Il sottoscritto chiede di interpellare il Presidente del Consiglio dei ministri, il Ministro per l'innovazione tecnologica e la digitalizzazione, il Ministro della salute, per sapere – premesso che:

   con ordinanza 10/2020 del 16 aprile 2020 il commissario per l'emergenza Domenico Arcuri ha disposto la stipula del contratto di concessione gratuita della licenza d'uso sul software di contact tracing denominato «Immuni» e di appalto di servizio gratuito con la Bending Spoons spa;

   il sistema di tracciamento digitale sarà utile per contenere e contrastare l'emergenza epidemiologica COVID-19, perché «può aiutare a identificare individui potenzialmente infetti prima che emergano sintomi e, se condotto in modo sufficientemente rapido, può impedire la trasmissione successiva dai casi secondari», a quanto si legge sull'ordinanza;

   la decisione di adottare un sistema di tracciamento digitale segue le esperienze internazionali dove esso è stato decisivo per il contenimento del contagio come la Corea del Sud, Taiwan e Singapore, con strumenti, modalità ed effetti diversi;

   va, comunque, considerata la specificità culturale, sociale, giuridica, economica, il tasso di innovazione digitale e la diversità nella situazione epidemiologica di ogni singola nazione presa a modello;

   il diritto alla libertà di movimento è un diritto costituzionalmente garantito e il diritto alla protezione dei dati personali è un diritto fondamentale dell'individuo ai sensi della Carta dei diritti fondamentali dell'Unione europea, oltre che dalla principale legislazione nazionale e internazionale;

   i criteri di necessità, proporzionalità e minimizzazione rimarcati dalla giurisprudenza nazionale europea indicano, quindi, l'esigenza di contenere tali limitazioni della privacy nella misura strettamente necessaria a perseguire fini rilevanti, con il minor sacrificio possibile per gli interessati. Per questo, il Garante per la protezione dei dati personali, nel corso di un'audizione parlamentare, ha rimarcato la necessità di una norma di rango primario;

   il rischio dell'adozione dell'app non tenendo conto dei criteri di necessità, proporzionalità e minimizzazione, come sollevato dal Garante per la protezione dei dati personali, «è quello dello scivolamento inconsapevole dal modello coreano a quello cinese, scambiando la rinuncia a ogni libertà per l'efficienza e la delega cieca all'algoritmo per la soluzione salvifica»;

   il Ministro per l'innovazione tecnologica e la digitalizzazione e il Ministro della salute, congiuntamente all'Istituto superiore di sanità, hanno indetto una call, aperta il 24 e chiusa il 26 marzo, per «il tracciamento continuo, l'alerting e il controllo tempestivo del livello di esposizione al rischio»;

   il software pervenuto è tra quelli selezionati dagli esperti della task force istituita dal Ministro per l'innovazione tecnologica e la digitalizzazione in accordo con il Ministero della salute, e quello ritenuto alla fine più idoneo; non sono state rese note, ad oggi, le valutazioni e le modalità di lavoro della task force relativamente all'aggiudicazione;

   va rilevato che la Bending Spoons fa parte di un consorzio privato (PEPP-PT), con sede in Svizzera, nel quale spicca la presenza di varie università tedesche, ad esempio, ma non di analoghe istituzioni italiane. A suo supporto opera la svizzera Fondazione Botnar, aderente a una rete denominata swissfoundations, a sua volta vigilata dal dipartimento degli interni della Repubblica Elvetica;

   peraltro la Botnar, proprio nelle ultime settimane, ha commissionato alla Scuola politecnica federale di Losanna (Epfl), con una donazione di 5 milioni di franchi svizzeri, il compito di mettere a punto un software per il contact tracing anti COVID; quindi la suddetta Scuola politecnica ha stabilito la collaborazione con il consorzio PEPP-PT valutando, secondo notizie di stampa di fine marzo, l'interesse di diverse nazioni, tra cui l'Italia, alla acquisizione dei risultati dell'attività di allestimento della tecnologia più adeguata;

   a luglio 2019 nell'azienda sono entrati con il 5,7 per cento tre società, fra cui Nuo Capital, holding di investimenti dalla famiglia Pao Cheng di Hong Kong;

   la procedura di aggiudicazione è stata svolta a norma dei poteri straordinari ex articolo 122 del decreto 17 marzo 2020, n. 18, in deroga alle principali norme in materia di appalti pubblici e di sicurezza nazionale cibernetica e non tenendo conto della raccomandazione 2019/534 della Commissione europea sulla cybersicurezza delle reti 5G;

   nell'ordinanza non sono indicati i soggetti che andranno ad occuparsi della gestione del software e della sua manutenzione, la loro ubicazione, l'ente ministeriale competente, le misure emergenziali di carattere tecnologico e logistico per il ripristino in caso di problematiche (disaster recovery), le modalità e i tempi di conservazione dei dati (data retention) e la politica di cancellazione dei dati personali raccolti;

   il codice sorgente dell'applicazione non è «aperto», esigenza necessaria per scoprire eventuali vulnerabilità, possibilità di integrazione e trasparenza;

   non è chiaro come mai siano state utilizzate le interfacce di programmazione delle applicazioni (API) di Google e Apple;

   non è chiaro ad oggi quale sistema sarà introdotto per incentivare l'utilizzo dell'applicazione e quali iniziative saranno adottate per le fasce di popolazione a rischio ma a basso tasso di alfabetizzazione tecnologica, come gli anziani, difficilmente in possesso di uno smartphone o altro dispositivo –:

   se il Governo non ritenga necessaria e urgente l'adozione di iniziative normative di rango primario, al fine di tutelare i diritti fondamentali degli utenti;

   se non ritengano necessario rendere pubbliche le valutazioni della task force dati e del Ministro per l'innovazione tecnologica e la digitalizzazione;

   quale criterio sia stato seguito per l'aggiudicazione e se la sicurezza e affidabilità del contraente sia stata presa in considerazione, mettendo a disposizione i verbali di aggiudicazione;

   quali iniziative intendano adottare per garantire la protezione dei dati personali degli utenti coinvolti e la loro completa anonimizzazione (ovvero pseudonimizzazione) e se non ritengano necessario chiarire le modalità e i tempi di conservazione dei dati (data retention) e la politica di cancellazione dei dati personali raccolti;

   quali iniziative intendano adottare al fine di incentivare l'attivazione dell'app, anche per chi non possiede un dispositivo mobile;

   quali soggetti saranno coinvolti nei processi ordinari di gestione e manutenzione dell'applicazione;

   se non ritengano urgente chiarire la composizione societaria delle società coinvolte nel progetto «Immuni», in particolare in relazione alla presenza di capitali esteri.
(2-00763) «Mollicone».