211service.com
All'interno della ricerca inaspettata della Cina per proteggere la privacy dei dati
Una nuova legge sulla privacy assomiglierebbe molto al GDPR europeo, ma limiterà la sorveglianza statale? 19 agosto 2020
Stefano Chow
Verso la fine dell'estate del 2016, Xu Yuyu ha ricevuto una chiamata che prometteva di cambiarle la vita. Le è stato detto che i suoi punteggi all'esame di ammissione all'università le erano valsi l'ammissione al dipartimento di inglese dell'Università di Poste e Telecomunicazioni di Nanchino. Xu viveva nella città di Linyi nello Shandong, una provincia costiera della Cina, a sud-est di Pechino. Veniva da una famiglia povera, singolarmente dipendente dal magro reddito di suo padre. Ma i suoi genitori avevano meticolosamente risparmiato per la sua retta; pochissimi dei suoi parenti erano mai stati al college.
Pochi giorni dopo, Xu ha ricevuto un'altra telefonata che le diceva che anche lei aveva ricevuto una borsa di studio. Per raccogliere i 2.600 yuan ($ 370), doveva prima depositare una quota di attivazione di 9.900 yuan nel suo conto universitario. Dopo aver richiesto un aiuto finanziario solo pochi giorni prima, ha trasferito il denaro al numero che le aveva dato il chiamante. Quella notte, la famiglia si è precipitata alla polizia per denunciare di essere stata truffata. Il padre di Xu in seguito disse che il suo più grande rimpianto era stato chiedere all'ufficiale se potevano ancora riavere i loro soldi. La risposta, probabilmente no, ha solo esacerbato la devastazione di Xu. Sulla via del ritorno ha avuto un infarto. Morì in ospedale due giorni dopo.
Questa storia faceva parte del nostro numero di settembre 2020
- Vedi il resto del problema
- sottoscrivi
Un'indagine ha stabilito che mentre la prima chiamata era stata autentica, la seconda proveniva da truffatori che avevano pagato un hacker per il numero di Xu, lo stato di ammissione e la richiesta di aiuto finanziario.
Per i consumatori cinesi fin troppo familiari con il furto dei propri dati, Xu è diventato un emblema. La sua morte ha suscitato una protesta nazionale per una maggiore protezione della privacy dei dati. Solo pochi mesi prima, l'Unione Europea aveva adottato il Regolamento generale sulla protezione dei dati (GDPR), un tentativo di dare ai cittadini europei il controllo su come vengono utilizzati i loro dati personali. Nel frattempo, Donald Trump stava per vincere le elezioni presidenziali americane, alimentato in parte da una campagna che si basava ampiamente sui dati degli elettori. Tali dati includevano dettagli su 87 milioni di account Facebook, ottenuti illecitamente dalla società di consulenza Cambridge Analytica. Le autorità di regolamentazione e gli studiosi di diritto cinesi hanno seguito da vicino questi eventi.
In Occidente, è opinione diffusa che né il governo cinese né i cinesi si preoccupino della privacy. I giganti della tecnologia statunitense esercitano questa presunta indifferenza per sostenere che le leggi sulla privacy onerose li metterebbero in una posizione di svantaggio competitivo per le aziende cinesi. Nella sua testimonianza al Senato del 2018 dopo lo scandalo Cambridge Analytica, il CEO di Facebook, Mark Zuckerberg, ha esortato le autorità di regolamentazione a non reprimere troppo le tecnologie come il riconoscimento facciale. Dobbiamo ancora fare in modo che le aziende americane possano innovare in quelle aree, ha affermato, altrimenti rimarremo indietro rispetto ai concorrenti cinesi e ad altri in tutto il mondo.
In realtà, questo quadro degli atteggiamenti cinesi nei confronti della privacy è obsoleto. Negli ultimi anni il governo cinese, cercando di rafforzare la fiducia e la partecipazione dei consumatori all'economia digitale, ha iniziato a implementare protezioni della privacy che per molti aspetti assomigliano a quelle in America e in Europa oggi.
