Delle app di contact tracing

Partiamo subito dal punto: da tecnico, le prese per il culo “dai i dati a Facebook per sapere che verdura sei ma poi ti lamenti dello Stato che ti chiede i dati” sono una cosa che trovo penosamente ridicola. È uno di quei casi in cui si cerca di prendere in giro gli ignoranti dimostrandosi, su quell’argomento, ignoranti.

Provo, per quanto possa risultare spocchioso, a fare un minimo di chiarezza.

Di che parliamo, intanto

Parliamo di contact tracing, ovvero tracciamento dei contatti. Il contact tracing è una tecnologia (o una tecnica, dato che si fa anche tramite intervista “a mano”) che permette di sapere, in una qualche forma, con quali persone è stata “a contatto” una certa persona.

Ma quindi è la geolocalizzazione?

No. La prima cosa enorme da capire sul contact tracing è che non ha nulla a che fare con la geolocalizzazione, che è un’altra tecnologia con tutt’altro scopo. La geolocalizzazione è una tecnologia che serve a sapere, sempre in una qualche forma, dove sia stata una certa persona in un certo momento. Non è utile per il contact tracing, per almeno due motivi.

Il primo è che funziona decentemente solo a determinate condizioni, prima fra tutte l’essere all’aperto: non funziona negli edifici, non funziona in metropolitana, non funziona in certi veicoli, non funziona se il tempo è molto brutto.

Il secondo è che si basa sulla posizione geografica delle persone, e il fatto che due persone siano geograficamente vicine non significa che siano a contatto. Due persone a trenta centimetri tra loro ma con un muro in mezzo non sono a contatto, e questo con la geolocalizzazione non lo capisci. Due persone a zero centimetri tra loro su una mappa, ma una al primo piano e l’altra al ventesimo piano di un palazzo non sono a contatto, e anche questo con la geolocalizzazione non è banale saperlo (si potrebbe, ma che in un grattacielo l’altitudine sia accurata è improbabilissimo).

E allora come si fa?

Non c’è un modo davvero accuratissimo, in realtà, ma c’è un modo abbastanza accurato, che è l’utilizzo di Bluetooth Low Energy, un protocollo che normalmente serve a far comunicare il telefono con altri apparecchi, telefoni compresi, ma che ha un sistema per vedere quali dispositivi Bluetooth Low Energy si trovano nelle vicinanze. Avendo un raggio di scoperta molto piccolo (e regolabile, piú o meno), risolve entrambi i problemi esposti prima: non vede persone vicine ma con massicci ostacoli in mezzo, e non vede persone lontane come vicine.

Rispetto alla geolocalizzazione, si perde un’informazione: non si conosce dove fosse la persona. Si tratta però di un’informazione completamente inutile ai fini del tracciamento del contagio: mi interessa sapere con chi sei stato, dove foste è irrilevante.

E una volta “sentito” chi è vicino?

Ci sono due diverse scuole di pensiero su cosa fare dopo che il telefono di Anna ha scoperto che quello di Bruno è vicino.

La prima scuola di pensiero dice che il telefono di Anna debba dire a un server gestito da qualcuno “Ciao, sono l’app numero 123, ho appena incontrato da vicino l’app 456”. La seconda scuola di pensiero, invece, dice che tale informazione andrebbe salvata sul telefono.

Se Anna dovesse ammalarsi di COVID-19 e venire certificata come malata, “qualcuno” (possibilmente il sistema sanitario nazionale) dovrebbe “premere un pulsante” sull’app di Anna, che nel primo caso dirà al server “ehi, avvisa tutte le app con cui sono venuta a contato di mandare una notifica al loro utente!”, mentre nel secondo si occuperà lei di contattare tutti gli id che ha memorizzato e dirgli “ehi, manda una notifica al tuo utente”. Bruno, come tutti gli altri stati a contatto con Anna, si troverà sul telefono una notifica del tipo “Sei stato recentemente vicino a una persona che si è ammalata, chiuditi in casa e avvisa il sistema sanitario nazionale, che ti farà un tampone”.

Le problematiche

Ognuna delle due scuole di pensiero ha i suoi problemi. Nel primo caso, quello del server centrale, c’è un server centrale con tutti gli incroci di dati possibili. Non sono di banalissima interpretazione, ma forse se ne possono trarre piú informazioni del lecito, non ho le competenze per dirlo. Il secondo caso, quello con i dati sui telefoni, ha il piccolo grande punto debole del casino da fare per trasferire i dati in caso di cambio telefono.

Esiste poi un’altra problematica tecnica, risolvibile ma con cautela: i recenti sistemi di sicurezza dei telefoni, per motivi molto validi, non permettono a nessuna applicazione di tenere continuamente il Bluetooth in ricerca e visibile. Ovviamente si può chiedere ai produttori di fare uno strappo alla regola, ma non sempre possono (ci sono telefoni obsoleti) ed esistono buoni motivi per cui la regola esiste.

