Premessa

Torniamo nuovamente, dopo il precedente intervento,sul tema della comunicazione dei nostri giorni -quella digitale - che ci vede fruitori di app, con un approccio consapevole alle soluzioni. Il proposito è quello di sensibilizzare gli utenti digitali rispetto ai temi relativi alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla privacy. L’essere umano quotidianamente comunica e sempre di più (o forse quasi esclusivamente) lo faràmediante l’utilizzo di app che sfruttano la rete Internet: alcune di esse sono estremamente note e diffuse tra gli utenti, come Whatsapp, Signal, Telegram, Messenger, Skype, ecc.

Sappiamo che negli ultimi mesi c’è stato un ampio dibattito, quanto meno sulle prime tre e sulla scelta di quella che sarebbe migliore. Non intendiamo effettuare un’analisi tecnica delle singole app, ma soffermarci su alcuni aspetti e offrire spunti di riflessione. Il nostro auspicio è che questo contributo possa essere utile per sensibilizzare i lettori ad una maggiore consapevolezza sul tema in questione: sia gli utenti di sistemi di comunicazione digitale nell’effettuare oculatamente la scelta della piattaforma, sia gli sviluppatori e i fornitori di piattaforme nel rispetto dei diritti degli utenti (‘interessati’ sul piano della protezione dei dati personali), anche con soluzioni orientate eticamente.

Pertanto, la questione della scelta del sistema di comunicazione che, a prima vista, appare banale, non lo è affatto e molto spesso le decisioni vengono prese molto velocemente e proprio senza consapevolezza. È necessaria una ulteriore premessa: non intendiamo assurgere a fornitori di soluzioni, ma più semplicemente esporre le principali considerazioni - alcune emerse da esperienze concrete - che dovrebbero sottendere ad una scelta “consapevole”.

Alcuni hanno descritto una vera e propria dipendenza da Whatsapp per gli utenti, quasi come un sistema di addomesticamento degli utenti (WhatsApp and the domestication of users). In realtà, al di là di ogni esasperazione mai utile, va evitato il rischio di cadere in un vortice di questo tipo che possa portare alla “dipendenza” verso una soluzione tecnologica, quasi come se fosse una patologia da addicted. Esistono numerose soluzioni da valutare e non ci si può giustificare con “non posso eliminare Whatsapp altrimenti resto fuori”, oppure altro del genere come “tutti comunicano con Whatsapp e non posso evitare”. Se queste sono le premesse, qual è la nostra libertà (anche digitale, ma soprattutto) nel primario contesto della comunicazione? Quale libertà di controllo dei propri dati personali?

Di seguito, quindi, descriviamo alcuni criteri che abbiamo preso in considerazione per definire un’ampia valutazione.

Il punto, in sostanza, è circoscritto alla scelta dell’app da utilizzare per la comunicazione digitale, ponendosi criticamente rispetto alla questione.

Sicurezza: importante ma non è il criterio decisivo

La principale domanda degli utenti sembra essere: “È sicura l’app?”, o meglio: “Qual è l’app più sicura?” La domanda è mal posta in quanto la sicurezza (detta così genericamente, ma bisognerebbe comprendere cosa si vuole intendere più di preciso) non costituisce il criterio (unico) per effettuare la scelta giusta.

Se il quesito sulla sicurezza fosse finalizzato a sapere se gli sviluppatori abbiano adottato un sistema di cifratura dei messaggi, la risposta sarebbe affermativa, quanto meno per Whatsapp, Signal, Messenger eSkype. Telegram utilizza il protocollo MTProto 2.0 con encryption end-to-end (E2EE) unicamente per Secret Chat e Voice Calls. Signal e Whatsapp - sulla base di una partnership risalente al 18/11/2014 - utilizzano lo stesso protocollo di encryption E2E sviluppato da Open Whisper Systems. Probabilmente, chi si aspettava di sapere che Signal utilizzasse un protocollo di encryption più efficace rispetto a Whatsapp è rimasto deluso, anche per aver “scoperto” la partnership di qualche anno fa. La sicurezza, però, non va considerata unicamente con riferimento al contenuto dei messaggi e alla loro veicolazione al destinatario. Non ci soffermiamo sugli attacchi alla infrastruttura del provider, poiché questi dovrebbe provvedere ad adottare le misure adeguate.

Ci possono essere, però, rischi determinati da attacchi anche al singolo utente, quali - ad esempio - tentativi di phishing. Di seguito due immagini relative a tentativi di phishing su Signal verificatisi a distanza di qualche giorno l’uno dall’altro.

