Virus e algoritmi. Impariamo da un’esperienza dolorosa

*

In questi giorni il Governo si sta chiedendo se seguire e come il modello coreano che traccia gli spostamenti di chiunque per prevenire l’ulteriore diffondersi del virus. Chiariamo che col termine “prevenire” si vogliono indicare quegli atti che anticipano con prognosi ex ante il verificarsi di un evento futuro, ma incerto nell’accadere. Nel nostro caso il rischio è la diffusione del virus e la sua velocità di propagazione da individuo a individuo. A differenza delle prognosi ex ante che si fanno rispetto al terrorismo, l’epidemia si caratterizza per la certezza dell’an, mentre l’incertezza riguarda solo il tempo della propagazione e la sua ampiezza.

Questa precisazione era necessaria per capire meglio il perimetro entro il quale il legislatore dell’emergenza si deve muovere quando valuta, misura e compensa i due beni a confronto, libertà fondamentali e sanità pubblica, equivalenti costituzionalmente anche in termini di certezza tra costi e benefici. Diversamente, accade col terrorismo, dove al danno sicuro alle libertà corrisponderà un vantaggio probabile alla sicurezza, ignorandosi se accadrà il prossimo attacco.

Al momento questo bilanciamento è stato fatto comprimendo le nostre libertà: non usciamo, non lavoriamo, non ci incontriamo. Nell’elenco dei beni sacrificati la privacy non figurava ancora, era stata mantenuta indenne.

Da noi si vorrà diffondere nei nostri telefonini intelligenti un’app, la quale dovrà raccogliere in un unico pool i dati che ci riguardano. E questa sarà la prima fase. Poi i dati di ciascuna confluiranno in un server centrale: il secondo step. E infine un algoritmo li interrogherà, li intreccerà e secondo una logica, a noi oscura, vi dedurrà valutazioni funzionali alla prevenzione. Si pensi a un provvedimento di quarantena vigilata ordinato nei confronti di una lunga catena di persone con cui un individuo, poi risultato infetto, era entrato in contatto.

Quali sono i problemi per un giurista?

Di metodo e di fine.

Metodo

Il primo riguarda come e chi deciderà la tracciatura. Il dato positivo è lineare: l’art. 9 del Regolamento UE 2016/679 (da ora GDPR) vieta il trattamento dei dati sensibili, ma nel porre il divieto contempla tra le vie di fuga (art. 9, par.2, lett.i) l’esigenze di pubblica utilità, tipizzate, anche se non in via esclusiva, nella salute pubblica. Queste possono giustificare che il divieto si rovesci nella facoltà di tracciare, proprio come l’eccezione deroga alla regola generale. Spetterà agli Stati membri dell’Unione decidere se attivare o meno questo ius singulare.

In questa valutazione il decisore non è solo, ma neppure integralmente supportato dalla tecnica. Quest’ultima potrà confortarlo sulla metodologia più appropriata, la meno invasiva possibile, ma la decisione se ricorrervi o farne a meno rimarrà affidata alla scelta dell’Autore politico. Questi in ultima istanza dovrà rendere il conto di ciò che ha fatto o non fatto a chi lo ha eletto. Quindi, il tentativo già battuto da Macron, che in più occasioni sembra voler proteggere le sue decisioni come ineluttabili conseguenze di quanto sentenziato dal Comité di saggi istituito ad hoc, non è un esempio da seguire. In democrazia chi decide, deve rendere il conto in ultima istanza al corpo elettorale e quindi non si può nascondere sotto l’ombrello protettivo dell’indispensabilità tecnica.

Con ciò vogliamo dire che niente è inevitabile, come l’emergenza non è una fonte di per sé legittimante il diritto eccezionale, perché è necessario passare per le fonti ordinem dell’ordinamento, così la valutazione tecnica sarà solo il sostengo ragionevole alla politica, superabile se questa lo voglia.

Chiarito il ruolo giocato dalla tecnica nel rule-making, una particolare attenzione merita il “come” il legislatore imporrà questa tracciatura.

Se il Governo dovesse porsi l’alternativa tra decreto-legge e dpcm, come ha fatto finora (D.L. 6/2020, art. 3), riterrei che si stia giocando una chance che in punto di diritto non ha mai avuto. La Costituzione ha già risolto il dualismo ex ante nel momento in cui ha presidiato le libertà con la garanzia della riserva di legge. E anche a voler intendere come relativa la riserva a difesa della nostra privacy, essa comunque significa che il legislatore deve parlare per primo e quindi già dettare una disciplina sufficientemente prescrittiva. Solo in seconda battuta potrà intervenire l’atto normativo secondario del governo, il regolamento. Qui il decreto-legge – ad esempio il D.L. 19/2020 che al momento è l’ultimo di questa lunga serie – se è pur vero che non ha disposto una girata in bianco al Presidente del consiglio, è però innegabile che abbai fatto meno di quanto avrebbe dovuto fare per soddisfare quella assorbente attribuzione di competenza consegnata nella riserva. L’art. 2 dell’ultimo decreto-legge enumera le misure restrittive delle libertà, ma lascia alla valutazione politica del Presidente del consiglio la scelta di quale rendere concretamente operante, senza neanche vincolare il suo libero apprezzamento politico ai parametri della necessità, qui degradata ad adeguatezza, e della precauzionalità, qui diluita nella proporzionalità.