Anche se il governo ha rafforzato la privacy dei consumatori, tuttavia, ha intensificato la sorveglianza statale. Utilizza campioni di DNA e altri dati biometrici, come il riconoscimento facciale e delle impronte digitali, per monitorare i cittadini in tutto il paese. Ha rafforzato la censura su Internet e sviluppato un sistema di credito sociale, che punisce i comportamenti che secondo le autorità indeboliscono la stabilità sociale. Durante la pandemia, ha implementato un sistema di app di codici sanitari per dettare chi poteva viaggiare, in base al rischio di portare il coronavirus. E ha utilizzato una serie di tecnologie di sorveglianza invasive nella sua dura repressione dei musulmani uiguri nella regione nord-occidentale dello Xinjiang.
Questo paradosso è diventato una caratteristica distintiva dell'emergente regime cinese di privacy dei dati, afferma Samm Sacks, uno dei principali studiosi cinesi a Yale e New America, un think tank a Washington, DC. Sorge una domanda: un sistema può resistere con forti tutele per la privacy dei consumatori, ma quasi nessuna contro i ficcanaso del governo? La risposta non riguarda solo la Cina. Le sue società tecnologiche hanno un'impronta sempre più globale e le autorità di regolamentazione di tutto il mondo stanno osservando le sue decisioni politiche.
Il novembre 2000 segna probabilmente la nascita del moderno stato di sorveglianza cinese. Quel mese, il Ministero della Pubblica Sicurezza, l'agenzia governativa che sovrintende alle forze dell'ordine quotidiane, ha annunciato un nuovo progetto in una fiera a Pechino. L'agenzia prevedeva un sistema nazionale centralizzato che avrebbe integrato la sorveglianza fisica e digitale utilizzando la tecnologia più recente. Si chiamava Scudo d'Oro.
Desiderose di incassare, le società occidentali, tra cui il conglomerato americano Cisco, il gigante finlandese delle telecomunicazioni Nokia e la canadese Nortel Networks, hanno collaborato con l'agenzia in diverse parti del progetto. Hanno aiutato a costruire un database nazionale per archiviare informazioni su tutti i cinesi adulti e hanno sviluppato un sofisticato sistema per controllare il flusso di informazioni su Internet, quello che sarebbe poi diventato il Great Firewall. Gran parte delle apparecchiature coinvolte era già stata standardizzata per facilitare la sorveglianza negli Stati Uniti, una conseguenza del Communications Assistance for Law Enforcement Act del 1994.
Il governo cinese ha iniziato a implementare protezioni della privacy che assomigliano a quelle in America e in Europa oggi.
Nonostante l'equipaggiamento standardizzato, il progetto Golden Shield è stato ostacolato da silos di dati e guerre per il territorio all'interno del governo cinese. Nel tempo, la ricerca da parte del ministero di un sistema unico e unificato si è trasformata in due operazioni separate: un sistema di sorveglianza e database, dedicato alla raccolta e all'archiviazione di informazioni, e il sistema di credito sociale, a cui partecipano circa 40 dipartimenti governativi. Quando le persone lo fanno ripetutamente cose che non sono consentite, dal jaywalking alla corruzione negli affari, il loro punteggio di credito sociale diminuisce e possono essere bloccati da cose come l'acquisto di biglietti del treno e dell'aereo o la richiesta di un mutuo.
Nello stesso anno il Ministero della Pubblica Sicurezza ha annunciato Golden Shield, Hong Yanqing è entrata nell'università di polizia del ministero a Pechino. Ma dopo sette anni di formazione, dopo aver conseguito la laurea e il master, Hong ha iniziato a ripensarci su come diventare un poliziotto. Fece invece domanda per studiare all'estero. Nell'autunno del 2007 si era trasferito nei Paesi Bassi per iniziare un dottorato di ricerca in diritto internazionale dei diritti umani, approvato e sovvenzionato dal governo cinese.
