Il controllo non nasce con il digitale

Nel 1803 la Francia del Consolato rese obbligatorio il livret ouvrier, un libretto che ogni lavoratore subordinato doveva portare con sé e consegnare al datore di lavoro a ogni nuovo impiego.
Sulla carta serviva a formalizzare il rapporto di lavoro e a contenere quella che allora veniva percepita come un’emergenza sociale, la manodopera vagante e priva di fissa occupazione.

Nei fatti il libretto vincolava l’operaio al padrone fino a quando questi non ne autorizzava il rilascio, nelle controversie la parola del datore prevaleva per presunzione di legge su quella del lavoratore e per trasferirsi in un altro comune serviva comunque il visto di un sindaco o di un funzionario di polizia.

Ci vollero ottantasette anni e una mobilitazione operaia che attraversò l’intero Ottocento, dalle prime rivendicazioni del 1868 alla legge abrogativa del 2 luglio 1890, prima che lo Stato rinunciasse a uno strumento presentato come regolazione amministrativa del mercato del lavoro e funzionante, nella pratica quotidiana, come controllo sulla libertà di movimento di chi lavorava.

Non si tratta di equiparare un libretto operaio ottocentesco e una carta d’identità europea, le finalità originarie restano incommensurabili e i gradi di gravità pure. Quello che li accomuna è una dinamica più ristretta e più verificabile, a volte il controllo è già scritto nel disegno dello strumento fin dall’origine e il linguaggio amministrativo serve solo a renderlo presentabile, a volte si accumula nel tempo mentre lo scopo dichiarato resta identico sulla carta.

Non è un’invenzione del Novecento totalitario, che pure ne ha offerto gli esempi più estremi, con un salto di scala e di gravità che va riconosciuto subito.

Censimenti e forme di registrazione della popolazione esistevano già da secoli, ma risale almeno al Concilio di Trento, quando nel 1563 le parrocchie furono obbligate a registrare battesimi e matrimoni, per garantire la certezza dei sacramenti e dei legami familiari, esigenza pastorale che diventò nei secoli successivi l’ossatura dell’anagrafe civile, e quindi del censimento moderno.

Il caso più documentato di questa deriva resta quello tedesco degli anni Trenta, quando l’amministrazione del Terzo Reich si avvalse, fin dal censimento del 1933, delle macchine a schede perforate Hollerith, prodotte dalla filiale tedesca di IBM nota come Dehomag, per realizzare censimenti sempre più dettagliati e mirati della popolazione ebraica.

La tecnologia statistica era nata per contare, non per cacciare.

---

Negli ultimi anni l’Europa ha messo in campo almeno cinque strumenti che riproducono, in versione digitale, la stessa traiettoria.

Il Green Pass è nato nel 2021 come certificazione sanitaria, pensata per attestare la copertura vaccinale o la guarigione dal contagio e consentire una ripresa controllata della circolazione delle persone in un momento di emergenza sanitaria conclamata.
Nel giro di pochi mesi è diventato, attraverso una sequenza di decreti-legge successivi e non per prassi amministrativa informale, il prerequisito per accedere a ristoranti, mezzi di trasporto, luoghi di lavoro, un’estensione di scopo legittima a ogni singolo passaggio normativo e tuttavia significativa nel suo complesso, perché il principio di proporzionalità tra mezzo e fine e quello di temporaneità che dovrebbe accompagnare ogni misura emergenziale restano criteri di valutazione giuridica indipendenti da come ciascun passaggio sia stato deciso nel merito politico.

Lo stesso schema, applicato a uno strumento all’apparenza più innocuo, vale per la Carta d’Identità Elettronica, che ha seguito una traiettoria simile pur restando, sulla carta, un semplice documento di riconoscimento.
Introdotta per sostituire il vecchio documento cartaceo e dotarlo di un chip capace di autenticazione forte, la CIE è diventata negli anni il nodo attorno a cui si sta costruendo l’identità digitale del cittadino italiano, dall’accesso ai servizi pubblici fino alle funzioni che un tempo erano appannaggio quasi esclusivo dello SPID.
Più funzioni convergono su un unico documento, più quel documento cessa di essere soltanto uno strumento di riconoscimento e diventa un punto di osservazione privilegiato sulla vita di chi lo possiede, una preoccupazione di proporzionalità e minimizzazione che la stessa Autorità Garante per la protezione dei dati personali ha richiamato più volte, senza che questo abbia fin qui rallentato il processo di accentramento delle funzioni.

