Cinquantamila.it La storia raccontata da Giorgio Dell'Arti

«Così Google sa tutto di noi», hanno titolato in prima pagina giovedì 9 le tre testate del Quotidiano nazionale (Qn), La Nazione, Il Resto del Carlino e Il Giorno. E il titolo è stato accompagnato da un occhiello ancora più penetrante: «Un nostro giornalista documenta come è stato spiato per un anno intero». Il giornalista è Matteo Massi, che scrive: «A mettermi in allarme è stato un collega, ignaro che qualsiasi attività della sua vita privata fosse passata ai raggi X dal Grande G...». Massi, più smanettone del collega, lo ha avvertito che in realtà il modo per non essere spiato c’è: basta disattivare da parte di chi usa una qualsiasi delle applicazioni di Google, in primo luogo l’account di posta Gmail, il servizio di geolocalizzazione andando su Impostazioni. Massi aveva già compiuto l’operazione di escludere il servizio di geolocalizzazione e quindi fino a quando il collega gli ha manifestato tutti i suoi dubbi, era tranquillo. «Nel dubbio», scrive il giornalista di Qn, «ho deciso di dare un’occhiata a come vanno le cose sul mio smartphone. Sono sicuro di aver tolto la geolocalizzazione da tempo, ma meglio non rischiare. Verifico così che almeno negli ultimi due anni non risulto geolocalizzato».Per riprova al contrario, Massi decide di riattivare momentaneamente la geolocalizzazione. «Appena do l’assenso, ecco che compaiono come d’incanto le vecchie geolocalizzazioni. Un censimento di tutte le mie azioni, di tutte le mie attività, di tutti i luoghi visitati...». E ne fa un lungo e significativo elenco. «Certo, basta un clic per evitare gli occhi lunghi di Google. Basta. Ma l’azione, come dimostrato, non è retroattiva. E quindi tutte le attività precedenti alla disdetta restano negli enormi archivi di Google, pronte a rimaterializzarsi se viene riattivata la geolocalizzazione».
Bene, grande merito al collega che scrivendo sui tre quotidiani che coprono intensamente larga parte del Nord e Centro Italia ha fatto capire meglio alla gente comune come i servizi gratuiti di Google di cui la gente usufruisce, in realtà siano ampiamente ripagati dai cittadini che consentano al gigante californiano di sapere tutto sui cittadini stessi. Ma il merito di Massi è più generale, perché ha richiamato l’attenzione su un tema, quello della privacy e dell’uso dei dati della privacy, che è cruciale per la dignità umana, oltre che per la democrazia, visto che con quei dati vengono fatte campagne di propaganda e disinformazione, come dimostra il caso di Facebook che aveva ceduto i dati di milioni di persone a Cambridge Analytica, la quale li ha usati per scopi politici. In realtà, almeno in questo, Google usa principalmente i dati per raccogliere pubblicità ipermirata e quindi tale da mettere in crisi chi ha avuto larga parte dei ricavi dalla pubblicità stessa, cioè i media. A sorprendersi di essere diventati una sorta di editori super ricchi grazie alla raccolta pubblicitaria sono stati del resto gli stessi fondatori di Google, Larry Page e Sergey Brin, come hanno candidamente dichiarato: mai ci saremmo immaginati che le nostre entrate venissero in maniera così importante dalla pubblicità.
All’interno di quanto molti già sapevano e sanno, e cioè che attraverso il loro smartphone rivelano tutto o quasi di se stessi ai cosiddetti Ott e da questi, inevitabilmente, anche a chi ha interesse a sapere, il collega Massi ha stimolato una riflessione e un approfondimento, in forma di dialogo, con Davide Fumagalli, capo redattore di MF-Milano Finanza e chief tecnology officer di Class Editori, giornalista e tecnologo fra i più stimati per la sua sapienza da tutti coloro che operano a livello internazionale nel digitale.
* * *
Caro Davide, com’è possibile che Massi abbia ritrovato dati completi sulla sua vita prima che disattivasse la geolocalizzazione?

La piattaforma di Google, caro Direttore, così come molti sistemi basati su cloud, è pensata per consentire di accedere a servizi e informazioni indipendentemente dal dispositivo su cui sono stati creati o registrati. Il classico esempio sono le foto che scattiamo dal nostro smartphone, sia esso un Android o un iPhone: se attiviamo il servizio di backup su cloud, una copia di ogni foto viene memorizzata anche sui server di Google o Apple, in modo che se perdiamo o ci rubano il telefonino, o semplicemente se lo sostituiamo, basta inserire il proprio account (username e password) per ritrovarle. Se disattivassimo momentaneamente il servizio, avremmo un buco temporale da quel momento a quando lo riattiviamo. Per cancellare definitivamente tutte le informazioni memorizzate sui server su cui si basa il servizio cloud dobbiamo invece cancellare l’account stesso, operazione possibile, e irreversibile, che cancella fisicamente i dati memorizzati.

I pericoli di essere seguiti da Google si corrono anche se non si usa il sistema operativo Android, di proprietà dello stesso Google?

