I dati riservati non sono solo quelli relativi ai dati sensibili personali (cioè quelli della cosiddetta privacy) ma si riferiscono a molti altri contesti della vita quotidiana e della società nel suo complesso: dati economici, finanziari, sanitari, di sicurezza personale e nazionale, delle infrastrutture, delle professioni, ecc. Tutti concordano che devono essere protetti. Ed infatti sono state emanate norme per la loro tutela. Ma sono sufficienti?
Privacy: le norme imposte dal GDPR non bastano
Prendiamo ad esempio la privacy e vediamo se le norme imposte dal GDPR sono sufficienti:
- Occorre affidarsi ai fornitori di servizi per il rispetto della normativa ed è esperienza quotidiana che molti di loro non vi ottemperano.
- I servizi attualmente offerti non sempre sono conformi ai requisiti di privacy “by initial design and by default” come richiesto dalle dichiarazioni della Unione Europea.
- Il riconoscimento facciale, il tracciamento della posizione, la profilazione automatica, ed altre tecnologie presenti e future come l’intelligenza artificiale e la realtà virtuale (prima fra tutte ChatGPT) per loro intrinseca natura possono eludere le norme del GDPR.
- e si possono fare molti altri esempi.
Evidentemente, per quanto molto avanzate, le norme del GDPR non sono sufficienti e l’inadeguatezza delle norme si può estendere al trattamento di tutte le categorie di dati riservati.
Il controllo degli individui sui propri dati
Ricordiamo quello che è stato stabilito in sede UE. L’Unione Europea già nel 2012 ha dichiarato che, fin dalla fase di ideazione e progettazione, i nuovi sistemi e servizi di Internet devono soddisfare l’obiettivo che “gli individui devono mantenere il controllo dei propri dati personali generati o elaborati”.
Più recentemente dal discorso sullo Stato dell’Unione 2020 di Ursula Von Der Leyen: “La sovranità dei dati come autodeterminazione di individui e organizzazioni (e Stati) su come controllare i propri dati” fa parte della sovranità digitale europea, riferendosi poi a “una tecnologia in cui possiamo controllare noi stessi quali dati e come i dati vengono utilizzati”.
Anche il nostro Presidente della Repubblica Sergio Mattarella già nella cerimonia di inaugurazione dell’anno accademico 2018/2019 dell’Università di Studi di Torino metteva in guardia “L’egemonia di pochi colossi dell’impresa digitale assume una pervasività sin qui sconosciuta“ e sottolineava “Questa profonda innovazione, con la diffusione dell’uso dell’intelligenza artificiale anche nel mondo della comunicazione, interpella, tuttavia, in maniera intensa, su temi che vengono messi in discussione, come la libertà, la dignità delle persone, la dimensione della riservatezza” concludendo “Non esistono ‘non luoghi’: si tratta comunque di spazi, sia pure virtuali, in cui interagiscono persone e si registrano attività umane; e anche la dimensione digitale deve rispettare principi e regole frutto delle conquiste democratiche”.
Le Privacy-Enhancing Technologies (PET)
Per ottenere questi obiettivi le norme non sono sufficienti. Serve un diverso approccio al problema della tutela dei dati riservati. Questo nuovo approccio non può essere che tecnologico. Ed infatti recentemente (8 marzo 2023) un rapporto dell’OCSE ha evidenziato la necessità delle cosiddette Privacy-Enhancing Technologies (PET) per una efficace tutela dei dati riservati, ancora più urgente per la coesistenza di privacy e condivisione dei dati in accordo al Data Governance Act.
Il rapporto dell’OCSE va in questa direzione. Individua 14 diversi tipi di PET che sono classificati in quattro ampie categorie:
- data obfuscation
- encrypted data processing
- federated and distributed analytics
- Data accountability
Per ciascuna di queste categorie e delle associate tecnologie il rapporto evidenzia anche il loro grado di maturità e le sfide e i limiti conseguenti.
Il rapporto indica anche le attività di ricerca in sedi internazionali su queste tematiche (Canada, Turchia, UK, USA, Singapore, Francia ed altri, assente l’Italia) che richiedono ancora approfonditi studi.
Una caratteristica comune di queste tecnologie è sostanzialmente l’impiego di metodologie software che possono girare sui microprocessori attualmente disponibili. Se questo può sembrare, ed in effetti lo è, un approccio efficiente per una soluzione a breve termine, una protezione ancora più efficace si può ottenere con un’altra impostazione metodologica.
Il controllo a priori dell’utilizzo dei dati riservati
In quest’ultima categoria, non citato nel rapporto, appartiene il seguente nuovo paradigma per la protezione dei dati riservati (indicato in letteratura con il termine Data Usage Control): “controllo a priori dell’utilizzo dei dati riservati”, definito come “salvo casi di forza maggiore o di emergenza, qualsiasi utilizzo in qualsiasi forma e per qualsiasi scopo dei dati deve essere preventivamente ed esplicitamente autorizzato per il loro corretto utilizzo da parte del proprietario”.
