Il ruolo del Garante della privacy, lo scandalo dossieraggi e la sfida della protezione delle banche dati. Parla Pasquale Stanzione.
A fine ottobre il caso dei dossieraggi nato da un’indagine della Direzione distrettuale antimafia di Milano ha portato alla luce tutta la vulnerabilità dei sistemi informativi italiani, già sotto pressione per l’aumento esponenziale di attacchi hacker degli ultimi anni. Come se non bastassero i dati – in Italia nei primi 6 mesi del 2024 si è verificato il 7,6% degli incidenti globali, secondo l’ultimo report Clusit, mentre gli attacchi alla sanità sono cresciuti dell’83% rispetto al primo semestre 2023 – l’indagine ha scoperchiato una rete di presunti spioni guidata dall’ex super poliziotto Carmine Gallo come braccio destro di Enrico Pazzali, presidente di Fondazione Fiera (estranea all’indagine). In passato l’Autorità Garante per la protezione dei dati personali ha segnalato diverse volte la vulnerabilità di banche dati di organizzazioni importanti come Enel, Sogei, Unicredit. Ne abbiamo parlato con Pasquale Stanzione, presidente Gpdp dal 2020. Dopo le notizie sui dossieraggi, l’Autorità ha creato una task force interdipartimentale per la protezione delle banche dati che si occuperà di “proseguire attività ispettive nei confronti di società già individuate”, ha spiegato a ottobre Stanzione.
Recentemente ha parlato di “un incremento del fenomeno collegato alla rivendita di informazioni riservate presenti nelle banche dati pubbliche da parte di società private”: possiamo approfondire?
La definizione – pur abusata – dei dati come il petrolio di oggi coglie un aspetto dirimente. Nella società (e ancor più nell’economia) digitale, i dati personali sono l’oggetto di un diritto fondamentale, ma anche – sarebbe velleitario negarlo – una risorsa economica fondamentale. Non a caso si parla di data-driven economy. In tale contesto, il possesso di dati (soprattutto personali) costituisce un fattore di vantaggio competitivo rilevantissimo e ancor più lo sarà con l’ulteriore diffusione dell’AI. Per sua stessa natura l’intelligenza artificiale necessita di dati per allenare gli algoritmi e consentire loro quell’apprendimento automatico che ne fonda la strutturale diversità rispetto alle altre neotecnologie. Questa “ricerca del dato”, come una nuova “corsa all’oro”, alimenta anche la tendenza alla raccolta di informazioni personali, da parte di broker o, comunque, società private, mediante webscraping o, talora, banche dati di varia natura. Questa raccolta di dati consente, poi, di elaborare profili funzionali, spesso, a pubblicità mirata e dunque, in ultima analisi, al condizionamento del comportamento non solo commerciale del soggetto, come insegna il caso Cambridge Analytica. E se attraverso i dati è possibile condizionare le scelte altrui, proteggere i primi vuol dire difendere la propria libertà.
In che consiste il lavoro della ‘task force interdipartimentale’ che avete costituito?
La costituzione della task force muove dalla consapevolezza della necessità di concentrare l’attività del Garante su alcuni dei fenomeni più gravi oggi riscontrabili. Quello dei presunti dossieraggi è, certamente, uno di essi e richiede, sin dall’inizio dell’istruttoria, la collaborazione congiunta degli uffici del Garante competenti tanto sugli aspetti giuridici quanto su quelli tecnologici, per imprimere alla procedura accertativa ulteriore tempestività. In tal modo si contraggono alcuni tempi istruttori e si semplificano taluni passaggi procedurali, così da coniugare efficacia e rapidità dell’accertamento e, soprattutto, della verifica delle misure da adottare, eventualmente, per contenere i danni.
In cosa consistono le vulnerabilità che avete segnalato relativamente alle banche dati pubbliche? Sono vulnerabilità software o, detto volgarmente, riguardano gli accessi tramite password? Sembra che relativamente alle ultime gravi vicende il fattore ‘umano’ sia il vero punto debole.
Partiamo da un dato fondamentale: il processo di digitalizzazione delle pubbliche amministrazioni è avvenuto, in Italia, in maniera fortemente disomogenea e, soprattutto, al di fuori di un progetto organico e trasversale. Lo sviluppo maggiore della digitalizzazione si è riscontrato, in particolare, durante la pandemia e, quindi, con il Pnrr, che lo ha incluso tra i suoi obiettivi principali. Tuttavia, non sempre la spinta all’innovazione è stata sostenuta da una consapevolezza adeguata dei rischi che essa, se non ben governata, comporta. Di qui, anche, le vulnerabilità dei sistemi informativi, che sono tanto di natura tecnologica (la tecnica evolve sempre più velocemente delle procedure amministrative in cui è inscritta) quanto imputabili al “fattore umano”. Non si tratta soltanto di comportamenti illeciti o, comunque, dolosi (che, pure, si possono riscontrare) quanto di una più frequente negligenza o, anche, sottovalutazione dell’importanza del ruolo di ciascuno nella complessiva gestione dei flussi informativi.
