Venticinque anni dopo l'11 settembre: i poteri di emergenza che non sono mai tornati a casa

Venticinque anni fa, in un giorno come oggi, i governi hanno cominciato a costruire i sistemi di sorveglianza dentro i quali oggi viviamo, e quasi tutti sono stati annunciati come temporanei. Alcuni portavano date di scadenza nel testo. La Francia ne ha scritta una nella legge: 31 dicembre 2003. Il Congresso ha allegato clausole di decadenza alle sezioni più contestate del PATRIOT Act. L’argomento, nell’autunno del 2001, a Washington, a Parigi e a Londra, era che un momento straordinario richiedeva poteri straordinari, e che quel momento sarebbe passato.

Non è passato. Il modo più chiaro per vedere che cosa l’11 settembre ha fatto alla privacy digitale non è rileggere i discorsi del 2001. È leggere i numeri che quegli stessi governi hanno pubblicato quest’anno.

Che cosa è cambiato davvero nelle settimane dopo l'11 settembre 2001?

Tre cose sono accadute quasi contemporaneamente, e solo una di esse era pubblica all’epoca.

Il 4 ottobre 2001 il presidente Bush ha firmato un memorandum intitolato «Authorization for Specified Electronic Surveillance Activities During a Limited Period to Detect and Prevent Acts of Terrorism Within the United States», cioè l’autorizzazione di determinate attività di sorveglianza elettronica per un periodo limitato allo scopo di individuare e prevenire atti di terrorismo all’interno degli Stati Uniti. Quel programma, noto poi con il nome in codice Stellar Wind, autorizzava la raccolta all’interno degli Stati Uniti senza i mandati richiesti dal Foreign Intelligence Surveillance Act. È stato riautorizzato ripetutamente, all’incirca ogni 30 o 45 giorni, e non è stato reso pubblico per oltre quattro anni. Si noti l’espressione «During a Limited Period», per un periodo limitato, nel titolo stesso del documento.

Il 26 ottobre 2001 lo USA PATRIOT Act è stato firmato nel Rose Garden. La Camera lo ha approvato con 357 voti contro 66 e il Senato con 98 contro 1, con il senatore Russ Feingold unico voto contrario. La sezione 215 consentiva all’FBI di imporre la consegna di «qualsiasi cosa tangibile» rilevante per un’indagine antiterrorismo. La sezione 505 ampliava le national security letters, ingiunzioni amministrative che non richiedono alcun giudice e che arrivavano accompagnate da un divieto di divulgazione che impediva al destinatario di dire di averne ricevuta una.

E all’inizio del 2002 il Pentagono ha istituito l’Information Awareness Office sotto la guida di John Poindexter, il cui programma Total Information Awareness proponeva di far confluire dati finanziari, di viaggio, sanitari e di comunicazione in un unico sistema consultabile. Quello è andato troppo oltre e troppo alla luce del sole. Una commissione di conferenza Camera-Senato sugli stanziamenti ha votato il 24 settembre 2003 per togliergli i fondi. Diversi dei suoi progetti di ricerca componenti sono stati trasferiti altrove nella comunità di intelligence e sono proseguiti sotto altri nomi, che è lo schema da tenere a mente: il programma dal nome compromesso è morto, la capacità no.

L’Europa si è mossa allo stesso ritmo. La loi relative à la sécurité quotidienne francese, pubblicata sul Journal Officiel il 16 novembre 2001, imponeva agli operatori di telecomunicazioni di conservare i dati di traffico per un periodo fino a un anno ai fini dell’accertamento e del perseguimento dei reati. Il suo capitolo V, che contiene quella disposizione, è stato adottato «pour une durée allant jusqu’au 31 décembre 2003», cioè per un periodo che arrivava fino al 31 dicembre 2003. L’Anti-terrorism, Crime and Security Act britannico ha ricevuto l’assenso reale il 14 dicembre 2001, con una parte 11 che istituiva un regime di conservazione dei dati di comunicazione, volontario all’inizio, con un potere di riserva per renderlo obbligatorio.

Perché questi poteri «temporanei» esistono ancora nel 2026?

Perché un potere temporaneo costruisce un’istituzione attorno a sé, e l’istituzione sopravvive alla scadenza.

