Aleggia un fondato sospetto sull’attuale assetto normativo in materia di protezione dei dati personali, e si traduce nel timore che esso possa rivelarsi inadeguato, o a tratti addirittura incompatibile, rispetto alle grandi sfide, presenti e future, poste delle cosiddette smart city.
Nulla che vada drammatizzato, per carità, ma messo a fuoco sì.
Si tratta di un dubbio che, mentre spiegavo quali e quante accortezze dovrebbero tenersi presenti, il dirigente di un Comune coinvolto nelle sperimentazioni, ha semplificato non molto tempo fa nell’ingenua (ma non troppo) domanda: “…non possiamo limitarci a scrivere, alle porte della città, benvenuti a …., città connessa, interconnessa e videosorvegliata, informative complete sul sito del Comune? Chi entra, almeno, saprà ciò che lo aspetta”.
Quel dirigente, in maniera del tutto inconsapevole, aveva colto un probabile limite di sistema della disciplina di settore: possiamo sforzarci di regolamentare il singolo trattamento (o comunque un insieme di trattamenti legati a precise finalità e un numero ridotto di titolari), ma l’applicazione delle norme di cui disponiamo risulta impossibile, o inefficace, di fronte a quella pioggia di trattamenti, finalità, e titolari, che il futuro delle smart city lascia prefigurare.
Si volesse ragionare per paradossi, sul modello dantesco del “qui si va per la città eterna”, i cartelli di benvenuto delle città connesse potrebbero ben presto esaurire i propri obblighi di informativa adottando il monito “qui troverete splendidi servizi e nessuna privacy”.
Il nodo della protezione dei dati nelle città sempre più connesse
Da tempo è chiaro che il tema della protezione dei dati dovrebbe essere declinato alla stregua di un’altra faccia della medaglia, poiché ogni qualvolta un nuovo processo informatico si appresta a produrre i benefici che ne hanno ispirato la creazione, non si può fare a meno di calcolare, per contrappasso, l’entità del prezzo che le persone coinvolte saranno chiamate a versare.
Quel prezzo, purtroppo, è spesso rinvenibile in un pezzetto di libertà individuale che se ne va, eroso dall’esposizione che subiscono i dati personali necessari alla fruizione del nuovo, comodo servizio.
Le città intelligenti fotografano un esempio paradigmatico di questa nascosta faccia della medaglia, traducendosi in sistemi che stressano (e stresseranno sempre di più) il nostro attuale sistema di contrappesi fino, forse, ad imporre una drastica scelta: rinunciare ai progetti o abdicare ai principi di data protection.
E siccome la rinuncia ai progetti, e con essi la conseguente perdita degli investimenti spesi a supporto, non è tra le opzioni che verranno mai considerate, a fare le spese dell’eventuale equilibrio non trovato saranno, inevitabilmente, i principi di data protection.
Le promesse di sviluppo e sostenibilità delle nostre città
Prima dei rischi, però, è giusto rendere onore alla faccia buona della medaglia, alle promesse di sviluppo, alle prospettive che stanno calamitando quegli investimenti finanziari incalcolabili cui poc’anzi si accennava.
Le nostre città, difatti, ambiscono giustamente di diventare economicamente sostenibili ed energicamente autosufficienti e cercano, per questa via, di incrementare la qualità della vita dei propri cittadini, prontamente rispondendo ad ogni loro esigenza.
Enormi quantità di informazioni, raccolte nei Big Data, offrono risposte razionali ai bisogni della popolazione, e consentono di evolvere un modello economico lineare – basato su produzione, consumo e scarto – in un modello circolare, fondato invece su riutilizzo, condivisione, estensione della vita di ogni prodotto, razionalizzazione dei servizi e riduzione degli sprechi.
Il futuro ci regalerà città sempre più interconnesse, piene di sensori e oggetti (l’internet of Things), raccolte di grandi quantità di dati che verranno elaborati per fornire servizi sempre più evoluti: servizi Wi-Fi nelle zone più disparate, semafori intelligenti, auto a guida autonoma, servizi di realtà aumentata, telegestione delle città, sistemi intelligenti di gestione dei rifiuti, sistemi di sicurezza predittiva e sistemi energetici sempre più digitalizzati ed efficienti.
Per l’implementazione della mobilità sostenibile, saranno previsti punti di ricarica per le auto elettriche e microreti bidirezionali, sensori ambientali e parcheggi intelligenti.
La proliferazione dei dispositivi connessi comporterà, per altro verso, un fisiologico aumento degli attacchi informatici e i bersagli, è facile prevederlo, saranno le reti Wi-Fi pubbliche, le smart grid, il settore dei trasporti e il mondo delle telecamere per la sicurezza.
Dati personali che dovranno essere raccolti per poter fornire i servizi, quindi, ma altri dati personali da trattare per riuscire a proteggere quegli stessi servizi e i rispettivi fruitori.