Se si continuasse su questo pentagramma, la privacy sarebbe retrocessa dinanzi alla sicurezza non per volontà di legge, e neppure di un decreto-legge, più che legittimo vista l’urgenza del provvedere, ma in forza di un atto formalmente amministrativo del Presidente del consiglio. La degradazione della fonte, e con essa l’amministrativizzazione delle libertà, non è una querelle per i soli addetti ai lavori, toccando fin nelle ossa tutti noi cittadini. Infatti, le prerogative in difesa delle libertà, intangibili dal potere costituito in tempo di emergenza sono state alleggerite fino a evaporare: e allora il dpcm è stato proposto come una risorsa fungibile al decreto-legge. Questa disinvolta sostituzione tra fonti rovescia in un colpo solo troppe regole del nostro stato di diritto: il dpcm ha un’efficacia definitiva, contro la temporaneità e provvisorietà del decreto-legge; il primo si risolve nella volontà incontestabilmente monocratica, contro la subordinazione del decreto-legge alla parola ultima del Parlamento; è esente dall’esame di legittimità preventivo, anche se sommario, del Capo dello Stato, cui non sfugge invece il decreto-legge e, infine, è sindacabile dai giudici comuni, contro il riesame della Corte costituzionale sulla coppia decreto/legge di conversione.

In sintesi, stante l’urgenza la tracciatura potrà essere disposta con decreto-legge, e non con la tecnica combinata di un decreto che si limita ad annunciarla e di un dpcm che in concreto la dispone.

Quest’ordine vincolante di interventi è peraltro imposto anche dal diritto comunitario: il GDPR che, se nell’art. 9 apre a tracciature in casi eccezionali, facendo saltare il divieto generalizzato, al tempo stesso impone che a farlo sia la legge, cioè l’atto espressivo massimo della sovranità popolare, non dunque un atto, quale il dpcm, preposto a continuare, non già ad avviare ex novo il disegno politico.

La questione sulla fonte legittimata a parl
are non ha nulla a che vedere con un giudizio di merito sulle regole poste, facile a esprimersi a fatto compiuto, ma difficile quando i rimedi vengono disegnati in anticipo rispetto all’evento temuto nel tentativo di valutare secondo proporzionalità, necessarietà e precauzionalità quanto probabilmente accadrà. E in questa riffa di critiche al Governo, la più irragionevole è quella di chi ha ritenuto inutile, se non pericoloso per i sentimenti, lo stare tutti agli “arresti domiciliari” perché sarebbero le prescrizioni del Governo a trasformare ogni individuo in un potenziale autore, non certo il virus, nobilitato da questo pensiero all’ennesima fake news in coerenza col tempo di Internet. La conseguenza di questa tesi negatrice dei fatti è l’illegittimità dello stato d’emergenziale dichiarato non per proteggerci, ma come scusa per affermare poteri eccezionali e conservarli a emergenza esaurita. Riteniamo che questo rischio, sempre insito quando si apre una stagione emergenziale, non vada contrastato negando la realtà, cioè con l’equazione il virus=bugia, ma con il rispetto delle garanzie dello stato di diritto, la cui osservanza si impone ai nostri governanti soprattutto in tempo di emergenza. Ed è proprio intorno a queste garanzie – ordine delle fonti del diritto, riserva di legge, intangibilità del nocciolo duro dei diritti – che proviamo a ragionare in questo scritto.

E ora le questioni di fine

Esse sono poste nel GDPR che ripete, come il ritornello di una canzone estiva, che i dati vanno trattati nei limiti dello stretto necessario. Dunque, se la compressione del diritto è altrimenti evitabile, questa sarà la sola via da percorrere.

Tale leit motiv si combina bene con le misure precauzionali disseminate nel GDPR, tendenti a prevenire l’inutile sacrificio prima che sia troppo tardi, anche ricorrendo a tecniche di disegno che assicurano in anticipo la compatibilità del mezzo con un’inedita fisionomia della privacy.

E allora tornando alla nostra app, essa andrà strutturata in modo da raccogliere i nostri dati di geolocalizzazione, ad esempio, dove siamo stati e per quanto tempo? Oppure, sarà sufficiente il solo dato del nostro avvicinamento sociale, cioè se abbiamo rispettato la distanza di sicurezza nell’incontrare una persona per strada? In altre parole, l’app raccoglierà anche i dati superflui ai fini della prevenzione o solo quelli strettamente necessari per risalire a ritroso la catena dei contatti? La risposta non è nella tecnica che potrà orientare la macchina indifferentemente verso destra o sinistra, bensì nella volontà del legislatore, il solo legittimato a scegliere la sua direzione.