Nei quattro anni successivi, ha familiarizzato con la pratica legale occidentale attraverso la sua ricerca di dottorato e una serie di tirocini presso organizzazioni internazionali. Ha lavorato presso l'Organizzazione internazionale del lavoro sulla legge sulla discriminazione sul posto di lavoro e l'Organizzazione mondiale della sanità sulla sicurezza stradale in Cina. È una cultura molto legalistica in Occidente, questo mi colpisce davvero. Sembra che le persone vadano spesso in tribunale, dice. Ad esempio, per la legge sui diritti umani, la maggior parte dei libri di testo riguarda i casi significativi in tribunale che risolvono questioni relative ai diritti umani.
Hong ha trovato questo stranamente inefficiente. Ha visto il ricorso in tribunale come l'ultima risorsa per riparare le inadeguatezze della legge, non uno strumento principale per stabilirla in primo luogo. Secondo lui, una legislazione realizzata in modo più completo e con una maggiore previdenza avrebbe ottenuto risultati migliori rispetto a un sistema rattoppato attraverso un accumulo casuale di giurisprudenza, come negli Stati Uniti.
Dopo la laurea, ha riportato queste idee a Pechino nel 2012, alla vigilia dell'ascesa alla presidenza di Xi Jinping. Hong ha lavorato al Programma di sviluppo delle Nazioni Unite e poi come giornalista per il People's Daily, il più grande quotidiano cinese, di proprietà del governo.
Xi iniziò ad ampliare rapidamente la portata della censura governativa. Commentatori influenti, o Big V, così chiamati per i loro account verificati sui social media, si erano sentiti a proprio agio nel criticare e ridicolizzare il Partito Comunista Cinese. Nell'autunno del 2013, il partito ha arrestato centinaia di microblogger per quello che ha descritto come un malizioso spaccio di voci e ne ha presentato uno particolarmente influente alla televisione nazionale per fare di lui un esempio.
Il momento ha segnato l'inizio di una nuova era di censura. L'anno successivo fu fondata la Cyberspace Administration of China. La nuova agenzia centrale era responsabile di tutto ciò che riguardava la regolamentazione di Internet, compresa la sicurezza nazionale, la censura dei media e del parlato e la protezione dei dati. Hong ha lasciato il People's Daily ed è entrato a far parte del dipartimento degli affari internazionali dell'agenzia. Lo ha rappresentato alle Nazioni Unite e in altri organismi globali e ha lavorato alla cooperazione in materia di sicurezza informatica con altri governi.
Entro luglio 2015, la Cyberspace Administration aveva pubblicato una bozza della sua prima legge. La legge sulla sicurezza informatica, entrata in vigore nel giugno del 2017, richiedeva alle aziende di ottenere il consenso delle persone per raccogliere le proprie informazioni personali. Allo stesso tempo, ha inasprito la censura su Internet vietando gli utenti anonimi, una disposizione applicata dalle regolari ispezioni governative sui dati dei fornitori di servizi Internet.
Nella primavera del 2016, Hong ha cercato di tornare nel mondo accademico, ma l'agenzia gli ha chiesto di restare. La legge sulla sicurezza informatica aveva volutamente lasciato nel vago la regolamentazione della protezione dei dati personali, ma le violazioni e il furto dei dati dei consumatori avevano raggiunto livelli insopportabili. Uno studio del 2016 dell'Internet Society of China ha rilevato che l'84% degli intervistati ha subito una perdita di dati, inclusi numeri di telefono, indirizzi e dettagli del conto bancario. Ciò stava stimolando una crescente sfiducia nei confronti dei fornitori di servizi digitali che richiedevano l'accesso a informazioni personali, come app di trasporto merci, consegne di cibo e finanziarie. La morte di Xu Yuyu ha versato olio sulle fiamme.
Il governo temeva che tali sentimenti avrebbero indebolito la partecipazione all'economia digitale, che era diventata una parte centrale della sua strategia per sostenere il rallentamento della crescita economica del Paese. L'avvento del GDPR ha anche fatto capire al governo che i giganti della tecnologia cinese avrebbero bisogno di soddisfare le norme globali sulla privacy per espandersi all'estero.
