Di chi è il Movimento 5 Stelle?

La scorsa settimana un’inchiesta a puntate del Foglio firmata da Luciano Capone e dal direttore Claudio Cerasa ha scoperto nuove prove del controllo che Davide Casaleggio, proprietario della srl Casaleggio Associati, esercita sul Movimento 5 Stelle. Dai documenti scoperti dal Foglio, emerge che Davide Casaleggio è in grado di influenzare il Movimento grazie al controllo degli strumenti informatici utilizzati nella vita politica del partito. Ed emerge anche la difficoltà che avranno gli iscritti al Movimento a ridurre il suo potere se in futuro dovessero ritenerlo necessario.

Che cos’è il Movimento 5 Stelle
Per capire di chi è il Movimento 5 Stelle è necessario sapere cos’è oggi il Movimento 5 Stelle. Quello che si presenterà alle prossime elezioni dal punto di vista formale è infatti il “terzo” Movimento 5 Stelle, un’associazione nata lo scorso dicembre quando agli iscritti è stato presentato il nuovo statuto del partito. La presentazione del nuovo statuto ha coinciso con la creazione di una nuova associazione – il terzo Movimento 5 Stelle, appunto – a cui agli iscritti al precedente partito è stato chiesto di aderire nuovamente.

Il “primo” Movimento 5 Stelle è quello che fu creato nel 2009 e che era regolato da un cosiddetto “non-statuto”. Come spiega il blog I simboli della discordia – curato da Gabriele Maestri, esperto di simboli e burocrazie dei partiti italiani – i suoi iscritti «erano considerati solo “soci sostenitori” e, dopo le modifiche statutarie del 2015, non avevano alcun diritto di voto in assemblea, per cui non facevano parte di nessun organo dell’associazione».

Per partecipare alle elezioni politiche del 2013, accanto al primo Movimento 5 Stelle ne venne creato un secondo. A questa associazione non era possibile iscriversi né partecipare: era controllata esclusivamente da Beppe Grillo e in sostanza era una scatola vuota fatta per presentare le candidature alle elezioni (lo ha fatto alle politiche del 2013 e alle europee del 2014)  e per custodire il simbolo del Movimento. Nel frattempo il primo Movimento 5 Stelle continuava a raccogliere iscritti in quel modo informale e senza che avessero poteri.

Lo scorso dicembre è infine arrivata la terza associazione Movimento 5 Stelle. Per la prima volta lo statuto dell’associazione dà qualche potere agli iscritti e introduce le prime norme di democrazia interna nella storia del Movimento. La nuova associazione ha un capo politico, Luigi Di Maio, e un garante, Beppe Grillo, che hanno poteri molto importanti ma che possono essere nominati e rimossi con il voto degli iscritti, un meccanismo democratico assente nelle precedenti associazioni. Agli iscritti al “primo” Movimento 5 Stelle è stato suggerito di iscriversi al “terzo” Movimento 5 Stelle, che sarà in tutto e per tutto il nuovo partito. Il secondo Movimento 5 Stelle, quello controllato da Grillo, rimane in vita come custode del simbolo che è stato dato in concessione al terzo Movimento 5 Stelle.

Che cos’è l’Associazione Rousseau
Lo statuto del terzo Movimento è un’arma a doppio taglio dal punto di vista della democrazia interna. Da un lato introduce per la prima volta norme di democrazia interna per scegliere i leader e orientare la politica del partito. Dall’altro sancisce però definitivamente la pesante influenza di Davide Casaleggio – e tramite lui, della sua azienda – sulla vita politica del partito. All’articolo 1 del nuovo statuto del Movimento 5 Stelle, infatti, c’è scritto:

Gli strumenti informatici attraverso i quali l’associazione si propone di organizzare le modalità telematiche di consultazione dei propri iscritti disciplinate nel prosieguo del presente Statuto, nonché le modalità di gestione delle votazioni, di convocazione degli Organi Associativi, di pubblicazione di – a titolo esemplificativo e non esaustivo – avvisi e/o provvedimenti e/o direttive e/o decisioni saranno quelli di cui alla cd. “Piattaforma Rousseau”, mediante appositi accordi da stipularsi con l’Associazione Rousseau.

