L'eccezione è già nella regola (comoda, pronta, col fiocco sopra)

Alla fine del 2019 un gruppo di ricercatori australiani stava somministrando un questionario abbastanza tranquillo. Volevano sapere quanto peso le persone danno a ciascun pezzo di un sistema di sorveglianza sanitaria: la protezione della privacy, la sicurezza dei dati, l'affidabilità delle informazioni, il numero di morti evitate, il rispetto dell'autonomia personale. Roba da questionario, in tempo di pace. Niente sirene, niente panico, niente gente in fila con la mascherina.

Poi, il 30 gennaio 2020, l'Organizzazione mondiale della sanità dichiara l'emergenza sanitaria internazionale. Il sondaggio però era ancora aperto. E così, per puro culo metodologico, i ricercatori si ritrovano in mano una cosa che nelle scienze sociali non capita quasi mai: lo stesso test, sulla stessa popolazione, prima e dopo uno shock. Settecentonovantatré risposte prima. Milleduecentoquindici dopo.

Il risultato è uno di quei dati che ti fanno dire: ah, quindi non me lo stavo immaginando.

Prima di tutto, cos'è quel numero, perché è il punto su cui poggia tutto il resto. Il questionario è un discrete choice experiment: mette le persone davanti a sistemi alternativi e da come scelgono ricava quanto pesa ciascuna caratteristica nella decisione. Le percentuali sono pesi relativi. Non dicono quanti australiani tengono alla libertà, dicono quanta parte della scelta è spiegata dalla libertà.

Detto questo. L'autonomia personale, cioè il non essere costretti, pesava il 2,4 per cento. Poco, pochissimo, già prima. In quattro settimane scende allo 0,3, che è come dire che smette di entrare nel conto. La privacy dei dati invece regge, dall'8,3 al 7,4. Le persone non hanno smesso di chiedersi chi guarda le loro cose. Hanno smesso di chiedersi se sono libere di dire di no.

E qui c'è la cosa grossa. In Australia, a febbraio 2020, non era ancora successo niente: nessun lockdown, nessun obbligo, nessuna app, nessun morto in numeri visibili. Non era arrivata la minaccia concreta. Era arrivata la parola.

«Emergenza». E già bastava.

Gli autori la mettono giù più educata, e vale la pena citarli per esteso: «l'accettazione pubblica della sorveglianza tecnologica delle malattie trasmissibili dipende dalla situazione. Durante un'epidemia è probabile una maggiore tolleranza verso sistemi che comportino restrizioni delle attività personali». Traduzione da bar: quando ci dicono che è un'emergenza, il cervello smette per un attimo di fare il sindacalista delle nostre libertà.

Il replay dopo l'11 settembre

Non è una cosa nuova, e la volta precedente l'abbiamo vista in diretta.

Il 28 settembre 2001, diciassette giorni dopo le Torri, il Consiglio di Sicurezza dell'ONU approva la Risoluzione 1373, sotto il Capitolo VII della Carta. Non consigliava agli Stati di aggiornare le leggi antiterrorismo: glielo imponeva. È l'unica volta nella storia in cui il Consiglio ha ordinato a tutti gli Stati membri di riscrivere la propria legislazione nazionale. Roba che normalmente non succede.

Nel decennio successivo, 144 paesi hanno scritto o riscritto leggi antiterrorismo. Human Rights Watch ne ha esaminate 130 nel dettaglio, e la conclusione, che è sua e non mia, è che tutte e 130 contenevano almeno una disposizione che apriva la porta ad abusi: definizioni di terrorismo larghe come un hangar, detenzioni più facili, poteri più comodi. Il rapporto documenta il loro uso contro giornalisti, manifestanti e oppositori politici. Un attentato in un paese ha riscritto il diritto penale del pianeta in dieci anni.

La parte divertente, divertente per modo di dire, sono le scadenze. Le sunset clause: tranquilli, vale solo fino alla data X. Negli Stati Uniti la Section 702, quella sulla sorveglianza estera, ne aveva una. È stata rinnovata nel 2012, nel 2018 e nell'aprile 2024. E l'ultimo giro non si è limitato a tenerla in vita: ha allargato la definizione di «fornitore di servizi» fino a comprendere chi si limita a dare accesso all'infrastruttura di comunicazione.

Quindi no, la scadenza non è sempre un freno. A volte è il tagliando, quello in cui ti montano pure un motore più grosso.

