Se la smart TV ci ruba la privacy: tutti i rischi che corriamo e dobbiamo conoscere

Il prossimo cambio dello standard delle trasmissioni televisive porterà nelle case degli europei molti nuovi televisori smart^[1], che possono essere il primo nucleo di un sistema domotico integrato e collegato alla rete. Questa innovazione promette molti vantaggi, ma anche parecchi rischi, soprattutto sotto il profilo della privacy. È opportuno che chi utilizza questi apparati sia ben consapevole della massa di informazioni personali che mette a disposizione delle case produttrici e dei fornitori di servizi informatici.

Un capitolo a parte meriterebbe il trattamento dei dati in ambito industriale. Quando le macchine devono “parlarsi” tra di loro e con il sistema della logistica e della contabilità, esse veicolano una quantità di dati riservati sulle tecnologie, sull’organizzazione e sulle strategie aziendali che farebbero gola a qualsiasi spia. Se tutte queste informazioni passano attraverso i servizi dei soliti Big della rete, allora il rischio di insider trading diventa elevato, perché è difficile sfruttare la potenza di calcolo del cloud senza passare per dati non criptati, che sono gli unici che possono essere elaborati dai sistemi centralizzati di AI e di ottimizzazione.

Connected TV: stato dell’arte e prospettive per l’advertising digitale

La domotica e i dati personali

L’ambito è quello dell’Internet delle cose (IoT). Prevedendo l’interconnessione tra diversi apparati domestici (e in un prossimo futuro anche dei mezzi di trasporto e altro), richiede necessariamente un uso intensivo della rete. La rete viene utilizzata sia per lo scambio di dati tra gli oggetti (che a rigore potrebbe avvenire anche secondo protocolli diversi da quelli usati per internet, come il bluetooth o sistemi proprietari) e soprattutto l’accesso a risorse condivise, come gli spazi di archiviazione sul cloud, i programmi di intelligenza artificiale (AI) e quelli per il riconoscimento vocale. Questa configurazione comporta indubbi vantaggi, a cominciare dalla possibilità di sfruttare una maggiore capacità di elaborazione e di migliorare il software senza ricorrere a continui ed esasperanti aggiornamenti locali. Fornire ogni casa di un server su cui girano i programmi di AI sarebbe irrazionale e soprattutto imporrebbe una barriera all’entrata nel mondo della domotica, costituito dal costo del computer su cui gira tale software. Ci sarebbero inoltre tutti i problemi di gestione di una rete tra oggetti che utilizzano presumibilmente standard diversi, con grandi vantaggi solo per le tasche dei sistemisti.

A fronte dell’agilità e della potenza di una IoT basata su risorse in comune, sorgono parecchi problemi in termini di privacy. La condivisione delle risorse, infatti, impone anche l’acquisizione e il trattamento di dati personali, talvolta anche sensibili. Ad esempio, un frigorifero “intelligente” può rivelare la religione e lo stato di salute dei componenti della famiglia. Un sistema di condizionamento e illuminazione automatizzato raccoglie inevitabilmente informazioni sugli orari e sulle attività. Un sistema di intrattenimento smart tratta dati sulle preferenze culturali, sulla fede sportiva e perfino sugli orientamenti sessuali degli utilizzatori.

Il caso delle smart TV e la privacy

Basta accendere per la prima volta un televisore smart per vedersi chiedere l’autorizzazione a trattare i dati personali e addirittura a trasferirli anche fuori dallo spazio europeo, all’interno dei quali sono abbastanza tutelati. Se tali autorizzazioni non vengono concesse il produttore ci informa gentilmente che non sarà in grado di attivare molte delle caratteristiche per le quali è stato acquistato quell’apparato, a cominciare dal riconoscimento vocale dei comandi e dalla semplificazione dei menù in base alle abitudini degli utenti (che per gli anziani sono entrambe rilevanti).