Il fattore umano potrebbe risultare l’anello debole, qualora l’utente avesse una reazione positiva a messaggi di questo tipo. A questo punto ci si deve chiedere se questo tipo di attacchi possono essere evitati su specifiche piattaforme o soluzioni. Probabilmente no. Riteniamo, quindi, che la sicurezza non sia l’elemento determinante per la scelta da effettuare. Indubbiamente, è uno dei requisiti - peraltro richiesti dalla legislazione in materia di protezione dei dati personali (GDPR) sia in relazione alla sicurezza del trattamento (art. 32) sia riguardo al principio “Data Protection by design and by default” (art. 25) - ma non è quello dirimente. Quindi, all’utente sono garantiti confidenzialità, integrità, disponibilità dei dati. A questo punto - sussistendo il requisito della sicurezza - possiamo attribuire un punto a favore sia dell’utente sia dei provider.

Open-source: criterio non trascurabile ma potrebbe rivelarsi illusorio

Una volta evidenziato che la sicurezza non è di per sé il criterio fondamentale e che comunque l’utente è garantito, andrebbe compreso se l’algoritmo è open-source o no. In alcuni casi (Telegram) è open source unicamente il codice sorgente dei client (le app sviluppate per l’utilizzo della piattaforma), ma non il codice sorgente lato server.

Il vantaggio di un codice open-source (es. Signal) è quello di consentire di conoscere come l’algoritmo processa le istruzioni. Ciò è senza dubbio indice di trasparenza, posto che lo sviluppatore in questo modo dichiara di consentire l’analisi del codice dell’algoritmo. Il tema del software open-source, peraltro, è anche oggetto di un approccio filosofico conosciuto con il termine FLOSS, acronimo di Free, Libre, and Open-Source Software. A volte si trova anche l’altra espressione FOSS acronimo di Free and Open Source Software; per le differenze tra i due termini rimandiamo al contributo di Richard Stallman che ha spiegato che le differenze.

Al contrario, l’utente di Whatsapp non sarebbe in grado di verificare il codice dell’algoritmo e quindi i relativi processi. Tornando agli aspetti più pratici e, quindi, alle soluzioni maggiormente note, Signal ha il codice open-source, mentre Whatsapp no. Ponendosi dal lato dell’utente, il criterio del codice sorgente open-source quanto risulterebbe determinante nella scelta? L’utente dovrebbe consapevolmente optare verso una soluzione open-source (Signal) oppure orientarsi per un algoritmo proprietario (Whatsapp)? La trasparenza è sempre apprezzabile perché non rende oscuro nulla, anzi offre ampia chiarezza. Taluni, però, potrebbero invocare l’elemento “fiducia” (trust) per giustificare la scelta di un app con codice proprietario (e quindi non aperto) semplicemente perché si fidano del provider.

A ben vedere, considerando che il focus è comunque sulla protezione dei dati personali dell’interessato, ci si aspetta da un utente consapevole una scelta orientata verso un’app con codice open source. Infatti, al di là della legislazione vigente in materia di protezione dei dati personali, ciò risulta maggiormente conforme al principio espresso nel considerando 7 del GDPR che dispone testualmente: È opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano. Quindi, il tema del controllo dei propri dati personali è primario e sarebbe dirimente per orientare la scelta consapevole finalizzata unicamente a decidere se la soluzione (in questo caso Signal) offra garanzie all’interessato nel rispetto della disciplina vigente in materia di protezione dei dati personali. Diversamente, l’interessato non dovrebbe ragionevolmente prendere in considerazione una soluzione del genere.

Tuttavia, il codice sorgente open-source potrebbe rivelarsi un aspetto illusorio quando lo stesso codice è comunque nella esclusiva disponibilità di un soggetto (provider) perché l’architettura del sistema è centralizzata (es. Signal). Ma a breve torneremo sulla questione del sistema centralizzato. A questo punto solo un codice open-source consente l’attribuzione di un punto a favore sia dell’utente sia dei provider.

Sistemi differenti: centralizzato, federato, distribuito o decentralizzato

Un altro aspetto riguarda la scelta della architettura del sistema: centralizzato, federato, distribuito o decentralizzato. Una descrizione sintetica ma efficace è nelle due infografiche che si riportano di seguito realizzate da Thilo Buchholz.

Credits Thilo Buchholz

Credits Thilo Buchholz

Le immagini sono di per sé estremamente eloquenti e non necessitano di ulteriori commenti. 3.1 I sistemi federati: XMPP e Matrix In un nostro precedente contributo, al quale rimandiamo, avevamo sommariamente descritto il protocollo XMPP il cui utilizzo consente la realizzazione di un sistema federato. Le origini del protocollo XMPP si fanno risalire alla fine degli anni 90 e la comunicazione è basata su server con software open-source tra loro federati¹. Al di là degli aspetti tecnici, appare interessante notare che il protocollo XMPP è stato usato per alcune note app (Google Talk, AIM, Facebook Chat) e risulta essere il protocollo base per altre altrettanto note (Whatsapp, Zoom, Jitsi). Il punto è che alcuni importanti player hanno deciso di chiudere (“the boxing of XMPP”) il protocollo XMPP nel codice proprietario con non poche delusioni negli ambienti degli sviluppatori open-source. Altro esempio di sistema federato è il progetto Matrix. Si tratta di un progetto molto complesso e più ampio di quelli che utilizzano semplicemente il protocollo XMPP.