Nell’era del cloud quello che importa non è più il dispositivo, ma il servizio che si usa e l’account collegato. Usando per esempio il servizio Maps di Google su un dispositivo Apple, la posizione rilevata dal sistema Gps di iPhone viene utilizzata dai sistemi di Google per localizzare l’utente e fornire le informazioni necessarie per raggiungere la località desiderata, trovare un ristorante nelle vicinanze e così via. Lo stesso vale per tutti i servizi basati su cloud: solo per citarne alcuni, Amazon, Facebook, Netflix e Spotify. Se poi l’utente si logga, ovvero registra il proprio account Google (indirizzo email e password) nell’applicazione, queste informazioni vengono collegate a tutte le altre legate al proprio account, e quindi le ricerche fatte sul motore di ricerca Google da tutti i dispositivi su cui è collegato l’account, le domande fatte all’assistente Google, i video guardati su YouTube e così via. Anche usando YouTube su uno smart tv di qualsiasi produttore, per esempio, se si collega il proprio account Google i video guardati verranno uniti alle altre informazioni relative al titolare dell’account stesso. Quindi, se per esempio si usa uno smartphone Apple e non si vuole essere seguiti occorre usare l’app delle mappe di Apple. Che registra i dati in una forma intrinsecamente sicura, come dimostra il caso di quel padre che voleva riavere le foto dei due figli morti, ma non aveva la loro password e Apple stessa non li può recuperare.

Proprio come difesa dall’invadenza di Google e Facebook, l’Europa ha introdotto la normativa chiamata Gdpr (General data protection rule), che dovrebbe tutelare la privacy attraverso l’imposizione di una serie di vincoli agli operatori. Come mai non funziona?

Il Gdpr era animato da buone intenzioni, ovvero aumentare gli strumenti legati a tutela della privacy dei cittadini europei. La declinazione pratico-legale ha però creato un carico di lavoro e un impatto che hanno pesato in modo relativo sui colossi del web che dispongono di enormi risorse tecniche e di risorse economiche per dotarsi di tutto il supporto legale necessario, come ammesso anche dagli stessi top manager degli over the top, e in modo invece molto sensibile sui conti economici e lo sviluppo di tutte le società europee, con il risultato di svantaggiare queste ultime.

Indipendentemente dalla normativa europea, i cittadini dovrebbero essere tutelati dagli avvisi sulla privacy che tutti gli operatori devono evidenziare prima che si avvii il servizio.

Anche in questo caso, legalmente lo strumento per arrivare a questo scopo esiste e si chiama Licence agreement, il vero e proprio contratto tra l’utente e la società che eroga il servizio che appare come una finestra al primo accesso al servizio stesso, si tratti di uno smartphone appena acquistato, un’app scaricata da uno store digitale o un servizio come Alexa o l’assistente digitale di Google. Il problema è che, per l’obiettiva complessità tecnica che hanno ormai raggiunto le tecnologie e per l’ampiezza degli aspetti legali sottostanti, sono pagine di testo che, semplicemente, nessuno legge, facendo scorrere velocemente il testo sino ad arrivare all’agognato «Accetto» che si seleziona per iniziare a usare il servizio desiderato. Chi tiene alla sua privacy deve leggersi tutte le pagine ed eventualmente non accettare il contratto.

Quindi, Davide, tu dici che quasi nessuno legge i contratti perché arrivano anche a 10 pagine scritte tutte in un legalese impenetrabile per il cittadino normale. Non dovrebbero essere messi allora in estrema chiarezza e semplicità alcuni punti chiave attraverso domande a cui l’utente potrebbe rispondere sì o no?

Questo avrebbe sicuramente un effetto positivo, ma anche in questo caso, per l’ampiezza dei servizi offerti e per la complessità di normative come il Gdpr, si avrebbe in molti casi un lungo questionario da popolare con un Sì o un No.

Secondo te per lo scippo della privacy sono più pericolosi gli Ott o i fabbricanti di telefonini tipo Huawei?

Una eventuale backdoor a livello hardware, ovvero una porta di accesso segreta che consente a chi ha progettato il chip o dispositivo di accedere ai dati all’insaputa di chi lo utilizza, è molto più difficile da individuare e quindi molto più insidiosa. Non dimentichiamoci che tutti i servizi che registrano i dati per poi condividerli via cloud, come quelli di Google, Apple e così via, se autorizzati utilizzano fisicamente l’hardware dei dispositivi stessi per questo scopo.

Come ho già scritto in «Orsi & Tori», un po’ di tempo fa sono andato a trovare il capo di uno dei maggiori operatori di telefonia in Italia. Si era nel pieno della polemica su Huawei e volevo capire. Per un quarto d’ora, abbiamo parlato comodamente in poltrona. Quando ho pronunciato la parola Huawei, si è alzato ed è andato a mettere il suo smartphone in una cassetta apparentemente di legno ma sicuramente all’interno con una gabbia di Faraday. Alla fine del colloquio mi ha regalato una busta all’esterno di pelle ma con dentro fili di acciaio: una gabbia di Faraday portatile... Dobbiamo arrenderci?

