Nemmeno il tempo di archiviare la debacle di App IO che si fa strada un nuovo problema per la Pubblica Amministrazione: INPS Mobile.
L’app di Inps è dotata di almeno quattro tracker (come evidenziato dall’esperto Matteo Flora), tutti puntati verso paesi extra UE e tutti aventi finalità più compatibili con il marketing che con l’utilizzo della app stessa.
Proviamo ora a capire a cosa si deve questa superficialità da parte della PA nei confronti di temi della privacy, quando si tratta di servizi digitali.
App IO “bloccata” dal Garante privacy causa tracker, “Ecco perché l’abbiamo fatto”
Che cos’è Inps Mobile e quali dati tratta
A questo scopo, la prima domanda che mi sono posto è stata: a che cos’è INPS Mobile?
INPS Mobile è l’applicativo ufficiale, che dà accesso a numerosi servizi di consultazione e invio documentazione (ad esempio, bonus nido, premio alla nascita, cedolino della pensione, Certificazione Unica).
È una app che, per forza di cose, accede a moltissime informazioni, anche di carattere sensibile. Per capirci, se IO cashback tratta molti dati, la app di INPS ne tratta almeno quattro volte tanto.
Per questo servirebbe maggiore sensibilità e, invece, ci troviamo qui a parlarne anche per via delle risposte fornite proprio a Matteo Flora, su Twitter, da INPS.
La risposta di Inps
E infatti, l’Istituto Nazionale per la Previdenza Sociale precisa: “Grazie per il suo interesse. L’INPS non ha mai usato Google AdMob, Crashlytics o Tag Manager. Il report Exodus che lei cita riguarda la app del 2019, in cui comunque i tool sopra non erano istanziati. A marzo 2020 l’INPS ha poi rimosso dal codice ogni riferimento a tali servizi.”
Purtroppo, però, questa risposta lascia l’amaro in bocca per tutta una serie di motivi.
In primis si afferma che INPS Mobile non ha mai usato i tracciatori. Tuttavia, questo è smentito dai dati di fatto. Una indagine sul tool Exodus dimostra infatti che questi tracker ci sono o, comunque, ci sono stati. Non è quindi vero che “INPS non ha mai usato Google AdMob, Crashlytics o Tag Manager”.
Del resto, è proprio INPS a smentirsi immediatamente affermando che il report pubblicato riguarda la app del 2019. Quindi, magari ora è diverso, ma fino a due anni fa INPS ha messo online una app con dei tracker che spedivano dati dei cittadini italiani a terzi, probabilmente per motivi di marketing, senza segnalarlo in alcun modo e senza consentire, ad esempio, di disabilitare queste funzionalità.
Certo, volendo credere a INPS, c’è di buono che, a oggi, queste funzionalità traccianti non sono più presenti, ma che dire dei dati inviati, a questo punto, illegittimamente per quasi 10 anni dalla app di INPS?
Le analogie col caso dell’App IO
Lo schema è il medesimo che ha causato la sospensione della app IO: presenza di tracker + assenza di segnalazione e di facoltà di disabilitarli.
Nella migliore delle ipotesi ci troviamo comunque dinnanzi a una violazione del principio di trasparenza sancito dal 2016 nel GDPR e in qualche modo presente anche nella precedente normativa.
Questo significa due cose: da una parte, il destinatario (Google) dovrebbe essere obbligato a cancellare i dati ricevuti trattati; dall’altra parte INPS dovrebbe rispondere di queste leggerezze dinnanzi al Garante.
In tal senso l’Autorità però dovrebbe prima avviare un procedimento e dichiarare l’illegittimità dei trattamenti, naturalmente. Ma con quale spirito? Già, perché è chiaro che per qualcuno nelle PA la migliore difesa è l’attacco e quindi, quando e se il Garante avvierà un’istruttoria si leveranno nuovamente i media per dire che la privacy ancora una volta è da ostacolo alla crescita.
Le domande da porsi
Nulla di più sciocco, sia chiaro, ma è ormai questa la situazione di fatto. Anziché tacciare il Garante di eccesso di zelo, i media dovrebbero invece chiedersi: come mai queste app pubbliche sono studiate così male? Perché ci inducono a scaricare applicativi che contengono tracciatori che inviano dati all’estero per fini compatibili con il marketing?
Queste sono le vere domande da porsi.
Se l’ufficio igiene chiudesse un ristorante per via della cucina sporca, non darei mai la colpa all’ufficio igiene ma al ristoratore. E mi arrabbierei molto se avessi mangiato in quel ristorante.
Quando si parla di privacy invece lo scenario sembra ribaltarsi. L’ufficio igiene, meglio, l’Autorità Garante della Protezione dei Dati, viene vista come il burocrate che vive per rallentare le iniziative altrui.
Non è così però. Il Garante conosce invece il vero valore dei dati. Sa bene che le più ricche industrie del mondo civile vendono dati, non mozzarelle, non legna, non turismo. Dati.
Questo, unito al fatto che lo stesso identico errore (utilizzo di tracker non segnalati) si è ripetuto per più di una volta, a danno degli Italiani e a vantaggio di qualche azienda, permetterebbe a qualche complottista di pensare che ci sia del dolo e non solo della colpa in tutto questo.
Le responsabilità dei DPO
Naturalmente non vogliamo credere che sia così. L’idea, invece è che qualche burocrate (quelli veri) abbia chiesto a qualcuno di creare una app. Senza fornire le opportune specifiche, senza consultare un DPO all’altezza e senza porsi alcun tipo di problema privacy. La app è stata creata. La grafica era gradevole, le funzioni facili da usare, allora nessuno ha fatto un check ulteriore guardando, ad esempio, i tracker presenti. Così la app è stata resa disponibile ed è stata scaricata per circa dieci anni.
Ora, la risposta fornita da INPS è cruciale in quanto evidenzia che qualcosa non è stato fatto bene per molti anni. È da qui che si spera che il Garante partirà.
Ma se non si agisce sulle dinamiche interne, incidendo sulla fase by design, l’autorità si ritroverà spesso ad inseguire la PA.
Sarebbe quindi forse auspicabile una sorta di verifica delle capacità dei DPO, quantomeno di quelli delle PA più elevate (ministeri ed enti principali), così da creare quella sensibilità che oggi parrebbe proprio non essere presente. Perché, ricordiamolo, il politico, il dirigente, hanno sicuramente un ruolo in queste leggerezze di cui abbiamo raccontato, ma la verità è che non è loro il compito di verificare l’adeguatezza di tali servizi alla luce del GDPR. Il compito è del DPO. È su di lui che dovremmo quindi concentrare le nostre forze ed attenzioni se vogliamo riportare la pace tra PA, privacy e Garante.