Giurisdizione

Il profilo relativo alla giurisdizione è un altro elemento che va considerato.

È nota la situazione attuale che sul piano giuridico e normativo riguarda il trasferimento dei dati personali tra l’Europa e gli altri Paesi. Dopo la sentenza della Corte di Giustizia UE del 16/7/2020 nella causa C-311/18 (nota come Schrems II), il trasferimento dei dati personali in Paesi terzi è consentito a condizione che venga garantito un livello di protezione adeguato dei dati personali trasferiti, assicurando agli interessati il riconoscimento di diritti effettivi e azionabili e mezzi di ricorso effettivi in sede amministrativa e giudiziale. Alla luce di ciò, un cittadino europeo dovrebbe preferire il titolare del trattamento il cui servizio sia all’interno dell’Unione.

Il profilo della giurisdizione, però, incide anche con riguardo a eventuali richieste formulate da organi istituzionali del paese alla cui giurisdizione appartiene il provider. Infatti, potrebbero pervenire al provider ubicato negli USA richieste dal Governo americano o da forze di polizia statunitensi. Quale tutela per l’interessato? Alla luce di questi aspetti assolutamente rilevanti, le più idonee sono quelle soluzioni che utilizzano l’indirizzo email (DeltaChat), il protocollo XMPP oppure si basano su sistemi federati che in sostanza riconducono al device dell’interessato.

Sovranità digitale interna o endogena - self-sovereignty

Un aspetto da non sottovalutare è il ruolo e il relativo posizionamento nel contesto internazionale - anche di mercato - di alcuni provider. Spesso sentiamo parlare di sovranità digitale riferita allo Stato, quale espressione del potere attribuito allo Stato nella sfera che concerne qualsiasi attività classificabile come “digitale”, ossia connessa all’utilizzo delle tecnologie o derivata da esse. Tuttavia, riteniamo che la “sovranità digitale” non si identifichi esclusivamente con il potere esercitato dallo Stato, ma possa esplicarsi anche nei modelli adottati da soggetti privati attraverso i quali viene esercitato (in autonomia e con il pieno controllo) il potere sul proprio dominio digitale, sia riguardo alle azioni intraprese sia rispetto alle scelte di particolari tecnologie per l’attività e quindi sul patrimonio digitale da custodire. In sintesi, ciascuno dei provider come Google, Facebook, Whatsapp, Signal, ecc. esprime una sovranità digitale interna poiché consiste nel potere sul proprio dominio digitale.

Tuttavia, tale sovranità digitale interna (endogena) si esplica all’esterno con la proposizione di servizi e anche con il posizionamento nel mercato. Pertanto, ciascuno dei maggiori soggetti che forniscono servizi digitali esprime una sovranità digitale relativa al proprio settore consistente nell’avere il pieno controllo sui prodotti che vengono offerti, anche gratuitamente. In sostanza, Whatsapp con l’app, sebbene gratuita, esercita una propria sovranità digitale finalizzata a incidere sul mercato. Stesso discorso vale, ovviamente, per altri soggetti quali Signal, Telegram, Facebook, Instagram, ecc.

Sul punto richiamiamo il nostro contributo dal titolo “Digital sovereignty between ‘accountability’ and the value of personal data”. Perché facciamo riferimento alla digital sovereignty? Il motivo è sempre legato ad una lettura con il focus su protezione dei dati personali. L’esistenza di una sovranità digitale in capo ad un soggetto privato, se non garantisce all’interessato il pieno controllo sui propri dati personali, non è compatibile - anche solo parzialmente - con la legislazione in materia di protezione dei dati personali. Tale scenario potrebbe avere anche un importante riflesso in termini etici. Player importanti che forniscono - anche gratuitamente - servizi di messaggistica (es. Whatsapp) dichiarano con le loro informative (privacy policy) e con i termini di servizio di rispettare la legislazione vigente in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali. Quale “controllo” dei dati personali che li riguardano hanno le persone fisiche (considerando 7 del GDPR)? Il “controllo” si esplicherebbe - preventivamente all’utilizzo - nell’accettare o non accettare le condizioni di servizio e - successivamente all’utilizzo - nell’esercitare i diritti indicati dal GDPR (per i cittadini europei) eventualmente chiedendo la cancellazione. Riteniamo che il senso della espressione “È opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano” non possa essere interpretato in modo così riduttivo.

