Perché molti cittadini indiani pensano che il loro governo stia cercando di vendere i propri dati sull’app Coronavirus

Il governo indiano sostiene che la maggior parte delle informazioni personali e sulla posizione degli utenti viene infine eliminata, ma i critici sostengono che la mancanza di leggi indiane sulla protezione dei dati espone milioni di persone a potenziali violazioni della privacy. Sono anche preoccupati che le informazioni personali possano essere vendute dal governo a società private o addirittura utilizzate per la sorveglianza al di là delle preoccupazioni di Covid-19.

Milioni di utenti

L’applicazione Aarogya Setu è stata sviluppata dal National Informatics Center, un’organizzazione ICT e di governance elettronica sotto il Ministero dell’Elettronica e dell’Information Technology, in collaborazione con esperti tecnici del settore privato e dal mondo accademico.

A differenza delle app di tracciamento dei contatti di molti altri paesi, Aarogya Setu utilizza i dati di posizione Bluetooth e GPS per monitorare i movimenti degli utenti delle app e la vicinanza ad altre persone.

Agli utenti viene chiesto di inserire il loro nome, numero di telefono, età, genere, professione e paesi che hanno visitato negli ultimi 30 giorni, nonché le loro condizioni di salute precedenti e un’autovalutazione di qualsiasi sintomo associato a Covid-19.

Un identificatore digitale univoco (DiD) viene generato per ogni utente, che viene utilizzato per tutte le transazioni future relative all’applicazione. Grazie al GPS, l’applicazione registra la posizione di ciascun utente ogni 15 minuti.

Quando due utenti registrati si trovano all’interno del raggio di azione Bluetooth, le loro applicazioni scambiano automaticamente DID e registrano l’ora e il luogo. Se qualcuno degli utenti risulta positivo a Covid-19, le informazioni vengono scaricate dal proprio telefono sul server del governo indiano e utilizzate per la traccia dei contatti.

A partire dal 1 ° giugno, Aarogya Setu aveva identificato 200.000 persone a rischio e 3.500 hotspot Covid-19, secondo lo sviluppatore principale Lalitesh Katragadda, fondatore di Indihood, una società privata che costruisce piattaforme di crowdsourcing a livello di popolazione e una delle compagnie private. volontari che hanno lavorato con le agenzie governative sull’app.

“Abbiamo un tasso di efficienza del 24%, ovvero il 24% di tutte le persone che hanno stimato Covid-19 a seguito dell’applicazione sono risultati positivi”, ha affermato Katragadda. Ciò significa che solo 1 persona su 4 raccomandata dall’app per ottenere un test è effettivamente positiva.

Subhashis Bannerjee, professore di informatica e ingegneria presso l’Indian Institute of Technology di Nuova Delhi, ha affermato che la combinazione di localizzazione Bluetooth e GPS avrebbe probabilmente restituito un tasso più elevato di falsi positivi e falsi negativi. Ad esempio, il GPS è spesso non disponibile o inaffidabile all’interno e il Bluetooth sopravvaluta i rischi in ampi spazi aperti, attraverso pareti e pavimenti, che le onde radio possono penetrare ma non il virus.

Garanzie del governo

Il governo indiano dichiara che sono stati integrati sufficienti parametri di privacy e protezione per garantire la cancellazione permanente dei dati dall’applicazione.

“Tutti i dati sulla posizione e sulla posizione dei contatti sul telefono vengono eliminati su un ciclo continuo di 30 giorni. Gli stessi dati sul server vengono eliminati 45 giorni dopo il download, a meno che tu non sia positivo. In questo caso, tutti La posizione e le informazioni sulla posizione di contatto vengono eliminate dopo 60 giorni dalla dichiarazione di guarigione “, ha affermato Abhishek Singh, CEO di MyGov presso il ministero dell’IT indiano.

“Non esiste alcun modo per verificare e verificare se la completa distruzione dei dati è avvenuta e se anche terze parti con cui i dati sono condivisi hanno distrutto anche questi”, ha affermato Apar Gupta, avvocato e direttore esecutivo di l ‘IFF.

In risposta alle richieste di maggiore trasparenza, il 27 maggio il governo indiano ha aperto il codice sorgente dell’app e ha annunciato un programma di bug bounty per indurre gli esperti di software a trovare falle nella sicurezza dell’app, correggere eventuali carenze, se necessario.

Il 1 ° giugno, Singh di MyGov ha dichiarato che il governo prevede di rilasciare il codice del server in poche settimane.

Tuttavia, Katragadda ha affermato che anche con il codice server, l’accesso alle informazioni sulla condivisione dei dati sarebbe limitato.

“Non sarà mai possibile vedere esattamente con chi sono condivisi i dati, perché per questo dovremo aprire l’intero governo”, ha detto.