Per il momento, in occidente non sono stati scoperti casi di vero e proprio spionaggio attraverso gli apparecchi smart, come quello documentato recentemente in Cina. Da noi le informazioni acquisite servono soprattutto a somministrare pubblicità personalizzata, in aggiunta a quella già inserita nei programmi televisivi. Nel caso dei frigoriferi smart, questa attività di “promozione” può diventare anche più invasiva, tanto da privilegiare particolari brand o shop nel corso degli eventuali ordini on line effettuati automaticamente dall’elettrodomestico. Apparentemente si tratta di modeste intrusioni nella nostra vita privata, addirittura gradite per evitare alcune fastidiose incombenze quotidiane. In futuro nulla può garantirci che le informazioni raccolte tramite smart Tv o altri dispositivi IoT non servano a stabilire il nostro rating sociale come in Cina, oppure semplicemente la nostra reputazione, l’affidabilità creditizia, il rischio per una assicurazione sanitaria, ecc. In realtà, vagando tra le mille opzioni offerte dai menù degli elettrodomestici smart è ancora possibile disattivare le intrusioni meno gradite. A spiegarci come liberarci di certi fastidi provvede la stessa rete che veicola le nostre informazioni personali. Ad esempio, è facile trovare il modo di sopprimere gli spot personalizzati.

La rivoluzione nel mondo della comunicazione

Resta il fatto che questa nuova possibilità di interazione con l’utente/consumatore potrebbe rivoluzionare in pochi anni l’intero mercato pubblicitario, anche perché le normative (su tetti pubblicitari, contenuti inappropriati, pubblicità ingannevole, ecc.) sono ancora ferme alle vecchie forme di promozione. In prospettiva, i media saranno sempre più condizionati economicamente dai Big della rete, piuttosto che dagli editori e dalle agenzie pubblicitarie tradizionali. Si tratta di un cambiamento epocale, paragonabile al passaggio dalla cartellonistica e dagli avvisi sui giornali e prima dei film, alla pubblicità su radio e tv.

Agli inizi degli anni venti del secolo scorso, quando la radio divenne un prodotto di massa, questo processo favorì inevitabilmente le grandi imprese, che erano le uniche in grado di vendere i propri prodotti su scala nazionale e quindi avevano interesse a rivolgersi a tutti i radioascoltatori e non solo a quelli di una singola area, con ingenti risparmi rispetto a campagne basate su giornali e cartelloni. Per le piccole imprese locali, invece, la pubblicità radiofonica generalista non aveva alcun senso. Come sappiamo, anche parecchi regimi dittatoriali sfruttarono a fondo le possibilità offerte dal nuovo mezzo di comunicazione, diffondendo i propri messaggi anche nelle aree più remote per allargare il proprio consenso senza troppe resistenze.

Oggi la tecnologia della IoT offre strumenti di persuasione molto più potenti di radio e tv e soprattutto consente di personalizzare i messaggi in modo da massimizzarne gli effetti: una specie di porta a porta globale. In teoria, la IoT consente di veicolare messaggi pubblicitari e politici anche su scala locale, ma è improbabile che imprese o organizzazioni di piccole e medie dimensioni riescano a competere con i Big della rete che dominano la tecnologia e le infrastrutture che consentono di interagire con gli utenti degli apparati smart. Per avere un’idea del potere di queste istituzioni globali, basta pensare che una di esse ha impunemente censurato i post del presidente del più potente stato del mondo, senza dover rispondere ad alcun tribunale. Deve essere per questo che nel rapporto di Privacy Network il 72% degli intervistati preferirebbe affidare i propri dati personali ad una istituzione pubblica, che risponde a leggi e regole democratiche, piuttosto che a delle imprese private.