Cosa può fare il Garante privacy a livello di prevenzione?
Il Garante ha, sinora, svolto un’azione importante di prevenzione delle vulnerabilità informatiche e contribuito alla messa in sicurezza di moltissime banche dati anche strategiche, pubbliche e private. La disciplina di protezione dei dati – permeata dal principio di responsabilizzazione, che onera i titolari di un ruolo anche pro-attivo di tutela – ha rappresentato, in questo senso, uno stimolo importante al rafforzamento delle garanzie, non solo tecniche, nella gestione dei dati e nel rischio “sociale” ad essa connesso. L’Autorità continuerà a svolgere questo ruolo di controllo tanto quanto di stimolo, anche avvalendosi della task force neo-istituita. Tuttavia, a fronte dei rischi sistemici posti, soprattutto, dall’AI, il Garante necessita di un potenziamento che gli consenta di ampliare lo spettro del suo controllo disponendo delle risorse adeguate alle sfide che lo attendono.
Abbiamo abbastanza persone per rafforzare la sicurezza dei sistemi informatici nazionali? Se no, cosa serve per aumentare queste risorse?
Più che di quantità parlerei di qualità, ovvero della necessaria introiezione, da parte del personale delle pubbliche amministrazioni in particolare, di una complessiva cultura della protezione dei dati (e quindi, anche, della sicurezza informatica). Ciascuno deve essere consapevole della rilevanza della propria azione per la garanzia della sicurezza della “frontiera digitale” del Paese.
A una situazione già delicata si sta aggiungendo l’arrivo dell’AI, con un ddl in Parlamento sul quale vi siete espressi in agosto con qualche indicazione. Si complicheranno le cose, a livello di controlli?
Sicuramente la diffusione progressivamente più estesa dell’AI accrescerà tanto l’esigenza dei controlli – che dovranno essere più capillari – quanto la loro complessità. Per questa ragione, anche, avevamo suggerito al legislatore di individuare nel Garante l’Autorità di supervisione per l’AI. L’unificazione delle competenze su protezione dei dati e AI, così strettamente interrelate e soggette a controlli vicendevolmente integrati potrebbe, infatti, notevolmente ridurre gli oneri amministrativi per cittadini e imprese e semplificare le procedure accertative.
Nel 2023 il ‘blocco’ a ChatGpt ha avuto risonanza internazionale, e forse è stata una prima ‘sveglia’ sulle norme europee per i giganti dell’AI. Nel 2024 avete di nuovo osservato la violazione di regole. Le sembra che la ‘lezione’ sia servita? E da parte vostra i controlli stanno continuando – ad esempio con la task force europea?
Il “faro” acceso dal Garante su ChatGpt è stato determinante anzitutto per indirizzare lo sviluppo dell’AI generativa verso una direzione compatibile con i diritti e le libertà fondamentali, perché il mercato non prevarichi la persona. L’iniziativa del Garante è stata accolta e sviluppata ulteriormente in sede europea, nella consapevolezza di quanto sia stato importante far comprendere che si può rendere l’innovazione non socialmente regressiva senza, per questo, inibirla.
Esiste ancora il diritto all’oblio nell’era di ChatGpt?
Oggi siamo ciò che la rete dice che siamo: valeva prima di ChatGpt, varrà ancor più in seguito, perché la persona è sempre più definita dai suoi dati, che l’AI moltiplica e sviluppa in maniera esponenziale, rendendo l’identità un processo dinamico, mai statico. Ma proprio per questo sono e sempre più saranno fondamentali le garanzie riconosciute dalla disciplina privacy come, in primo luogo, l’oblio: quel diritto a una “biografia non ferita” che ci libera dalla condanna all’eterno ricordo, coniugando memoria sociale e dignità personale.
Pasquale Stanzione
È presidente dell’Autorità Garante per la Protezione dei Dati Personali dal 2020.
Stanzione ha ricoperto per oltre 40 anni la carica di professore ordinario di Diritto privato presso l’Università degli Studi di Salerno, dove è stato anche preside della Facoltà di Giurisprudenza. Stanzione è autore di oltre 200 libri e articoli scientifici e ha coordinato diversi progetti di ricerca in Italia e all’estero. Nel 2021 gli è stata conferita dal presidente della Repubblica Sergio Mattarella l’onorificenza di Cavaliere di Gran Croce.