La gente torna indietro, le leggi se ne fregano

Qui c'è il pezzo interessante, ed è quello che a prima vista smonta tutto il ragionamento: gli americani, nel tempo, hanno cambiato idea.

In dieci anni sono tornati indietro di quindici punti, e nel 2011 la maggioranza si era ribaltata. Quindi non è vero che il pubblico diventa per forza sempre più docile. Passata la botta, la gente si riprende: riguarda il conto, capisce meglio cosa ha pagato, magari si incazza pure.

Le leggi invece restano lì, belle sedute. Il Patriot Act veniva rinnovato mentre il consenso per quello che autorizzava calava. Con una precisazione doverosa, perché è il punto in cui un lettore preparato ti ferma: il Patriot Act non è stato eterno. La Section 215, quella sulla raccolta dei tabulati, è scaduta nel 2015, è stata sostituita dallo USA Freedom Act e nel 2020 è decaduta sul serio. Il pezzo che invece non è mai caduto, e anzi si è allargato, è la Section 702. Il cricchetto non gira sempre. Gira abbastanza spesso.

Le opinioni sono elastiche. Le istituzioni sono plastica dura.

Il trucco è tutto qui: alle istituzioni non serve convincerti per sempre. Gli basta che tu molli la presa per il tempo necessario ad approvare una legge. Poi torni lucido, ma il cancello è già montato.

E alla crisi successiva non si riparte da zero. La macchina c'è già. Basta cambiare il cartello appeso sopra.

Il green pass non ha inventato niente. Ha fatto il collaudo.

Il COVID non ha inventato la sorveglianza, sia chiaro: quella esisteva eccome. Ha fatto una cosa più sottile, e per questo meno visibile.

Dopo l'11 settembre il cricchetto era scattato sull'osservazione: intercettare, raccogliere, analizzare. Il cittadino restava passivo, veniva guardato. Dopo il green pass è scattato sull'identificazione preventiva: il cittadino diventa attivo e deve esibire una credenziale digitale verificabile per fare cose ordinarie. Entrare. Lavorare. Comprare. Aprire un sito. La differenza è tutta qui: registrare vuol dire guardare dopo, controllare l'accesso vuol dire decidere adesso, davanti alla porta.

Il certificato verde è stato il primo sistema occidentale di massa in cui una credenziale digitale ha regolato l'accesso alla vita quotidiana. In Europa ne sono usciti oltre 2,3 miliardi. Non è stato un esperimento di sorveglianza: è stato un esperimento di controllo degli accessi. Ed è riuscito.

L'Italia poi ci ha messo del suo. Il decreto legge 127 del 2021 impose il green pass a tutti i lavoratori, pubblici e privati, dal 15 ottobre 2021: chi non era vaccinato si faceva il tampone ogni 48 ore e se lo pagava. Obblighi sul lavoro c'erano anche in Grecia e in Austria, ma nessuno spinse così a fondo il principio: una credenziale digitale come condizione per accedere al reddito.

Poi il certificato è scaduto. Il regolamento europeo è morto il 30 giugno 2023 e non è stato rinnovato. Conviene però guardare cosa era cresciuto intorno mentre scadeva.

Nessuna di quelle misure, dopo il 2023, è giustificata da un'emergenza sanitaria. Le giustificazioni sono cambiate tutte: minori, immigrazione, ordine pubblico, efficienza amministrativa. L'architettura no.

Un'avvertenza, senza fare i fenomeni col senno di poi: il quadro eIDAS è del 2014 e il portafoglio digitale europeo è stato proposto nel giugno 2021. L'agenda dell'identità digitale precede il COVID, e scrivere che il green pass l'ha causata sarebbe una fesseria verificabile in tre click. Il punto è un altro: 2,3 miliardi di certificati hanno dimostrato su scala continentale che quell'architettura si può fare, e che la gente, quando serve, la usa.

L'emergenza come modalità standard

Di solito, per sostenere che un'emergenza legittima poteri destinati a restare, bisogna argomentare. In un caso non serve, perché è scritto.

Regolamento UE 2024/2747, Internal Market Emergency and Resilience Act. Nome da film di fantascienza, sostanza molto concreta: un meccanismo permanente a tre stadi, contingenza, vigilanza, emergenza, per gestire le crisi del mercato interno. Il punto non è la struttura. È l'ambito di attivazione, che il regolamento elenca da sé: catastrofi naturali, emergenze sanitarie, shock economici, questioni di sicurezza. In pratica, ci sono parecchi modi per arrivare a dire «ragazzi, stavolta è eccezionale».