Nessuna legge sulla protezione dei dati

La legge sulla protezione dei dati personali pone limiti al modo in cui i dati personali dei residenti vengono utilizzati, elaborati e memorizzati. Se approvato, il disegno di legge istituirà anche un nuovo organo di regolamentazione – l’autorità di protezione dei dati (DPA) – per monitorare la conformità. I critici affermano che il disegno di legge è imperfetto per una serie di motivi, incluso il fatto che consente al governo di esentare i suoi dipartimenti dalla legislazione sulla base della sicurezza nazionale.

Ma al momento, ci sono poche garanzie per i dati in India.

“Nessun quadro legislativo indica alcun livello ufficiale di responsabilità. Quindi, in caso di incidente di dati, non ci sarà alcuna penalità, non ci saranno garanzie”, ha detto Gupta.

“L’India ha sviluppato una strategia per vendere dati sui cittadini e quindi renderlo un prodotto rivendicando la proprietà dei dati personali indiani, il che è contrario al fondamentale diritto indiano alla privacy”, ha affermato Kodali, il tecnologo di interesse pubblico.

L’anno scorso, il governo Modi ha venduto i dati di immatricolazione dei veicoli e di patente di guida a 87 compagnie private per 65 milioni (circa 8,7 milioni di dollari) senza il consenso dei cittadini. Ciò ha provocato una reazione violenta da parte del partito di opposizione che ha messo in discussione le motivazioni del governo e il prezzo della vendita al Parlamento.

Nonostante il governo assicuri che tutti i dati di Aarogya Setu verranno cancellati, Katragadda ha dichiarato alla CNN Business che determinate informazioni sull’applicazione verranno automaticamente trasferite al National Health Stack (NHS). Il SSN è un registro sanitario basato su cloud, attualmente in fase di sviluppo, che includerà la storia medica dei cittadini, la copertura assicurativa e i reclami.

“Tutti i dati residui dall’app Aarogya Setu verranno automaticamente trasferiti nello stack sanitario nazionale nell’architettura di consenso, non appena lo stack sanitario entrerà in vigore”, ha affermato Katragadda.

I dati residui si riferiscono a tutti i dati che si trovano ancora sul server del governo nel momento in cui il servizio sanitario nazionale diventa attivo. Ciò include l’ubicazione, l’integrità e i dati personali che sono stati caricati sul server ma che non sono stati ancora cancellati entro i termini stabiliti dal governo, ha affermato Katragadda.

Non è stata fissata una data per la pubblicazione del Servizio sanitario nazionale, ma Gupta dell’IFF è nuovamente preoccupato che non esista un quadro giuridico per proteggere i dati.

“Anche se si ripete più volte che il consenso sarà la base della condivisione delle informazioni, è importante notare che nell’applicazione Aarogya Setu e nel SSN, il consenso è integrato nell’architettura che è un framework tecnico piuttosto che una chiara fonte di informazioni legali. autorità “.

Biglietto per muoversi

Come altri paesi che hanno introdotto un’applicazione di tracciamento dei contatti, l’India afferma che la tecnologia è vitale per prevenire la diffusione del virus. Al 22 giugno, il paese aveva confermato più di 410.000 casi e 13.254 morti.

I cittadini e gli attivisti temono anche lo slittamento della funzione dell’applicazione, il che significa che le informazioni ottenute tramite l’applicazione potrebbero essere collegate ad altri servizi.

“In passato, abbiamo visto che gli interventi tecnologici di questo governo, come il programma Aadhar, originariamente progettato per garantire a tutti un’identità digitale, sono diventati un sistema onnipresente”, ha affermato Gupta.

“Originariamente costruito per accedere ai sussidi e alle sovvenzioni del governo, è stato rapidamente incaricato di aprire conti bancari, utilizzare i numeri di cellulare e gestire la tua attività”.

Tuttavia, nel 2018, un giornalista ha scoperto una violazione della sicurezza che ha rivelato le informazioni personali dei cittadini. Il governo ha introdotto nuove misure di sicurezza, ma lo scandalo ha eroso la fiducia nella sua capacità di proteggere i dati.

Prima di allentare il suo ordine di download obbligatorio, l’India era l’unico paese democratico a costringere milioni di cittadini a scaricare l’app. Gli unici altri paesi a imporre un ordine simile erano la Turchia e la Cina. Gli attivisti affermano che è solo una preoccupazione.

“Quando si tratta di tecnologia e uso pubblico, la più grande democrazia del mondo si affida al libro di gioco cinese – usando la sicurezza nazionale o una crisi di salute pubblica per costruire un modello digitale per la raccolta dati, monitoraggio e sorveglianza “, ha affermato Vidushi Marda, un avvocato che lavora sulle tecnologie emergenti e sui diritti umani.

“Direi che questo tipo di architettura tecnica complessa non si verifica collettivamente in India, ma esiste il rischio che venga integrata su piattaforme come la National Health Stack”, ha affermato Gupta.