Cosa succede se i provider possono vendere i dati degli utenti

I provider Usa potranno raccogliere e vendere i dati personali dei loro clienti, senza chiedere autorizzazione esplicita. Un nuovo modo di sfruttare, e indebolire, la privacy su Internet. Ecco cosa cambia per gli utenti

La House of Representatives del Congresso Usa ha approvato ieri delle modifiche significative che impatteranno sul modo in cui i provider di servizi Internet (Isp) e le telco statunitensi potranno gestire e sfruttare i dati personali dei loro clienti. A queste aziende sarà infatti concesso di vendere a parti terze — a fini commerciali e di pubblicità — questo genere di informazioni senza dover chiedere il consenso agli utenti, dato che il voto di ieri ha azzerato le limitazioni proposte dalla Federal Communications Commission (FCC), che includevano la richiesta di un’autorizzazione esplicita per la vendita dei dati e che sarebbero entrate in vigore nel corso del 2017. Affinché queste decisioni vengano approvate in via definitiva manca ora solo la firma del Presidente Trump, cosa che, secondo ilGuardian, potrebbe arrivare a breve.

Con il nuovo assetto, ad esempio, le grandi corporazioni delle telecomunicazioni Usa come Verizon, Comcast e AT&T potranno tracciare le abitudini di navigazione dei loro clienti e guadagnare dalla vendita di questi dati, come fanno abitualmente i motori di ricerca o le piattaforme social.

Per i sostenitori dell’eliminazione delle limitazioni, in larga parte Repubblicani, la decisione di ieri sarebbe motivata dalla necessità ad aprire una nuova possibilità di business per gli ISP, che — avendo così la possibilità di vendere dati — potranno competere con colossi come Facebook e Google, che dominano il mercato dei dati e quello della pubblicità online da anni.

Nell’ottica dei promotori dell’iniziativa, inoltre, le limitazioni cancellate sarebbero state “un esempio di eccesso di potere da parte del governo”.

Le informazioni sulle abitudini di navigazione degli utenti possono fornire molti dettagli personali e anche intimi sulle persone: i siti che visitiamo, infatti, delineano un profili espliciti e sensibili che possono contenere anche dettagli intimi, come informazioni mediche, identitarie o di inclinazione sessuale. Durante la discussione, il membro del Congresso Mike Capuano ha dichiarato “datemi una buona ragione per la quale Comcast debba sapere quali sono i problemi medici di mia madre”, riassumendo efficacemente alcuni dei lati più controversi della questione. La NCTA, un’associazione di lobbisti del settore delle telecomunicazioni, ha espresso soddisfazione per la decisione del Congresso e, in una dichiarazione pubblica, ha comunque confermato l’impegno del suo settore nella difesa della privacy degli utenti.

Come la diminuzione delle tutele alla privacy possa essere una garanzia nei confronti della privacy stessa degli utenti resta un mistero, e il giornalista di The Intercept Sam Biddle ha cercato di interpretare le basi concettuali su cui si poserebbe questo assunto: le risposte ottenute da parte dei rappresentanti del settore, raccolte da Biddle in un articolo, sono assolutamente elusive. Per i critici, come la Ngo Privacy International, la decisione è palesemente un favore alle aziende fatto a scapito dei diritti degli utenti.

Evan Greer di Fight for the Future, un’organizzazione che si batte per i diritti online e i temi della privacy, ha fatto notare come le decisioni di ieri aprano di fatto anche a potenziali nuove opportunità di sorveglianza di massa — le telco erano a loro volta coinvolte nelle rivelazioni di Edward Snowden — e aprono a potenziali nuovi problemi in fatto di cybersecurity: “Cancellare queste garanzie per la privacy non consentirà solo ai provider di spiare su di noi e vendere le nostre informazioni personali, ma renderà anche possibile più sorveglianza di massa incostituzionale e diminuirà la nostra cybersecurity rendendo le nostre informazioni sensibili più vulnerabili ad attacchi di hacker, ladri di identità e governi stranieri”.

Come fa notare Ars Technica, gli ISP hanno molta più possibilità di accesso ai dati di navigazione delle persone rispetto a Facebook e Google: queste ultime, ad esempio, avrebbero la capacità di tracciare massimo il 25% dei siti web, mentre la capacità dei provider raggiungerebbe agilmente il 100%. Inoltre, gli utenti hanno molte meno possibilità tecnologiche di proteggersi dalla raccolta dati degli ISP rispetto a quanto è possibile fare con altre entità web. 