L’interazione pubblico-privato, snodo cruciale per la sicurezza dei nostri dati
Esiste una soglia critica nel trattamento, oltre la quale i nostri presidi di garanzia e sicurezza non avranno più speranza di rivelarsi efficienti, perché i punti di raccolta saranno troppi e non tutti potranno essere controllati adeguatamente, mentre gli individui coinvolti si troveranno nell’impossibilità di ricostruire razionalmente chi ha raccolto cosa e che cosa ci farà.
È possibile allontanare quella soglia critica adottando alcune precauzioni, ed è molto semplice avvicinarsi ad essa, drasticamente, sposando alcune scelte sbagliate.
Uno dei punti di svolta, probabilmente, si porrà nell’interazione tra pubblico e privato, vale a dire nella misura in cui la nostra pubblica amministrazione vorrà aprire centri autonomi di trattamento in favore delle imprese coinvolte nei progetti e quanto, invece, riuscirà a fungere da filtro, coinvolgendo il privato solo al bisogno.
Due scenari possibili
Si tratta di due scenari completamene differenti.
Nel primo caso, difatti, ci troveremo di fronte ad una pubblica amministrazione in grado di determinare le finalità del trattamento e di accettare che il privato intervenga al solo scopo di consentirne un più efficace perseguimento.
È la prospettiva di una pubblica amministrazione che accetta il privato solo in qualità di responsabile del trattamento dei dati dei propri cittadini, almeno fin quando non è costretta a riconoscerlo in altri ruoli.
Una pubblica amministrazione più debole, al contrario, sarà tentata di farsi sostituire dal privato e di sbilanciarne il supporto alle proprie iniziative, riconoscendo a quest’ultimo anche la facoltà di perseguire obiettivi propri, connessi o collaterali rispetto a quelli meramente istituzionali.
Rispetto alla precedente, questa è la prospettiva di una pubblica amministrazione che favorisce la moltiplicazione di titolari del trattamento in relazione ai dati dei cittadini coinvolti, che riconosce la legittimità di finalità diverse da quelle istituzionali e che ammette, in ultima istanza, una circolazione potenzialmente amplissima dei dati raccolti.
Un esempio per chiarire il possibile ruolo dei privati nel trattamento dati delle smart city
Un esempio renderà forse più chiaro il concetto.
I progetti per migliorare la viabilità cittadina transitano attraverso l’esame accurato del traffico, da svolgersi mediante l’utilizzo di sensori e telecamere.
Le aree urbane dispongono già di parecchie telecamere di proprietà della pubblica amministrazione, e sono quelle destinate a garantire i servizi di videosorveglianza.
I Comuni, quindi, potrebbero decidere di utilizzare solo gli strumenti già presenti per lo sviluppo dei progetti sulla viabilità cittadina, oppure orientarsi nel consentire al privato di installarne di nuovi.
Nel primo caso, le amministrazioni andrebbero incontro a severe complicazioni: dovrebbero, difatti, aggiornare i loro regolamenti, rivedere le informative destinate ai cittadini, svolgere le necessarie valutazioni di impatto, fungere da unico punto di raccolta delle informazioni, minimizzarne il contenuto (magari anonimizzandolo ove possibile) e delineare con attenzione il perimetro di trattamento delle imprese private coinvolte.
Per non parlare dei presidi di sicurezza che dovrebbero essere approntati per proteggere i database utilizzati per la conservazione dei dati.
La compressione dei diritti dei cittadini, tuttavia, in questo scenario risulterebbe razionalizzata al minimo indispensabile.
Nel secondo caso, invece, quello che prevede l’installazione di nuovi strumenti ad opera del privato, l’impatto sulle dinamiche dell’amministrazione risulterebbe forse ridotto, ma ne uscirebbe moltiplicato quello sui cittadini.
Il tessuto urbano vedrebbe moltiplicarsi il numero di telecamere e sensori (nella più parte dei casi già numerosissimi), diversificarsi le modalità di trattamento, i soggetti destinatari delle informazioni e le finalità sottese alla raccolta.
Ogni partner, difatti, rivendicherebbe, nel discutere gli accordi con la P.A., un margine più o meno ampio di autonomo trattamento.
Conclusioni
I device presenti in città farebbero quindi capo a più soggetti, legati tra loro da accordi differenti, autonomi titolari in alcuni casi, contitolari in altri, titolari, responsabili e sub responsabili in altri ancora.
Informative difficilmente comprensibili e del tutto indigeribili nel loro complesso renderebbero impossibile garantire l’effettività della tutela prevista dalle norme attualmente vigenti.
Basterebbe davvero poco, in definitiva, per raggiungere quella soglia critica cui prima si è fatto cenno, e trovarsi di fronte al bivio che impone la scelta tra servizi e diritti.
Giungere a questa sciagurata alternativa, però, stavolta sarebbe una colpa da attribuire alle pubbliche amministrazioni interessate, perché la gestione del territorio e come impostare queste prospettive di sviluppo, è una responsabilità che grava unicamente su di loro.