Hong è stato incaricato di una nuova task force che avrebbe scritto una specifica per la protezione delle informazioni personali (PIPS) per aiutare a risolvere queste sfide. Il documento, sebbene non vincolante, racconterebbe alle aziende come le autorità di regolamentazione intendessero attuare la legge sulla sicurezza informatica. Nel processo, sperava il governo, li avrebbe spinti ad adottare da soli nuove norme per la protezione dei dati.
La task force di Hong si è impegnata a tradurre in cinese tutti i documenti pertinenti che potevano trovare. Hanno tradotto le linee guida sulla privacy emanate dall'Organizzazione per la cooperazione e lo sviluppo economico e dalla sua controparte, la Cooperazione economica Asia-Pacifico; hanno tradotto il GDPR e il California Consumer Privacy Act. Hanno persino tradotto la Carta dei diritti dei consumatori della Casa Bianca del 2012, introdotta dall'amministrazione Obama ma mai trasformata in legge. Nel frattempo, Hong ha incontrato regolarmente autorità di regolamentazione e studiosi europei e americani per la protezione dei dati.
A poco a poco, dai documenti e dalle consultazioni, è emersa una scelta generale. La gente diceva, in termini molto semplicistici, 'Abbiamo un modello europeo e il modello statunitense', ricorda Hong. I due approcci divergevano sostanzialmente nella filosofia e nell'attuazione. Quale seguire è diventato il primo dibattito della task force.
Al centro del modello europeo c'è l'idea che le persone hanno un diritto fondamentale alla protezione dei propri dati. Il GDPR pone l'onere della prova sui raccoglitori di dati, come le aziende, per dimostrare perché hanno bisogno dei dati. Al contrario, il modello statunitense privilegia l'industria rispetto ai consumatori. Le aziende definiscono da sole ciò che costituisce una raccolta di dati ragionevole; i consumatori possono solo scegliere se utilizzare quell'attività. Anche le leggi sulla protezione dei dati sono molto più frammentarie che in Europa, suddivise tra regolatori di settore e stati specifici.
Un addetto al controllo delle epidemie controlla le temperature delle persone in fila per essere testate per il covid-19 nel distretto di Xicheng, nel centro di Pechino.
KEVIN FRAYER/GETTY IMMAGINIAll'epoca, senza una legge centrale o un'unica agenzia preposta alla protezione dei dati, il modello cinese assomigliava di più a quello americano. La task force, tuttavia, ha ritenuto convincente l'approccio europeo. La struttura delle regole europee, l'intero sistema, è più chiara, afferma Hong.
Ma la maggior parte dei membri della task force erano rappresentanti di giganti tecnologici cinesi, come Baidu, Alibaba e Huawei, e ritenevano che il GDPR fosse troppo restrittivo. Quindi hanno adottato i suoi tratti generali, compresi i suoi limiti alla raccolta dei dati e i suoi requisiti sull'archiviazione e l'eliminazione dei dati, e quindi hanno allentato parte del suo linguaggio. Il principio della minimizzazione dei dati del GDPR, ad esempio, sostiene che solo i dati necessari dovrebbero essere raccolti in cambio di un servizio. PIPS lascia spazio ad altre raccolte di dati rilevanti per il servizio fornito.
PIPS è entrato in vigore a maggio 2018, lo stesso mese in cui il GDPR è finalmente entrato in vigore. Ma mentre i funzionari cinesi hanno assistito allo sconvolgimento degli Stati Uniti per lo scandalo di Facebook e Cambridge Analytica, si sono resi conto che un accordo non vincolante non sarebbe stato sufficiente. La legge sulla sicurezza informatica non disponeva di un meccanismo forte per far rispettare la protezione dei dati. Le autorità di regolamentazione possono multare i trasgressori solo fino a 1.000.000 di yuan ($ 140.000), un importo irrilevante per le grandi aziende. Subito dopo, l'Assemblea nazionale del popolo, il principale organo legislativo della Cina, ha votato per iniziare a redigere una legge sulla protezione delle informazioni personali entro il suo attuale periodo legislativo di cinque anni, che termina nel 2023. Rafforzerebbe le disposizioni sulla protezione dei dati, prevede sanzioni più severe e potenzialmente creare una nuova agenzia di contrasto.