L'Unione ha preso l'architettura di governo costruita sotto il COVID e l'ha resa un regime generico, permanente, attivabile per una categoria aperta di crisi. Stessa logica sul lato sanitario: il regolamento 2371 del 2022 non è una misura d'emergenza, è la normalizzazione della capacità di dichiararla.

Il COVID ha smesso di essere l'eccezione. È diventato il tutorial.

Il set biometrico europeo

Nel frattempo l'Europa, un regolamento alla volta e senza che nessuno di questi atti venisse presentato come misura d'emergenza, ha montato un'infrastruttura biometrica continentale.

Regolamenti 817 e 818 del 2019, interoperabilità: nasce il Common Identity Repository, con matching biometrico condiviso fra sei banche dati, frontiere, visti, asilo, Schengen, casellari. Prüm II, aprile 2024: immagini facciali e schedari di polizia entrano nello scambio automatico transfrontaliero, dove prima viaggiavano solo DNA, impronte e targhe. Eurodac rifuso, in applicazione da giugno 2026: aggiunge le immagini facciali e abbassa l'età per la raccolta biometrica da 14 anni a 6. Entry Exit System, ottobre 2025: volto e impronte di ogni cittadino non europeo a ogni attraversamento della frontiera esterna, 29 paesi. ProtectEU, giugno 2025: la roadmap sull'accesso legale ai dati cifrati, con capacità di decrittazione di nuova generazione per Europol entro il 2030.

Ogni pezzo, preso da solo, ha la sua motivazione. Confini più ordinati. Indagini più rapide. Identificazione affidabile. Tutta roba che suona pure sensata. Il problema non è il singolo bullone: è quando alzi lo sguardo e vedi il motore intero.

Dentro l'impianto c'è poi una norma che dovrebbe leggere per intero chiunque pensi che il function creep, cioè raccogliere per una ragione e usare per un'altra, sia un incidente. La limitazione di finalità è il principio fondativo della protezione dei dati europea: quello che raccogli per X non lo usi per Y. La dottrina giuridica, commentando i regolamenti sull'interoperabilità, parla apertamente di «cambio di paradigma per la limitazione di finalità». E l'articolo 20 del regolamento 818 consente alle autorità di polizia di interrogare il repository comune al solo scopo di identificare una persona, per esempio quando questa non può, o rifiuta, di collaborare.

Non serve un reato. Può bastare non aver voglia di dire chi sei.

E non è paranoia da romanzo distopico. A gennaio 2021 il governo di Singapore ammise che i dati di TraceTogether, l'app di tracciamento dei contatti, erano accessibili alla polizia per indagini penali senza alcun legame con il COVID, e che erano già stati usati in un'indagine per omicidio. L'informativa pubblicata al lancio dell'app diceva un'altra cosa. Cambiare destinazione d'uso, fino al giorno in cui qualcuno se n'è accorto, era costato zero.

Lo scivolamento d'uso non è sempre un abuso sfuggito di mano. A volte è una funzionalità progettata, scritta bene e timbrata. L'Europa non ha subìto il function creep: lo ha codificato.

Il divieto con la porta laterale

L'AI Act vieta l'identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico a fini di polizia. E uno dice: bene, finalmente.

Poi legge le tre eccezioni. Ricerca mirata di vittime di rapimento, tratta, sfruttamento sessuale o di persone scomparse. Prevenzione di una minaccia specifica, sostanziale e imminente alla vita, terrorismo compreso. Identificazione di sospettati di reati gravi, puniti con almeno quattro anni.

Sono, punto per punto, le tre giustificazioni d'emergenza canoniche. E sono tutte ragioni serie: il punto non è fare spallucce davanti a bambini scomparsi o al terrorismo, ci mancherebbe. Il punto è che sono esattamente le ragioni che rendono più facile spalancare l'eccezione. Il divieto, quindi, non chiude una porta blindata: disegna già le uscite di sicurezza e lascia le chiavi in bacheca. E vale soltanto per le forze dell'ordine: soggetti privati e altri enti pubblici da quella norma non sono vincolati.