Ad esempio, navigare in modalità incognito o con plug-in anti-tracciamento non serve a nulla contro la raccolta dei provider. Tor Browser, il software che consente di navigare nell’anonimato, o una VPN in grado di cifrare tutto il traffico web e schermarlo possono invece dare una mano per non essere tracciati. I due strumenti, però, impattano a vario modo sull’esperienza di navigazione degli utenti (niente Netflix, ad esempio, mentre altri siti potrebbero bloccarvi se usate un servizio del genere) ma, come ha scritto Klint Finley su Wired, non è semplicemente concepibile che la protezione della privacy debba essere interamente nelle mani degli utenti stessi. O pensare che gli utenti debbano necessariamente difendersi dalle azioni commerciali di aziende in cui pongono la loro fiducia.

La decisione del Congresso Usa, ad ogni modo, è destinata ad avere un impatto profondo sul modo in cui la privacy dei cittadini viene trattata su Internet. Secondo l’Avvocato Francesco Paolo Micozzi, che si occupa di questioni cyber e in particolare di privacy, si tratta di un cambiamento significativo: “Quella del Congresso degli Stati Uniti pare una decisione che segna un deciso passo indietro rispetto agli obiettivi che sino a qualche mese fa caratterizzavano il punto di vista politico Usa sul punto”, spiega Micozzi a Wired: “Ciò rappresenterebbe, in ottica commerciale, una ghiotta opportunità per quelle aziende che guardano ai dati personali come ad una fonte di ricavi potenzialmente inesauribile. Questa però è solo una visione a breve periodo, che non tiene nella giusta considerazione i potenziali rischi che uno sfruttamento indiscriminato di una mole enorme di dati personali potrà avere nel tempo”.

“Purtroppo è troppo presto perché le persone possano bilanciare correttamente i vantaggi derivanti da uno sfruttamento economico di questo ‘nuovo petrolio’ — ossia i dati personali — rispetto alle conseguenze negative che un uso indiscriminato di tali dati potrà avere nel futuro”, continua Micozzi: “Se si considerano le crescenti capacità di immagazzinamento di dati e, al contempo, l’aumento esponenziale delle capacità di analisi di questi, può prevedersi che gli eventuali effetti negativi potrebbero ripercuotersi per generazioni”.

In Europa e in Italia, comunque, le tutele nei confronti dei cittadini e dei loro dati online sono ancora più forti rispetto a quelle disponibili in altri contesti: “Per quanto riguarda l’Europa, già oggi non c’è, nemmeno per gli ISP, la possibilità di commercializzare i dati degli interessati in modo indiscriminato ed incondizionato. Nei Paesi europei la disciplina sul trattamento dei dati personali è omogenea in quanto basata su un’unica direttiva sul trattamento dei dati personali.

È una disciplina molto attenta e particolarmente sensibile alla tutela di dati personali del singolo. Oltretutto, dal 25 maggio 2018 prenderà piena efficacia il nuovo Regolamento europeo (RGPD – 2016/679) – con misure di tutela più stringenti e adattate alle dinamiche contemporanee della rete. Bisogna considerare che per come regolamentato l’ambito di applicazione del nuovo RGPD si potrà offrire ai soggetti che si trovino nell’Unione europea una tutela che potrà estendersi oltre i confini territoriali dell’Europa”, spiega ancora Micozzi: “Uno degli obiettivi fondamentali del RGPD è, infatti, anche quello di assicurare agli interessati, nel caso in cui i dati personali siano trasferiti all’esterno dell’UE, il medesimo livello di tutela di cui godono nell’ipotesi di trattamenti entro i confini dell’UE”.

Sarà comunque importante capire quali saranno le conseguenze internazionali delle scelte statunitensi e, in particolare, se vi potrebbe essere un “effetto a catena” anche altrove e se le posizioni Usa potranno diventare un precedente: “Questa scelta creerà, innanzitutto, uno scompenso nel delicato equilibrio degli accordi UE-Usa sul trattamento dei dati. Rapporti già incrinati con la dichiarazione di invalidità dell’accordo del Safe Harbour nel 2015 e faticosamente ricostruiti a febbraio 2016 con il varo del Privacy Shield. Non credo comunque che altri governi possano seguire l’orientamento Usa così come non credo, è un auspicio, che l’orientamento Usa andrà sempre nella stessa deteriore direzione”.