Le rivelazioni sul programma PRISM hanno riportato al centro del dibattito il tema della privacy digitale e del controllo esercitato dalle autorità sulle comunicazioni online. Negli Stati Uniti, la fuga di notizie ha messo in evidenza l’esistenza di un sistema di sorveglianza costruito per intercettare dati e comunicazioni degli utenti attraverso l’accesso alle infrastrutture dei principali servizi Internet.
Il punto più delicato riguarda proprio il rapporto tra le autorità e le grandi piattaforme del web. Secondo quanto emerso in quelle settimane, la società avrebbe la possibilità di accedere ai server di aziende come Facebook, Google e altri servizi molto utilizzati dagli utenti. Una prospettiva che solleva interrogativi sulla riservatezza dei dati personali, delle conversazioni e delle attività svolte quotidianamente online.
La questione, però, non riguarda soltanto gli Stati Uniti. Anche in Italia esiste un quadro istituzionale dedicato alla protezione delle infrastrutture informatiche e alla sicurezza nazionale. Una direttiva del 19 marzo 2013 descrive infatti l’organizzazione e i compiti degli organismi incaricati di tutelare le infrastrutture critiche, sia materiali sia immateriali, con particolare attenzione alla protezione cibernetica e alla sicurezza informatica.
La direttiva italiana sulla protezione delle infrastrutture critiche
Il documento firmato dall’allora presidente del Consiglio Mario Monti definisce un’architettura istituzionale destinata a coordinare le attività di prevenzione e risposta alle minacce informatiche. L’obiettivo indicato è ridurre la vulnerabilità dei sistemi, prevenire i rischi, reagire rapidamente alle aggressioni e ripristinare nel minor tempo possibile la funzionalità delle infrastrutture colpite da eventuali crisi.
Il linguaggio della direttiva è legato soprattutto alla sicurezza nazionale e alla continuità operativa dei sistemi considerati strategici. In questo contesto, la protezione cibernetica non viene presentata soltanto come una questione tecnica, ma come una responsabilità distribuita tra diverse componenti istituzionali, chiamate a seguire procedure definite in caso di minaccia o attacco.
La presenza di un coordinamento formale è comprensibile se l’obiettivo è difendere reti e servizi essenziali. Tuttavia, proprio il coinvolgimento delle infrastrutture digitali rende necessario interrogarsi sui limiti del controllo e sulle modalità con cui possono essere utilizzate le informazioni raccolte durante le attività di sicurezza.
L’articolo 11 e l’accesso ai dati degli operatori
All’interno della direttiva, l’articolo 11 viene indicato come il passaggio più rilevante per il rapporto tra sicurezza e privacy. La disposizione obbligherebbe gli operatori di telecomunicazioni e gli Internet Service Provider a consentire ai servizi di sicurezza l’accesso alle proprie banche dati per finalità collegate alla sicurezza.
Il riferimento agli operatori telefonici e ai provider Internet è particolarmente importante perché queste aziende gestiscono una parte significativa delle comunicazioni e delle informazioni necessarie per utilizzare la rete. L’accesso alle loro banche dati può quindi assumere un peso rilevante, soprattutto quando non vengono chiariti nel dettaglio, nel testo disponibile, i limiti operativi, le procedure di controllo e le garanzie previste per gli utenti.
La direttiva non viene presentata come una copia del programma PRISM americano. Le due situazioni non sono definite equivalenti e il testo non fornisce elementi sufficienti per affermare che in Italia esista un sistema identico a quello emerso negli Stati Uniti. Resta però una somiglianza di fondo: in entrambi i casi, la sicurezza nazionale può richiedere alle aziende che gestiscono infrastrutture e servizi digitali di collaborare con gli apparati di sicurezza.
Il confine tra protezione e sorveglianza
È proprio questo punto a rendere la vicenda significativa. La protezione delle infrastrutture informatiche richiede strumenti per individuare minacce, prevenire aggressioni e garantire la continuità dei servizi. Allo stesso tempo, l’accesso alle banche dati degli operatori pone il problema di stabilire come evitare che esigenze legittime di sicurezza si trasformino in un controllo esteso sulle attività degli utenti.
Secondo Sarzana, la situazione italiana non sarebbe uguale al programma PRISM americano, ma non sarebbe nemmeno così distante. Il giudizio evidenzia una zona grigia: il tema non è soltanto l’esistenza di strumenti di sorveglianza, ma anche la trasparenza delle procedure, l’ampiezza dell’accesso e la capacità di garantire che i dati vengano utilizzati esclusivamente per gli scopi dichiarati.
Le rivelazioni su PRISM hanno quindi avuto l’effetto di spostare l’attenzione dalla sicurezza dei singoli dispositivi alla gestione delle grandi infrastrutture digitali. La privacy online non dipende soltanto dalle impostazioni di un account o dalla prudenza dell’utente, ma anche dalle regole che disciplinano i rapporti tra piattaforme, operatori di telecomunicazioni e autorità pubbliche.
La domanda centrale resta aperta: la privacy esiste ancora quando i servizi di sicurezza possono ottenere accesso alle banche dati degli operatori e alle infrastrutture utilizzate ogni giorno? La direttiva italiana del 19 marzo 2013 mostra che il tema non può essere considerato esclusivamente americano. Anche in Italia il delicato equilibrio tra protezione nazionale e riservatezza dei cittadini passa attraverso le reti e i dati custoditi dalle aziende tecnologiche e di telecomunicazioni.