Non è più necessario invocare l'emergenza a posteriori per giustificare l'eccezione. L'eccezione è già scritta dentro la regola, in attesa che qualcuno la attivi.

Chat Control: novantasei giorni di respiro

Se vuoi vedere il meccanismo al rallentatore, senza doverlo ricostruire vent'anni dopo, guarda Chat Control.

Luglio 2021, il Parlamento europeo approva la deroga volontaria: i fornitori possono scansionare i messaggi privati. Misura temporanea, con scadenza. Maggio 2022, la Commissione propone di renderla obbligatoria. Novembre 2023, il Parlamento adotta un mandato che respinge la scansione obbligatoria. Novembre 2025, anche il Consiglio toglie l'obbligo di rilevamento dal proprio mandato e la scansione lato client esce dal testo: il cricchetto gira indietro. Marzo 2026, il Parlamento respinge la seconda proroga del regolamento interinale. 4 aprile 2026, il regolamento scade, e per la prima volta la scansione delle comunicazioni private non ha più una base giuridica.

Poi. 2 luglio 2026, il Consiglio ripresenta la stessa misura come proposta formalmente nuova. 7 luglio, il Parlamento la mette in procedura d'urgenza. 9 luglio, il tentativo di bloccarla fallisce. In vigore fino al 2028.

Novantasei giorni. Tanto è durata la vittoria. E nessuno ha dovuto rivincere l'argomento nel merito: è bastata la procedura.

La parte che dovrebbe far riflettere però è un'altra. La misura è tornata nonostante l'evidenza pubblica della sua inefficacia.

La polizia federale svizzera ha riferito che circa l'80 per cento delle segnalazioni generate automaticamente si rivela infondato. In Irlanda solo il 20 per cento di quelle ricevute nel 2020 è stato confermato. L'allora commissaria europea agli Affari interni ha dichiarato che il 75 per cento delle chat segnalate, circa 300.000 all'anno in Europa, non è azionabile. Tre fonti diverse, lo stesso ordine di grandezza: da quattro o cinque segnalazioni ne regge una.

Il criterio di valutazione, evidentemente, non è più «funziona?». È «quale emergenza la giustifica?».

Italia: la moratoria scade, il volto torna di moda

Il caso più limpido è aperto in questi giorni, e comincia con una tutela che nessuno ha abrogato.

Nel 2021 l'Italia introdusse una moratoria sui sistemi di riconoscimento facciale nei luoghi pubblici e aperti al pubblico. Fu prorogata fino al 31 dicembre 2025. Poi è scaduta. Senza dibattito, senza sostituzione, senza che nessun parlamentare dovesse votare per toglierla di mezzo. Non è stata abolita: è semplicemente finita.

Al suo posto è arrivato lo schema di decreto legislativo di attuazione dell'AI Act, approvato dal Consiglio dei ministri il 10 giugno 2026. L'articolo 10 disciplina il riconoscimento facciale a posteriori su materiale video e fotografico per identificare sospettati, e prevede la raccolta dei volti di chi accede a luoghi ed eventi pubblici in presenza di «esigenze di ordine pubblico». I perimetri indicati sono piazze, stazioni, stadi e percorsi dei cortei. Conservazione dei dati biometrici: sette giorni. Registri delle operazioni: cinque anni.

La beffa è quasi elegante. Un regolamento europeo nato anche per mettere limiti alla sorveglianza biometrica può diventare, nell'attuazione nazionale, il binario giuridico per farla passare. E non serve nemmeno un'emergenza dichiarata: bastano le esigenze di ordine pubblico.

Non è però una partita chiusa, e va detto perché la storia non è finita. Il 14 luglio il Garante per la protezione dei dati personali ha dato parere favorevole ma con rilievi pesanti, giudicando non coerente con l'AI Act la raccolta preventiva e generalizzata dei dati biometrici di chi accede a luoghi o eventi pubblici. Il 30 luglio la Commissione europea ha ricordato pubblicamente che il riconoscimento facciale negli spazi accessibili al pubblico è una pratica vietata, dichiarando di non voler consentire «un controllo pubblico e generalizzato sugli spostamenti quotidiani delle persone». Il voto in commissione alla Camera è stato rinviato, il governo ha replicato che l'Italia continuerà a rispettare le norme europee, il termine per l'adozione definitiva è il 10 ottobre. Bene: vuol dire che i freni esistono. Resta da vedere se qualcuno li usa davvero.