In sostanza viene stabilito che votazioni e comunicazioni ufficiali del Movimento dovranno avvenire tramite la Piattaforma Rousseau, controllata dall’Associazione Rousseau. Non è una scelta banale: le piattaforme informatiche dovrebbero essere il supporto alla vita politica di un partito, e andrebbero scelte sulla base di considerazioni tecniche. Nel caso del Movimento 5 Stelle, invece, la piattaforma è parte integrante del Movimento, in un certo senso è il Movimento, e il suo ruolo è iscritto nello statuto così come quello della società che la gestisce.

La piattaforma è quello che i leader del Movimento chiamano spesso il “sistema operativo del Movimento”. In sostanza è un sito internet a cui ci si può iscrivere e che fornisce l’accesso alle votazioni interne del Movimento. L’Associazione Rousseau è proprietaria e gestrice della piattaforma e, come prescrive lo statuto, la gestione delle votazioni viene fatta e dovrà essere fatta “mediante appositi accordi” con l’associazione stessa. Se si vuole allora capire che cos’è, formalmente, l’Associazione Rousseau, ci si accorge innanzitutto di come sembri in buona parte coincidere con la Casaleggio Associati, srl milanese di proprietà di Davide Casaleggio. L’Associazione ha sede allo stesso indirizzo della Casaleggio Associati e in alcune mail di cui il Foglio è entrato in possesso, Casaleggio risponde in qualità di presidente dell’associazione utilizzando la posta certificata della Casaleggio Associati. Probabilmente, tra l’altro, la società di Casaleggio ha fornito e fornisce tuttora le competenze tecniche per la gestione della piattaforma.

In un Movimento che non ha sedi fisiche e in cui la vita politica si svolge soprattutto online, controllare l’Associazione Rousseau – cioè il sistema di voto, i suoi risultati, le decisioni su quando effettuare una consultazione e come formulare i quesiti – significa controllare buona parte della vita del Movimento stesso. Inoltre lo statuto assegna a Rousseau il controllo su tutti i dati degli iscritti, dai loro nomi ai loro indirizzi email fino ai loro voti nelle consultazioni interne, oltre a tutti gli altri dati che gli iscritti accettano di consegnare alla piattaforma. Forse chi controlla Rousseau non controlla il Movimento, ma di certo esercita sul partito fondato da Beppe Grillo una forte influenza. Diventa quindi molto importante comprendere cosa sia questa associazione.

L’inchiesta del Foglio parte proprio da qui. Dopo settimane di ricerca, infatti, Luciano Capone è riuscito a ottenere una copia dello statuto dell’Associazione Rousseau, un documento che non era mai stato reso pubblico, discusso o votato, nemmeno agli e dagli iscritti al Movimento 5 Stelle. L’Associazione Rousseau è stata creata l’8 aprile del 2016. All’epoca, scrive Capone:

L’Associazione Rousseau, che ha lo scopo di “promuovere lo sviluppo della democrazia digitale nonché di coadiuvare il Movimento 5 Stelle” nella sua azione politica, è un’associazione composta da due persone: Gianroberto Casaleggio, che è in fin di vita, e il figlio Davide. Versano due quote da 150 euro, che costituiscono il fondo iniziale, e sono rispettivamente Presidente e vicepresidente, entrambi componenti dell’Assemblea e membri del Consiglio direttivo, mentre Davide è anche Tesoriere. Ma l’obiettivo dello statuto, date le condizioni di salute del padre, è assicurare al figlio il controllo perpetuo e assoluto su Rousseau. E il potere di Casaleggio jr. viene blindato da due articoli – il 6 e il 13 – che consegnano eternamente i ruoli e le funzioni più importanti ai “Fondatori”. Ma di fondatori ce ne sono due e dopo appena quattro giorni, in seguito alla morte di Gianroberto, ne resta solo uno: Davide.

L’Associazione Rousseau, quindi, è controllata da Davide Casaleggio e non esiste modo in cui il Movimento possa sostituirlo alla guida dell’associazione. L’unica cosa che gli iscritti possono fare è votare per modificare il loro stesso statuto, così da separarsi dalla piattaforma e dall’associazione che la controlla. Ironicamente, però, la votazione dovrà avvenire necessariamente sulla piattaforma Rousseau, con modalità e certificazioni da decidere in accordo con l’Associazione Rousseau. Cioè con Casaleggio. Come scrive Capone: «Non se ne esce, se non con una scissione. A supervisionare e gestire tutto c’è sempre lui, Davide Casaleggio, il Garantito che, per discendenza diretta e con soli 300 euro di capitale, ha preso il controllo assoluto ed eterno del primo partito italiano».

