Da Wired.it :
Il Comune ha già fatto due appalti per dotarsi di sistemi di videosorveglianza con riconoscimento facciale. Ma su che basi? L’inchiesta di Wired con le carte della gara
I sistemi di videosorveglianza stanno diventando una realtà sempre più diffusa. Anche in Italia, dove la sperimentazione con il riconoscimento facciale procede. Negli ultimi mesi Como ha spinto molto in questa direzione, diventando una delle realtà urbane più avanzate nel suo utilizzo. In particolare, il modo in cui la città lombarda ha scelto, installato e attivato sistemi di riconoscimento facciale è emblematico per comprendere come la tecnologia stia prendendo piede da diversi punti di vista: tecnici, burocratici e di attenzione ai diritti.
Wired ha ricostruito la genesi del sistema di riconoscimento facciale, il ruolo delle aziende private che hanno fornito la tecnologia e della scarsa attenzione generale rivolta alle ripercussioni in termini di diritti e privacy. A testimonianza di questo ultimo aspetto, in particolare, vi è un provvedimento del Garante della privacy, Antonello Soro nei confronti del Comune di Como, dal quale emerge che mancano le basi legali per installare il sistema di riconoscimento facciale.
Il municipio lombardo, tuttavia, non si è fermato. Dopo un primo test ha allargato la rete di questo genere di videosorveglianza. È di poche settimane fa la notizia dell’installazione di 16 telecamere in due aree urbane di Como (i giardini pubblici di via Anzani e via Leoni, due aree residenziali della città) predisposte per l’utilizzo del riconoscimento facciale. Come si apprende dalla stampa, però, queste telecamere sarebbero al momento utilizzate solo per funzioni di videosorveglianza classica, senza che le funzioni più avanzate siano per il momento attive. “Siamo infatti in attesa che il Garante per la privacy ci dia le opportune e necessarie indicazioni per poter attivare anche le funzioni speciali”, ha dichiarato l’assessore comunale alla Sicurezza, Elena Negretti alla testata locale QuiComo.
La storia del riconoscimento facciale a Como, però, inizia almeno un anno prima e, per come ha potuto ricostruire Wired, la città è stata monitorata attivamente con questa tecnologia almeno fino allo scorso aprile. A marzo e ad aprile Wired ha sollecitato un commento del Comune di Como in merito a questo appalto, senza ottenere risposta.
I primi passi
L’esistenza del sistema di riconoscimento facciale a Como emerge pubblicamente ad agosto 2019 con la notizia, riportata dal quotidiano La Provincia di Como, dell’inserimento nel Documento unico programmatico 2020-2022 della sperimentazione di funzioni innovative di videosorveglianza nella zona del parco di via Tokamachi, proprio all’ingresso della stazione ferroviaria principale della città.
Secondo i documenti forniti dal Comune di Como – e di cui Wired è entrata in possesso grazie a una richiesta di accesso civico generalizzato (Foia) inoltrata in collaborazione con il progetto Foia4journalists di Transparency International Italia – il sistema di videosorveglianza comasco permette la visualizzazione in tempo reale di immagini, la funzione di riconoscimento facciale e quella di rilevamento automatico di loitering (bighellonaggio) e di oggetti rimossi.
Tecnologia, software e installazione del sistema sono stati affidati ad A2a Smart City spa e Huawei Italia. I server, gli access point, i firewall, le videocamere e la piattaforma software che gestisce il sistema di riconoscimento facciale sono prodotti di Huawei. A2a si è invece occupata della configurazione del sistema e della posa in opera. L’importo dei costi è inferiore ai 40mila euro. Gli stessi attori sono stati coinvolti anche nella posa e nell’attivazione del secondo round di videocamere.
La genesi del progetto: migranti e sicurezza
La storia del sistema di riconoscimento facciale di Como è strettamente connessa, stando ai documenti ottenuti da Wired, agli eventi dell’estate del 2016 che hanno interessato proprio l’area della stazione. In quei mesi del 2016 il parco di via Tokamachi diventa uno snodo delle rotte migratorie verso il Nord Europa e ospita, al picco della crisi, fino a 500 persone, bloccate a Como dalla chiusura del confine con la Svizzera.
