Social network e privacy: quali sono i rischi per i dati personali ?


Youtube, MySpace, Facebook, Linkedin sono soltanto i nomi di alcune delle più note piattaforme di social network, un fenomeno socio-tecnologico di grande interesse, contraddistinto da elevatissimi tassi di crescita degli utenti.

Ma perchè queste piattaforme riscuotono così tanto successo ?
E, soprattutto, quali rischi presentano per la sicurezza e la riservatezza dei nostri dati personali ?

Diversi sono i fattori che influenzano il successo dei social network:
  • la possibilità di instaurare nuove relazioni ed interagire con individui anche molto distanti da noi
  • la presenza di strumenti ed infrastrutture che facilitano la collaborazione online
  • l'idoneità a supportare la nascita e lo sviluppo di nuove iniziative e relazioni di business
  • il senso di intimità nelle relazioni tra gli utenti
  • la garanzia per gli utenti di esercitare un certo controllo sui dati generati
D'altra parte, come sempre accade, questi vantaggi hanno anche un rovescio della medaglia: proprio a causa del falso senso di intimità, gli utenti di queste reti manifestano la propensione a rivelare informazioni personali con più facilità rispetto a ciò che accade in una relazione tradizionale, dimostrandosi nel contempo poco selettivi nella scelta delle persone con le quali allacciare nuovi contatti.
I social network stanno inoltre vivendo un periodo di intenso sviluppo commerciale, dominato dalla necessità di catturare l'attenzione e l'interesse di nuovi utenti: questo si traduce, spesso, in una scarsa attenzione verso le problematiche relative alla sicurezza ed alla privacy.
Infine molti degli aspetti che andremo ad analizzare non risultano adeguatamente regolamentati nell'ambito delle normative comunitarie e nazionali, emanate in periodi in cui il fenomeno era ancora poco noto.

Partendo da una ricerca dell'Enisa (agenzia europea per la sicurezza delle reti e delle informazioni), i principali rischi che, allo stato attuale, le piattaforme di social network pongono con riferimento ai dati personali degli utenti possono essere classificati in:
  1. rischi relativi alla riservatezza dei dati
  2. rischi concernenti le identità digitali
  3. rischi di natura tecnologica
  4. rischi di natura sociale
In questo post ci soffermiamo sui rischi del primo tipo che, generalmente, hanno come presupposti la mancanza, la scarsa trasparenza o l'ambiguità delle politiche di trattamento dei dati e delle condizioni di utilizzo dei servizi, ma anche la possibilità di associare immagini ai profili oppure di etichettare le immagini con particolari metadati.

In questo contesto esistono dunque delle pericolosità specifiche:
  1. creazione di dossier digitali ed aggregazione di dati secondari
  2. tecniche di riconoscimento facciale
  3. content-based image retrieval
  4. metadati associati o relativi alle immagini
  5. problemi nella cancellazione dei dati degli utenti
Sul primo punto c'è poco da aggiungere salvo che chiunque abbia accesso ad un qualsiasi servizio (l'accesso è libero, basta registrarsi, ed i controlli previsti in fase di registrazione sono spesso carenti) può acquisire e raccogliere i dati degli utenti, all'insaputa di questi ultimi, ed utilizzarli per le finalità più disparate (spam, pubblicità, attacchi diretti alla persona, discriminazione, ecc....) che, raramente, corrispondono a quelle per le quali è stato prestato il consenso.
Questo inconveniente non può ritenersi superato nemmeno in virtù dei tanto sbandierati controlli di accesso, sia perchè a volte i dati personali, apparentemente non visibili, risultano accessibili mediante una semplice ricerca, sia per la debolezza intrinseca di molte impostazioni predefinite (pochi utenti si preoccupano di modificarle !), sia perchè, in realtà, è molto facile diventare "amici" di tutti ed avere così accesso ai dati.
Considerazioni analoghe le possiamo fare anche per i dati di natura, per così dire, secondaria (indirizzi ip, data e durata delle connessioni, profili visitati, messaggi scambiati, ecc...): questi sono di regola accessibili ai fornitori per asserite finalità miglioramento dei servizi ma, in realtà, non esistono di fatto adeguate garanzie di protezione e, soprattutto, di trattamento per le finalità consentite.