I limiti di risposte nazionali a problemi globali

Per fortuna, le istituzioni nazionali stanno cominciando a muoversi su questo difficile terreno, seppure con grave ritardo. Lo dimostra anche un recente approfondimento del nostro Garante per la Privacy che però finisce solo per suggerire di “cercare di fare un uso informato e consapevole di questi strumenti, per tutelare in modo adeguato i nostri dati personali e quelli di tutte le persone che entrano, volontariamente o meno, nel campo di azione degli assistenti digitali”. E probabilmente un’autorità nazionale non poteva fare altro, vista la dimensione globale del problema e la capacità degli attori coinvolti di sfruttare ogni maglia della legislazione e ogni nuova opportunità offerta dalla tecnologia. Come per le transazioni finanziarie, in questo campo conta molto di più la consapevolezza degli utenti delle leggi, che possono intervenire solo a cose fatte.

È difficile giudicare se l’utente finale riceve un beneficio netto dallo scambio di dati legato alla IoT. A fronte di una indubbia invasione della sfera privata, che può essere comunque arginata adottando qualche precauzione, il consumatore può contare su servizi personalizzati, che sono utili in molte circostanze e, tra l’altro, evitano un diluvio di offerte promozionali non pertinenti. La AI consente di adattare le prestazioni degli elettrodomestici alle abitudini dei consumatori, riducendo i consumi energetici, ottimizzando l’uso delle risorse e facilitando l’uso delle nuove tecnologie anche da parte di persone meno “attrezzate” o più fragili. In fondo è come vivere con una badante in casa: se è professionale e discreta è preziosa, se è invadente e pettegola è un disastro. La differenza è che una badante si può cambiare, mentre i gestori della IoT no.

L’avvento dei televisori HBB

Forse la più invasiva delle “novità” che stanno cambiando il mercato dei televisori e che ne stanno incrementando esponenzialmente la capacità di assorbire dati è quella che ha portato nei nostri salotti le Hybrid broadcast broadband TV.

Questo standard nato nel 2009 si sta diffondendo sui più recenti modelli di smart TV (a dicembre 2020 erano 4 milioni i dispositivi compatibili con questa tecnologia in Italia) e consente di gestire un canale tv come una sorta di servizio di streaming online, permettendo di fermare e mandare avanti a piacimento la trasmissione e di accedere ad ulteriori contenuti interattivi.

Di fatto un canale che supporta lo standard HBB presenta un pulsante “call-to-action” che consente di transitare dal canale a quello che in sostanza è un applicativo separato che permette all’utente di accedere a questi contenuti e controlli evoluti.

Nel passaggio al sistema HBB l’utente non guarda più semplicemente la televisione, ma sta di fatto accedendo ad un servizio online, con flussi di dati e margini di tracciamento estremamente più ampi.

Una recente ricerca condotta da Sababa Security in collaborazione con l’Università di Twente e con LP Avvocati ha permesso di evidenziare l’estensione di questo trattamento e le carenze di informativa per gli utenti (che spesso nemmeno percepiscono questo “passaggio” da un’attività passiva come quella di guardare un programma sul proprio televisore a un’attività interattiva come quella accessibile attraverso il sistema HBB).

I risultati della ricerca dimostrano infatti l’utilizzo di tecnologie invasive da parte dei gestori europei (tra cui numerosi canali italiani) tra cui servizi di tracking (spesso si tratta di Google Analytics, esattamente come avviene per i siti web) che sono attivati prima ancora che all’utente sia sottoposta l’informativa e pixel di tracciamento.

Quest’ultima tecnologia, che da molti anni viene sfruttata per tracciare le aperture delle email da parte dei destinatari, si basa sull’invio di un’immagine sostanzialmente invisibile (un singolo pixel) che quando viene scaricata dal destinatario (chi vede la trasmissione) invia un segnale al mittente della trasmissione, avvisandolo che quell’utente ha visto questo contenuto.

Su alcuni canali la ricerca evidenzia la presenza di informative del tutto carenti (o del tutto mancanti!) e addirittura l’impossibilità di revocare il consenso (peraltro spesso mai richiesto) all’utilizzo dei sistemi di tracciamento più invasivi. to che la maggior parte dei canali mostra connessioni ad almeno un servizio di tracking prima ancora che l’utente abbia la possibilità di decidere se accettare o meno l’informativa sul trattamento dei dati.