Per indagare le motivazioni che hanno spinto il Comune di Como a dotarsi del riconoscimento facciale, Wired ha richiesto e ottenuto tramite Foia anche un documento redatto dal Comando della polizia locale e indirizzato alla Dirigenza dei sistemi informativi del Comune. Nel testo, lungo una pagina e mezza ed estremamente generico nei toni e nei contenuti, datato 20 novembre 2019 e pertanto posteriore alla richiesta di accesso agli atti Wired (avvenuta il 6 novembre), la Polizia locale ripercorre i fatti del 2016 indicando come questi avrebbero creato “inevitabili problemi di degrado ed una diffusa sensazione di insicurezza nei cittadini”.
Con l’apertura di un centro migranti della Croce Rossa in un’altra area della città nel settembre 2016 (poi chiuso nell’ottobre del 2018) e il successivo spostamento degli “extracomunitari” (come recita il documento della polizia locale, nda), la situazione sarebbe passata “a una condizione di sostanziale normalità, pur mantenendo dei connotati di criticità ed una esposizione al rischio di atti illeciti tipici delle aree limitrofe alle stazioni ferroviarie”. Alla luce di questa premessa, si legge sempre nel testo, la Polizia locale di Como elogia le varie potenzialità operative di sorveglianza del sistema di riconoscimento facciale, proprio perché installato in un “punto nevralgico per la città”, anche per finalità di monitoraggio degli accessi in città in occasione di eventi o manifestazioni di richiamo.
Operazione “Strade sicure”
A questo proposito, Wired ha contattato la Questura di Como via email per un commento sulla sicurezza complessiva della città e dell’area del parco Tokamachi in particolare. A detta della nota del Questore, “la provincia di Como si conferma ancora una volta una delle più sicure del Paese”. In particolare la Questura segnala una progressiva diminuzione dei dati relativi a vari reati, compresi quelli riferiti ai furti in abitazione e alle rapine. Quanto all’area del parco Tokamachi, fa sapere ancora il Questore, “cessata l’emergenza migranti, non rappresenta un’area esposta a particolari rischi rispetto ad altre aree della città”. Non ci sarebbero, ovvero, specifici elementi di pericolosità nella zona della Stazione San Giovanni e del parco, per altro pattugliate già quotidianamente dai soldati dell’Esercito impegnati nell’operazione “Strade Sicure”. I militari sono presenti nella città di Como dalla primavera del 2019, per volere dell’allora ministro degli Interni Matteo Salvini, che ha legami politici molto forti con la città di Como.
Di Como è Alessandra Locatelli, deputata della Lega Nord e già vicesindaco, carica da cui si è dimessa in seguito alla nomina a ministra per la Famiglia e le disabilità, ruolo che ha ricoperto per due mesi, prima della caduta del primo governo Conte nel 2019. Di Cantù, in provincia di Como, è invece Nicola Molteni, deputato della Lega Nord e già sottosegretario agli Interni quando al Viminale sedeva proprio Matteo Salvini. L’installazione del riconoscimento facciale a Como si inserisce in una serie di provvedimenti pro-sicurezza che hanno interessato la città negli ultimi anni, comprese le varie ordinanze anti-accattonaggio e anti-migranti volute dall’attuale giunta guidata dal sindaco Mario Landriscina (eletto da una coalizione Fratelli , Lega e Forza Italia) e che hanno in alcuni casi ottenuto anche riscontro nazionale e internazionale.
Quanto all’utilizzo del sistema di videosorveglianza da parte della Polizia di Stato, di nuovo il Questore di Como fa inoltre sapere che “all’esito delle procedure necessarie verrà sicuramente interconnesso con le Sale Operative delle Forze di Polizia: esso rappresenta un valore aggiunto che non mancherà, una volta entrato ufficialmente in funzione, di migliorare l’azione di prevenzione e repressione dei reati”. Non è chiaro, al momento, se questo sia già avvenuto e in che termini, ma di certo nella Valutazione di impatto della protezione dei dati (Dpia) ottenuta da Wired, solo la Polizia locale veniva indicata come potenziale utilizzatrice del sistema.
Riconoscimento facciale o semplice videosorveglianza?
Se a Como non sono chiare le reali necessità che motivano l’installazione di un sistema tanto pervasivo e potenzialmente controverso, oltre che i reali perimetri del suo utilizzo, anche l’attenzione volta alle questioni di privacy e del trattamento dei dati personali non sembra essere stata approfondita. Il 26 febbraio il Garante per la protezione dei dati personali ha emesso un provvedimento nei confronti del Comune di Como per rispondere con chiarezza a una questione dirimente: il trattamento di dati biometrici in corso non ha basi giuridiche valide per esistere. Inoltre, per poter essere regolarizzato, è ancora necessario attendere la pubblicazione di un decreto del Presidente della Repubblica che ha proprio lo scopo di definire “le condizioni per il (e le garanzie nel) ricorso a dati biometrici da parte degli enti territoriali, in particolare per le funzioni di polizia giudiziaria riservate alla polizia locale,” si legge nel testo del Garante.
