Sulla pista dei commercianti di dati

Un collettivo di giornalisti internazionali sta cercando di fare luce sul controverso commercio di dati sensibili sulla localizzazione. Al centro dell’attenzione ci sono i set di dati del commerciante di dati statunitense Datastream Group (ora Datasys), che sono stati trasmessi al media online tedesco Netzpolitik.org. Fanno parte del collettivo: SRF/RTS (Svizzera), 404 Media, WIRED (USA), Le Monde (Francia), NRK (Norvegia), BNR Nieuwsradio (Paesi Bassi), Netzpolitik.org, Bayerischer Rundfunk/ARD (Germania).

Riassunto delle dichiarazioni, in parte tradotte dall’inglese:

“Eskimi non è coinvolta nel commercio di dati. Qualsiasi riferimento a Eskimi come commerciante di dati è fuorviante. Eskimi non ha e non ha mai avuto una relazione commerciale con Datasys/Datastream Group. [...] Non abbiamo visto né esaminato i campioni di dati da voi menzionati e quindi non possiamo confermarne l’origine o l’autenticità. È pratica comune del settore fornire piccoli campioni anonimi di gruppi target, non in tempo reale, a potenziali partner per motivi di qualità. Questi campioni non possono essere condivisi, venduti o utilizzati in altro modo se non per lo scopo originale, ovvero la creazione di gruppi target e il miglioramento del targeting pubblicitario.”

“Su richiesta di Netzpolitik, Datastream ha fornito un singolo campione di dati anonimizzato, ottenuto legalmente da un fornitore terzo affidabile e non destinato alla rivendita. La fonte dei dati è soggetta a un accordo di riservatezza legale. Qualsiasi menzione della fonte è stata fatta privatamente in risposta a una richiesta del Congresso degli Stati Uniti e non era accessibile al pubblico. [...] Il campione richiesto da Netzpolitik consisteva in dati di localizzazione non riservati, facilmente disponibili e anonimizzati che gli utenti avevano reso accessibili al fornitore attraverso app mobili ampiamente diffuse. [...] In qualità di broker di dati, Datastream ha agito nel normale corso degli affari fornendo questo campione di dati e ha sempre operato in modo etico e appropriato.”

“La politica sui dati degli utenti di Google Play richiede agli sviluppatori di fornire informazioni accurate nei loro moduli sulla privacy. Lavoriamo a stretto contatto con la comunità degli sviluppatori per assicurarci che comprendano l’importanza di fornire informazioni accurate in modo che gli utenti possano prendere decisioni informate su quali app utilizzare. Quando scopriamo che uno sviluppatore ha fornito informazioni false nel suo modulo sulla privacy e viola la politica, chiediamo allo sviluppatore di risolvere il problema per conformarsi alla politica. Le app non conformi sono soggette a misure di applicazione. Solo gli sviluppatori dispongono di tutte le informazioni necessarie per rappresentare accuratamente le loro pratiche sulla privacy nella sezione ‘Sicurezza dei dati’ delle loro app. Solo gli sviluppatori sono responsabili di fornire informazioni complete e accurate nella sezione ‘Sicurezza dei dati’ per le loro app.”

“Eskimi non è attualmente un partner pubblicitario delle FFS. Eskimi è un fornitore IAB (Vendor) e può quindi impostare cookie, anche su sbb.ch. Le FFS non trasmettono dati dei clienti a Eskimi. Eskimi può solo impostare un cookie su sbb.ch. Per i clienti che non accettano i cookie, non vengono impostati cookie.