I problemi di privacy di questi dispositivi non riguardano quindi solo l’interesse per l’acquisizione di dati da parte del produttore del dispositivo, ma anche e sempre di più l’interesse dei titolari dei vari canali, app e servizi che su quel dispositivo vengono ospitati, creando un insidioso fascio di trattamenti di fronte al quale è molto difficile per l’utente difendersi.

Smart tv e privacy: aspetti giuridici

L’avvento delle smart TV sul mercato e la loro continua evoluzione hanno sconvolto gli schemi, oltre che nel mondo dell’advertising, anche di quello, intimamente connesso, della tutela dei dati personali.

L’evoluzione dei dispositivi coglie gli utenti impreparati a comprendere la mole di dati che “cedono” quando usano dispositivi smart e anche a comprendere quali dispositivi siano i più insidiosi da questo punto di vista.

Se normalmente non associamo alla vendita di un televisore un trattamento invasivo di dati personali, in realtà l’evoluzione tecnologica ha trasformato questi dispositivi, plasmandoli in funzione della raccolta dei dati degli utenti.

Nella guerra commerciale fra i player del settore della domotica, quindi, gioca un ruolo importante anche il data business e dietro un prezzo competitivo può nascondersi il fatto che in realtà parte di quel prezzo lo stiamo pagando con i nostri dati personali.

Al crescere dei “servizi” gestiti direttamente dal dispositivo smart TV, cresce anche la mole di dati trattati e che chiaramente i vari produttori hanno interesse a “riportare in patria” al fine di meglio utilizzarli (e magari rielaborarli).

Ma è possibile questo trasferimento di dati, specie se questo comporta un’uscita dei dati stessi dal territorio comunitario?

Innanzitutto, è necessario individuare cosa possono fare i produttori di dispositivi IoT con i nostri dati e cosa invece non possono fare (salvo il nostro consenso).

Il trattamento dati conseguente all’acquisto di un dispositivo smart è legittimo fintantoché questo è necessario per l’esecuzione del contratto in essere fra le parti.

Nel caso dell’acquisto di un televisore il contratto non comporta un trasferimento di dati (salvo per quanto riguarda assistenza e garanzia), il discorso diventa diverso però quando l’utente utilizza determinati servizi accessori (magari creando un profilo sul dispositivo), così aprendo ad una nuova (e caldeggiata dal produttore) serie di possibili trattamenti dati legittimi per dar corso a questo, secondo, contratto.

Questi dati però non bastano ai produttori per ottenere le informazioni che desiderano sui loro clienti e (magari) per poter vendere con profitto le loro inserzioni pubblicitarie.

A questo punto (a seconda del produttore) le strategie adottate per ottenere più dati sono diverse:

• – alcuni produttori, infatti, puntano su un’interpretazione particolarmente ampia del concetto di legittimo interesse di cui alla normativa GDPR, che consente titolare del trattamento munito appunto di un interesse legittimo al trattamento dei dati del proprio cliente, di estendere l’utilizzo dei dati salvo non prevalgano gli interessi o i diritti e le libertà fondamentali del cliente oggetto del trattamento;
• – altri produttori puntano invece, con varie tecniche, ad ottenere in un modo o nell’altro il consenso del cliente a trattare con maggior libertà i suoi dati.

Entrambe queste tecniche sono al limite della legalità, quando non apertamente illegittime, ed infatti lo stesso Gruppo Europeo dei Garanti ha precisato in apposite linee guida sia la portata molto limitata del trattamento dati che può essere effettuato per legittimo interesse dal titolare del trattamento, sia la necessità che il consenso al trattamento, perché sia valido, deve essere libero, specifico ed informato.

A questo problema di base si somma la facilità con cui i dispositivi smart una volta ottenuti i nostri dati, li trasferiscono extra-UE.