In relazione al secondo punto, l'enorme progresso tecnico raggiunto nel campo degli algoritmi rende tutt'altro che teorico il rischio di una correlazione tra i profili, di cui gli utenti sono spesso titolari su servizi o piattaforme differenti, proprio per effetto del riconoscimento delle relative immagini (a tale proposito sembra che Google abbia già integrato nella sua ricerca immagini delle tecniche di riconoscimento facciale; vedi questo esempio su Albert Einstein ).
Lo stesso livello di rischio deriva dalla possibilità di utilizzare tecniche di content-based image recognition (CBIR), originariamente sviluppate nel settore della digital forensic, per dedurre informazioni utili alla geolocalizzazione degli utenti attraverso il riconoscimento delle caratteristiche degli oggetti o dei luoghi raffigurati nelle immagini associate ai profili.

La questione dei metadati abbraccia due evenienze diverse: da un lato c'è l'eventualità, offerta da alcune piattaforme, di associare alle immagini delle etichette contenenti informazioni personali relative alla persona ritratta (nome, cognome, indirizzo di posta elettronica, ecc...), senza prima aver ricevuto il consenso da parte di quest'ultima.
L'inclusione, invece, di particolari metadati nelle immagini digitali che vengono caricate sulle piattaforme, in particolare il numero seriale della fotocamera, può costituire una minaccia per la privacy dell'utente a causa della associazione con i dati relativi al suo indirizzo riportati nella cartolina di registrazione della garanzia.

Infine una ulteriore questione da non sottovalutare è quella relativa alla eventuale cancellazione dal servizio: raramente, infatti, l'eliminazione dei dati principali si accompagna ad una completa rimozione di tutti i contenuti generati dall'utente (post, commenti, contenuti audio-video, ecc...).
Questa ambiguità è ulteriormente esasperata quando, a fronte di una richiesta di cancellazione, c'è soltanto una disattivazione del profilo, con conseguente mantenimento di una copia "nascosta" dei dati: entrambe le ipotesi costituiscono una violazione palese della direttiva 95/46/CE essendo gli individui privati di un mezzo efficace con il quale controllare la diffusione dei propri dati.

2 commenti:

Truman ha detto...

Si tratta sostanzialmente di aria fritta. Il garante ha uno stipendio e deve rispondere a quelli che lo pagano.

Punto 1) internet ormai ha superato la TV, le persone passano più tempo a comunicare con gli amici che a farsi lavare il cervello dalla tv spazzatura. Quindi bisogna parlare male di internet perchè fa perdere incassi alla tv.

Punto 2) i mancati incassi alla tv si possono almeno in parte recuperare vendendo paure agli utenti, che acquisteranno sw antivirus, antispyware e così via. Tipicamente dopo un po' avenno anche bisogno di un pc nuovo.

Quindi le dichiarazioni del garante alla privacy fanno semplicemnte parte di un sistema commerciale dove gli incassi mancati da un settore commerciale vanno recuperati in un altro settore. Tutto il resto è marginale, irrilevante, aria fritta.

Stefano Bendandi ha detto...

Personalmente non la vedo come aria fritta.

E' vero che Internet ha tolto parecchio spazio alla televisione e che sussiste una certa tendenza da parte dei media tradizionali a "demonizzare" la rete, ma è altrettanto vero che la maggior parte dei rischi citati a proposito dei social network sussiste veramente.

Peraltro tra le istituzioni che si sono interessate dell'argomento ci sono, non soltanto il gruppo dei garanti privacy dell'UE, ma anche l'agenzia europea per la sicurezza delle informazioni.

Si tratta solo di decidere se essere coscienti di questi rischi ed adottare atteggiamenti più ispirati a prudenza o piuttosto ignorarli del tutto.

Ognuno è libero di fare le sue scelte secondo la propria coscienza ed aspettative ma è sempre meglio sapere che rimanere all'oscuro.