Apple contro Pegasus: è giusto che siano le aziende private a decidere i limiti della sicurezza?

Quello di Pegasus, lo spyware israeliano della società di matrice governativa Nso Group, che sarebbe stato utilizzato anche nei confronti di attivisti e giornalisti, non è il primo caso di aziende private coinvolte dalle istituzioni di un Paese per sviluppare e utilizzare sistemi di sorveglianza di massa. Il caso di Hacking Team è senz’altro il precedente più illustre e presenta molti punti di contatto la vicenda del software israeliano. 

Entrambi hanno suscitato polemiche per i livelli di invasività della sorveglianza che consentono agli Stati, ma trascurano il fatto che la sorveglianza è una componente strutturale di qualsiasi Stato, anche il più democratico, e che le operazioni di intelligence nei confronti di altri Paesi, amici e non, sono all’ordine del giorno. L’ultimo fatto balzato agli onori della cronaca riguarda le operazioni clandestine francesi in Egitto, ma volendo approfondire, la lista sarebbe lunga e imbarazzante. Molti sono gli interrogativi suscitati da questa vicenda, ma il principale è cosa accade quando sono le aziende private a decidere i limiti della sicurezza nazionale, invece di affidare questo potere ai parlamenti e alla società civile.

Apple ha fatto causa all’azienda dello spyware Pegasus

La società californiana ha citato in tribunale Nso, l’azienda israeliana che produce lo spyware, per avere violato i suoi software. Nso, ora sulla lista nera degli Stati Uniti, era stata già citata in giudizio da WhatsApp nel 2019

Leggi l’articolo

Gli aggiornamenti del caso Nso 

L’ultimo atto (anzi, gli ultimi due) della vicenda Nso sono l’invio di un amicus curiae scritto da Google, Microsoft, Cisco, Linkedin e Vmware nella causa fra Nso Group e Whatsapp e l’annuncio di Apple dell’avvio di un’azione legale contro Nso Group. In entrambi i casi, il nucleo degli argomenti sostenuti dalle  big tech è che questo spyware, non importa se utilizzato su indicazioni di uno Stato, lede i diritti civili degli utenti, o meglio, come si legge nel comunicato di Apple, dei clienti. 

La tutela dei diritti civili a due velocità 

Dunque, ed è il primo punto fermo, l’interesse (più che legittimo) di queste aziende è innanzitutto la protezione del loro mercato. In altri termini, la “protezione della privacy” dei clienti da intrusioni esterne è funzionale alle necessità commerciali e non al rispetto in quanto tale dei diritti della persona. Per esempio, la stessa Apple è stata oggetto di critiche per le scelte commerciali nei rapporti con la Cina, i sistemi operativi Microsoft sono utilizzati in Iran anche in strutture carcerarie nelle quali sono stati violati i diritti dei detenuti senza che siano stati adottati provvedimenti e Google deve gestire critiche severe da parte della società civile a proposito del modo in cui progetta i servizi. 

Ancora una volta, non è in discussione il diritto di un’azienda di tutelare i propri investimenti, ma ci si dovrebbe chiedere se questo diritto può essere esercitato fino al punto di sostituirsi alla società civile e al legislatore per stabilire quali siano limiti e contenuti di un diritto fondamentale. La privacy non equivale a that’s none of your business —non sono fatti tuoi— lo slogan con il quale veniva reclamizzato uno smartphone, e non necessariamente viene tutelata da Vpn commerciali pur presentate come “idonee” allo scopo.

Le aziende private e la sicurezza nazionale

Analogamente al potere di definire cosa sia un diritto fondamentale, la reazione delle Big Tech al caso Nso evidenzia che per proteggere i propri interessi stanno adottando un approccio analogo a quello adottato verso la privacy, ma questa volta orientato alle indagini penali e alla sicurezza nazionale. Nel 2016 fece molto rumore il rifiuto opposto da Apple all’Fbi di cooperare per decrittare un iPhone utilizzato nella strage di San Bernardino e più recentemente ha sollevato molte proteste la scelta (poi rinviata) di introdurre  in iOS un sistema di client-side scanning per la ricerca e la segnalazione di immagini pedopornografiche. Ora il paletto viene spostato più avanti e dopo la prevenzione criminale e le indagini penali è, appunto, la sicurezza dello Stato a diventare oggetto di negoziazione fra istituzioni pubbliche e aziende private.

Un equilibrio impossibile?

In termini di crudo pragmatismo, è impensabile che uno Stato, qualsiasi Stato, possa ridurre o addirittura cessare il ricorso a sistemi di sorveglianza, che sono connaturati alle attività per la tutela della sicurezza dello Stato. È anche difficilmente ipotizzabile che questi sistemi possano essere gestiti senza il ricorso ad aziende private, più o meno esplicitamente legate al mondo istituzionale.

I meccanisimi di controllo sul modo in cui operano gli apparati dello Stato e la diffusione di un controllo grassroot promosso da giornalisti, gruppi di cittadini e attivisti dei quali Wikileaks è l’esempio più noto ma non l’unico sono stati, fino a ora, un rimedio migliorabile ma efficace per definire i limiti dei poteri dello Stato. La reazione delle big tech nel caso Nso, tuttavia, cambia le regole del gioco e fa entrare in campo dei soggetti la cui agenda non necessariamente coincide con quella di cittadini e istituzioni. E ripropone in modo drammatico la tradizionale domanda che aleggia senza risposta oramai da secoli nelle stanze del potere e negli incubi dei cittadini: quis custodiet ipsos custodes? Chi controlla, veramente, i controllori?