La Francia lo mostra con la massima chiarezza, proprio perché la data di scadenza era scritta nella legge e possiamo seguire con esattezza che fine ha fatto. Il termine del 2003 non è stato abrogato in un colpo solo. È stato prorogato alla fine del 2005, poi riportato avanti dalla legge antiterrorismo del 2006, poi prorogato ancora nel 2008 fino al 2012, quando ormai nessuno fingeva più che il dispositivo fosse provvisorio. Tre proroghe successive, ciascuna di pura routine, e l’obbligo di conservazione di un anno si è insediato nel diritto francese come elemento permanente. Quando la Corte di giustizia dell’Unione europea ha chiarito che la conservazione generalizzata e indifferenziata era incompatibile con il diritto dell’Unione, il Conseil d’État ha deciso il 21 aprile 2021 che «la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale», ossia che la conservazione generalizzata oggi imposta agli operatori dal diritto francese è giustificata da una minaccia per la sicurezza nazionale. Il ragionamento merita di essere enunciato senza giri di parole: la conservazione generalizzata è lecita perché esiste una minaccia per la sicurezza nazionale, e il governo deve riesaminare periodicamente se quella minaccia sussista ancora. Un’emergenza permanente, soggetta a revisione.

La vicenda a livello europeo segue lo stesso corso con più colpi di scena giudiziari. La direttiva sulla conservazione dei dati è stata adottata il 15 marzo 2006, all’indomani degli attentati di Madrid e Londra, obbligando gli Stati membri a imporre la conservazione dei metadati di comunicazione. La Corte di giustizia l’ha annullata l’8 aprile 2014 nella sentenza Digital Rights Ireland, ritenendo che comportasse un’ingerenza di vasta portata e particolarmente grave nei diritti fondamentali, non limitata a quanto strettamente necessario. Dodici anni dopo la Commissione ne sta redigendo una nuova. La sua strategia ProtectEU dell’aprile 2025 ha avviato una valutazione d’impatto sulla conservazione dei dati da parte dei fornitori di servizi ai fini dei procedimenti penali, con una proposta legislativa attesa nel corso del 2026, relativa a metadati come gli indirizzi IP e i dati degli abbonati presso una gamma di fornitori più ampia di quella della direttiva bocciata dalla Corte.

La versione americana della permanenza è ancora più curiosa, ed è avvenuta tre mesi fa.

La sezione 702 è scaduta nel giugno 2026. Perché è ancora in funzione?

La sezione 702 della FISA è l’autorizzazione che conta di più per chiunque usi un servizio internet americano. Consente la raccolta senza mandato mirata a persone non statunitensi che si ritiene ragionevolmente si trovino fuori dagli Stati Uniti, presso fornitori situati negli Stati Uniti. Vengono raccolte anche le comunicazioni scambiate con quegli obiettivi. È così che gli account di persone che non sono mai state obiettivi finiscono in un database che può essere interrogato in seguito.

Il Congresso non è riuscito a trovare un accordo su se l’FBI debba ottenere un mandato prima di cercare in quel database le comunicazioni di un cittadino americano. La scadenza è arrivata e non è stato approvato nulla. La sezione 702 è scaduta a mezzanotte di venerdì 12 giugno 2026, dopo una serie di brevi proroghe, tra cui una misura ponte di dieci giorni in aprile.

La raccolta non si è fermata. In base alle disposizioni transitorie del FISA Amendments Act, le acquisizioni autorizzate da certificazioni e direttive già in vigore proseguono fino alla scadenza di quelle certificazioni. La FISA Court ha approvato le certificazioni attuali nel marzo 2026. L’effetto pratico è che una legge scaduta nel giugno 2026 autorizza sorveglianza fino al marzo 2027, e la scadenza operativa per il Congresso è ora fissata dal calendario delle certificazioni di un tribunale anziché dalla data di decadenza che il Congresso stesso si era scritto.

Di tutto ciò che contengono venticinque anni di diritto della sorveglianza, questo è il fatto che metterei davanti a chiunque creda ancora che il patto del 2001 avesse una via d’uscita incorporata. La clausola di decadenza era la garanzia. Era la promessa che i poteri di emergenza sarebbero stati riesaminati e avrebbero potuto davvero finire. Nel giugno 2026 quel meccanismo è stato messo alla prova sul serio. È decaduto, e la sorveglianza è andata avanti.