Neutralità della tecnologia: puntare ad altro obiettivo

Con le nostre riflessioni abbiamo volutamente fatto riferimento ad alcuni aspetti tecnici, sebbene di ordine generale, ma unicamente per descrivere le soluzioni e non per esplorare settori riservati (probabilmente ma non solo) agli sviluppatori. In ogni caso, riteniamo che un approfondimento degli aspetti più tecnici potrebbe risultare utile per ampliare le conoscenze. In realtà, per quanto concerne la protezione delle persone fisiche con riguardo al trattamento dei dati personali, la tecnologia è neutra. Infatti, le norme giuridiche non forniscono indicazioni sulla tecnologia da utilizzare, perché assume rilievo il raggiungimento dell’effetto indicato nella norma e non invece il mezzo (che dovrà essere ovviamente lecito) utilizzato.
Ciò, quindi, conduce alla conclusione che svincola chiunque dalla scelta della tecnologia, purché si raggiunga l’effetto voluto dal legislatore così come indicato nelle norme. Pertanto, l’utente dovrà preoccuparsi che i propri dati personali saranno trattati dal titolare del trattamento nel rispetto delle norme sulla sicurezza del trattamento, dei principi data protection by design and by default e di ogni altra disposizione in materia. La scelta dell’app da parte dell’interessato dovrebbe essere orientata verso soluzioni che garantiscano, secondo quanto dichiarato dal provider, queste conformità normative e non, invece, il soddisfacimento di altre motivazioni, rispettabili ma con minore pregio giuridico. Tutto ciò non esime il provider, lo sviluppatore, dall’obbligo di chiarezza nella descrizione dell’app soprattutto con riferimento non tanto a quanto sia sicura ma alla conformità con la disciplina in materia di protezione dei dati personali.

Etica e controllo dei dati personali

Ultimo aspetto ma non meno importante, è quello dell’etica che molto frequentemente non viene affatto presa in considerazione. Riteniamo che l’etica riguardi tutti e - in questo caso - sia l’interessato sia il provider. L’interessato, quale utente dell’app, dovrebbe effettuare una scelta eticamente orientata verso l’app con la quale provvederà a comunicare con altri soggetti e non, invece, indiscriminata. Lo sviluppatore, dal canto suo, dovrà altrettanto preoccuparsi di avere un approccio etico in fase di sviluppo e produzione. In sostanza, il riferimento all’etica dovrà essere sempre presente dalla fase di progettazione a quella di produzione, allo stesso modo come se si dovesse rispettare il principio “data protection by design and by default” (art. 25 GDPR) o per il resto del mondo, quello molto noto come “Privacy by Design”.

Conclusioni

La scelta finale** A questo punto, prima di esporre le nostre conclusioni, è necessario precisare che la nostra indagine è stata condotta utilizzando l’approccio del modello DAPPREMO (Data Protection and Privacy Relationships Model) al quale rimandiamo per eventuali approfondimenti. Nel ringraziare il lettore per la pazienza di aver continuato la lettura sin qui, al termine di questo percorso di riflessioni, esprimiamo la nostra personale valutazione sulle attuali soluzioni di messaggistica.

Preliminarmente, riteniamo che non esista la soluzione tecnica ottimale in assoluto ma quella che sia sviluppata e che consenta un utilizzo nel rispetto della normativa vigente in materia. È necessario anche puntualizzare che quanto descriviamo non costituisce in alcun modo un endorsement ma è il risultato di nostre valutazioni conseguite all’esito di “prove sul campo”. Le nostre scelte sono, quindi, indirizzate verso sistemi federati o distribuiti, poiché appaiono meglio orientati al rispetto delle norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali.

In particolare, dette soluzioni appaiono idonee a garantire alle persone fisiche il controllo dei dati personali che li riguardano, così come previsto dal considerando 7 del GDPR. Indubbiamente per la comunicazione, si può usare un servizio di posta elettronica sicuro e robusto come ProtonMail o, per chi preferisce un servizio self-hosted, Mailcow.

Per la messaggistica, suggeriamo di valutare:

• DeltaChat
• sistemi con protocollo XMPP
• Matrix / Element
• Tox (Dopo alcuni test, sembra che ci siano dei bug: problemi scambiando i messaggi, difficoltà nella sincronizzazione tra device diversi, ricerca contatti. Auspichiamo che gli sviluppatori possano intervenire sul progetto).

Se siete interessati ad approfondire il confronto con altre soluzioni, potete trovare ulteriori dettagli sul sito Privacytools.io, una risorsa rilevante.