In sostanza, in questo momento, il Comune di Como non potrebbe utilizzare il riconoscimento facciale perché non rispetta la legge. Secondo il provvedimento del Garante, le immagini dei volti di chiunque passi in quel parco non possono essere utilizzate. Da quanto appreso da Wired, però, solo ai primi di aprile il Comune di Como avrebbe scritto al Garante comunicando la disabilitazione della funzione sperimentale di riconoscimento facciale utilizzata nel parco Tokamachi. Se le videocamere attivate in via Leoni e via Anzani non sono attive, quelle installate di fronte alla stazione avrebbero svolto attività di riconoscimento facciale per mesi.
In uno scambio email del 17 gennaio 2019 tra A2a Smart City spa, aggiudicataria della gara, e il Comune, l’azienda spiega che si sta mettendo in contatto con il Garante e sta “definendo lista attività”. A quanto risulta a Wired però, quel tipo di contatto non è mai avvenuto, tant’è che il provvedimento del Garante è scaturito a seguito della nostra richiesta di informazioni inviata a fine dicembre 2019, a fronte della quale è stata aperta un’istruttoria.
Il documento “postumo”
Il regolamento europeo sui dati personal, Gdpr, prevede che nel caso di utilizzo di sistemi che possono mettere a rischio la privacy dei cittadini sia necessario compiere una valutazione di impatto preventiva (Dpia), così da rendere noti i potenziali rischi e le misure adottate per mitigarli, oltre a poter definire la base legale che permetterebbe il trattamento dei dati. Alla richiesta di accesso agli atti di novembre 2019, il Comune di Como ha risposto con una Dpia creata successivamente e che sembra ridurre le caratteristiche proprie di un sistema di riconoscimento facciale a una semplice videosorveglianza non “intelligente”.
Tuttavia il sistema di “videosorveglianza innovativa” — come viene descritto nella scheda tecnica del progetto del Comune — prevede l’impiego di sei telecamere per coprire l’area del Parco di Via Tokamachi e, come detto, un sistema in grado di effettuare riconoscimento facciale sui passanti, rilevamento automatico di bighellonaggio (“loitering”), oggetti abbandonati o rimossi e tripwire (ovvero lo sconfinamento all’interno di un’area proibita). È una tecnologia molto più avanzata, come si può notare, di una semplice videosorveglianza.
Le immagini riprese dalla telecamere sono memorizzate per sette giorni sul server dedicato e installato presso la sala server comunale, la quale è dotata di accesso controllato tramite badge e sistema di videosorveglianza interno, si legge sempre nella scheda tecnica.
Il sistema permette anche di generare degli alert in caso di situazioni anomale, e il riconoscimento facciale prevede la possibilità di cercare un soggetto presente in una blacklist e inviare alert in tempo reale. In aggiunta, si legge dall’offerta tecnica di A2a Smart City il sistema supporta anche la gestione di una “lista rossa” che “si applica agli scenari in cui le informazioni relative alla traiettoria e all’immagine dei vip devono essere protette da accessi [sic!] non autorizzati”. Queste funzionalità sono solo alcune di quelle che Huawei mette a disposizione grazie alla sua piattaforma cloud Matrix Intelligence, e che aveva presentato al Comune di Como in un incontro avvenuto il 26 giugno 2018 e di cui Wired ha potuto ottenere le slide tramite l’accesso agli atti.
L’offerta tecnica sottolinea letteralmente come il sistema possa “rilevare facce per persone di colore bianco, giallo e nero” (letterale nei documenti, nda) ma nella valutazione d’impatto “postuma” non si tiene in considerazione il problema dell’invasività del riconoscimento facciale, dei rischi legati ai bias e ai falsi positivi insiti nella tecnologia stessa. I problemi riscontrati con il colore della pelle, per esempio, sono stati già ampiamente sottolineati a livello internazionale.
Una sottile differenza
“Vi è una differenza che potrei definire ontologica tra una videoripresa e una attività di riconoscimento facciale,” spiega l’avvocato esperto di tecnologia e temi di privacy Carlo Blengino contattato da Wired via email: “La differenza, prima che su di un piano giuridico, è fattuale.”