La sorveglianza è davvero più estesa oggi di quanto lo fosse nel 2001?

Sì, e la fonte è la contabilità annuale della stessa comunità di intelligence. L’ODNI ha pubblicato nell’aprile 2026 il suo tredicesimo Annual Statistical Transparency Report, relativo all’anno solare 2025.

I dati sulle ricerche dell’FBI sono riportati su periodi che vanno da dicembre a novembre, non su anni solari.

Il numero di obiettivi è il dato di apertura. È cresciuto ogni anno tra quelli riportati qui, e la cifra del 2025, 349.823, è la più alta mai pubblicata, un aumento di circa il 20% in un solo anno. L’ODNI attribuisce le variazioni da un anno all’altro alle priorità di raccolta, agli eventi mondiali, alle capacità tecniche e al comportamento degli obiettivi, tra gli altri fattori.

I numeri delle ricerche dell’FBI raccontano una storia più interessante di quanto suggerisca il calo grezzo. Il crollo da 119.383 a 5.518 ha seguito le riforme del 2024 del Reforming Intelligence and Securing America Act, e l’ODNI lo attribuisce a controlli tecnici e alla prudenza individuale. Ma la cifra del 2025 è risalita a 7.413. Ancora più significativo, la Divisione per la sicurezza nazionale del Dipartimento di Giustizia ha accertato nell’agosto 2024 che l’FBI usava una funzione di filtro avanzato per cercare comunicazioni di persone statunitensi senza trattarla come una ricerca, e quindi senza conteggiarla. L’ispettore generale del Dipartimento ha documentato l’episodio nel 2025, e la funzione non è stata disattivata fino all’inizio di quell’anno. Una statistica che dipende dalla definizione che un’agenzia dà alla parola «ricerca» è un numero più fragile di quanto sembri.

Le national security letters sono il gigante silenzioso. Nel 2025 l’FBI ne ha emesse 8.865, contenenti 29.203 distinte richieste di informazioni. Non sono provvedimenti giudiziari. Nessun giudice le esamina prima che vengano emesse.

E la sorveglianza che nessuno ha legiferato?

Il cambiamento più significativo dal 2001 non è una singola legge. È che il volume di dati sulla vita quotidiana è cresciuto più in fretta di qualsiasi norma che ne disciplinasse l’accesso.

Nel 2001, seguire gli spostamenti di una persona richiedeva di seguire quella persona. Oggi la cronologia delle posizioni esiste per impostazione predefinita, generata da un telefono, conservata da un’azienda. Nel giugno 2023, in risposta a una richiesta di accesso agli atti, l’ODNI ha declassificato un rapporto del gennaio 2022 sulle informazioni disponibili commercialmente, che riconosceva come la comunità di intelligence acquisti dati sui cittadini americani da broker commerciali e avvertiva che tali informazioni «could facilitate blackmail, stalking, harassment, and public shaming», cioè potrebbero agevolare ricatto, stalking, molestie e gogna pubblica. Non è coinvolto alcun mandato. I dati vengono comprati.

La frontiera è l’altro luogo in cui l’architettura giuridica del 2001 ha incontrato lo smartphone del 2026. L’Agenzia statunitense delle dogane e della protezione delle frontiere riferisce di 55.318 perquisizioni di dispositivi elettronici nell’esercizio fiscale 2025, il 17,6% in più rispetto alle 47.047 dell’anno precedente. 50.922 erano perquisizioni di base, che non richiedono alcun sospetto. 13.590 hanno riguardato cittadini statunitensi. L’eccezione di frontiera è molto anteriore al 2001, ma è stata scritta per le valigie, e un telefono non è una valigia.

Gli aeroporti mostrano quanto a fondo l’impostazione del 2001 sia diventata la norma. La tecnologia di confronto facciale della TSA opera ormai in circa 350 aeroporti in tutto il paese, e l’agenzia afferma che i viaggiatori «may decline the optional photo, without recourse», cioè possono rifiutare la fotografia, facoltativa, senza alcuna conseguenza. La maggior parte delle persone non lo sa, perché un sistema presentato come routine viene raramente messo in discussione.

Tutto questo ha cambiato il modo in cui le persone si comportano?