Le FFS non trasmettono dati dei clienti agli inserzionisti. I fornitori terzi possono solo visualizzare annunci pubblicitari su sbb.ch. Le FFS utilizzano l’ad server di Google per questo scopo. Tuttavia, i dati non fluiscono dalle FFS a Google, ma viceversa. Le FFS forniscono all’ad server di Google solo dati dei clienti anonimizzati (senza possibilità di risalire a singole persone), e solo se è stato dato il consenso. L’unica cosa che viene trasmessa agli inserzionisti è il paese di localizzazione dell’utente. Tuttavia, questo non è il caso di Eskimi, poiché non sono abilitati per la pubblicità tramite l’ad server di Google per le FFS. I partner pubblicitari vengono regolarmente controllati e le aziende non affidabili vengono scartate. Attualmente, l’elenco dei fornitori IAB è in fase di revisione.”

“Su Blick.ch, Eskimi è attualmente elencato nella lista dei fornitori, ma non è attivamente in uso. Verifichiamo i partner pubblicitari sulla base della certificazione IAB e rivediamo continuamente la nostra lista di fornitori in base alle informazioni pubblicamente disponibili. Esaminiamo le partnership commerciali secondo le nostre linee guida interne sulla protezione dei dati, che includono, tra l’altro, requisiti per il trattamento dei dati personali. Su Blick.ch, Eskimi sarà rimosso dalla lista dei fornitori alla prossima revisione. La verifica dei nostri partner pubblicitari avviene a intervalli regolari.”

“Watson non ha una collaborazione attiva con Eskimi. Eskimi è un partecipante registrato del Transparency & Consent Framework (TCF) riconosciuto a livello europeo dell’Interactive Advertising Bureau (IAB). [...] Sulla base delle attuali scoperte tramite la ricerca, Watson ha disattivato il fornitore Eskimi sulla piattaforma di gestione del consenso.”

“Né Tamedia né 20 Minuten hanno una relazione contrattuale diretta con Eskimi. Eskimi è elencato nella lista ufficiale dei fornitori IAB come potenziale partner pubblicitario. Tamedia ha disattivato Eskimi come partner pubblicitario già da tempo. Anche 20 Minuten ha disattivato Eskimi. Per entrambe le aziende, Eskimi non è più attivo.”

WetterOnline e Flightradar24 non hanno risposto a ripetute richieste.

L’app gratuita WetterOnline, molto popolare in Svizzera, è una delle app il cui modello di business si basa, tra l’altro, sulla condivisione di dati precisi sulla posizione. Secondo l’analisi, WetterOnline ha condiviso un numero straordinariamente elevato di coordinate GPS precise al metro, rivelando così i profili di movimento esatti di centinaia di migliaia di utenti. Nel frattempo, il Garante per la protezione dei dati del Land tedesco della Renania Settentrionale-Vestfalia, dove ha sede il produttore di WetterOnline, ha avviato un’indagine. WetterOnline ha apparentemente reagito riducendo il numero di aziende partner da 800 a circa 300.

L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vuole ora porre un freno alla proliferazione dei dati su siti web e app. A fine gennaio, la massima autorità svizzera per la protezione dei dati ha pubblicato delle linee guida. Stabiliscono che il commercio di profili personali e dati di localizzazione a fini pubblicitari rientra nella categoria del “profiling ad alto rischio” e richiede quindi un ulteriore consenso esplicito da parte degli utenti. Inoltre, potrebbe essere necessario effettuare una valutazione dell’impatto sulla protezione dei dati.

L’IFPDT scrive a SRF: “Se gli utenti concedono ai browser che utilizzano, come Safari o Chrome, il permesso di accedere ai dati di localizzazione dei loro telefoni cellulari, contrariamente alle impostazioni predefinite, ciò può portare alla condivisione di profili di movimento durante le visite future ai siti web, con conseguenze significative per la loro privacy. Per quanto riguarda l’ottenimento del consenso da parte dei fornitori di app e degli operatori di siti web, la cui prestazione caratteristica non richiede la raccolta di dati di localizzazione, l’IFPDT rileva generalmente la necessità di miglioramenti in Svizzera. Per questo motivo, dopo aver completato la sensibilizzazione sulle recenti linee guida, interverrà con mezzi di vigilanza per garantirne l’attuazione nei settori pertinenti”.