Questo trasferimento è legittimo solamente in alcuni casi.

In primo luogo, il trasferimento è lecito se avviene sulla base di una decisione di adeguatezza da parte della Commissione UE. Ad oggi le decisioni di adeguatezza riguardano però solo Andorra, Argentina, Canada, Giappone, Guernsey, Isole Fær Øer, Isola di Man, Israele, Jersey, Nuova Zelanda, Svizzera e Uruguay. A parte il caso del Giappone, dunque, è difficile pensare che molti produttori di dispositivi IoT possano sfruttare una decisione di adeguatezza per portare i dati di cittadini UE in patria, va anche detto che il quadro potrebbe cambiare per i produttori coreani, visto che a breve dovrebbe arrivare la decisione di adeguatezza per la Corea del Sud.

In alternativa il trasferimento in paesi terzi è lecito se effettuato sulla base della negoziazione di clausole contrattuali standard, con riguardo alle quali, però, la situazione risulta complicata dalla sentenza Schrems II, che oltre a porre nel nulla la decisione di adeguatezza relativa agli Stati Uniti, ha anche “depotenziato” il ricorso alle clausole standard, affermando che le stesse, dovendo garantire ai dati un livello di tutela analogo a quello che avrebbero in Europa, non possono prescindere da un esame del contesto (anche normativo) in cui i dati sono calati, rendendo così molto difficile pensare alla possibilità di un trasferimento dati in uno stato che non potrebbe ottenere una decisione di adeguatezza da parte della Commissione.

Ci sono poi ulteriori strumenti per consentire un trasferimento dati extra-UE, anche se meno utilizzati, come norme vincolanti d’impresa, codici di condotta e meccanismi di certificazione.

È anche possibile ricorrere al consenso del cliente per un trasferimento di dati in paesi terzi per i quali non è presente una decisione di adeguatezza né è possibile utilizzare clausole standard o altri strumenti previsti dalla normativa, è però necessario mettere il cliente di fronte al fatto che non sarà possibile garantirgli un livello di tutela equivalente a quello presente in Europa e ottenere il suo libero consenso al trasferimento.

La normativa prevede anche che sia possibile il trasferimento in paesi terzi (anche non “adeguati”) nel caso in cui ciò sia necessario per l’esecuzione di un contratto. Questa disciplina, che qualche azienda ha cercato di estendere fuor di misura, è in realtà riferita al solo caso in cui sia effettivamente necessario trasferire i dati all’estero per dar corso ad un contratto (pensiamo al caso in cui una tecnologia di analisi medica sia disponibile solamente in un paese terzo, o al caso in cui il contratto vada eseguito in un paese terzo).

È quindi evidente che il problema del data business nel settore IoT riguarda soprattutto le modalità “generose” con cui i produttori intendono (strumentalmente) il GDPR per ottenere più dati possibili dei clienti.

Il caso delle smart TV cinesi

Nel caso dei produttori di dispositivi smart, specie di quelli con base in Cina, è evidente come il trasferimento dei dati in madrepatria sia del tutto illegittimo. E i produttori cinesi a volte si sono disinteressati di queste evidenti problematiche normative. Ad esempio, come accennato, nel 2020 è scoppiato il caso della Skyworth, società cinese che non solo trasferiva i dati degli utenti in Cina, ma effettuava ogni 10 minuti una scansione della rete WiFi a cui erano connesse le smart TV di sua produzione, individuando anche gli ulteriori dispositivi connessi.

Un utente cinese lo scorso aprile si è reso conto che nel suo televisore basato su Android era presente un applicativo (Gozen Data) particolarmente attivo e dedito a scansionare la rete WiFi alla ricerca dei vari dispositivi connessi, raccogliendo i nomi dei dispositivi, indirizzi IP, nomi utente e altro.

Il paradosso è che nel caso delle smart TV cinesi il produttore si è “giustificato” affermando che i dati raccolti servivano solo per finalità pubblicitarie.

