Quando si tratta di Internet, le posizioni dell’opinione pubblica e della stampa sono estremamente altalenanti. Un recente caso di cronaca, la morte di una bambina di 10 anni a Palermo, collegata ad una presunta sfida su TikTok (ma è un’ipotesi che al momento non ha conferma) ha fatto riesplodere le critiche verso i social network, nel caso specifico appunto TikTok. Della vicenda non si sa molto, la minore avrebbe avuto più account su diversi social. La realtà è che ad ogni evento simile, un caso di cyberbullismo con esito tragico, la scoperta di un giro di pedopornografia, episodi di autolesionismo, i media mainstream in generale lanciano allarmi sui pericoli della Rete. I genitori, spesso non a reale conoscenza dell’effettivo funzionamento della tecnologia e degli impatti sulla società, si preoccupano per i loro figli. In questo modo si alimenta un panico morale sui pericoli della tecnologia digitale. La politica annaspa nel cercare soluzioni a buon mercato per risolvere questi problemi, per impedire questi eventi tragici, e, purtroppo, sempre più spesso si finisce nel cercare una soluzione tecnologia a quello che di fatto è un problema sociale e culturale.

Leggi anche >> Gli atti di autolesionismo fra giovanissimi e una copertura mediatica irresponsabile

Si chiama “pregiudizio della disponibilità”, quando si tende a stimare la probabilità di un evento sulla base dell’impatto emotivo di un ricordo piuttosto che sulla sua probabilità oggettiva, cioè sulla base della facilità con la quale viene in mente. Dopo aver letto di un tragico evento sovrastimiamo la probabilità che quell’evento possa verificarsi, e quindi l’entità di rischi reali. Con questo non si vuol dire che la perdita di una giovane vita non sia importante e non vada evitata, ma che un intervento (legislativo o di altro tipo) deve sempre essere proporzionato al rischio dell’evento e all’impatto che a tale intervento consegue. Insomma, serve davvero?

Per capire meglio possiamo fare il caso del contact tracing digitale e la ormai conosciutissima App Immuni. È evidente che una App che segua costantemente tutte le persone, identificandole e tracciando i loro spostamenti, è un ottimo aiuto per ridurre il contagio da nuovo coronavirus Sars-CoV-2. Ma è altrettanto evidente che il rischio conseguente a tale tipo di “soluzione” è comunque grave, ricollegabile ad abusi di vario tipo legati al monitoraggio dell’intera popolazione. Qui sovviene la sensibilità del legislatore, se in Cina una cosa del genere è sostanzialmente ammissibile, è evidente che in Europa non è possibile, sia giuridicamente che culturalmente. Infatti, alla fine la App è stata realizzata in maniera che il suo impatto sia limitato al minimo, anche se ciò comporta una riduzione della sua efficacia.

Gli stessi principi dovrebbero essere applicati ogni volta che scatta il panico morale verso la Rete, Internet, i social e così via. Detto in maniera brutale, esiste un’emergenza per i minori sui social? Quale è l’entità reale dei rischi che i minori incontrano sui social? Occorre un nuovo strumento per risolvere questi rischi o bastano gli strumenti che già abbiamo?

Ovviamente è pacifico che in Internet esistono dei rischi, ma anche girare da solo per la strada è pericoloso per un bambino, per questo i genitori li tengono per mano. Il punto è che virus, spam, pedopornografia, e altro fanno parte dell'esperienza online, così come gli incidenti, i furti e le rapine fanno parte dell'esperienza offline.

SPID per i social?

La menzionata vicenda di cronaca ha portato, quindi, a una proliferazione di articoli. Il Garante è intervenuto con un provvedimento nei confronti del social TikTok, anche se in realtà già da prima dell’evento tragico il Garante (qui intervista a Guido Scorza del Garante sulla vicenda) lo aveva posto sotto osservazione. Il “blocco” riguarda i dati di utenti per i quali il social non sarebbe in grado di verificare l’età. TikTok ha risposto con una modifica delle policy, imponendo agli utenti di inserire la data di nascita, precisando che un futuro interverrà anche con algoritmi per la verifica del corretto inserimento del dato (il riferimento sembra a algoritmi di riconoscimento di pattern comportamentali). La stessa verifica da parte del Garante è stata poi estesa anche a Facebook e Instagram.

