Consenso digitale in Lombardia: il grande inganno dei dati raccolti senza vera informazione

Il Regolamento Generale sulla Protezione dei Dati — il GDPR europeo, entrato in vigore nel 2018 — avrebbe dovuto cambiare radicalmente il rapporto tra istituzioni pubbliche e dati personali dei cittadini. Avrebbe dovuto. In Lombardia, come in molte altre regioni italiane, il cambiamento è rimasto in larga parte sulla carta: informative scritte in legalese incomprensibile, caselle di consenso preselezionate, finalità di trattamento descritte in modo vago, e una sostanziale assenza di controlli che rendano effettive le garanzie formalmente previste.

Il risultato è che i lombardi cedono ogni giorno frammenti della propria vita digitale — dati sanitari, abitudini di mobilità, preferenze di consumo, situazioni familiari — a sistemi amministrativi che raramente spiegano con chiarezza cosa ci fanno, con chi li condividono e per quanto tempo li conservano.

Il sistema sanitario regionale e i dati dei pazienti

Il Fascicolo Sanitario Elettronico lombardo è uno degli esempi più significativi di questa opacità strutturale. Il sistema raccoglie informazioni estremamente sensibili: diagnosi, terapie, referti, accessi al pronto soccorso, prescrizioni farmaceutiche. Dati che, aggregati e analizzati, possono rivelare molto più di quanto il singolo paziente immagini.

La normativa prevede che il cittadino possa scegliere se alimentare o meno il proprio fascicolo, e con quali limitazioni. In pratica, tuttavia, molti utenti riferiscono di non aver mai ricevuto un'informativa chiara al momento dell'attivazione, o di averla ricevuta in un contesto — tipicamente, il momento dell'accettazione in ospedale — in cui era difficile leggere con attenzione un documento di diverse pagine.

Non si tratta di violazioni eclatanti facilmente documentabili, ma di una zona grigia in cui la forma viene rispettata e la sostanza viene aggirata. Il consenso c'è, tecnicamente. Ma è un consenso ottenuto in condizioni che non consentono una scelta davvero libera e informata.

Le app comunali e la sorveglianza municipale

Nel corso degli ultimi anni decine di comuni lombardi hanno adottato applicazioni digitali per i propri cittadini: per segnalare problemi urbani, accedere a servizi anagrafici, ricevere comunicazioni dall'amministrazione. Alcune di queste app sono sviluppate da fornitori privati con contratti poco trasparenti, in cui le clausole relative alla gestione dei dati raccolti sono spesso formulate in modo da lasciare ampi margini di manovra all'azienda fornitrice.

Un esempio concreto: diverse app comunali lombarde richiedono accesso alla posizione geografica del dispositivo anche quando questa informazione non è strettamente necessaria per le funzionalità offerte. La giustificazione tecnica esiste sempre — migliorare il servizio, personalizzare le notifiche — ma raramente viene spiegata con chiarezza all'utente, che si trova davanti a una richiesta di autorizzazione senza un contesto sufficiente per valutarla.

Il problema non è soltanto la raccolta in sé. È l'assenza di un sistema di governance che garantisca ai cittadini il diritto di sapere, di correggere e di opporsi. In molti comuni lombardi, la figura del Responsabile della Protezione dei Dati — obbligatoria per legge nelle pubbliche amministrazioni — esiste sulla carta ma non ha risorse né autorevolezza sufficienti per svolgere un ruolo di controllo reale.

I dati regionali e il mercato privato

Ancor più preoccupante è la questione delle convenzioni tra la Regione Lombardia e soggetti privati per la gestione di piattaforme digitali. In diversi casi, i contratti firmati dalla Regione con grandi fornitori tecnologici prevedono la possibilità per questi ultimi di utilizzare i dati trattati per finalità proprie, purché anonimizzati. Il termine "anonimizzazione", tuttavia, ha un significato tecnico preciso che non sempre corrisponde a quello comunemente inteso: dati apparentemente anonimi possono essere re-identificati con relativa facilità quando vengono incrociati con altre fonti.

Questa zona d'ombra è particolarmente rilevante nel caso dei dati sanitari e di quelli relativi alla mobilità. I sistemi di bigliettazione elettronica del trasporto regionale, ad esempio, generano una mole enorme di informazioni sugli spostamenti dei passeggeri. Chi ha accesso a questi dati? Per quanto tempo vengono conservati? Possono essere ceduti a terzi per scopi commerciali? Le risposte ufficiali sono spesso generiche, e i controlli indipendenti quasi inesistenti.

Come tutelarsi: strumenti concreti per i cittadini

Di fronte a questo scenario, i cittadini lombardi non sono del tutto privi di strumenti. Il GDPR riconosce una serie di diritti esercitabili nei confronti di qualsiasi soggetto — pubblico o privato — che tratti dati personali.

Il diritto di accesso consente a chiunque di chiedere a un'amministrazione quali dati possiede su di sé, per quale scopo li utilizza e con chi li condivide. Il diritto di rettifica permette di correggere informazioni inesatte. Il diritto alla cancellazione — il cosiddetto "diritto all'oblio" — consente in alcuni casi di chiedere la rimozione dei propri dati dagli archivi.

Per esercitare questi diritti, è sufficiente inviare una richiesta formale al Responsabile della Protezione dei Dati dell'ente interessato. L'amministrazione ha trenta giorni per rispondere. In caso di mancata risposta o risposta insoddisfacente, è possibile presentare un reclamo al Garante per la Protezione dei Dati Personali, l'autorità nazionale di controllo.

Si tratta di procedure accessibili, ma poco conosciute. Una maggiore alfabetizzazione digitale dei cittadini — che dovrebbe essere compito delle istituzioni promuovere — sarebbe il primo passo per trasformare diritti teorici in tutele reali.

Serve una politica dei dati, non solo delle norme

Il problema lombardo non è una carenza di leggi. Il GDPR esiste, è direttamente applicabile, e prevede sanzioni significative per chi lo viola. Il problema è culturale e politico: un'amministrazione regionale che non ha mai fatto della trasparenza digitale una priorità, che ha gestito la transizione al digitale come un'operazione tecnica anziché come una questione di diritti civili.

Una politica progressista in materia di dati dovrebbe partire da un presupposto semplice: i dati dei cittadini appartengono ai cittadini. Non alle aziende che li raccolgono, non alle amministrazioni che li gestiscono, non ai mercati che li vorrebbero monetizzare. Questo principio, se preso sul serio, implica una revisione profonda dei contratti con i fornitori tecnologici, un rafforzamento dei controlli interni, e soprattutto un impegno concreto a spiegare ai lombardi — in italiano comprensibile, non in legalese — cosa succede ai loro dati ogni volta che interagiscono con un servizio pubblico digitale.

Finché questo impegno non arriva da Palazzo Lombardia, tocca ai cittadini informarsi, pretendere risposte e usare gli strumenti che la legge già mette a disposizione.