Internet delle cose, tutti i rischi che si aprono per la PA

Con il termine Internet of Things (IoT) si fa riferimento ad infrastrutture nelle quali innumerevoli sensori sono progettati per registrare, processare, immagazzinare dati localmente o interagendo tra loro sia nel medio raggio, mediante l’utilizzo di tecnologie a radio frequenza (ad es. RFID, bluetooth etc.), sia tramite una rete di comunicazione elettronica.

I dispositivi interessati non sono soltanto i tradizionali computer o smartphone, ma anche quelli integrati in oggetti di uso quotidiano (“things”), come dispositivi indossabili (cd. wearable), di automazione domestica (cd. domotica) e di georeferenziazione e navigazione assistita.

In altre parole per Internet of things si intende un ulteriore sviluppo di Internet conseguente alla connessione in rete degli oggetti materiali. Oggetti che potrebbero essere dotati di un identificativo univoco (ad esempio, un numero di serie), riconoscibile anche in radiofrequenza. Ma l’identificazione degli oggetti potrebbe avvenire anche senza ricorrere ad etichette radio, ma combinando sensori e riconoscimento automatico (si pensi, ad esempio, al riconoscimento di un codice a barre effettuato con un cellulare collegato ad Internet).

Si tratta, quindi, di un’ulteriore evoluzione della rete. In breve tempo siamo passati dalla tradizionale concezione di Internet al c.d. web 2.0 inteso come web riscrivibile i cui contenuti sono determinati dagli utenti che riempiono letteralmente scatole vuote (blog, wikipedia, social network, ecc.) L’avvento del web 2.0 inteso come evoluzione della rete e dei siti internet caratterizzata da una maggiore interattività che pone l’utente al centro della rete ha evidenziato ancora di più un importante concetto e cioè che Internet non è più una semplice “rete di reti”, né un agglomerato di siti Web isolati e indipendenti tra loro, bensì la summa delle capacità tecnologiche raggiunte dall’uomo nell’ambito della diffusione dell’informazione e della condivisione del sapere.

Ma l’avvento dello IoT fa capire che ormai ci troviamo di fronte già al web 3.0 e quindi alla possibilità del dialogo con le cose grazie alla Rete. Come è noto l’aspetto della comunicazione fra uomini e macchine e tra macchine era già stato approfondito da un noto studioso, Norbert Wiener, che aveva creato una nuova scienza denominata “cibernetica” il cui obiettivo é proprio quello dello “studio scientifico del controllo e della comunicazione nell’animale (uomo) e nella macchina”.

La cibernetica costituisce un ambito di studi trans-disciplinari, nel campo dei sistemi auto-regolanti (struttura, leggi vincolanti, prospettive). Essa si occupa tanto dei sistemi meccanici, fisici, biologici, quanto di quelli psichici, cognitivi e sociali, e s’interessa, in particolare, dei circuiti (loop) e delle sequenze operative tramite cui un certo sistema influisce su se stesso e controlla quindi il proprio stesso funzionamento (feedback).

Il termine “cibernetica” viene dal greco κυβερνητική (kybernetiké), che indica appunto l’arte di “governare”, “dirigere” e che deriva a sua volta dal verbo κυβερνάω (kybernáo), riferito all’azione di chi pilota una nave stando al timone.

In un futuro non troppo lontano sarà quindi possibile ipotizzare la comunicazione non solo tra uomini e macchine ma anche tra macchine con inevitabili conseguenze da un punto di vista giuridico, poiché sarà necessario regolare rapporti che non hanno esseri umani come punto di riferimento.

Tali potenzialità, ormai, sono state riconosciute anche nell’ambito della pubblica amministrazione, difatti i servizi di comunicazione M2M modificano le relazioni fra operatori tradizionali, impattando allo stesso tempo sulle garanzie contrattuali. Aumenta inoltre la necessità di adeguare reti e tecnologie per la fornitura dei servizi di connettività necessari al funzionamento dei nuovi dispositivi smart. In considerazione di questi importanti fattori, già si è svolta il 13 novembre 2015, su iniziativa dell’AGCOM, la prima riunione del Comitato permanente per i servizi di comunicazione Machine to Machine (M2M). La riunione è stata presieduta dal Presidente dell’AGCOM prof. Angelo Marcello Cardani e vi hanno partecipato AgID, il Ministero dello Sviluppo Economico, l’Autorità di Regolamentazione dei trasporti e l’Autorità per l’energia elettrica, il gas e il servizio idrico.

