L’autorità italiana per la protezione dei dati personali ha recentemente emanato una serie di suggerimenti e consigli per usare app e dispositivi fitness tracker e proteggere i propri dati personali.
La guida suggerisce agli utenti, tra le altre, di disabilitare le opzioni di tracciamento non necessarie, eliminare regolarmente i dati e abilitare l’autenticazione a più fattori.
Vediamo più in dettaglio di cosa si tratta.
I dispositivi Fitness Tracker
Oggi più che mai essere in forma e in buona salute è un obiettivo fondamentale per tutti noi, sul quale investiamo tempo e denaro. Il tema “salute” riguarda tutti, giovani e meno giovani, poiché rappresenta un modo di investire su sé stessi, nel presente e nel futuro, e la crescente e costante domanda di dispositivi per il fitness lo testimonia, indipendentemente dall’età e dall’esperienza nell’ambito dello smart home.
A casa, in viaggio o in vacanza, i dispositivi Fitness Tracker ci permettono di monitorare e tenere sotto controllo il nostro corpo in ogni istante della nostra attività fisica e, se connessi ai nostri smartphone e alle rispettive app, ci permettono di fare analisi sulle nostre prestazioni, valutare lo storico dei dati collezionati, impostare nuovi obiettivi e analizzarne il raggiungimento.
Il monitoraggio del cuore non è l’unico contesto in cui operano questi dispositivi, indossabili e no, perché nel tempo sono state sviluppate e offerte al pubblico un grande numero di altre proposte per affiancare e supportare l’attività fisica, per l’allenamento sportivo o la semplice passeggiata, per il nuoto o l’arrampicata, fino al monitoraggio del sonno e del peso corporeo. Si tratta di dispositivi ormai entrati nella nostra vista quotidiana sebbene siano caratterizzati da alto contenuto tecnologico: dati e misure vengono registrati in maniera precisa tramite sensori, e poi interpretati tramite tecnologie intelligenti.
Spesso però i dati raccolti da tali dispositivi sono per loro natura sensibili, perché riguardano caratteristiche molto personali dell’individuo come il suo stato psico-fisico, o comunque delicati, in quanto potrebbero rivelare le sue abitudini di vita o i suoi spostamenti abituali. Dati che, se ceduti a terzi per attività di profilazione, o se rubati da malintenzionati, potrebbero avere effetti altamente negativi per la nostra sicurezza personale, come ci ricorda il Garante, “ad esempio, quando condividiamo sui social informazioni su dove, in quali giorni e a che ora andiamo a correre e se da soli o in compagnia”.
Essendo poi dispositivi solitamente connessi, e integrati nel mondo IoT (Internet delle Cose), e quindi capaci di scambiare dati e dialogare con altri dispositivi, come app e smartphone, i rischi di sicurezza inevitabilmente sono amplificati, e in particolare “le possibilità di trattamento e diffusione dei dati personali raccolti da tali strumenti, per finalità e con modalità di cui non sempre siamo consapevoli”.
Infine, sono “social” quasi “by design”, poiché possiedono funzionalità che consentono una facile condivisione di dati, obiettivi e risultati anche con utenti sconosciuti.
Il decalogo del Garante
Sulla base di tutte queste caratteristiche, il garante ha identificato dieci suggerimenti da seguire per proteggere la nostra privacy.
Leggere le informative
Il primo suggerimento è quello di leggere le informative e soffermarsi in particolare su “quanti e quali dati verranno raccolti” e su “come verranno utilizzati”. È importante cioè capire quali dati verranno collezionati, da chi e per quali finalità, oltre al tempo per il quale verranno conservati e se verranno condivisi con qualcuno e perché, in particolare se per finalità di marketing.
Il Garante suggerisce di cercare l’informativa nella confezione del dispositivo, sul sito web del produttore del dispositivo, dal sito web della app a cui il dispositivo si connette, o dallo store da cui la app viene scaricata.
