Ora la polizia può analizzare le voci nei video sui social

Da tempo, le forze dell'ordine e le agenzie di intelligence raccolgono informazioni di pubblico dominio, anche quelle accessibili online, si tratta dell'attività nota come OSINT — ovvero, la open source intelligence. Con l'affermarsi delle piattaforme online come i social network, la possibilità di raccogliere dati ed informazioni personali rivelate volontariamente dagli utenti è aumentata a tal punto da prevedere un nome preciso per questo tipo specifico di intelligence: la SOCMINT, o social media intelligence.

Da un bando di gara diffuso a maggio del 2016 dal Ministero dell'Interno è emerso che anche l'Italia ha deciso di dotarsi di un sistema di SOCMINT che prevede "software, hardware e relativi servizi per la costituzione di una soluzione tecnologica per l'acquisizione, la trascrizione, l'indicizzazione e la ricerca delle fonti audio e video da più sorgenti."

L'azienda che si è aggiudicata l'appalto è Almawave, società che fa parte del gruppo Almaviva, e che si occupa principalmente di analisi del linguaggio naturale per migliorare l'esperienza dei clienti — fra le varie aziende per cui lavora vi è anche Sky Italia, che l'ha scelta per l'analisi vocale presso il suo Contact Center del sito di Cagliari.

Questo sistema, si legge dai documenti di gara, ha l'obiettivo di supportare le esigenze del Centro di Ricerca per l'Analisi delle Informazioni Multimediali (CRAIM). Da alcune informazioni rintracciate sul sito della Polizia di Stato, si scopre che il CRAIM è il "primo centro di ricerca in Italia in cui i ricercatori del CNR e gli esperti del Dipartimento della PS lavorano insieme per supportare gli Uffici investigativi della Polizia di Stato nell'analisi delle informazioni provenienti da fonti aperte sul web e sui canali televisivi, o Open Source INTelligence - OSINT (analisi di video, audio e testi) attraverso soluzioni tecnologiche innovative e specificamente progettate per le esigenze delle indagini, con particolare attenzione alla prevenzione dei fenomeni terroristici."

Caccia alle nostre voci

Nel capitolato tecnico del bando di gara sono definiti i diversi componenti del sistema, fra i quali spiccano il Media Monitoring, il Knowledge Management Semantico-ontologico, e il database delle impronte vocali.

La componente di Media Monitoring deve garantire "la trascrizione automatica di fonti audio/video presenti su web, mediante l'ausilio di strumenti di speech-to-text multilingua in grado di effettuare crawling e speaker identification (identificazione automatica e ricerca di determinate impronte vocali)," si legge nel capitolato, e "dovrà essere tale da supportare almeno 300 ore di registrazioni giornaliere e almeno 20 utenze contemporanee."

La ricerca di fonti audio/video riguarda sia indirizzi di pagine web che social network, come "Google Plus, Facebook (post su entità quali pagine, gruppi, profili pubblici), Twitter, YouTube," ma anche Google, Yahoo, Yahoo News.

La funzione di speaker identification, inoltre, "deve essere in grado di generare un'impronta vocale e di confrontarla con quella all'interno del database di voci (che memorizza tutte le impronte vocali acquisite), al fine di consentirne l'identificazione."

Questo sistema permette anche il raggruppamento di impronte vocali sulla base di specifiche indicate dagli agenti, come ad esempio "tutti i sospettati di attività terroristiche" o "tutti coloro che rispondono a determinate caratteristiche, ad esempio aventi un'età compresa fra 25 e 30 anni," entrambe riportate nel capitolato.

Una volta che sono stati trascritti tutti gli audio, la componente di Knowledge Management effettua l'indicizzazione dei contenuti e la ricerca dei temi di interesse. Il database, invece, raccoglie le impronte vocali e le archivia associando i dati biometrici a quelli anagrafici di chi sta parlando o, in alternativa, lascia la possibilità di aggiungere in seguito l'identità del parlante nei casi in cui non sia ancora stato identificato.

Quali rischi per la privacy?

Questo tipo di raccolta di informazioni da parte delle forze dell'ordine presenta una serie di problematicità per le aspettative di privacy degli utenti, come sottolinea Eva Blum-Dumontet, ricercatrice presso Privacy International, contattata via mail: "le persone postano contenuti sui social pensando, in generale, che siano innocui ma nel momento in cui la polizia raccoglie ed archivia questo tipo di informazioni, che sono dati personali, dati biometrici che identificano in maniera univoca la tua persona, questo presenta chiaramente dei pericoli."