La videosorveglianza raccoglie immagini che possono diventare lesive per la privacy in base alla finalità per cui vengono utilizzate, ma nel caso del riconoscimento facciale abbiamo davanti qualcosa di diverso. “Lo scopo dell’algoritmo è quella di ricavare un dato identificativo univoco del singolo individuo e dunque il riconoscimento facciale è di per sé invasivo poiché genera e tratta dati biometrici, ovvero dati necessariamente altamente personali e sensibili”, chiarisce Blengino.
Secondo l’avvocato la Dpia prodotta non solo è insufficiente, ma è del tutto irrilevante ai fini di una valutazione di liceità o meno del trattamento. “La base giuridica che autorizzerebbe il Comune al trattamento di dati biometrici per fini di pubblica sicurezza è un vecchio decreto Sicurezza del 2009 che parla solo di videosorveglianza”, sottolinea Blengino: “Dunque quel decreto non può costituire fondamento legale per un trattamento massivo di dati biometrici che poco o nulla ha a che vedere con la videosorveglianza”.
I dati biometrici richiedono valutazioni più stringenti, maggiori protezioni e possono essere trattati solo se sono strettamente necessari. Nel caso del parco di Como l’aiuto per le indagini potrebbe non giustificare l’impiego. “Non conosco Como, ma a meno che il parco sia infestato da feroci e incontenibili velociraptor allo stato brado, tipo Jurassic Park, mi è difficile pensare che non vi siano alternative meno invasive e rispettose della legge per garantire i cittadini”, conclude il legale.
La gestione dell’appalto
Come abbiamo visto, i problemi di sicurezza sollevati dal Comune di Como, stando alla relazione della polizia locale, non sembrerebbero rilevanti. “La città di Como”, recita proprio lo stesso documento, “è tra le più sicure ”. Più rilevante è però la data di redazione del documento, a sua volta successiva rispetto all’inizio del progetto e dei lavori: 20 novembre 2019.
Per Michele Cozzio, esperto in materia di appalti di cui l’associazione Transparency International Italia si avvale da tempo, sarebbe stato meglio aver richiesto prima la Dpia e la relazione della sicurezza in città. “Ciò dimostra che l’amministrazione non ha effettuato una corretta valutazione sull’opportunità dell’acquisto”, osserva: “Stante l’attuale quadro normativo ciò non dovrebbe comunque costituire una irregolarità, semmai potrebbe essere valutabile sotto il profilo della non opportunità dell’acquisto, con rilievi di interesse per la Corte dei conti”.
La gara d’appalto per l’assegnazione del progetto viene indetta il primo dicembre 2018. La procedura è in affidamento diretto, così come previsto dall’articolo 36, comma 2 del codice degli appalti per gli importi inferiori a 40mila euro. Il Comune si rivolge alla società A2a Smart City, che presenta una relazione tecnica conforme alle caratteristiche minime richieste e un’offerta economica di 39.105 euro (ribasso dell’1% dall’importo base di gara, 39.500 euro). L’esecuzione del contratto inizia nel gennaio 2019.
Per le amministrazioni l’affidamento diretto previa consultazione di altri operatori non è obbligatorio nel caso di contratti di importo inferiore ai 40mila euro, ma “sarebbe comunque buona prassi quella di chiedere almeno qualche altro preventivo o attivare indagini di mercato” chiarisce Cozzio. Pur richiesti nell’instanza di Foia, altri eventuali preventivi non sono stati forniti.
Lo sviluppo del progetto
Stando ai documenti e alle email fornite dal Comune, oltre a un incontro iniziale avvenuto tra uno dei membri dell’amministrazione e il responsabile degli Affari istituzionali di Huawei Italia all’evento di lancio della Smart City Association, il 20 aprile 2018, non risulta siano stati organizzati altri eventi pubblici sul tema con l’obiettivo di rendere noto il progetto. Il 7 settembre 2018, come si apprende da uno scambio mail ottenuto da Wired, Huawei Italia incontra il sindaco e gli assessori del Comune per presentare il “Progetto sicurezza Como”. Per Cozzio in casi di incontri tra l’amministrazione e un operatore è buona prassi “seguire le procedure utilizzate per le indagini preliminari di mercato, descritte nelle linee guida di Anac, con garanzie di trasparenza, come la pubblicità dell’incontro”.