I contenuti dell’informativa sono stabiliti dagli articoli 13 e 14 del Regolamento europeo 2016/679 in materia di dati personali (GDPR), ma spesso la lettura di questo documento si rivela ardua, sia per il linguaggio che per gli argomenti trattati. Oggi più che mai abbiamo bisogno di avere informative chiare e semplici che ci permettano di capire i rischi connessi alla raccolta dei nostri dati, e ci permettano di esprimere un consenso consapevole e informato, e questo è vero in generale, e non solo per i dispostivi di fitness tracking. Dobbiamo prendere atto che siamo ancora distanti dall’obbiettivo, ma sono state numerose le iniziative del Garante nel recente passato, tra cui va sicuramente citato il contest del 2021 “Informative privacy più chiare grazie alle icone? È possibile”, incentrato sull’utilizzo di simboli e icone per rendere un’informativa immediatamente comprensibile.
Minimizzare il trattamento dei dati
Il secondo suggerimento è quello di considerare attentamente quali sono i dati strettamente necessari per il funzionamento della app o del dispositivo. Ad esempio, suggerisce il Garante, “puoi scegliere di tenere traccia della durata seduta di corsa o bicicletta e la distanza percorsa, anche senza necessariamente rilevare il battito cardiaco”. Un altro aspetto da considerare, dice ancora il Garante, è quello di disattivare tutto ciò che è “non essenziale” nella abituale attività di fitness (es. il monitoraggio del sonno). E anche nel caso in cui sia necessario creare un profilo personale per utilizzare la app, cosa piuttosto usuale, proviamo a dare solo le informazioni strettamente necessarie per l’attivazione del servizio, e usiamo uno pseudonimo, che non includa il nostro nome o altri elementi riconducibili a noi stessi.
Ricordiamo inoltre che la disattivazione di servizi non necessari è anche una delle misure più efficaci di hardening in ambito cybersecurity per limitare la superficie di attacco e ridurre quindi i rischi legati alla sicurezza.
Usare prudenza nelle connessioni
Come detto, la connessione con app o smartphone, tipica di questi dispositivi, può amplificare il rischio di condivisioni non volute con persone sconosciute. È quindi importate capire se la connessione è necessaria per il funzionamento del dispositivo, ed eventualmente impedirla. Se invece risulta necessaria, il suggerimento del Garante è quello di “limitare al minimo la condivisione dei dati”, ad esempio negare alla app di accedere a dati che non siano quelli necessari al monitoraggio dell’attività di fitness, come i contatti in rubrica.
Non bisogna mai dimenticare, infatti, che le condivisioni posso essere un modo estremamente facile per veicolare virus e malware all’interno dei nostri dispositivi da parte di malintenzionati, acquisendo così il controllo dei dispositivi e dei dati in esso contenuti.
Non dire tutto a tutti
Se proprio vogliamo far sapere a tutti quanto siamo in forma, e quindi vogliamo condividere dati sulla nostra salute e le nostre attività di fitness, dovremmo però anche valutare con chi stiamo condividendo queste informazioni, ad esempio selezionando “solo amici e conoscenti”. Il suggerimento poi è quello di evitare di condividere dati relativi alla geolocalizzazione, che potrebbero rivelare, anche a malintenzionati, dove siamo e cosa stiamo facendo.
Sicurezza e Password
Il Garante ci ricorda che alla fine bastano poche ed essenziali accortezze di base per essere più sicuri: impostare password complesse, aggiornare periodicamente le app, evitando quindi potenziali vulnerabilità che potrebbero essere sfruttate da malintenzionati per prendere il controllo del nostro dispositivo, impostare l’autenticazione a due fattori, scaricare le app solo dagli store ufficiali e valutare se installare, quando possibile, un antivirus. Ricordarsi poi che le connessioni wireless sono sì comode ma non sono esenti da rischi: quindi spegnere il Bluetooth e in generale disconnettere il dispositivo dalla rete, se non necessaria o in uso. E connettersi a reti wireless solo in presenza di standard di sicurezza certi, evitando ad esempio connessioni pubbliche che non siamo in grado di verificare o di cui conosciamo poco o nulla.
