Sorveglianza di massa: cos'è e come confligge con i diritti umani

La sorveglianza di massa non è un’invenzione recente né un fenomeno solo militare: è un modo di raccogliere dati che si è infilato nelle strade delle città, nelle reti telefoniche e negli smartphone di miliardi di persone. Secondo Privacy International, il tratto che la definisce non è la tecnologia usata, ma il fatto che colpisca un numero indefinito o ampio di persone invece di limitarsi a chi è ragionevolmente sospettato di un reato. È la differenza tra un’indagine mirata, che segue un sospetto specifico, e un sistema che osserva tutti per trovare qualcuno.

Le tecniche che rientrano in questa definizione sono eterogenee. Ci sono l’intercettazione di massa delle comunicazioni e l’accesso ai dati che gli operatori telefonici conservano sugli utenti; c’è l’hacking di massa; c’è il riconoscimento facciale indiscriminato, installato in spazi pubblici senza che i passanti lo sappiano; c’è il tracciamento dei cellulari durante i cortei, tramite dispositivi come gli IMSI catcher. Il dipartimento di polizia di New York, per esempio, utilizza software di riconoscimento facciale, lettori automatici di targhe e furgoni dotati di scanner a raggi X per individuare possibili minacce. Sul fronte commerciale, l’azienda Clearview AI ha costruito un database di riconoscimento facciale usato anche in collaborazione con l’Ucraina, mentre lo spyware Pegasus permette intrusioni profonde nei telefoni delle persone.

Esempio pratico: una telecamera con riconoscimento facciale installata in una piazza non registra solo chi sta commettendo un reato: registra chiunque attraversi quella piazza, ogni giorno, per anni. È lo stesso principio che rende un deepfake o una campagna di disinformazione difficili da isolare: la scala del sistema, non l’intenzione dietro un singolo caso, è ciò che genera il rischio.

Sul lato governativo, la sorveglianza di massa entra in conflitto diretto con la Convenzione europea dei diritti dell’uomo. La Corte europea dei diritti dell’uomo, nella sentenza della Grande Camera Big Brother Watch e altri contro Regno Unito del 25 maggio 2021, ha chiarito un punto centrale: un regime di intercettazione massiva non è di per sé incompatibile con la Convenzione, ma per essere legittimo deve avere garanzie dettagliate ed effettive di necessità e proporzionalità. Nel caso esaminato, i regimi britannici di intercettazione (Section 8(4) del RIPA) e di acquisizione dei dati di comunicazione (Chapter II del RIPA) sono stati giudicati carenti proprio su questo punto, con una violazione dell’articolo 8 della Convenzione, quello che protegge la vita privata. La Corte ha riscontrato anche una violazione dell’articolo 10, sulla libertà di espressione, perché i due regimi non offrivano garanzie sufficienti per proteggere le comunicazioni riservate dei giornalisti: la tutela delle fonti giornalistiche, ha scritto la Corte, è uno dei pilastri della libertà di stampa. Cinque giudici, in opinioni separate, hanno criticato la sentenza per non essere andata abbastanza lontano, sostenendo che l’autorizzazione giudiziale dovrebbe essere obbligatoria per l’intercettazione massiva.

Un caso precedente, sempre della Grande Camera, aiuta a capire quanto possa essere basso il livello di prova richiesto per accertare una violazione. Nella sentenza Roman Zakharov contro Russia, del 4 dicembre 2015, la Corte ha esaminato un sistema che obbligava per legge gli operatori di rete mobile russi a installare apparecchiature che permettessero alle forze dell’ordine di intercettare le comunicazioni. La Corte ha stabilito che la mera esistenza di quella normativa, priva di garanzie adeguate contro l’arbitrarietà, costituiva già un’interferenza con l’articolo 8: non era necessario dimostrare che una persona specifica fosse stata effettivamente intercettata. Nel ragionamento della Corte, uno dei fattori considerati è che un sistema di sorveglianza segreta pensato per proteggere la sicurezza nazionale rischia, se privo di controlli, di minare proprio la democrazia che dovrebbe difendere.