Per ottenere questo obiettivo, senza dover ricorrere ogni volta alla richiesta di autorizzazione da parte del proprietario, occorre una architettura tecnologica avanzata e innovativa, sia per dati che per i computer:
- Per i dati: i dati non devono più essere un insieme passivo di bit, ma devono incorporare una forma di intelligenza (metadati) che definisca la loro “politica di utilizzo”, in modo da realizzare un’azione di autorizzazione, controllo e autodifesa in qualsiasi contesto applicativo; nuova struttura dei dati da crittografare adeguatamente
- Per i computer: una nuova architettura HW&SW tale che i microprocessori e i sistemi operativi possano accedere ai dati cifrati se e solo se siano obbligati a consultare la loro “politica di utilizzo” e procedere al loro trattamento solo in conformità con essa.
Questa nuova architettura non è una soluzione utopica e nemmeno di lungo termine. Esistono da tempo nella letteratura scientifica autorevole proposte e soluzioni in tal senso.[1] Esistono già anche parziali realizzazioni sperimentali sulla base di ricerche disponibili in letteratura, in particolare dal Fraunhofer Institute in Germania e dal CNR in Italia, ad esempio nel contesto del cosiddetto International Data Spaces (IDS).
Queste realizzazioni sono parziali nel senso che utilizzano solo una soluzione tecnologica SW su microprocessori attuali. Manca la nuova architettura HW&SW dei microprocessori, che completerebbe e renderebbe più efficace e definitiva la protezione dei dati riservati.
La sfida europea: obiettivo della UE
L’Unione Europea, che è stata l’istituzione politica all’avanguardia per la protezione dei dati, sia dal punto di vista delle affermazioni di principio sia nel predisporre normative avanzate e cogenti, come il GDPR, deve oggi prendere urgentemente altre essenziali, necessarie e inderogabili iniziative:
- Un consistente e costante finanziamento della ricerca scientifica e tecnologica per completare la nuova architettura dati-computer in modo da realizzare strumenti efficienti ed efficaci per i futuri scenari di Internet e sufficientemente semplici per l’uso comune (basati sulle proposte già disponibili in letteratura), tenendo anche continuamente e responsabilmente presente che il tempo non è una variabile indipendente: i risultati devono essere ottenuti in tempi ragionevoli prima che la protezione dei dati riservati sia definitivamente compromessa da vecchi e nuovi attori sovranazionali, non democraticamente controllabili, che potranno utilizzare i dati ottenuti, più o meno legalmente, per i loro scopi di potere e di mercato
- Una volta ottenuti questi strumenti, promuovere una standardizzazione delle nuove architetture di dati e computer
- Predisporre una legislazione, almeno nell’UE come ha fatto con il GDPR, per certificare che tutti i futuri sistemi che elaborano dati riservati siano conformi a questo standard e, come proposto nel recente Cyber Resilience Act (15 settembre 2022), richiedere una marcatura CE per tutti i prodotti e servizi digitali commercializzati nell’UE.
Queste azioni della UE sono coerenti con l’attuale iniziativa Chips Act e potrebbero e dovrebbero realizzarsi con adeguate azioni scientifiche e finanziarie nel suo ambito, tenendo conto che:
- Le soluzioni SW sono già disponibili sugli attuali microprocessori, ma la soluzione definitiva deve funzionare su microprocessori con una nuova architettura HW&SW
- Nell’ambito del Chips Act la UE e i produttori europei di semiconduttori (insieme ai centri di ricerca) dovrebbero investire su queste nuove architetture HW&SW
- La Ue e i produttori di semiconduttori hanno la grande e unica opportunità di diventare i leader di una nuova tecnologia dei semiconduttori per i sistemi di elaborazione conformi alla protezione dei dati, ottenendo un vantaggio competitivo fondamentale in un numero straordinariamente elevato di potenziali applicazioni e di essere i creatori tecnologici e normativi del nuovo paradigma per la protezione dei dati riservati.
Conclusioni
Le istituzioni europee, anche se purtroppo attualmente concentrate su altre priorità, avranno il coraggio e la lungimiranza (come hanno fatto con il GDPR per gli aspetti normativi) di sostenere queste iniziative tecnologiche per la tutela dei dati riservati dei propri cittadini?
Note
[1] Per una rassegna: E. Del Re, “Which future strategy and policies for privacy in 5G and beyond?,” 2020 IEEE 3rd 5G World Forum (5GWF), Bangalore, India, 2020, pp. 235-238, doi: 10.1109/5GWF49715.2020.9221371