Questi dati vengono utilizzati per stabilire se un sospettato sia un criminale, prosegue Blum-Dumontet, ed è necessario ideare regolamentazioni più specifiche su come questi dati possono essere raccolti: al momento la SOCMINT rimane un'area grigia in cui sembra che la polizia possa metter mano impunemente a tutti i dati pubblicamente disponibili.

"Quando si parla di terrorismo e contrasto al crimine, molte norme sospendono la loro efficacia, anche le norme sulla privacy," ricorda l'avvocato Francesco Paolo Micozzi, esperto di diritto dell'informatica e delle nuove tecnologie, contattato telefonicamente. Queste eccezioni, infatti, sono previste nel codice della privacy per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati.

Tuttavia, aggiunge Micozzi, "bisogna tenere nettamente distinte le attività di OSINT dalle acquisizioni, ad esempio, a mezzo di captatore informatico. Le prime, infatti, hanno ad oggetto informazioni che sono già state pubblicate online: la loro elaborazione rappresenta un'attività che non può, in alcun modo, essere equiparata alle acquisizioni ottenute a mezzo di intercettazioni e, pertanto, non possono avere a riferimento le medesime questioni giuridiche circa la riservatezza o le garanzie processuali stabilite in tema di intercettazioni."

Il punto cruciale su cui bisogna tenere alta l'attenzione quando si parla di questo tipo di tecnologie utilizzate dalle forze dell'ordine, aggiunge l'avvocato Stefano Aterno, che si occupa di diritto penale delle nuove tecnologie, è "monitorare l'utilizzo di questi strumenti per garantire che siano impiegati solamente per scopi relativi all'antiterrorismo." Per riuscire a fare questo, però, è necessario prevedere un tracciamento che consenta di "verificarne ex-post l'eventuale utilizzo legittimo o abusivo."

Purtroppo, una potenziale applicazione di questo sistema potrebbe prevedere la raccolta e catalogazione delle voci dei partecipanti ad una manifestazione di protesta a partire dai video caricati su Youtube, con il rischio di criminalizzare quello che in un paese democratico deve essere considerato un esercizio dei propri diritti. "Se non hai commesso un crimine non c'è alcun motivo per cui la polizia debba avere questo tipo di dati personali che ti riguardano," sottolinea Eva Blum-Dumontet.

Per quanto riguarda la legalità dell'impiego di strumenti di SOCMINT, ed in particolare la creazione di un database di impronte vocali, "se, a monte, non vi è la predisposizione di un appropriato ombrello normativo — che dovrebbe comprendere anche le circolari attuative del Ministero dell'interno — ci troveremmo in violazione dell'art. 15 della Costituzione, e di conseguenza nel campo dell'invasione totale del diritto alla riservatezza," ribadisce Tommaso Scannicchio, avvocato e dottore di ricerca in diritto privato comparato, che si occupa di privacy ormai da 5 anni e fellow del programma "Libertà civili nell'era digitale" di CILD.

Abbiamo contattato le diverse direzioni centrali della Polizia di Stato per ottenere maggiori informazioni riguardo il CRAIM ma purtroppo non abbiamo ricevuto risposte e l'ufficio stampa ha ribadito in una comunicazione via mail che, allo stato attuale, le informazioni divulgabili alla stampa sono quelle consultabili al link della gara d'appalto.

Abbiamo chiesto chiarimenti anche al Garante per la protezione dei dati personali che ci ha informato che farà richiesta al Ministero dell'Interno per ottenere informazioni ed elementi utili per valutare il progetto CRAIM.

Rimangono quindi ancora enormi zone d'ombra sull'attività del CRAIM: è necessario chiarire se queste tecnologie sono utilizzate esclusivamente per finalità di antiterrorismo e contrasto alla mafia e capire le modalità di gestione del database di impronte vocali.

Le impronte vocali sono dei dati personali impossibili da modificare e pertanto il progetto CRAIM, qualora non prevedesse le dovute garanzie di salvaguardia dei dati personali e di trasparenza nell'operato degli agenti, sarebbe sicuramente una minaccia per i cittadini.