Molti articoli giornalistici hanno riportato come possibile soluzione l’implementazione di SPID. SPID è il Sistema Pubblico di Identità Digitale, una delle applicazioni del regolamento europeo eIDAS (la CIE è un’altra). Il regolamento è nato per l’implementazione di misure di identificazione verso i servizi fiduciari per le transazioni elettroniche nel mercato interno europeo. In sostanza serve a rafforzare le sicurezza quando si effettuano transazioni elettroniche o comunque si utilizzano servizi digitali, accentrando la raccolta dei dati in poche piattaforme (con ciò permettendo anche la riduzione dei dati da fornire ai servizi digitali utilizzati). Lo scopo è quella di instillare fiducia nei servizi digitali, così alimentando il mercato digitale europeo. In Italia SPID viene usato principalmente per l’accesso ai servizi forniti dalla Pubblica Amministrazione, come ad esempio l’anagrafe dei cittadini, l’INPS, e così via.

La ministra all’Innovazione Paola Pisano ha proposto l’accesso ai social tramite SPID. Uno dei genitori farebbe la richiesta per il minore, fornendo all’identity provider la data di nascita del minore oltre ai dati previsti dal Dpr 445/2000, ottenendo un token per l’accesso ai social. Sarà uno SPID anonimo (?!) si cita nell’articolo, precisando che “Internet non può essere considerato un non luogo”. Ovviamente è necessaria la collaborazione delle piattaforme social che dovrebbero adeguare i loro sistemi.

Fin qui la cronaca, ma è ovvio che la vicenda e le risposte hanno aperto una serie di questioni di enorme complessità. Non si può non citare l’ottimo contributo di Matteo Flora e Stefano Zanero su Youtube, nonché quello di Francesco Micozzi su Wired, che hanno sviscerato molte delle problematiche emerse.

Come abbiamo già detto il primo problema sta nello stabilire se c’è un motivo reale perché si imponga l‘implementazione di un sistema di autenticazione forte come SPID nell’accesso ai social media. Una volta valutato questo occorre stabilire a quali provider si applicherà la norma. Dire social media è generico (qui una lista di social media), occorrerà stabilire con criteri precisi a quali siti sarà imposta tale autenticazione forte, questo perché il sistema non è certamente gratuito (le imprese private che si avvalgono di SPID devono pagare un canone ai provider di identità) e un piccolo social potrebbe non permetterselo. Sicuramente occorrerà chiarire se i forum con commenti, i sistemi di messaggistica, siano soggetti alla medesima norma.

Sotto questo profilo dobbiamo valutare il livello di rischi per i minori sui social, considerato che tali servizi sono generalmente presidiati (sistemi di moderazione, ecc…). In tal senso il problema maggiore starebbe nelle chat e nei sistemi di messaggistica (tipo Whatsapp, Telegram), nei quali il discorso non è sempre moderato. E questo senza pensare che oggi discutiamo su una tecnologia che può ancora evolversi per cui delle regole potrebbero essere facilmente aggirate in futuro. Ad esempio, che dire di un social audio? Come si fa a moderare tali tipi di contenuti, al fine di verificare la presenza di contenuti pericolosi per i minori? Sembra, quindi, che il problema non siano tanto i social quanto altri tipi di servizi digitali. Che facciamo, imponiamo lo SPID per l’intera internet? Perché, sia chiaro, se vogliamo controllare se un soggetto è minorenne o maggiorenne, questo significa che dobbiamo controllare tutti i soggetti che si collegano a quel servizio.