Dopo Cambridge Analytica, afferma Hong, l'agenzia governativa ha capito: 'Okay, se non si implementano o non si applicano davvero queste regole sulla privacy, si potrebbe avere un grave scandalo, che influisca anche su questioni politiche'.
L'indagine della polizia locale sulla morte di Xu Yuyu alla fine ha identificato i truffatori che l'avevano chiamata. Era stata una banda di sette persone che aveva truffato molte altre vittime per oltre 560.000 yuan utilizzando informazioni personali ottenute illegalmente. La corte ha stabilito che la morte di Xu era stata il risultato diretto dello stress per la perdita dei risparmi della sua famiglia. Per questo motivo, e per il suo ruolo nell'orchestrare decine di migliaia di altre telefonate, il capobanda, Chen Wenhui, 22 anni, è stato condannato all'ergastolo. Gli altri hanno ricevuto condanne tra i tre ei 15 anni.
Incoraggiati, i media e i consumatori cinesi hanno iniziato a criticare più apertamente le violazioni della privacy. Nel marzo 2018, il CEO del gigante della ricerca su Internet Baidu, Robin Li, ha suscitato indignazione sui social media dopo aver suggerito che i consumatori cinesi erano disposti a scambiare la privacy con sicurezza, comodità o efficienza. Nonsense, ha scritto un utente di social media, poi citato dal People's Daily. È più esatto dire che [è] impossibile difendere la [nostra privacy] in modo efficace.
Alla fine di ottobre 2019, gli utenti dei social media hanno espresso ancora una volta rabbia dopo che le foto hanno iniziato a circolare di studenti di una scuola che indossavano fasce per il monitoraggio delle onde cerebrali, presumibilmente per migliorare la concentrazione e l'apprendimento. L'autorità educativa locale alla fine è intervenuta e ha detto alla scuola di smettere di usare le fasce perché violavano la privacy degli studenti. Una settimana dopo, un professore di diritto cinese ha citato in giudizio uno zoo della fauna selvatica di Hangzhou per aver sostituito il suo sistema di accesso basato sulle impronte digitali con il riconoscimento facciale, affermando che lo zoo non aveva ottenuto il suo consenso per la memorizzazione della sua immagine.
Ma la crescente sensibilità del pubblico alle violazioni della privacy dei consumatori non ha portato a molti limiti alla sorveglianza statale, e nemmeno a un controllo su di essa. Come sottolinea Maya Wang, ricercatrice di Human Rights Watch, ciò è in parte dovuto al fatto che la maggior parte dei cittadini cinesi non conosce la portata o la portata delle operazioni del governo. In Cina, come negli Stati Uniti e in Europa, esistono ampie esenzioni per la sicurezza pubblica e nazionale alle leggi sulla privacy dei dati. La legge sulla sicurezza informatica, ad esempio, consente al governo di richiedere dati da attori privati per assistere nelle indagini legali penali. Il Ministero della Pubblica Sicurezza inoltre accumula direttamente enormi quantità di dati sugli individui. Di conseguenza, la privacy dei dati nell'industria può essere rafforzata senza limitare in modo significativo l'accesso dello stato alle informazioni.
L'inizio della pandemia, tuttavia, ha turbato questo instabile equilibrio.