Infine, c’è una problematica di privacy: se l’app chiede qualsiasi cosa all’utente, dal nome ai dati sanitari, bisogna essere assolutamente sicuri che non comunichi tali dati al server, quantomeno senza un ottimo motivo, perché a quel punto sul server ci sarebbe l’informazione, del tutto inutile per le finalità del sistema, su chi è stato con chi. Non vedo motivi perché debba esserci.

Ok, ma tanto diamo tutto alle aziende private, perché non allo Stato?

Anche qui tocca procedere per punti.

Non diamo tutto alle aziende private

Intanto, no, non è vero, non diamo tutto alle aziende private. Diamo molte cose, è vero, spesso senza neanche accorgercene. Diamo la nostra posizione, diamo la lista dei nostri amici (non solo gli amici sui social, che valgono poco, ma anche le rubriche telefoniche), diamo alcune informazioni sui nostri gusti e sui nostri acquisti.

Non diamo però assolutamente a nessuno informazioni su ogni singola persona a cui siamo stati vicino. È un’informazione che al momento nessuno ha e che non esiste da nessuna parte. La creeremmo con quest’app, dando allo Stato (e, non è ancora escluso, ai privati che gestiscono l’app) un’informazione del tutto nuova su di noi.

Le aziende private hanno scopi diversi da quelli dello Stato

Le aziende private raccolgono i nostri dati per un fine ben specifico e molto remunerativo: vendere ad altre aziende la pubblicità. Non ci sono molte altre cose sensate che un’azienda possa fare (qualcuna c’è, ad esempio vendere valutazioni di rischio assicurativo e cose del genere, specialmente avendo dati sanitari) e nessuna include il perseguire persone per quello che fanno.

Lo Stato, invece, ha un certo interesse a controllare i cittadini.

Io sono di quelle persone che dello Stato italiano attuale si fidano abbastanza. Lo Stato però è una cosa che cambia nel tempo, e non sempre cambia in meglio. Dare allo Stato un accesso facile alle informazioni è una cosa molto pericolosa. Molte informazioni lo Stato può averle lo stesso, eventualmente dalle aziende private, ma con una certa fatica che non rende vantaggioso cercare di averle anche quando non è davvero importante averle. Rinunciare a questo paletto è un grosso passo, che si può benissimo non voler fare.

Le aziende private sono controllate

Sì, OK, fanno spesso quello che gli pare, ma fino a un certo punto. Le aziende private sottostanno a leggi, a organi di controllo degli Stati, e devono pagare spesso molto salato (in Europa salatissimo) se sbagliano. Se io utente di un loro servizio mi vedo fare un torto, ho tribunali a cui rivolgermi.

Lo Stato non funziona così, lo Stato le leggi se le fa. E dato che in Italia siamo tecnologicamente ignorantissimi e grandi amanti dell’uomo forte al potere, del legislatore non mi fiderei poi tanto. Se lo Stato dovesse usare i tuoi dati contro di te facendoti torto e si trovasse a farlo legalmente, non hai nessuno a cui puoi rivolgerti.

Caveat

Non sto dicendo, attenzione, in alcun modo che siano meglio le aziende private o meglio lo Stato. Posso preferire dare i mei dati per la pubblicità ma non rischiare domani di essere arrestato perché oggi ho partecipato a una manifestazione di un partito che sarà bandito domani, o posso fidarmi dello Stato ma non volere pubblicità basate su miei dati.

Essere d’accordo con dare dati a privati non è la stessa cosa che essere d’accordo con il darli allo Stato, e se a uno va bene una cosa non è affatto detto che gli debba andare bene pure l’altra in automatico.

Ma insomma Immuni te la scarichi o no?

Posto che con tutta probabilità l’app del governo italiano (ma anche tutte le altre) arriverà parecchio tardi perché sia utile — per fare le cose bene ci vuol tempo e il tempo non c’è — , la installerò certamente se risponde a due requisiti che ritengo importantissimi.

Primo, deve essere anonima, perché può esserlo. Ti serve poter notificare le persone a cui sono stato vicino, non ti serve né sapere chi sono (o forse sì, ma devi convincermi), né se soffro di *inserire malattia* (e qui no, non mi convinci, non ti serve).

Secondo, deve essere ispezionabile. Devo sapere cosa viene inviato davvero, se viene inviato qualcosa.

Mi sembrano due requisiti piuttosto semplici da rispettare. Qualcosa mi dice che invece…

Aggiornamento 23/4: e invece pare si torni all’idea di un sistema decentralizzato, con i dati sui telefoni e non online, perché posto come requisito tecnico per far tenere il Bluetooth acceso da parte di Apple e Google.