Proseguiamo. Come ricorda Zanero nel video sopra menzionato, un sistema che imponga l’identificazione fisica di ogni utente sarebbe eccessivo, staremmo parlando di deanonimizzazione degli utenti, che porterebbe enormi problemi a tutta una serie di categorie di individui, ad esempio ai whistleblower, alle persone che hanno subito dei traumi e che cercano un conforto in gruppi che uniscono persone con esperienze simili, a chi vuole denunciare le molestie del suo capo (o capire se sono davvero molestie e cosa si può fare), e così via.

Leggi anche >> Odio e disinformazione: il problema non è l’anonimato e schedare 30 milioni di italiani non è la soluzione

Verifica dell’identità

Quello del quale qui si parla, invece, e che sembra suggerito dalla ministra Pisano, è un sistema di verifica della sola età, quindi senza identificazione dell’individuo. Perché, ovviamente, se la finalità è la tutela dei minori, sarebbe assurdo poi imporre una raccolta di ulteriori dati (con violazione del principio di minimizzazione) per tutti gli individui (monitoraggio generalizzato) compresi i minori esponendo questi ultimi a rischi di abusi dei dati ulteriori raccolti. Anche Guido Scorza, del Garante, chiarisce che “la nostra idea è che un social – ora TikTok, dopo magari anche gli altri – dovrebbe usare solo dati che già possiede, a questo scopo”.

La proposta sarebbe di uno “SPID anonimo”, e cioè il provider di identità (il soggetto che fornisce SPID, come Poste, Tim, Aruba, ecc...) si limiterebbe ad accertare l’età della persona per poi girare al social network solo un token (una stringa di testo) che indicherebbe al social che quel soggetto “può accedere”. In questo modo il social non saprebbe chi è il soggetto in questione. Ma in realtà il provider di identità lo sa, ed è in grado di associare al soggetto non solo l’identità e l’età (dato necessario per la verifica), ma anche il sito al quale il soggetto accede (se non addirittura altri dati).

Quindi, per capirci, il provider di identità saprebbe che un soggetto (minore o maggiorenne) accede ad un social specializzato per l’aiuto a persone che hanno subito forme di violenza, a persone con problemi di droga o psicologici, persone positive a virus, ecc…. Questo potrebbe portare alla raccolta di dati estremamente discriminatori. Ovviamente gli identity provider sono sempre soggetti alle leggi, quindi la norma potrebbe imporre (e sostanzialmente già le attuali norme lo fanno) che tali dati non siano condivisi con nessuno. Ma il rischio è sempre presente. Un domani potremmo avere una svolta autocratica, e il nuovo governo potrebbe modificare le norme in modo da utilizzare tutti i dati raccolti dai provider di identità, a fini di repressione del dissenso e dell’opposizione politica. Casomai partendo da giustificazioni come l’esigenza di controllo della propaganda del terrorismo, e così via.

E non stiamo parlando di cose astratte, visto che a livello europeo si stanno discutendo una serie di normative che impatteranno pesantemente sui servizi digitali, in particolare laddove si cerca di regolamentare la propaganda del terrorismo online. Inoltre, l’iniziativa E-evidence è nella sostanza uno strumento che consente alle autorità di ottenere a fini di indagine da tutti i provider i dati che conservano. In sostanza emerge che la Commissione vuole chiedere alle piattaforme online di consentire agli utenti di connettere le loro identità digitali con quelle fisiche. In particolare all'attraversamento delle frontiere le identità elettroniche devono contenere un insieme di dati minimo (nome, nascita, identificatori digitali). Il tutto è ancora in discussione, e sono quindi possibili modifiche, ma l'impressione è che si voglia spingere sull'identificazione degli utenti (tutti, non solo minori) nell'utilizzo dei servizi digitali. E per rimanere in Italia, ricordiamo che siamo il paese che obbliga i gestori di telefonia e telecomunicazioni a conservare i dati per 6 anni. Un tempo enorme, e non propriamente congruente con la finalità di repressione dei reati.