Il settore del M2M (chiamato appunto anche Internet delle cose o Internet of Things) identifica un mondo di grande interesse per i cittadini e per la loro vita quotidiana. Il M2M include una vastissima ed eterogenea gamma di servizi di comunicazione elettronica, che vanno dalle connected car, ossia le automobili che utilizzano la connessione per le dotazioni di sicurezza (si pensi ad esempio alla possibilità di lanciare una chiamata automatica d’emergenza in caso di sinistro grave) e per i servizi di infotainment, ai contatori intelligenti (smart metering); dalle smart grid, che nel settore elettrico permettono di gestire la rete in maniera efficiente e razionale anche a fronte del crescente sviluppo di generazione distribuita a fonti rinnovabili, con una importante ricaduta in termini di efficienza energetica, alle smart city grazie alle quali, con l’applicazione di tecnologie ICT alle infrastrutture e ai servizi delle città, si determina una maggiore efficienza e qualità nell’utilizzo dei servizi a beneficio dei cittadini e delle imprese.

Ogni qualvolta, però, ci si trova di fronte ad un’evoluzione così rapida del progresso tecnologico possiamo avere delle conseguenze non sempre positive, si pensi, ad esempio, a quel fenomeno che lo stesso Wiener definiva “entropia” intesa come disordine.

In effetti come ben sappiamo il progressivo sviluppo delle comunicazioni elettroniche ha determinato la crescita esponenziale di nuovi servizi e tecnologie. Se ciò ha comportato, da un lato, indiscutibili vantaggi in termini di semplificazione e rapidità nel reperimento e nello scambio di informazioni fra utenti della rete Internet, dall’altro, ha provocato un enorme incremento del numero e delle tipologie di dati personali trasmessi e scambiati, nonché dei pericoli connessi al loro illecito utilizzo da parte di terzi non autorizzati.

La stessa Autorità Garante per la tutela dei dati personali, nell’esercizio della funzione consultiva di cui è titolare, ha più volte segnalato, negli anni precedenti, la necessità di individuare con maggiore attenzione e proporzionalità la tipologia dei dati da inserire nei documenti elettronici, i soggetti che possono eventualmente accedere alle varie categorie di dati e le garanzie per gli interessati.

Difatti, nell’attuale era tecnologica le caratteristiche personali di un individuo possono essere tranquillamente scisse e fatte confluire in diverse banche dati, ciascuna di esse contraddistinta da una specifica finalità. Su tale presupposto può essere facilmente ricostruita la c.d. persona elettronica attraverso le tante tracce che lascia negli elaboratori che annotano e raccolgono informazioni sul suo conto.

Si deve ricordare innanzitutto che l’obiettivo delle nuove tecnologie è quello di migliorare la qualità della vita dei cittadini nel rispetto della sicurezza e della privacy. Qualsiasi problematica inerente i rapporti tra nuove tecnologie e privacy va sempre risolta inquadrandola nell’ambito di una considerazione globale dei benefici socio-economici che scaturiscono dall’innovazione tecnologica. Ad esempio non possono trascurarsi i grandi vantaggi rappresentati dalle banche dati presenti in Rete oltre che nello svolgimento dell’attività amministrativa, anche nel migliorare in generale la qualità della vita dei cittadini e nel promuovere le attività produttive ed economiche.

È naturale che in considerazione proprio di queste nuove potenzialità di Internet, è necessario un giusto ed equilibrato bilanciamento tra principi sacrosanti come la tutela della libertà di manifestazione e circolazione del pensiero e la tutela di altri interessi giuridicamente rilevanti, come la riservatezza, che assumono anch’essi un rango di carattere costituzionale e potrebbero essere lesi da un esercizio sconsiderato della libertà in questione.

È ovvio che la soluzione vada trovata caso per caso di fronte ad un potenziale conflitto, cercando di tutelare l’interesse ritenuto preminente.