Cancella i dati
Una buona abitudine, quando possibile, è quella di cancellare periodicamente i dati raccolti dal dispositivo o dalla app, senza dimenticarsi del profilo utente, dove alcuni di questi dati potrebbero essere archiviati.
Tutela dei Minori
Qui il consiglio del Garante è di evitare a bambini e ragazzi di usare questo tipo di dispositivi e le app, a meno che un adulto non supervisioni. Questo perché in genere i minori sono meno consapevoli e più esposti ai rischi di diffusioni incontrollate di dati, anche se generalmente sono entusiasti di tutto ciò che è tecnologico e nuovo.
Se non lo usi, spegnilo!
È davvero necessario indossare o tenere acceso il dispositivo fitness per giorni interi o addirittura sempre? Se la risposta è sì, il consiglio è quello di considerare di disattivare alcune funzioni o rilevazioni, da riattivarsi solo durante l’attività di fitness. Anche questa, come altre, è una misura preventiva, poiché è un modo per minimizzare la raccolta dati, ridurre la superficie di attacco e i rischi legati alla sicurezza.
Non dare via i tuoi dati
Se si desidera vendere o regalare il proprio dispositivo, non bisogna mai dimenticare che prima sarà necessario verificare di aver cancellato ogni dato che ci riguarda, senza dimenticarsi dei profili personali eventualmente creati, e dei dati eventualmente presenti sul sito della app, e non solo sul nostro dispositivo. Se abbiamo installato app sportive sui nostri smartphone, ma abbiamo smesso di utilizzarle, il consiglio è di cancellarle verificando però che anche i dati raccolti siano a loro volta cancellati: in genere è una domanda che ci viene posta quando procediamo alla cancellazione della app.
Impara a difenderti
Come ci ricorda il Garante, “il Regolamento UE/2016/679 (GDPR) in materia di protezione dati prevede che i sistemi elettronici siano prodotti e configurati per ridurre al minimo la raccolta e il trattamento di dati personali (Art. 25 privacy by design e privacy by default). I dati devono inoltre essere trattati in modo trasparente nei confronti dell’interessato (principio di trasparenza) e adeguati, pertinenti e limitati a quanto previsto dalla finalità (principio di minimizzazione).” Tutti i produttori dei dispositivi e i fornitori di servizi digitali sono tenuti a conoscere e rispettare questi principi. Ma la nostra consapevolezza è la più importante linea di difesa che possiamo mettere in atto.
Conclusioni
I dispositivi Fitness Tracker sono indubbiamente utili, e il loro utilizzo è entrato ormai di fatto nella nostra vita quotidiana. Senza demonizzarli, dobbiamo però farne un uso consapevole, come ci ricorda il Garante, e dobbiamo mettere in atto le opportune cautele per garantire una adeguata protezione della nostra riservatezza e dei nostri dati personali. Siamo enormemente esposti nel mondo digitale, e lo saremo sempre di più, ma siamo noi stessi, informandoci ed esercitando la nostra consapevolezza, a poter erigere la prima linea di difesa contro le minacce a cui, nostro malgrado, siamo e continueremo ad essere esposti. Sembra improbabile riuscire ad impedire ai nostri giovani l’utilizzo di tali dispositivi, e sicuramene non è semplice esercitare un qualche controllo da parte di un adulto ma nuovamente siamo noi adulti i primi a dover garantire che i nostri figli riescano a vivere nel mondo digitale in maniera proficua e sicura. È una sfida impegnativa, da cui non possiamo esimerci, e queste iniziative da parte dell’Autorità non possono che aiutarci e motivarci a non abbassare mai la guardia.