Il progetto per la sperimentazione del Comune, a sua volta ottenuto da Wired tramite la richiesta Foia, risulta molto simile a quello presentato dall’azienda Huawei e riporta più volte l’aggettivo “innovativo” come aspetto essenziale dell’oggetto della fornitura. In uno scambio email ottenuto da Wired, il Comune sottolinea all’azienda la necessità di inserire nella loro proposta alcuni elementi specifici che serviranno a valorizzarla. Sul punto, Cozzio chiarisce: “È naturale che le amministrazioni dialoghino con le imprese, ma non è normale che si facciano consegnare le specifiche da inserire nei documenti”.
Una nuova gara
Il punto delle specifiche tecniche è rilevante anche per un altro aspetto. “Trattandosi di strumenti tecnologici, si dovrebbe verificare se sono state adottate tutte le cautele riguardanti il superamento di conseguenze cosiddette di tipo lock in (che potrebbero creare un legame di dipendenza tra il fornitore e il cliente, in questo caso il comune, nda), tema rilevante per evitare che in futuro la manutenzione del sistema sia necessariamente affidata allo stesso operatore economico”, afferma Cozzio. L’affidamento dell’appalto ad A2a Smart City potrebbe legare l’amministrazione a doppio filo con la stessa. In questo caso, “sarà necessario verificare se nel corso del tempo ci saranno ripetuti affidamenti diretti per importi sotto i 40mila euro sempre allo stesso operatore”, continua Cozzio.
Nel novembre 2019, l’amministrazione comunale di Como ha poi indetto un nuova gara d’appalto, questa volta per il potenziamento del sistema di videosorveglianza. All’interno del documento si parla però anche della necessità di dotare alcune videocamere già esistenti di tecnologia di riconoscimento facciale. L’affidamento, dell’importo annuo di 261.777 euro, è stato aggiudicato di nuovo ad A2a Smart City. Il progetto prevedeva l’installazione di nuove telecamere “intelligenti” anche in altre aree della città. A questo progetto fanno capo anche le telecamere installate a maggio 2020 in via Leoni e via Anzani. La procedura di affidamento diretto previo confronto di almeno 5 operatori economici si è avviata il 2 dicembre 2019 (come riscontrabile nel report Sintel pubblicato dal Comune). A2a Smart City si è aggiudicata l’affidamento il 31 gennaio 2020 e ha subappaltato parte dei lavori alla Fgs srl di Azzano San Paolo, in provincia di Bergamo.
“Normalizzare” il riconoscimento facciale
Come testimonia il caso della città di Como, l’utilizzo delle tecnologie di riconoscimento facciale si sta progressivamente “normalizzando” anche in contesti in cui non si registrano particolari situazioni di pericolo. La tecnologia, però, ha numerosi aspetti problematici e impone una riflessione sociale ampia che non si può rimandare. “L’uso del riconoscimento facciale da parte della polizia e da parte di attori privati potrebbe avere un impatto sismico sul modo in cui la nostra società viene sorvegliata”, commenta a Wired Ioannis Kouvakas, responsabile legale di Privacy International, una delle organizzazioni internazionali che più sta lavorando sulla diffusione delle tecnologie di sorveglianza. “Le implicazioni”, continua Kouvakas, “non riguardano solo la privacy e la protezione dei dati, ma anche aspetti etici connessi al fatto che una società democratica introduca una tecnologia così intrusiva”.
L’uso del riconoscimento facciale dovrebbe necessariamente soddisfare alcuni principi relativi ai diritti umani, continua Kouvakas, come la trasparenza, la legalità, la necessità e la proporzionalità: “Al momento questa tecnologia ha offerto ‘stimolanti’ opportunità per sperimentare con nuove forme di sorveglianza e questo sta avvenendo in modi illegali o comunque arbitrari, che mancano di trasparenza e giustificazioni adatte e che non soddisfano le regolamentazioni internazionali ed europee sui diritti umani. Per esempio, è poco chiaro chi possa essere su una watchlist e come la polizia abbia ottenuto le immagini”.
Infine, tra gli aspetti più critici vi è anche il coinvolgimento di aziende private. “La sorveglianza è un’interferenza seria nelle nostre libertà e non può essere affidata ad aziende, perché il loro principale obiettivo sarà la massimizzazione dei loro profitti”, commenta Kouvakas. “Le partnership di collaborazione tra forze dell’ordine e aziende private possono favorire il rischio di abusi”. Il caso comasco conferma, però, come il riconoscimento facciale stia entrando nelle vite degli italiani, progressivamente soggetti a tecnologie di sorveglianza molto invasive, complesse e spesso eccessive per i contesti in cui vengono adoperate.
Potrebbe interessarti anche