La call lanciata dal governo, che ci invitava a presentare progetti di app, non si è posta né la domanda relativa alla tipologia di dati, né quella sui soggetti da tracciare. Tutti noi o solo gli infetti? La soluzione omnibus appare funzionalmente più adatta perché la misura per prevenire il possibile contagio deve poter includere tutti, in quanto potenziali portatori del virus. Una cernita però si potrà, anzi si dovrà, fare in un momento successivo, quando le autorità competenti avranno accesso a dati. In questa fase saranno trasmessi loro solo i dati delle persone che hanno contratto il virus. Esito questo, suggerito dal principio, secondo il quale le liberà possono essere legittimamente compresse nella misura strettamente necessaria al conseguimento di uno specifico scopo, ragione ricorrente nei case law del giudice europeo in materia di prevenzione al terrorismo (C.G. 8 aprile 2014, Digital Rights Ireland c. Ireland).

Ancora nelle questioni attinenti al fine rientra l’interrogativo se l’esito dell’algoritmo si risolverà in una decisione esclusivamente automatizzata o si limiterà a essere una parte di un processo volitivo umano che assume l’algoritmo, ma al tempo stesso lo supera.

Ebbene, il GDPR, un po’ come per la tracciatura, pone un divieto: no automatizzazioni assolute, ma poi al rigo successivo, art. 22, par.2, lett.b., rompe il tessuto della drastica proibizione e apre ai provvedimenti meccanici, sempre che il legislatore lo voglia. A noi preoccupa proprio l’ipotesi che il decisore politico possa decidere di far coincidere l’esito dell’algoritmo con una misura limitativa ad applicazione automatica. Escludiamo che questa sia la via da seguire perché l’algoritmo potrebbe aver commesso errori, che invece la volontà dell’uomo è in grado di correggere. Si pensi a una localizzazione che porti a individuare una persona che ha visitato uno stabile, dove solo al 1 piano c’è un individuo infetto, non anche nelle abitazioni dislocate ai piani superiori. Se la conseguenza è trattare l’intero palazzo come interamente infetto, il rimedio peccherebbe per difetto. Pertanto, la misura a operatività automatica potrebbe essere la quarantena vigilata per tutti, e quindi in assenza di pericolo per la salute pubblica si spazzerebbero via in un colpo solo più diritti di più individui.

Un’ultima questione di fine, inteso ora come prospettiva ultima di questa policy precauzionale: quale sorte avrà la pesca a strascico dei nostri dati?

La voce europea risponderebbe che i dati devono essere cancellati, perché la privacy fa un passo indietro solo dinanzi alla sicurezza, cessato il pericolo tutto dovrà torna nella condizione in cui era prima, secondo quanto affermato dalla Corte di Giustizia prima ricordata.

Bene. Ma allora il server dove confluiscono i dati nostri, deve essere di proprietà del nostro Stato. Qui si chiedono due attributi: pubblicità e nazionalità. Diversamente, in caso di suo affidamento alla mano privata niente ci assicurerebbe che questa tracciatura non fosse utilizzata come merce di scambio contro denaro in una trattativa con i Google di turno, avidi di dati per alimentari i loro affari data driven. Se così fosse, avremmo rinunciato alle nostre libertà per assecondare i piani lucrativi dei Giganti della rete.

Quali suggerimenti positivi dal virus

Il primo positivo è la dimostrazione che le soluzioni tecniche non sono mai neutre, perché se procurano vantaggi a tutti o privilegi a pochi, dipende esclusivamente da come la mano pubblica le abbia orientate.

Il secondo positivo è nella spinta verso una generale solidarietà che ha bisogno dell’apporto di ciascuno di noi: sperimentare la solidarietà nel rinunciare quotidianamente a esercitare le nostre libertà per il tempo necessario.

Il terzo positivo si compie con l’apporto dei soggetti pubblici.

I nostri governanti darebbero prova di solidarietà nel conservare intatti alle generazioni future i diritti fondamentali, esposti a minacce più insidiose nella stagione dell’emergenza che non in tempi ordinari.

I governanti dell’Unione sono dinanzi a una sfida decisiva: fare esperienza di un sentire politico comune concependo l’Italia, la Spagna, la Francia e gli altri Paesi come frammenti di uno stesso corpo politico, il quale per continuare a esistere deve funzionare come un unico armonico, responsabile e identitario. Diversamente, qualche sua parte potrebbe cedere al canto ammaliatore e amaro delle Sirene d’oriente.

* Prof. diritto costituzionale Università Federico II Napoli e Direttrice Centro Europeo di Ricerca Ermes: www.ermes.unina.it

MicroMega rimane a disposizione dei titolari di copyright che non fosse riuscita a raggiungere.