Anno 2015: Fuga dalla privacy.

Già la sera del Trattato di Lisbona, il 25 gennaio 2012, i delegati nazionali si resero conto di dover promettere qualcosa in merito alla privacy, grande assente al tavolo della riforma e vero convitato di pietra in un progetto volto a traghettare la popolazione europea verso la “Digital Agenda 2020”. I principi sul trattamento dei dati personali e la libera circolazione dei dati già apparivano vetusti all’epoca, racchiusi nella sbrindellata Direttiva 95/46/EU del 24 ottobre 1995, già oggetto di qualche remake improvvisato. Promisero quindi vocalmente una pronta revisione dei principi, tenuto conto dell’importanza capitale del tema. Poi spensero le luci.

Fatt’è che ancora si attende quella riforma. Il 28 gennaio 2015, in occasione del nuovo insediamento della Commissione Junker, alla giornata europea della privacy, il Vice Presidente della Commissione Europea Andrus Ansip ed il Commissario Europeo Vera Jourová, di nuovo hanno dato fiato ai buoni propositi, annunciando un possibile cambiamento delle regole entro la fine del 2015.

Sarà l’esperienza, ma nutriamo qualche legittimo dubbio.

Forse ormai il tema della privacy è di fatto irrisolvibile, da un punto di vista regolamentare. Fuor di paradosso, arrivati come siamo in piena era digitale, con una fetta sempre più ridotta di popolazione mondiale non rilevata automaticamente dai sistemi di tracciamento elettronico (la sola digital inclusion mobile nelle aree sottosviluppate del pianeta rasenta ormai il 30% della popolazione nelle aree depresse), con l’esplosione delle chip-macchina e linguaggi automatizzati M2M e IoT, tale per cui la popolazione di utenti cibernauti è ormai di gran lunga superiore a quella terrestre – come se il nostro pianeta ospitasse due popolazioni: una in carne ed ossa ed una maggioritaria di comunicatori cibernauti – la privacy appare sempre più un vecchio arnese, una quisquilia d’avvocati a caccia di casi lontani dalla realtà.

Di fatto, sul mercato online, sollecitati dalle offerte in cambio di ritagli sulla propria privacy, i cibernauti terrestri già abdicano alle tutele della privacy, pur di strappare condizioni economiche di favore e garantire la profilazione o geolocalizzazione dei propri dati. Salvo poi sbigottirsi – sentenza Google alla mano – che il web non dimentica mai, al contrario di quanto fa Dio, e che un motore di ricerca può incollare per sempre una notizia lesiva al fianco della nostra identità elettronica.

Perché esistono due identità: quella fisica vera e propria e quella elettronica, e sono ormai indipendenti ma unite, come doctor Jeckill e Mr. Hyde.

Alla base dell’esigenza di modificare il quadro regolamentare europeo non vi sono però ubbie d’avvocati. Vi è innanzitutto la presa di coscienza del radicale cambiamento dei diritti della personalità con l’avvento del mercato digitale. Vi è inoltre la constatazione dell’esistenza di diverse modalità di raccolta dei dati senza alcun consenso, attraverso dispositivi elettronici automatizzati di ogni genere, anche invisibili (dalle telecamere ZTL alle reti wifi per strada, per non dire delle SIM sulle testate degli autoveicoli, o gli input generati a getto continuo dai nostri addentellati smarthphone, tablet, iwatch, ecc.). Vi è la constatazione della diffusione di sensori intelligenti e della continua interazione e scambio di messaggi che fluiscono poi in una non-terra, il cloud, dove regna l’invisibile ed onnipresente Big Data, il profilatore per antonomasia e il proliferatore di dati aggregati ed informazioni a getto continuo.

L’enorme potenzialità dei “Big Data”, o meglio i limiti del loro legittimo uso e le responsabilità connesse, costituisce il vero fulcro del problema, il vero nodo regolamentare. I Big Data costituiscono da un lato un bacino d’esperienza ed intelligenza, un catalizzatore di possibili scelte gestionali e di efficientamento utili ed anzi indispensabili in una Terra sempre più arida e sovrappopolata. Dall’altro però i Big Data costituiscono il possibile punto di non ritorno del travalicamento del dato sull’essere, il luogo della prevaricazione dell’identità virtuale su quella reale in carne ed ossa, o se si vuole dell’intelligenza collettiva suprema sull’identità personale. E se il web non dimentica, tantomeno lo fa il Big Data, moltiplicatore-monstrum di ogni agire per effetto della memoria-macchina associata ai collegamenti automatizzati non filtrati da alcun consenso. Ormai è come se si vivesse in una sala degli specchi sconfinata, dove qualcuno invisibile dall’alto, immerso nel non-tempo della memoria-macchina, organizzasse e filtrasse per noi l’esperienza di quanto da noi “realmente” vissuto (si fa per dire), implacabilmente riflettendoci i nostri stessi dati, che tuttavia non costituiscono affatto il nostro vero io.