L'11 febbraio, Ant Financial, un gigante della tecnologia finanziaria con sede a Hangzhou, una città a sud-ovest di Shanghai, ha rilasciato una piattaforma per la creazione di app chiamata AliPay Health Code. Lo stesso giorno, il governo di Hangzhou ha rilasciato un'app che aveva creato utilizzando la piattaforma. L'app Hangzhou ha chiesto alle persone di segnalare autonomamente le proprie informazioni di viaggio e sanitarie, quindi ha fornito loro un codice colore rosso, giallo o verde. Improvvisamente ai 10 milioni di residenti di Hangzhou è stato richiesto di mostrare un codice verde per prendere la metropolitana, fare la spesa o entrare in un centro commerciale. Entro una settimana, i governi locali di oltre 100 città hanno utilizzato AliPay Health Code per sviluppare le proprie app. Il gigante della tecnologia rivale Tencent ha rapidamente seguito la propria piattaforma per costruirli.
Le app hanno reso visibile un livello preoccupante di sorveglianza statale e hanno acceso una nuova ondata di dibattito pubblico. A marzo, Hu Yong, professore di giornalismo all'Università di Pechino e influente blogger su Weibo, ha affermato che la raccolta di dati sulla pandemia da parte del governo aveva oltrepassato il limite. Non solo ha portato a casi di furto di informazioni, ha scritto, ma ha anche aperto la porta all'utilizzo di tali dati oltre il loro scopo originale. La storia ha mai dimostrato che una volta che il governo ha strumenti di sorveglianza, manterrà modestia e cautela quando li utilizza? chiese.
La storia ha mai dimostrato che una volta che il governo dispone degli strumenti di sorveglianza, manterrà la modestia e la cautela nell'usarli?'
In effetti, alla fine di maggio, i documenti trapelati hanno rivelato i piani del governo di Hangzhou per creare un'app di codice sanitario più permanente che darebbe un punteggio ai cittadini su comportamenti come l'esercizio fisico, il fumo e il sonno. Dopo una protesta pubblica, i funzionari della città hanno annullato il progetto. Probabilmente i media statali avevano anche pubblicato storie che criticavano l'app.
Il dibattito è arrivato rapidamente al governo centrale. Quel mese, il Congresso nazionale del popolo ha annunciato l'intenzione di accelerare la legge sulla protezione delle informazioni personali. La portata dei dati raccolti durante la pandemia ha reso più urgente un'applicazione rigorosa, hanno affermato i delegati, e ha evidenziato la necessità di chiarire l'ambito delle procedure di raccolta e cancellazione dei dati del governo durante le emergenze speciali. A luglio, l'organo legislativo aveva proposto un nuovo rigoroso processo di approvazione a cui sottoporre le autorità governative prima di raccogliere dati dalle piattaforme del settore privato. Il linguaggio rimane di nuovo vago, da approfondire in seguito, forse attraverso un altro documento non vincolante, ma questa mossa potrebbe segnare un passo verso la limitazione dell'ampia portata delle esenzioni governative esistenti per la sicurezza nazionale, hanno scritto Sacks e altri studiosi cinesi di New America.
Allo stesso modo, Hong ritiene che la discrepanza tra le regole che disciplinano l'industria e la raccolta dei dati del governo non durerà e il governo inizierà presto a limitare il proprio ambito. Non possiamo semplicemente rivolgerci a un attore lasciando fuori l'altro, dice. Non sarebbe un approccio molto scientifico.
Altri osservatori non sono d'accordo. Il governo potrebbe facilmente compiere sforzi superficiali per affrontare il contraccolpo dell'opinione pubblica contro la raccolta di dati visibili senza toccare davvero il nucleo delle operazioni nazionali del Ministero della pubblica sicurezza, afferma Wang, di Human Rights Watch. Aggiunge che qualsiasi legge verrebbe probabilmente applicata in modo non uniforme: nello Xinjiang, i musulmani turchi non hanno voce in capitolo su come vengono trattati.
Tuttavia, Hong rimane un ottimista. A luglio, ha iniziato un lavoro come insegnante di giurisprudenza presso l'Università di Pechino e ora gestisce un blog sulla sicurezza informatica e sui problemi dei dati. Mensilmente, incontra una comunità in erba di responsabili della protezione dei dati in Cina, che osservano attentamente come si sta evolvendo la governance dei dati in tutto il mondo.
Aggiornare: Ulteriori citazioni sono state aggiunte al pezzo.