Questa è la parte che di solito viene affermata e raramente misurata. Nel 2016 Jonathon Penney ha pubblicato sul Berkeley Technology Law Journal uno studio che esaminava il traffico di Wikipedia prima e dopo le rivelazioni del giugno 2013 sui programmi di sorveglianza della NSA. Ha rilevato che la media mensile delle visualizzazioni delle quarantotto voci legate al terrorismo che ha monitorato è calata di circa il 19,5% dopo il giugno 2013, e che un modello di regressione colloca il crollo immediato a oltre il 30% delle visualizzazioni totali.

Nessuno è stato arrestato per aver letto una voce di Wikipedia. È esattamente questo il punto. Un sistema di sorveglianza non deve essere usato contro di te per cambiare ciò che sei disposto a cercare. Sapere che esiste è sufficiente, e il costo ricade su persone che non hanno fatto nulla di male.

Spiega anche perché su questo patto sia così difficile discutere onestamente. I benefici della sorveglianza sono specifici e facili da annunciare. I costi si distribuiscono in modo sottile su milioni di persone che non sapranno mai quale ricerca hanno deciso di non fare. I tribunali che alla fine hanno esaminato il programma costruito a partire dalla sezione 215 non sono rimasti impressionati dai benefici. La Corte d’appello del Secondo Circuito ha stabilito in ACLU v. Clapper, il 7 maggio 2015, che la legge non aveva mai autorizzato la raccolta massiva dei tabulati telefonici. Il Nono Circuito si è spinto oltre il 2 settembre 2020 in United States v. Moalin, ritenendo che la raccolta massiva violasse la FISA e potesse essere incostituzionale. La sezione 215 stessa è decaduta il 15 marzo 2020. Il programma che essa serviva a giustificare ha funzionato per quattordici anni prima che una corte d’appello arrivasse alla domanda se la legge lo consentisse.

Che cosa significa tutto questo per chi lo sta leggendo?

Venticinque anni restituiscono un quadro chiaro di ciò che l’azione individuale può e non può fare.

Non può disfare l’architettura giuridica. Nessun prodotto di consumo cambia ciò che una national security letter impone, ciò che un agente di frontiera può ispezionare o ciò che una certificazione della FISA Court autorizza. Chi promuove uno strumento come protezione contro uno Stato sta descrivendo un prodotto che non esiste.

Ciò che le scelte individuali raggiungono davvero è lo strato commerciale e quotidiano della raccolta, cresciuto accanto a quello giuridico. Quello strato tocca quasi tutti ed è disciplinato da pochissimo. Il traffico su una rete che non controlli è visibile a chi la gestisce, e regole di conservazione come l’obbligo francese di un anno ricadono sui fornitori di accesso a internet. Cifrare la connessione tra il tuo dispositivo e un server VPN significa che l’operatore di rete vede un tunnel invece di un elenco di destinazioni. Quel vantaggio è reale, ed è anche limitato, ed entrambe le metà di questa frase contano. Le VPN è stata fondata a Parigi nel novembre 2010, conserva log di connessione, non log di attività, supporta fino a 10 connessioni simultanee e offre una garanzia di rimborso di 30 giorni sul primo acquisto.

L’altra lezione riguarda le scadenze, e non è incoraggiante. La data di scadenza francese è arrivata a termine nel 2003 e il potere è rimasto. La sezione 215 è durata fino al 2020, quando il programma che giustificava era già in funzione da quattordici anni. La sezione 702 è scaduta tre mesi fa e la raccolta prosegue in virtù di una certificazione giudiziaria fino al 2027.

Due decisioni daranno forma al tratto che viene. Il Congresso deve tornare sulla sezione 702 prima che quelle certificazioni decadano nel marzo 2027, e la Commissione europea deve mettere sul tavolo la sua proposta sulla conservazione dei dati. Entrambe meritano di essere seguite da vicino, perché decidono se l’emergenza cominciata un martedì mattina di settembre del 2001 verrà finalmente discussa nel merito, oppure si rinnoverà semplicemente ancora una volta mentre nessuno guarda.

Per uno sguardo più ampio su come si sono sviluppati questi strumenti, vedi la nostra guida alla privacy online, come funziona la crittografia forte e i server VPN negli Stati Uniti. Il nostro blog segue le nuove leggi sulla sorveglianza man mano che avanzano.