I consumatori erano infatti preoccupati che il software potesse servire per finalità di sorveglianza digitale e fosse una delle implementazioni del tristemente noto progetto Xueliang (lett. “Occhio di Falco”) che attraverso una serie di tecnologie (tra cui anche smart TV e dispositivi IoT) verrebbe utilizzato dal governo di Pechino per ottenere una conoscenza invasiva delle attività dei propri cittadini.

Skyworth (che peraltro vende televisori anche in Europa sin dal 2017), dopo essersi difesa affermando che voleva solo profilare gli utenti per finalità pubblicitarie, ha comunque concluso la propria collaborazione (che durava dal 2014) con Gozen Data per placare le polemiche, ma questo caso rende evidente come la percezione di alcune aziende produttrici di smart TV riguardo alla tutela dei dati personali degli utenti sia ancora molto distante dagli standard comunitari.

I trattamenti dati delle smart TV

E queste non sono nemmeno le uniche problematiche privacy delle smart TV, perché spesso questi dispositivi evoluti sommano al loro interno numerosi applicativi, portali e servizi, così coinvolgendo numerosi titolari del trattamento, come ad esempio i produttori delle singole app, i gestori delle reti, i gestori dei sistemi di streaming, i gestori dei singoli servizi installabili sul televisore evoluto come assistenti vocali, etc.

Basti pensare all’informativa privacy della Rai, con l’azienda che precisa che nel caso di accesso ai prodotti multimediali Rai da smart TV, le scelte sulla mole di dati di cui verrà in possesso la Rai stessa dipendono dalle impostazioni del televisore, con ciò di fatto la Rai delega al produttore del dispositivo smart l’attività di informativa sulle impostazioni e acquisisce senza troppi problemi i parametri identificatori del dispositivo e i dati di utilizzo da parte dell’utente se questo non ha impostato che gli stessi non devono essere inviati direttamente sul dispositivo.

Tutti questi dati servono ai produttori di smart TV per ottenere profili degli utenti e proporre pubblicità il più possibile calibrate sulla persona davanti allo schermo.

Questi database servono per gli annunci all’interno del sistema operativo del produttore, per le proposte di applicativi, per gli annunci in app e infine per consentire la diffusione del fenomeno dell’addressable TV (ovvero la televisione che propone annunci pubblicitari personalizzati) fenomeno che è appena agli inizi in Italia, ma è destinato a crescere rapidamente (ed è già supportato da milioni di televisori).

Quel che è evidente è che è particolarmente importante per gli inserzionisti comprendere se si ha di fronte un minore, per poter promuovere prodotti dedicati a questa “categoria” di consumatori particolarmente lucrativa, e le smart TV sono estremamente adatte a questo scopo, essendo estremamente facile “indovinare” quando un utente davanti alla televisione è un minorenne in quanto sul dispositivo vengono attivati filtri sui contenuti per tutelare il minore da visioni non adatte alla sua età.

La posizione dei giudici tedeschi

In Germania la questione della privacy dei dispositivi smart è stata già affrontata nel 2016 (all’epoca il GDPR non era ancora in vigore), quando il Tribunale di Francoforte ha accolto un ricorso proposto dall’Associazione dei consumatori del Nord Reno-Westfalia contro Samsung e relativo alla raccolta di dati personali (senza consenso) degli utenti attraverso i suoi televisori evoluti.

Il Tribunale ha condannato Samsung evidenziando che la sua informativa privacy verso i clienti non era sufficientemente chiara (su alcuni dispositivi venduti dall’azienda coreana era infatti necessario scorrere addirittura cinquanta schermate per esaurire la lettura della privacy policy aziendale).

La sentenza però non si è spinta oltre, perché ha riconosciuto che il titolare dei dati era la casa madre di Samsung in Corea (non coinvolta nel giudizio) e non la filiale tedesca e quindi il Tribunale non si è espresso sulla fondamentale questione se Samsung necessitasse o meno del consenso dei clienti per trattare questi dati.

