Ai sensi dell’art. 8 della Carta dei diritti fondamentali dell’Unione europea, il diritto alla protezione dei dati personali è un diritto fondamentale dell’individuo, oggi tutelato dal Regolamento 2016/679 del Parlamento europeo e del Consiglio, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali; in aggiunta, questo diritto è protetto da vari altri atti normativi italiani e internazionali e dal Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196).

Se pensiamo anche solo per un attimo alle dozzine di e-mail che riceviamo ogni giorno, contenenti la richiesta di rinnovo del consenso sul trattamento dei dati personali (che non sapevamo nemmeno di avere dato la prima volta), ci possiamo rendere conto di quanto, effettivamente, la nostra privacy – o addirittura la nostra identità – sia a rischio. Il numero di persone che si preoccupa della protezione dei propri dati è per fortuna crescente; tuttavia è altrettanto crescente il numero di applicazioni, strumenti e istituzioni che tentano di carpire informazioni delicate da sfruttare per controllare le masse.

La nuova legislazione, che regola il trattamento di qualsiasi dato personale e che prevede multe milionarie per i trasgressori, sostituisce una direttiva datata 1995, quindi risalente al periodo in cui Google, le reti sociali e gli smartphones non esistevano ancora.

Questo rinnovo era dunque chiaramente necessario e inevitabile. E’ per questo motivo che si tratta di un cambio normativo che non è passato inosservato.

Cosa comporta, in concreto, questa evoluzione normativa?

Innanzitutto, il consenso per l’uso dei dati deve adesso essere inequivoco e verificabile, e non più tacito come accadeva prima. Inoltre, nel caso di una breccia nel sistema, è necessario informare gli utenti sull’eventuale fuga di dati. Il regolamento include poi il diritto all’oblio, che impedisce la diffusione di informazioni personali a mezzo internet qualora i requisiti di pubblicazione non siano soddisfatti

Se grazie a questo rinnovo la protezione dei nostri dati sembra essere avanzata di qualche metro nel lungo percorso della sicurezza, la salvaguardia della nostra identità è invece un tasto ancora dolente. E’ in questo contesto che vorrei presentarvi il progetto BrightID , cui pilastro fondamentale è il concetto di identità univoca e che potrebbe in un futuro non troppo remoto rappresentare una buona soluzione al problema degli account fake.

BrightID è basato sul sistema DAO, rientra infatti tra le organizzazioni autonome decentralizzate che sfruttano la piattaforma Aragon sulla blockchain di Ethereum.

Un individuo, un account

Generalmente, un’identità digitale – che permette al proprio utente di accedere all’insieme di risorse di un sistema informatico previa registrazione – consiste nella ormai nota combinazione di username e password, quindi nelle cosiddette credenziali di autenticazione. Tuttavia, essendo altrettanto risaputo che questo processo di autenticazione è facilmente aggirabile, si è optato per un sistema definito a più fattori o multi-fattoriale, quindi basato anche su altri elementi che rendano la stessa autenticazione maggiormente sicura. Chiaramente, maggiore sarà la complessità della transazione, più consolidata dovrà essere l’identità digitale.

Ciononostante, quanto detto finora non elimina due dei rischi più comuni del web: per prima cosa non ci assicura, infatti, che non possa essere creato un secondo account con il nostro nome, e perfino la nostra foto, senza che ne fossimo al corrente. In altre parole, non ci tutela dal rischio di furto di identità. Secondariamente, un utente potrebbe creare volontariamente più account per beneficiare più volte di determinate agevolazioni che in realtà dovrebbero essere concesse solo una volta.

BrightID si propone quindi di affrontare e risolvere il problema di un’identificazione unica, garantendo all’individuo la sicurezza assoluta sulla protezione dell’identità digitale attraverso un’applicazione che permetta di essere riconosciuto come utente unico. Ciò che distingue il progetto da tutti gli altri è che quanto detto avviene senza la richiesta di raccolta e utilizzo dei dati personali.

Come si usa BrightID?

Gli usi principali di BrightID sono due: aiutare gli utenti a ottenere lo status di verificati come individui unici, per poi sfruttare la stessa verifica per connettersi ad app che offrano loro ulteriori vantaggi per il solo fatto di essere verificati come unici. Ad esempio BrightID, è un buon caso d’uso per applicazioni che possono potenzialmente includere chiunque ma vogliono essere in grado di limitarne l’uso a un utente per persona.

La verifica di un’identità non avviene attraverso documenti, bensì tramite i collegamenti con i contatti personali di fiducia. In linea di massima il concetto è simile a quello di social network, dal momento che si creano connessioni e gruppi. La differenza risiede però nel fatto che in BrightID le connessioni e i gruppi hanno il fine unico di dimostrare la veridicità di un determinato account.

La modalità usata per stabilire l’affidabilità di un utente è data da un sistema di punteggio individuale chiamato punteggio BrightID, che le applicazioni adottano come valutazione per stabilire se un utente ha un solo account nel proprio sistema. In una scala da 0 a 99,99, più alto è il punteggio, maggiore sarà la probabilità che l’utente in quel sistema o in quell’applicazione disponga di un unico account; solo quell’account gli consente quindi di sbloccare determinate funzioni. Viceversa un punteggio basso è indicatore di account duplicato o falso che deve essere immediatamente bloccato dall’uso dell’app. Ogni App può avere un requisito di punteggio differente.

Con quali criteri viene assegnato un punteggio?

Al momento della registrazione, in cui sarà necessario inserire una foto e un nome identificativi, il punteggio attributo sarà pari a 0. Per prima cosa dunque sarà necessario iniziare a effettuare delle connessioni scansionando i QR code delle persone effettivamente conosciute e già registrate sulla piattaforma. Questi codici – che una volta generati possono essere utilizzati solo una volta – permettono di acquisire il punteggio necessario per essere riconosciuti come utenti verificati; allo stesso modo, anche far parte di un gruppo aiuta a far crescere il punteggio. Tuttavia, accedere a un gruppo potrebbe rivelarsi più ostico rispetto alla creazione di connessioni, in quanto requisito fondamentale è la conoscenza di almeno il 50% dei partecipanti. In alternativa si potrebbe dunque procedere alla creazione di un nuovo gruppo, dove sarà però obbligatorio nominare due cofondatori.

Sebbene tutto ciò possa apparire come un gioco, lo scopo che il progetto si propone è serio e preciso: capire se dietro un account ci sia o no una persona reale. Infatti, ogni gruppo offre la possibilità di vedere le connessioni degli utenti, quindi la loro evoluzione, permettendo con totale trasparenza di osservare l’andamento delle connessioni. Da qui, sulla base delle connessioni e della loro veridicità, ciascun gruppo sarà inserito in un grafico di gruppi reali. Qualora il gruppo di cui si fa parte dovesse non trovarsi all’interno di questo grafico, dovremmo sentire un campanello d’allarme: il nostro gruppo, infatti, rientra tra quelli potenzialmente falsi; è quindi da tenere sott’osservazione, per poi eventualmente bloccarne gli account partecipanti.

Conclusione

Il riconoscimento come persona unica da parte di un sistema potrebbe avere sviluppi pratici importanti per il futuro che ci attende. Ad esempio, pensiamo non solo all’eliminazione dei milioni di bot che inquinano le piattaforme social, ma anche e soprattutto alla possibilità in cui, essendo tutti verificati, sarà allora possibile garantire un voto democratico digitale, o ancora effettuare una distribuzione di redditi o benefici in forma realmente equa.

Tante sono le cose da fare ma seguendo la strada dell’innovazione è necessario pensare a forme alternative al possesso dei nostri dati da parte di autorità centrali.