Un meccanismo diverso ma una dinamica identica attraversa la vicenda di Chat Control, il nome con cui è nota la proposta europea sulla prevenzione e il contrasto all’abuso sessuale sui minori online, uno dei reati più gravi che un ordinamento possa perseguire, e proprio per questo un caso che mette alla prova la tesi nel modo più severo, una finalità nobile non elimina la necessità di limiti strutturali, semmai la rende più urgente.
La deroga temporanea introdotta nel 2021 e prorogata nel 2024, che autorizzava le piattaforme a scansionare volontariamente i messaggi alla ricerca di materiale pedopornografico, è scaduta il 3 aprile 2026 perché Parlamento e Consiglio non hanno trovato un’intesa né per rinnovarla né per approvare in tempo il regolamento definitivo.
Da allora la base giuridica è venuta meno, eppure diverse fra le maggiori piattaforme di messaggistica hanno annunciato l’intenzione di proseguire comunque la scansione su base volontaria, al di fuori di qualunque copertura normativa esplicita, mentre il negoziato sul testo definitivo prosegue senza un esito visibile all’orizzonte.
Lo strumento nato come eccezione temporanea sopravvive così alla scadenza della norma che lo autorizzava, non per una decisione politica che lo renda permanente, ma per la semplice inerzia di un’infrastruttura tecnica che le aziende hanno scelto di non smontare.

Tutti questi fili convergono, esplicitamente, nell’EUDI Wallet, il portafoglio digitale europeo previsto dal regolamento eIDAS 2.0, pensato per semplificare l’identificazione del cittadino nei rapporti con la pubblica amministrazione e con i privati di tutta l’Unione.
Qui la precisione conta più che altrove, il regolamento non lascia la correlabilità dei dati al caso, l’articolo 5 bis, paragrafo 16, impone che nessun soggetto, dopo il rilascio di un’attestazione, possa ricostruire, collegare o correlare le transazioni dell’utente senza la sua autorizzazione esplicita, un principio tecnico chiamato unlinkability che la norma rende obbligatorio, non facoltativo.
Resta però un margine fra la previsione normativa e la sua attuazione tecnica che alcune autorità di protezione dati, fra cui quella spagnola, hanno già segnalato, i formati di credenziali oggi proposti, basati su firme leggibili a ogni presentazione, potrebbero non garantire quella unlinkability piena che la norma richiede, lasciando in teoria a un emittente o a un fornitore di servizi la possibilità di ricostruire a quali soggetti un utente ha presentato le proprie credenziali.
Questo è un dettaglio tecnico ma da dettagli come questo dipende se l’infrastruttura resterà quello che il regolamento promette o diventerà quello che la sua architettura, nella pratica, permetterà.

Il quinto tassello si è aggiunto proprio nei mesi recenti, il 15 aprile 2026 la Commissione europea ha dichiarato tecnicamente pronta un’app di verifica dell’età e l’ha messa a disposizione degli Stati membri perché la personalizzino, con la sperimentazione avviata in Italia, Francia, Spagna, Grecia, Danimarca, Cipro e Irlanda; la distribuzione pubblica negli store di ciascun Paese è attesa entro fine 2026, come l’integrazione nativa nei portafogli digitali nazionali, IT Wallet italiano incluso.
Lo strumento nasce per impedire ai minori l’accesso a contenuti riservati agli adulti e, nelle intenzioni emerse anche al Parlamento europeo, per regolare l’accesso degli adolescenti ai social network.
Il meccanismo tecnico è studiato per essere il meno invasivo possibile, una prova crittografica a conoscenza zero certifica che l’utente ha superato una certa soglia anagrafica senza rivelare alla piattaforma né l’identità né altri dati personali.
La stessa Commissione la presenta come soluzione ponte destinata a confluire nell’EUDI Wallet e ne richiama apertamente la parentela con il certificato Covid digitale, la stessa logica di allora, certificare un’informazione senza esporre l’intera cartella clinica.
Resta però un passaggio che la narrazione sull’anonimato tende a lasciare sullo sfondo, per ottenere quella prova crittografica occorre prima identificarsi in modo solido presso l’app stessa, con la carta d’identità elettronica, il passaporto o un sistema di identità digitale nazionale, cosicché l’accesso a un social network finisca per dipendere, a monte, dalla stessa infrastruttura di identificazione che Green Pass, CIE e ID Wallet stanno costruendo pezzo per pezzo.
Anche qui lo scopo dichiarato non si presta a obiezioni, proteggere i minori online è un obiettivo che nessuno discute seriamente, ma proprio per questo l’estensione del perimetro merita di essere seguita con attenzione, perché la stessa infrastruttura pensata per verificare un’età può, con un successivo aggiornamento normativo, essere riorientata a verificare qualunque altro attributo si decida un giorno di richiedere per l’accesso alla rete.