Rispetto agli obblighi di anonimizzazione e di aggregazione automatizzata di dati, il Presidente del Garante Privacy Antonello Soro, ha di recente evidenziato la crescente preoccupazione in merito ai nuovi rischi di discriminazione dovuti a tecniche di  profilazione troppo puntuali ed analitiche. Ha richiamato la necessità di potenziare le misure di sicurezza dei sistemi e delle infrastrutture utilizzate per il trattamento, auspicando la definizioni di una quadro regolamentare che tuteli in modo effettivo la privacy, avendone però chiari i limiti.

Ha puntato quindi agli obblighi di sicurezza, piuttosto che a quelli della gestione, come se ormai si dovesse abdicare a quest’ultima ed il problema della privacy si riducesse all’accesso abusivo o l’intercettazione dei dati. E se questo è l’orientamento del Garante, allora la domanda sorge spontanea: è possibile, oggi, una riforma della privacy? All’indomani dello scandalo del “Datagate”? E a chi dovrebbe rivolgersi questa riforma? Dove risiedono i dati, e soprattutto: a chi si deve far riferimento ? La NSA americana è un’agenzia federale, ad esempio. A chi dovrebbe rivolgersi la riforma?

E ancora, è possibile una regolamentazione delimitata territorialmente? Dal momento che il cloud è onnipresente e pervasivo, ed i server sono sparpagliati sul pianeta, una riforma eurocentrica non avrebbe altro effetto che far fuggire via le multinazionali estere dal territorio, per il solo fatto d’esser fin troppo ingombrante e pervasiva. La Commissione Junker intende prendersi questa briga?

Storicamente, l’Europa ha sempre sofferto d’un malcelato complesso di superiorità. Nel nostro atteggiarci a figli dell’Umanesimo abbiamo gioito alla sentenza sul diritto all’oblio, quando la Corte di Giustizia Europea ha imposto a BigG di adottare misure di cancellazione delle informazioni dietro richiesta. Tutto giusto, s’intende. Ma l’unico tentativo di riforma privacy in tema di comunicazione, la Direttiva 2006/24/CE, del 15 marzo 2006, fatta all’indomani degli attentati di Madrid e Londra, è stata dichiarata illegittima dalla stessa Corte Europea, che ne ha sconfessato il contenuto. Di fatto, non esiste una norma speciale sulla privacy nelle comunicazioni. Dov’è l’Umanesimo?

Una vera riforma privacy sul web appare ormai talmente complessa da dover per forza di cose scomodare la stessa internet governance, tema scottante e probabilmente destinato a non trovare regolamentazione alcuna (ah, i vecchi leoni della deregulation…), dopo gli scontri al Consiglio ITC di Dubai del 2012. Paesi come la Russia, l’Iran o lo stesso Brasile della Carta dei diritti internet intendono assicurare un ruolo alle agenzie nazionali di vigilanza sui contenuti nelle trasmissioni, con buona pace dei fautori del partito della visione multistakeholder del governo del web.

A scorgerli, i principi di riforma privacy nel pacchetto Europeo sono ambiziosi, quasi naif:

-       Il diritto all’oblio: chiunque potra’ richiedere la cancellazione dei propri dati on line, se non vi saranno ragioni legittime per mantenerli;

-       l’accesso facilitato ai propri dati personali e la definizione di un sistema agevolato di trasferimento dei dati da un fornitore di servizi a un altro (diritto alla portabilità dei dati), favorendo quindi lo sviluppo di un sistema concorrenziale tra servizi;

-       il diritto al conferimento di  un esplicito consenso al trattamento dei propri dati personali, e del diritto ad essere informato in caso di violazione dei propri dati personali a carico  di società ed organizzazioni;

-       il diritto ad essere informati in caso di violazioni dei propri dati personali da parte di hacker, entro il termine massimo di 24 ore.

-       Introduzione dei principi “data protection by design” e “data protection by default”: la protezione dei dati personali dovrà divenire la regola nella realizzazione di prodotti e di servizi, attraverso lo sviluppo di sistemi di protezione dei dati personali, facile ed agevole per gli utenti.

Per quanto concerne, invece, le imprese, la riforma della protezione dei dati dovrebbe aiutare lo sviluppo del potenziale del  mercato unico digitale attraverso quattro principali misure:

- un continente, una legge: l’unione europea andrà ad adottare un regolamento, che andrà ad istituire quindi un unico quadro regolamentare identico in tutti i paesi dell’unione, che andra’ quindi a sostituire la babele di legge di attuazione della vecchia direttiva del ’95, che costituisce l'attuale mosaico incoerente di leggi nazionali.

- one-stop-shop: sara’ istituita una sola ed unica Autorità di vigilanza, e non piu’ 28, rendendo più semplice e meno costoso per le imprese svolgere la propria attività nell’ UE;

- le stesse regole per tutte le imprese - indipendentemente dalle loro stabilimento: con la riforma anche le imprese con sede al di fuori dell'Europa che hanno rapporti con l’unione dovranno applicare le stesse regole in materia di privacy, delle società e/o organizzazioni con sede in Europa.

- i regolatori europei saranno dotati di forti poteri esecutivi: le autorità di protezione dei dati saranno in grado di multare le aziende che non rispettano le norme UE fino al 2% del loro fatturato annuo globale.

Tutto giusto e perfetto, e ci lavora il Working Party.  

Attendiamo le riforme, quindi. Come abbiamo fatto ormai per quasi trent’anni.