I contenuti creati dagli utenti e resi pubblici attraverso il mezzo telematico, costituiscono un potenziale veicolo di violazioni degli interessi di terzi e in questo senso una minaccia per diritti quali l’immagine, l’onore e la reputazione, nonché la riservatezza.

Come messo in risalto da alcuni interpreti, la rete, che per sua natura tende a connettere individui, formazioni sociali e istituzioni di ogni genere, pone questioni “inquietanti” in quanto risolvibili solo con nuovi approcci, soluzioni mai adottate prima e in taluni casi non ancora individuate.

E’ naturale, quindi, che in questo quadro evolutivo non sempre ideale l’Autorità Garante di fronte allo sviluppo dell’IoT ha deciso di assumere un atteggiamento rigoroso avviando una pubblica consultazione in data 26 marzo 2015 al fine di acquisire osservazioni e proposte riguardo agli aspetti di protezione dei dati personali connessi alle nuove tecnologie classificabili come Internet of Things,

In particolare, secondo il Garante, un’attenzione particolare deve essere riservata ai rischi relativi alla qualità dei dati che potrebbero derivare dal loro grado di affidabilità, specie considerati gli usi in campo medico-sanitario, nonché ai rischi che vengano realizzati, quali un invasivo monitoraggio dei comportamenti degli utenti, anche a loro insaputa, ovvero un condizionamento degli individui tale da limitarne anche significativamente la libertà e la capacità di autodeterminazione.

Al pari occorre considerare gli ulteriori rischi relativi alla sicurezza indotti, in particolare, da operazioni di comunicazione a terzi, dall’utilizzo improprio e dalla perdita delle informazioni oggetto di trattamento, soprattutto in ragione del novero dei soggetti coinvolti, dei volumi e dei tipi di dati trattati, nonché dell’estensivo utilizzo di interfacce radio, strutturalmente di particolare vulnerabilità.

Indubbiamente sarebbe opportuno che sin dalla fase di progettazione gli oggetti ed i servizi destinati ad interagire nell’Internet of things si ispirino ai principi della privacy by design e della privacy by default.

In particolare il principio della privacy by design prevede che la protezione dei dati sia integrata nell’intero ciclo di vita della tecnologia, dalla primissima fase di progettazione fino alla sua ultima distribuzione, all’utilizzo e all’eliminazione finale.

Il principio della privacy by default prevede, invece, che le impostazioni di tutela della vita privata relative ai servizi e prodotti rispettino i principi generali della protezione dei dati, quali la minimizzazione dei dati e la limitazione delle finalità.

Ma la preoccupazione dell’Autorità è rivolta anche alla raccolta e la gestione di dati relativi a comportamenti, abitudini, preferenze e stato di salute degli utenti spesso inconsapevoli, con l’effetto di consentirne l’identificazione, diretta o indiretta, mediante la creazione di profili anche dettagliati. Aspetto questo che dovrà essere risolto attraverso l’individuazione di corrette e chiare informative, con particolare riguardo ai dati raccolti, agli scopi per i quali ciò avviene e alla durata della conservazione dei dati stessi ai fini dell’eventuale prestazione di un valido consenso al trattamento dei dati. Tali informative dovranno soddisfare uno dei requisiti più richiesti dall’emanando regolamento in materia di protezione dei dati personali e cioè la trasparenza.

Le stesse misure di sicurezza da adottare dovranno essere in grado di proteggere i dati trattati dai rischi di interferenze ingiustificate e/o manomissioni e, prima ancora, di minimizzare i rischi, laddove possibile, talvolta ricorrendo alla stessa cifratura in presenza di dati particolarmente sensibili.

Inoltre l’Autorità Garante ritiene che per una compiuta valutazione del fenomeno, per la corretta allocazione delle responsabilità tra i soggetti a diverso titolo coinvolti nelle operazioni di trattamento dei dati, nonché per l’individuazione della normativa applicabile, appare necessario approfondire anche aspetti legati ai modelli di business utilizzati, come pure esaminare i temi connessi all’interoperabilità dei servizi e alla portabilità delle informazioni, con particolare riferimento agli aspetti di standardizzazione, anche al fine di valutare la possibilità per gli utenti di esercitare un reale controllo sui propri dati e sulle modalità di fruizione dei servizi IoT.