La tecnologia è per definizione neutra, come un coltello che serve per tagliare il pane ma anche ferire una persona. Pensiamo alla comodità di poter trovare uno smartphone smarrito, o rilevare in tempo reale un’anomalia cardiaca e quindi avere salva la vita tramite un orologio intelligente come Watch di Apple o, semplicemente, sapere come muoversi perfettamente in ogni luogo del pianeta tramite la localizzazione. Più che arrenderci, dobbiamo essere consapevoli delle enormi potenzialità ma anche dei rischi che comporta l’uso di ogni servizio o strumento tecnologico. Per pigrizia o per fretta non leggiamo più il manuale di istruzione di nessuno dei dispositivi che usiamo, e tantomeno i contratti, non solo quelli legati ai servizi web. Dovremmo invece dedicare un po’ di tempo a questa attività o perlomeno rivolgerci a fonti attendibili, e non alle catene di sant’Antonio digitali che girano su Facebook su fantomatiche frasi da copiare e incollare per essere al sicuro. Basterebbe, per iniziare, seguire queste regole.

Ecco, ottima idea, prova far conoscere ai nostri lettori il decalogo che immagino tu segua, anche se finisci per provare un nuovo smartphone al mese e quindi devi conoscere molte più regole o cautele le delle dieci che ti chiedo.

Lo faccio volentieri, perchè non funzionando bene la legge dell’Europa, peraltro l’unico continente che ci ha provato, le regole fai-da-te sono indispensabili.
1) Controllare tutte le app installate su ogni dispositivo elettronico, non solo sul proprio smartphone. Ormai anche tv, orologi e persino elettrodomestici sono collegati al nostro account, e i dati che raccolgono sono regolati dal Licence agreement.
2) Cancellare le app non più utilizzate su smartphone, tablet e in genere ogni dispositivo intelligente.
3) Leggere il Licence agreement di tutti i servizi a cui siamo iscritti.
4) Prima di installare un’app, specie su sistema Android, verificare che permessi chiede. Se un’app per accordare la chitarra chiede di avere accesso alla rubrica telefonica o alla posizione, perlomeno qualche sospetto dovrebbe sorgere.

5) La chiave per accedere ai dati memorizzati sui servizi cloud è la password, elemento troppo spesso trascurato. È importante avere una password diversa per ogni account/servizio web, e non semplice da indovinare. Per scoprire il nome di figli, coniugi e animali domesitici basta una ricerca su Facebook o su web che possono fare tutti. Ancora oggi, purtroppo, la password più diffusa al mondo è 123456.
6) Ogni servizio web consente di vedere tutti i dati raccolti, e averne anche una copia. È un esercizio utile per capire meglio che tipo di informazioni stiamo condividendo, e nel caso cambiare le nostre scelte. Basta andare nella scheda Account del servizio e poi scegliere la voce Privacy.

7) Molti contratti cambiano nel tempo, e quelli dei servizi web non fanno eccezione: i mutamenti devono venire comunicati agli utenti, molto spesso via mail. Come nel caso del Licence agreement, leggerli non è un’attività divertente ma è ormai necessaria.

8) Prima di dare un vecchio dispositivo a un parente o un amico, o anche prima di portarlo in discarica, è necessario cancellare in modo sicuro tutte le informazioni presenti. Se non si sa come fare, occorre rivolgersi a una persona competente o distruggerlo fisicamente. Nel caso dei dischi fissi dei pc, nei laboratori dei produttori di antivirus la distruzione sicura avviene attraverso trapani elettrici che praticano sei buchi nei dischi o presse idrauliche. La classica martellata in realtà non è sufficiente.

9) Fare attenzione a usare con troppa disinvoltura il Wi-Fi gratuito di ristoranti e altri locali pubblici. Le informazioni che transitano potrebbero essere intercettate. Meglio usare in questo caso un servizio Vpn, che cripta le informazioni in transito sulle reti pubbliche

10) Un motto statunitense recita: non esistono pasti gratis. I servizi offerti gratuitamente in realtà sono pagati semplicemente con una moneta diversa dal denaro, e in molti casi coincidente proprio con porzioni più o meno ampie della propria privacy. Vale la pena pensare se non sia più conveniente pagare il servizio di tasca propria.

Caro Davide, grazie. Ma quanti lettori credi che vogliano pagare di tasca propria, almeno impiegando tempo a leggere il Licence agreement o a usare una password per ogni servizio? La rivoluzione digitale, che è progresso, abitua sempre più al tutto e subito, crea una sorta di frenesia. Io credo che i governi, a cominciare da quello statunitense che ora è inevitabilmente vassallo degli Ott, debba comprendere che assieme al progresso tecnologico ci vogliono nuove leggi e comunque riportarne attiva una, quella antitrust, perché sul mercato possano trovare spazio, sottratto agli Ott, a operatori che chiedono di pagare il servizio ma danno garanzie di non rubare la privacy. 

PAOLO PANERAI