La spia in tasca

Molte app chiedono l’accesso alla posizione dello smartphone per offrire un servizio migliore. Ma questo non è l’unico motivo, come rivelato da un’inchiesta condotta da SRF con diversi altri media. Le posizioni, precise al metro, vengono infatti anche trasmesse a innumerevoli aziende e sono in vendita su Internet. Una pratica adottata da circa un’app su cinque tra le più popolari.

Le app gratuite sono onnipresenti. Con i giochi i tempi di attesa sono meno noiosi, altre aiutano nella ricerca di un partner, mostrano i risultati della squadra del cuore o se il tempo sarà bello nel weekend. Chi possiede uno smartphone, utilizza spesso queste app gratuite e i gestori si finanziano spesso attraverso spazi pubblicitari. Questi vengono messi all’asta tramite reti pubblicitarie. Ad ogni utilizzo, l’app condivide i dati degli utenti, le preferenze e le posizioni con le aziende pubblicitarie, in modo che possano mostrare pubblicità il più possibile personalizzata. Tuttavia, ile informazioni non vengono utilizzate solo per la pubblicità: i commercianti di dati di tutto il mondo le raccolgono e vendono a quasi chiunque paghi.

SRF e i suoi partner hanno ottenuto un set di dati che mostra per la prima volta l’entità di questo commercio tramite app per smartphone e che offre uno sguardo approfondito nel business delle informazioni degli utenti. Proviene dalla società americana di commercio di dati Datastream Group, ora chiamata Datasys, ed è stato raccolto tramite reti pubblicitarie internazionali.

Si tratta di un elenco di quasi 40’000 app in tutto il mondo e le informazioni sulla localizzazione di milioni di utenti. I dati contengono oltre 380 milioni di posizioni di oltre 47 milioni di dispositivi provenienti da 137 paesi. Per singole persone si trovano centinaia di punti dati nell’arco di una giornata. Questo permette di creare profili di movimento precisi. Rivelano dove la persona ha dormito, con chi si è incontrata, dove lavora. E anche la visita a locali loschi non può più essere tenuta segreta. Informazioni private o intime, la cui vendita probabilmente pochi accetterebbero. È stato possibile identificare dozzine di utenti delle app in base ai loro profili di movimento e a verificare l’autenticità dei dati.

Il potenziale di abuso per queste informazioni è alto e sono facilmente accessibili. Questi dati possono essere una miniera d’oro per ricattatori, hacker e servizi segreti e potrebbero anche fornire informazioni delicate a stalker, pedofili o truffatori.

Dall’elenco di 40’000 app emergono una serie di nomi che, secondo l’analisi, trasmettono particolarmente spesso e con precisione i dati di localizzazione e che sono popolari in Svizzera, tra cui app commerciali, di comunicazione, shopping, informazione e incontri.. Alcune ammettono persino nelle loro dichiarazioni sulla privacy di raccogliere tali dati e di condividerli con partner pubblicitari. Tuttavia, non viene menzionato da nessuna parte che questi dati potrebbero essere venduti per altri scopi a chiunque sia interessato.

Buona parte delle app analizzate non trasmettono la posizione esatta. Si tratta invece di cosiddetti “dati di posizione imprecisi”, basati principalmente sull’indirizzo IP. Tuttavia, anche queste informazioni possono rivelare molto su una persona, ad esempio se vengono combinate con altri dati.

Una di queste app, che secondo il dataset condivide molto spesso le posizioni “approssimative” dei suoi utenti, è Grindr. L’app è particolarmente popolare tra gli uomini omosessuali. Gli inserzionisti, e tutti gli altri acquirenti di questi dati, possono dedurre la sessualità delle persone dalla provenienza dei dati dell’app Grindr. Inoltre, l’ID pubblicitario inviato consente di identificare chiaramente le persone combinando i dati con altre app.

In questa categoria rientrano anche le app di incontri Tinder, Lovoo, Jaumo, l’app di posta elettronica GMX e i popolari giochi Block Blast! e Candy Crush Saga, l’app di shopping Vinted e decine di migliaia di altre app. Sebbene non condividano la posizione esatta, rivelano comunque informazioni sensibili sui loro utenti agli inserzionisti e a chi acquista i dati.

Un confronto con le attuali classifiche delle 50 app gratuite più popolari in Svizzera mostra che una su cinque delle 50 più gettonate è coinvolta. Spiccano in particolare le app delle categorie giochi, intrattenimento, social network, musica, sport e meteo. Più della metà dei giochi più popolari sugli smartphone svizzeri rivela la posizione dei propri utenti, sia sui dispositivi Apple che su quelli con sistema operativo Android.

SRF ha contattato tutti i produttori delle app menzionate. Molti affermano di non avere rapporti diretti con la società di commercio di dati Datastream Group, ma di fornire dati agli inserzionisti. In parte, dichiarano di non trasmettere informazioni precise sulla posizione e di non sapere come siano potute arrivare all’azienda di commercio di dati.

È legale ciò che queste app fanno con i dati degli utenti svizzeri? Florent Thouvenin, professore di diritto dell’informazione e della comunicazione all’Università di Zurigo, afferma che, in linea di principio, le app dovrebbero essere esaminate singolarmente. La legge svizzera sulla protezione dei dati consentirebbe relativamente molte cose, a condizione che gli utenti siano stati informati in modo trasparente. “Non sembra essere necessariamente il caso qui”, afferma Thouvenin. “Poiché in questo caso sono coinvolte molte persone, potrebbe essere utile che l’Incaricato federale della protezione dei dati e della trasparenza avvii un procedimento”.

Secondo Thouvenin, forse sarebbe giunto il momento chiedersi, come società, quali dati vogliamo davvero mettere a disposizione delle aziende e dove sia il limite.

Quanto sia incontrollabile l’ecosistema dei dati pubblicitari è stato dimostrato la scorsa settimana da un attacco hacker ai danni del broker di dati statunitense Gravy Analytics, che appartiene all’azienda norvegese-americana Unacast. L’azienda ha confermato l’attacco hacker alle autorità norvegesi. A quanto pare, sono stati rubati fino a 17 terabyte di dati di localizzazione. Gli hacker vogliono chiaramente costringere l’azienda a pagare un riscatto, sotto minaccia di pubblicarli online.

SRF ha potuto visionare una parte dei dati. Si tratta per lo più delle stesse app contenute nel dataset della Datastream Group. Tra le informazioni ci sono anche migliaia di posizioni di dispositivi svizzeri, inclusi alcuni all’interno di basi militari.