Intanto in Ungheria la polizia usa il riconoscimento facciale nei cortei dal 15 aprile 2025. Non è uno scenario immaginario: è il presente di uno Stato membro.

Non è tutto già scritto, per fortuna

Raccontarla come una marcia inarrestabile verso il controllo totale sarebbe propaganda al contrario. Alcune cose sono state fermate davvero, e sono istruttive proprio perché mostrano dove il meccanismo si inceppa.

La Corte Suprema israeliana ha dichiarato illegittimo l'uso dello Shin Bet, il servizio di sicurezza interna, per tracciare i contagiati, parlando esplicitamente di «china scivolosa» nell'impiego di «strumenti straordinari e dannosi» contro cittadini innocenti; il programma è stato chiuso nel marzo 2021. Il certificato COVID europeo è scaduto alla data prevista e non è stato rinnovato. In Germania i Länder hanno disdetto in blocco i contratti con l'app Luca. Nel Regno Unito il piano sull'identità digitale obbligatoria è stato annacquato, e il governo ha confermato che non servirà esibirla per ottenere un lavoro. Un decreto francese vieta ai sistemi di videosorveglianza di trattare dati biometrici, e la Corte costituzionale tedesca ha bocciato nel 2023 le norme sull'analisi automatizzata dei dati di polizia.

Quindi sì: si può fermare la singola misura, soprattutto quando ha un nome chiaro, una data e una faccia riconoscibile.

Quello che è più difficile da vedere, e quindi da smontare, è l'infrastruttura. Il certificato può morire; il modello, credenziale, verifica, accesso condizionato, può restare, cambiare nome e rientrare dalla finestra. Il portafoglio digitale che ne eredita la logica è obbligatorio per tutti gli Stati membri entro fine 2026.

Va detta anche la cosa che sta dall'altra parte del banco, perché è vera. Molte di queste norme hanno tutele tecniche serie. La verifica dell'età italiana è costruita sulla doppia anonimizzazione: chi rilascia la prova dell'età non sa per quale sito la rilascia, e il sito non riceve dati identificativi. Il portafoglio europeo è progettato per rivelare un attributo alla volta, non tutta la tua vita. Non è giusto far finta che siano dettagli inutili.

Però anche la migliore garanzia vive dentro una legge, e le leggi si riscrivono più facilmente di un'infrastruttura: lo stesso legislatore che le ha concesse può modificarle senza toccare un bullone di quello che sta sotto. E se per fare una cosa ordinaria devi identificarti, il cambio di abitudine è già avvenuto. Il resto sono impostazioni.

Il punto, alla fine

Non siamo necessariamente più assuefatti di vent'anni fa. I dati britannici, per esempio, dicono una cosa un po' più sottile: il consenso al sistema è cresciuto, la fiducia nel suo uso no.

E soprattutto il consenso si sgretola appena la misura diventa concreta.

Non è assuefazione. È qualcosa di più preciso: si approva il principio e si scopre il costo dopo. Ed è esattamente così che queste misure passano. Nessuno chiede mai «sei disposto a caricare un documento d'identità per aprire un social?». Si chiede «vuoi proteggere i bambini?». La domanda è giusta. È il pacchetto nascosto sotto che va guardato bene.

Il meccanismo, in soldoni, è questo. Arriva l'emergenza, o anche solo la sua dichiarazione, e per un po' il diritto a non essere costretti pesa meno. In quella finestra si costruiscono regole e strumenti. Poi l'emergenza passa, le persone tornano a ragionare normalmente, ma la struttura resta lì. Alla crisi successiva non devi convincere nessuno da capo: devi solo dare alla macchina una ragione nuova per accendersi. Bambini scomparsi. Terrorismo. Immigrazione irregolare. Ordine pubblico. Sono ragioni pesanti, mica sciocchezze. È proprio per questo che funzionano così bene.

Non serve nessun complotto perché questa cosa giri. Basta la differenza fra i tempi di una legge e i tempi di un'opinione.

Dopo l'11 settembre lo Stato ha guadagnato più diritto di guardare. Dopo il green pass noi abbiamo imparato a mostrarci. E la cosa davvero comoda, per chi costruisce questi sistemi, è che la seconda volta non deve più convincerci: la porta è già lì.

L'emergenza non cambia le leggi. Le leggi cambiano mentre l'emergenza distrae.