivi al mondo! La direttiva PEPP-PT richiede l’anonimato e l’assenza di geo-localizzazione ed è compatibile con il GDPR, la legge europea sulla privacy. Aderisce alla direttiva europea dell’8 aprile 2020  per «una Toolbox europea comune per l’uso delle tecnologie e dei dati per combattere ed uscire dalla crisi Covid-19, con particolare riguardo alle applicazioni mobili e all’uso dei dati anonimi».

L’uso dell’applicazione è volontario, ma si ipotizza sia necessario un 60-70% di diffusione per un buon risultato.

B.  Chi ha sviluppato Immuni

Immuni non è un’applicazione esistente ma un progetto software da personalizzare. Benché il contratto sia con la Bending Spoons, il software di base è stato realizzato con altre due società: Jakala e GeoUniq, come confermato da Luca Foresti, AD del Centro Medico Santagostino, partner dl progetto, in una intervista rilasciata all’ANSA del 18 aprile 2020.

Bending Spoons[1], sviluppatore di app per smartphone, ha chiuso il 2018 con un fatturato di 31 milioni ed utili per 3 milioni. Soci fondatori e di controllo sono Francesco Patarnello, Luca Ferrari, Luca Querella e Matteo Danieli. I buoni risultati hanno attirato l’attenzione dei grandi investitori cui sono state cedute quote di minoranza. Parliamo di H14 (famiglia Berlusconi) e NuoCapital (investitore italiano con fondi cinesi).

Jakala, società di marketing di lunga data, oggi vede nel suo azionariato ancora H14 con Paolo Marzotto e Mediobanca, il (ex?) salotto buono della finanza italiana.

Nota interessante: nell’ANSA del 20 marzo, dal titolo «Coronavirus: esperti italiani testano app per tracciamenti», venivano menzionati come membri del gruppo di sviluppo anche l’avvocato Giuseppe Vaciago, esperto in privacy e fondatore del Tech and Law Center, e GeoUniq, società di analisi di dati sulle abitudini comportamentali dei consumatori mobili, cioè un esperto di geo-localizzazione. Le loro ultime tracce datano 7 aprile. Dopo non se ne fa più menzione.

C.  La scelta del Governo

Il 28 marzo, il Ministero dello Sviluppo Economico, il Ministero della Salute e il Ministero per l’Innovazione Tecnologica e la Digitalizzazione, indicono una «fast call for contribution, al fine di selezionare la proposta più efficace e idonea ad essere implementata in tempi rapidi» che viene chiusa tre giorni dopo, il 26 marzo. Il 16 aprile viene ufficializzata la selezione di Bending Spoons.

L’ordinanza, come già ricordato, prevede la cessione gratuita della licenza d’uso e del servizio gratuito di sviluppo e manutenzione. In pratica Bending Spoons ha regalato il software ed il suo sviluppo allo Stato.

Come Luca Foresti aveva dichiarato all’ANSA , il Governo dovrà dettare le specifiche del funzionamento dell’app Immuni: se e come implementare la geo localizzazione, la conservazione e la tutela dei dati, la modalità di acquisizione dei dati, la segnalazione del possibile contagio e l’eventuale obbligatorietà dell’utilizzo.

D. Le domande che vorremo fare

I dubbi e i chiarimenti non riguardano l’opportunità o meno di uno strumento di monitoraggio attivo, quanto sulla procedura di selezione e realizzazione del sistema da implementare.

1.    L’app non esiste

Immuni è poco più che un nome dietro al quale esiste solo del codice di base, una sorta di scheletro che dovrà essere rivestito da funzioni e comandi. L’app non esiste ancora.

La presenza di Jakala è piuttosto sospetta. Quale contributo può portare una società di marketing a questo progetto? L’avvocato Vaciago e GeoUniq che ruolo hanno avuto nello sviluppo iniziale? Sono ancora coinvolti nel progetto? Con quale ruolo? Perché una società di geo localizzazione era stata coinvolta quando la direttiva PEPP-PT la vietava? In ultimo: qual è il ruolo del Centro Medico Santagostino?

2.    Call no tender

Non è stata bandita una gara pubblica ma una call con assegnazione diretta. Le importanti differenze sono la dichiarazione pubblica dei requisiti del prodotto da offrire, i criteri di valutazione, la definizione del rapporto cliente fornitore e gli accordi economici. Chiari, vincolanti e pubblici.

La call richiedeva la presentazione di proposte efficaci ed idonea ad essere implementata velocemente. Come è stato possibile stabilirlo se non si sono ancora definiti i requisiti di funzionamento? È lecito domandarsi quali siano stati i criteri di valutazione. Cosa avevano di non idoneo le altre 318 proposte? In circa 21 giorni sono state analizzate una media di 16 proposte al giorno. Per chi ha un minimo di esperienza di gare d’appalto pubblico deve aspettare il triplo del tempo per la valutazione dell’1% delle proposte.

Sicuramente i tempi di valutazione saranno stati accorciati dalla conoscenza di alcuni proponenti, come la stessa Bending Spoons che a marzo aveva promosso la raccolta fondi in favore della Protezione Civile dopo aver donato 1 milione di euro.

3.    Chi sviluppa?

Il codice di Immuni è stato sviluppato da un gruppo composta da Bendings Spoons, Jakale, GeoUniq e l’avv. Giuseppe Vaciago. Se questo sistema fosse stato pensato in tempi normale, l’apporto di ognuno sarebbe stato ben chiaro. Uno sviluppa il codice di base, uno gestisce i dati, un altro la geo localizzazione e l’avvocato cura gli aspetti legali della privacy. Scopo: fornire un servizio all’utente e vendere i dati a terze parti. È il business della Bendings Spoons.