Sul fronte dei diritti individuali, il caso dello spyware Pegasus mostra come la sorveglianza di massa non riguardi solo governi autoritari lontani. Nel luglio 2021, in risposta alle rivelazioni del cosiddetto Pegasus Project, l’allora Alta Commissaria ONU per i diritti umani Michelle Bachelet ha definito l’uso diffuso di questo spyware “estremamente allarmante”, sottolineando che programmi come Pegasus e quello sviluppato da Candiru permettono intrusioni profonde nei dispositivi delle persone, con accesso a praticamente ogni aspetto della loro vita. Secondo l’OHCHR, l’uso di software di sorveglianza è stato collegato ad arresti, intimidazioni e persino uccisioni di giornalisti e difensori dei diritti umani, e diverse componenti del sistema ONU per i diritti umani hanno segnalato il rischio che autorità usino strumenti pensati per la sicurezza pubblica per violare i telefoni di chi fa un’attività giornalistica legittima, monitora i diritti umani o esprime dissenso politico.

La sorveglianza di massa non riguarda solo la raccolta di dati: in alcuni casi si traduce in interruzione diretta della comunicazione. Secondo il rapporto Internet Shutdowns in 2025 della coalizione #KeepItOn, guidata da Access Now, nel 2025 sono stati implementati almeno 313 shutdown di internet in 52 Paesi, il numero più alto mai registrato dal 2016. Nella sola regione dell’Europa dell’Est e dell’Asia Centrale, la rete è stata interrotta 29 volte in 7 Paesi. Il rapporto descrive un trend in crescita, non in calo, e un impatto che si estende dal lavoro alla scuola, dall’assistenza medica ai servizi bancari. Gli shutdown spesso accompagnano proteste o elezioni, nello stesso momento in cui un governo intensifica anche il monitoraggio dei dati: sono due strumenti diversi per lo stesso obiettivo, controllare cosa succede a una popolazione.

Sul fronte commerciale, la principale barriera normativa europea è il Regolamento generale sulla protezione dei dati (GDPR), in vigore dal 25 maggio 2018. L’articolo 5 del regolamento impone che i dati personali siano trattati in modo lecito, corretto e trasparente, raccolti solo per finalità specifiche ed esplicite, e soprattutto limitati a quanto necessario per quelle finalità: è il principio di minimizzazione dei dati, che si scontra frontalmente con una sorveglianza pensata per non lasciare fuori nessuno, a prescindere da un sospetto individuale. Il regolamento impone anche un principio di responsabilizzazione: chi tratta i dati deve essere in grado di dimostrare di rispettare queste regole. Che il GDPR non sia solo un adempimento burocratico lo mostra la sanzione decisa dal Comitato europeo per la protezione dei dati (EDPB) e resa esecutiva dal Garante irlandese: 1,2 miliardi di euro a Meta Platforms Ireland, nel 2023, per aver trasferito dati di utenti dell’Unione Europea verso gli Stati Uniti sulla base di clausole contrattuali giudicate insufficienti dalla Corte di giustizia dell’Unione Europea. La presidente dell’EDPB, Andrea Jelinek, ha definito la violazione di Meta “molto grave”, perché riguardava trasferimenti sistematici, ripetuti e continuativi; è la multa GDPR più alta comminata fino ad allora, superando il precedente record di 746 milioni di euro contro Amazon, deciso dal Garante lussemburghese (CNPD) nel 2021.

Il quadro che emerge da queste vicende non riduce la sorveglianza di massa a un problema tecnico da lasciare a giuristi e ingegneri. Tocca la libertà di movimento di chi sa di poter essere ripreso da una telecamera in ogni piazza, la libertà di parola di chi rischia che le proprie fonti giornalistiche vengano esposte, e la presunzione di non colpevolezza di chi finisce in un database costruito per intercettare pochi sospetti e finisce per includere tutti. Comprendere come funzionano internet e le reti di comunicazione aiuta a capire dove passano questi dati; distinguere le informazioni verificate dalla disinformazione, come nel caso delle fake news, aiuta a valutare con più attenzione gli allarmi (e le rassicurazioni) che circolano su questi temi. Anche le nuove regole europee sull’intelligenza artificiale, con l’AI Act, intervengono su alcune delle tecnologie usate per la sorveglianza, come il riconoscimento facciale in tempo reale negli spazi pubblici. E le garanzie procedurali che la Corte europea dei diritti dell’uomo richiede ai regimi di sorveglianza, come il controllo indipendente e i limiti al potere pubblico, sono le stesse di cui si occupa la Costituzione italiana quando definisce i confini dell’azione dello Stato nei confronti dei cittadini.