Non sempre, però, lo schema si chiude con l’espansione.
Nel 1974 il governo francese progettava SAFARI, un identificativo unico destinato a interconnettere fisco, sanità e anagrafe in un solo archivio centralizzato dello Stato. Il progetto restò riservato finché il giornalista Philippe Boucher non lo rivelò su Le Monde con un titolo rimasto negli annali del diritto, “Safari, ovvero la caccia ai francesi”.
Lo scandalo pubblico costrinse il governo ad abbandonare il progetto e portò, nel giro di quattro anni, alla legge francese sull’informatica e le libertà del 1978 e alla nascita della CNIL, l’autorità indipendente che resta ancora oggi un modello europeo per la protezione dei dati.
Questa è la prova che la deriva descritta in questo articolo non è automatica e che può essere fermata, ma solo quando i vincoli strutturali vengono imposti prima che l’infrastruttura sia già operativa, e quindi politicamente difficile da smontare.

La maggior parte di queste estensioni di scopo, per onestà d’analisi, non nasce da un disegno autoritario consapevole, quanto piuttosto da pressioni burocratiche di segno opposto, la riduzione dei costi di gestione che spinge a riutilizzare un’infrastruttura già esistente invece di costruirne una nuova, l’esigenza di rendere interoperabili sistemi che prima dialogavano a fatica fra loro.

Dal punto di vista di chi subisce l’estensione, però, l’effetto pratico non cambia a seconda delle intenzioni di chi l’ha progettata, un dato raccolto per un fine e riutilizzato per un altro produce lo stesso squilibrio di potere, che dietro ci sia un funzionario intenzionato solo a semplificarsi il lavoro o un’amministrazione con finalità più inquietanti.

Attribuire la responsabilità alla tecnologia, di per sé, è anche un’operazione politicamente comoda, perché permette di presentare una scelta di governance, quanti dati raccogliere e per quanto tempo conservarli prima ancora di stabilire chi potrà incrociarli, come la conseguenza inevitabile di un progresso tecnico che si limiterebbe a presentare il conto, anziché come il risultato di decisioni prese da persone con nome e cognome, sottoposte, o sottraibili, a un controllo democratico.

Il livret ouvrier non vincolava gli operai perché la carta e l’inchiostro lo richiedessero, ma perché il legislatore lo aveva costruito apposta per dare ragione al datore in ogni controversia e per subordinare ogni spostamento a un’autorizzazione di polizia, ed era una scelta politica, non tecnica, che ci sono voluti ottantasette anni per disfare.

Il filo che lega il livret ouvrier al Green Pass, l’anagrafe parrocchiale all’ID Wallet, non è dunque la tecnologia impiegata di volta in volta, bensì l’assenza quasi costante di un vincolo strutturale capace di tenere lo strumento ancorato al proprio scopo originario, una finalità definita per legge e non ampliabile per prassi amministrativa, che dovrebbe accompagnarsi a una scadenza, imponendo di rivalutare l’esistenza stessa dello strumento una volta superata l’emergenza che lo ha generato e a un controllo realmente indipendente da chi lo gestisce.

Quando questi vincoli mancano o vengono allentati nel tempo, qualunque mezzo di identificazione o di verifica tende, per inerzia amministrativa più che per disegno malevolo, ad espandere il proprio perimetro d’uso fino a coprire tutto ciò che la sua architettura tecnica consente di coprire.

Dire che il problema non è la tecnologia, però, non significa assolvere il digitale dalle sue responsabilità specifiche, e qui le due metà di questo ragionamento si tengono assieme piuttosto che elidersi a vicenda.

Il livret ouvrier andava controllato fisicamente, comune per comune, attraverso il visto di un sindaco o di un funzionario di polizia, e quella lentezza era essa stessa un limite, per quanto involontario, alla sua capacità di sorveglianza.

Una piattaforma digitale che incrocia in tempo reale documento d’identità, stato sanitario, comunicazioni private e cronologia delle transazioni non conosce quel limite, perché scala all’istante sull’intera popolazione e costa pochissimo da estendere a un nuovo ambito d’uso, restando quasi sempre invisibile a chi viene osservato.

Il digitale non inventa il controllo, lo libera dagli attriti che per secoli lo avevano tenuto, suo malgrado, dentro confini pratici prima ancora che giuridici ed è proprio questa liberazione dall’attrito, non la presenza di un algoritmo al posto di una scheda perforata, a rendere la questione dei vincoli più urgente oggi di quanto non fosse nel 1803 o nel 1933.

Resta da capire chi, tra coloro che progettano questi strumenti oggi, stia davvero pensando ai vincoli prima ancora che alle funzionalità. Il 1974 dimostra che si può fare anche per tempo, il 1803 che altrimenti servono ottantasette anni di battaglie perché qualcuno li imponga.