Ma non basta. Il sistema sarebbe valido solo in Italia (anche se in realtà se ne è discusso anche a livello europeo), per cui sarebbe facile da aggirare, basterebbe dotarsi di una VPN (qui trovate le migliori gratuite). Un minore che ha una minima dimestichezza con la tecnologia saprebbe sicuramente usare tale tipo di App (che poi in realtà è semplicissima da usare).

Il “blocco”, dunque, creerebbe problemi a tutti i soggetti che sono in visita in Italia per turismo o per lavoro che, avendo un IP italiano si vedrebbero bloccato l’accesso al social quando dall’estero non hanno problemi. E certamente sarebbe assurdo imporre a degli stranieri l’uso di SPID (o comunque di un servizio di identità europeo).

Un altro aspetto è che si è equivocato sul fatto se i minori possano accedere ai social network. Micozzi, nell’articolo sopra menzionato, ci ricorda che non esiste una legge che vieti ai minori l’accesso ai social. Il minore anche infratredicenne può stipulare un contratto che è annullabile (non nullo), quindi efficace fino a quando il genitore (o il tutore) non ne chieda l’annullamento. Il problema casomai è di consenso all’utilizzo dei dati, e per l’infraquattordicenne è previsto che il consenso debba essere fornito dal genitore. Fermo restando che la quasi totalità dei social vieta l’iscrizione ai soggetti minori di 13 anni (in applicazione della Children's Online Privacy Protection Rule americana).

Quindi già dalla normativa si evince chiaramente che lo Stato pone dei limiti, ma alla fine lascia giustamente il compito di controllo delle attività del minore ai genitori. E qui Stefano Zanero solleva un altro dubbio rilevante. Un minore che sta su un social vuol dire che ha uno smartphone, e quindi c’è un contratto di telefonia collegato. Considerato che ci sono limitazioni per la stipula di tali contratti (in genere i gestori richiedono almeno 15 anni, oppure l’intestazione di uno dei genitori), vuol dire che un genitore già ha permesso al minore di avere tutta la strumentazione per stare sui social.

Conclusioni

In sintesi, non abbiamo effettive valutazioni dei rischi che i minori incontrano in internet, tendiamo a sovrastimarli sull’onda del caso singolo e alimentiamo un panico morale che viene preso dalla politica come la necessità di “fare qualcosa”. In assenza di soluzioni sociali che siano “veloci”, e in presenza degli imprenditori che ne approfittano (SPID costa, il modello di business non è chiaramente definito, le pubbliche amministrazioni si adeguano con difficoltà, è anche in concorrenza con la CIE, e quindi c’è la tendenza ad estenderne l’uso il più possibile) suggerendo l‘utilizzo di qualche servizio che già hanno a disposizione oppure che creano al momento, la politica si rivolge alla soluzione tecnologica ritenuta più facile, anche se ampiamente inadeguata: il controllo dei cittadini.

Il problema è soprattutto un problema sociale, da risolvere principalmente a livello educativo. Occorre trovare il giusto equilibrio tra accesso illimitato e divieto, ed è compito dei genitori e degli educatori trovare tale equilibrio, non ha senso sottoporre a un controllo l’intera popolazione italiana per questo, lo strumento è ampiamente sproporzionato. Gli strumenti ci sono, le aziende mettono a disposizione una quantità enorme di App o servizi di parental control, ma è evidente che i ragazzi trovano spesso il modo di aggirare le misure tecniche, quindi ciò che davvero è essenziale è l’educazione. I genitori dovrebbero affiancare i figli e capire come loro utilizzano internet, quali siti visitano e con chi comunicano, e man mano spiegargli i rischi e accompagnarli nella loro crescita. Se davvero lo Stato vuole fare qualcosa di serio per questo problema, invece, migliori la scuola e dia le giuste risorse per una vera educazione digitale.