Come funziona Rousseau?
L’inchiesta del Foglio ha scoperto anche un’altra cosa, e cioè che la piattaforma Rousseau non è uno strumento neutrale, un semplice supporto tecnologico alla vita politica del Movimento: è invece di un sistema antiquato, vulnerabile e manipolabile. Il Foglio è riuscito a ottenere una copia degli scambi avvenuti tra l’Autorità garante della privacy e Davide Casaleggio riguardo il funzionamento di Rousseau, avvenuti lo scorso autunno in seguito a un’ispezione del garante, preoccupato del rispetto della normativa sulla privacy. Il garante descriveva così Rousseau in una delle sue analisi:

L’incertezza sulla effettiva resilienza del sistema di votazioni elettroniche, l’impossibilità di verificare a posteriori la liceità dei trattamenti svolti, l’impossibilità di accertare l’unicità del voto espresso, nonché l’incertezza sulla sua autenticità e, infine, il rischio anche solo sul piano astratto che sia possibile controllare e ricostruire le preferenze espresse dai votanti a causa della mancanza di anonimato, caratterizzando il sistema Rousseau, nella sua componente di voto elettronico, quale interessante sperimentazione di uno strumento di interazione e partecipazione politica, del tutto privo, tuttavia, di quei requisiti di sicurezza informatica e di protezione dei dati personali, che dovrebbero caratterizzare un vero e proprio sistema di e-voting.

In un altro passaggio il garante aggiunge: «I voti espressi tramite le funzionalità di e-voting offerte dalla piattaforma vengono archiviati, storicizzati e restano imputabili a uno specifico elettore anche successivamente alla chiusura delle operazioni di voto, consentendo elaborazioni a ritroso con, in astratto, la possibilità di profilare costantemente gli iscritti, sulla base di ogni scelta o preferenza espressa tramite il sistema operativo». In sostanza Casaleggio può sapere chi ha votato cosa. Da un’altra serie di documenti ottenuti dal Foglio, risulta che questa possibilità è stata messa in pratica in diverse occasioni, per mettere in fila tutti i voti – in teoria segreti – di persone iscritte al partito e quindi suoi potenziali candidati.

Infine, la piattaforma Rousseau appare antiquata e molto vulnerabile agli attacchi informatici. Già in passato diversi hacker hanno dimostrato quanto fosse facile introdursi nel sistema usato dal Movimento 5 Stelle. Le analisi del garante forniscono ulteriori prove della debolezza del sistema. In un altro articolo dell’inchiesta, il direttore del Foglio Claudio Cerasa scrive:

La piattaforma Rousseau è stata realizzata con un sistema che si chiama “Cms Movable Type Enterprise Versione 4.31-en”. Ma questa versione, scrive il garante, concetto già espresso nel provvedimento del 21 dicembre, ha un problema: “E’ affetta da obsolescenza tecnica”. E che significa obsolescenza tecnica? Significa che ogni versione di quel sistema con radice pari a 4.3 scadeva il 31 dicembre del 2013 e oltre quella data, scrive il garante, “non sono più rilasciati aggiornamenti di sicurezza”.

Nel suo rapporto, il garante conclude:

Il sistema adottato non consentiva di imporre delle policy efficaci relativamente alla qualità delle password, ammettendo l’uso di password banali, facilmente esposte alla decifrazione e ad attacchi. In particolare, si fa presente che tale limitazione comporta, laddove presente, che un qualsiasi utente applicativo o sistemistico del sistema operativo, anche con profili di minor rilievo ma che abbia accesso in sola lettura ai database delle password, solitamente registrate in forma cifrata, possa acquisirle nella forma in cui sono e condurre in modalità on line attacchi brute force sulle password, che, se fruttuosi, consentiranno in un secondo tempo l’effettuazione di accessi abusivi con l’utilizzo in chiaro delle credenziali tecnicamente correte, senza causare alcun allarme sul sistema attaccato.