Al contrario, questo stesso progetto viene donato al Governo per realizzare Immuni. Trovo lecito domandarsi quali parti del codice originario verranno tolte, quali modificate e cosa verrà aggiunto.

L’adesione al PEPP-PT non è garanzia di alcunché, in quanto sono concetti di riferimento che prevedono, ad esempio, la libertà di scelta del luogo di conservazione dei dati: locale o centralizzato. Quali sono le scelte del Governo? Bendings Spoons potrà ricorrere a prestazioni esterne cioè potrà richiedere a terze società di partecipare allo sviluppo? Jakal e GeoUniq potranno partecipare? Quali rapporti legheranno le eventuali terze parti al progetto?

Perché non utilizzare Developers Italia dell’AGiD, con cui sono stati sviluppati i progetti SPID, ANPE e dati.gov? Il sito condivide il codice sorgente (open source), la documentazione tecnica e gli strumenti di project management. Oppure si poteva incaricare direttamente AgiD di sviluppare Immuni al suo interno. Perché non si è fatto?

4.    Sicurezza e Privacy

Il Bluetooth, anche nella sua versione più moderna il Bluetooth Low Energy (BLE),  è un protocollo, cioè la descrizione formale di alcune regole hardware e software che costituiscono lo standard per implementare un servizio. Chi vuole realizzare un app Bluetooth deve conoscere il protocollo e scrivere del codice compatibile con lo standard. Bluetooth è un protocollo di circa 3.000 pagine, 10 volte più del protocollo WiFi. La complessità del Bluetooth è parte costitutiva della poca sicurezza delle applicazioni BLE: troppo difficile da conoscere e rispettare. Se consideriamo che l’Internet of Things (IoT) usa BLE, cioè la comunicazione fra i dispositivi e fra loro e l’uomo (Alexa o Siri), capiamo subito il pericolo. Nel 2017 fu scoperta la vulnerabilità BlueBorne costituita da 8 falle di sicurezza del popolare BLE. Nel settembre 2018, Amis Security calcolava che ancora 2 miliardi di dispositivi (compresi pc, tablet, smartphone e TV Smart) ne fossero ancora affetti. A giugno 2019, Windows 10 rilasciava ancora aggiornamenti contro le falle del BLE. Gli hacker preferiscono attaccare i dispositivi IoT per poi collegarsi a pc, tablet o smartphone cioè attaccano il contapassi, Alexa, la TV smart, l’autoradio… Tenere il Bluetooth acceso è un rischio per la sicurezza.

La privacy è in forte pericolo. Ancora non sappiamo dove e come saranno memorizzati i dati e, cosa fondamentale, nemmeno chi li gestirà e per quali scopi. Siamo sempre sotto rischio attentati e con la malavita organizzata attiva. Quale ghiotta occasione per le forze di polizia per controllare chi-incontra-chi? Sarebbe una sorta di intercettazione per cui sarebbe necessario, come consueto, il solo permesso della magistratura. Essendo un servizio investigativo delle forze di polizia, si potrebbe invocare il segreto di Stato e non ne sapremmo nulla.

Il sistema avrà base europea, cioè i dati saranno scambiati a livello nazionale per mettere in sicurezza chi si sposta sul continente. Ricordo che Francia e Germania sono orientate a centralizzare le informazioni rendendo vane le scelte più prudenti.

Exodus, app spia per Android e Iphone, prodotta da eSurf di Catanzaro, aveva infettato altre app di uso comune installandosi su migliaia di cellulari. eSurf, società di vigilanza e sorveglianza, aveva lavorato già con forze di polizia e questo lasciava pensare che fosse opera dello Stato. Exodus raccoglieva dati e registrava audio per spedirle ad un server. Fu scoperto dalle ONG Security Without Border nella Primavera 2019.

5.    Business e Beneficienza

Un’azienda nasce per fare profitti e per farlo deve fatturare. Bending Spoons ha già donato 1 milione alla Protezione Civile ed ora rinuncia alla licenza d’uso ed allo sviluppo, assistenza e manutenzione di un software che avrà la distribuzione di milioni di utenze. Sono tante decine di migliaia di euro senza contare le risorse di sviluppo sottratte ad altre attività produttive. Una società con 32 milioni di fatturato e 3 milioni di utili, può permettersi questa beneficienza? È lecito ipotizzare un do ut des?

Non ci sarebbe nulla di male se l’accordo fosse: «tu fai questo lavoro e noi ti ripaghiamo con del lavoro futuro». Questo avviene spesso, un accordo che conviene ad entrambi le parti. Se i valori in gioco fossero congrui perché scandalizzarsi? Tenere nascosto tutto alimenta il dubbio di favoritismi.

E.  Siamo già tracciati da Google…

La risposta è sicuramente sì, siamo già tracciati da Google anzi, abbiamo dato il permesso a Google di tracciarci. Dobbiamo fare delle precisazioni.

Il GDPR da all’utente un grande controllo sui propri dati a cominciare dal consenso informato di cose e perché i dati sono collezionati. Google, sebbene obtorto collo, si è dovuta adeguare. È l’utente che sceglie se e cosa condividere. Se lo fa, è sua responsabilità (e possibilità) di sapere chi, cosa e perché sta usando i suoi dati.

Immuni deve ancora chiarite tutti questi aspetti e quindi, paradossalmente sono più sicuri Google, Apple ed Amazon.

In conclusione, Immuni sembra la solita soluzione all’italiana: una cosa buona ma con metodi sbagliati. Finché non sarà chiaro come funzionerà e se funzionerà, perché dovremo usarla?

[1] I dati societari sono stati presi da l’articolo di Cheo Condina, Coronavirus: il salotto buono dell’app Immuni, da Mediobanca ai Berlusconi jr de Ilsole24ore pubblicato il 17 aprile 2020

Condividi:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.