Nel luglio 2020, inoltre, il Bundeskartellamt, l’autorità antitrust tedesca, ha steso un report circa il mercato delle smart TV, evidenziando come numerosi produttori di questi dispositivi violano i diritti dei consumatori tedeschi in particolare con riguardo alla disciplina della protezione dei dati personali, sottolineando l’importanza di informative più chiare e trasparenti.

Secondo l’autorità tedesca, infatti, il settore delle smart TV è uno di quelli in cui emerge con forza il cosiddetto privacy paradox, ovvero il fenomeno per cui nonostante cresca l’attenzione (e la preoccupazione) per la tutela dei dati personali, le nostre azioni sembrano andare in direzione opposta, con comportamenti noncuranti e spesso passivi rispetto al controllo dei nostri dati personali.

Anche nel settore delle smart TV i produttori profittano di un eccesso di informazioni, fornite nelle privacy policy in legalese, per sopraffare il cliente e spingerlo ad azioni non razionali pur di non perdere tempo nel districarsi fra le varie decisioni predisposte dal produttore del dispositivo.

Il report evidenzia inoltre il problema derivante dal fatto che questi dispositivi, che trattano una mole cospicua (ed in aumento) di dati personali, spesso vengono mantenuti aggiornati da produttori e utenti per un breve periodo di tempo (e senza l’attenzione che viene dedicata ad uno smartphone o ad un pc), con conseguenti gravi problemi di sicurezza informatica dei dati.

La posizione del Garante italiano e dell’AGCOM

Il Garante privacy italiano ha iniziato ad occuparsi della problematica ancora nel lontano 2005 quando già il codice privacy del 2003 presentava dei profili di conflitto con i primi dispositivi smart che si affacciavano sul nostro mercato.

In un provvedimento a carattere generale del febbraio 2005 il Garante infatti richiamava i produttori al necessario rispetto dei principi di necessità e proporzionalità del trattamento, il Garante inoltre raccomandava una conservazione del dato per finalità di marketing, pubblicitarie e di profilazione non superiore a dodici mesi (anche nel caso in cui l’utente avesse prestato il proprio consenso alla conservazione).

In tempi più recenti il Garante ha esaminato la questione degli smart assistant, affermando che il mondo IoT apre a nuove sfide per la tutela dei dati personali proprio perché comporta un fascio di trattamenti di dati in parte sovrapposti e in parte no che coinvolgono dispositivi e servizi, con un dispositivo che può ospitare più servizi (di pertinenza di uno o più titolari del trattamento) e un servizio che può estendersi a molti dispositivi (anche di produttori differenti). Si tratta di una evoluzione in cui per il consumatore è difficile districarsi, faticosa da comprendere e soprattutto da controllare.

Con una scheda informativa del marzo 2021 il Garante privacy ha formulato una serie di consigli per un uso “a prova di privacy” degli smart assistant.

Se da un lato il Garante ricorda che i creatori degli assistenti virtuali devono improntare il trattamento dati effettuato dai loro software alla minimizzazione del trattamento e devono informare i clienti con trasparenza su cosa viene fatto con i loro dati, dall’altro lato l’Autorità (conscia del fatto che spesso l’utilizzo di questi dispositivi comporta pratiche opache da parte dei produttori) suggerisce agli utenti di informarsi attivamente su come vengono trattati i suoi dati, di evitare di fornire informazioni non necessarie (specie quando gli vengono richieste informazioni non pertinenti rispetto all’uso dell’assistente), di disattivare l’assistente quando non lo si usa, di impostare le funzioni da utilizzare e quelle invece da disattivare, di cancellare periodicamente la cronologia delle informazioni registrare e di resettare il dispositivo e cancellare i dati in caso di sua cessione.

É importante ricordare infatti che questi dispositivi smart vanno trattati esattamente come un computer dal punto di vista della tutela dei dati personali e, quindi, prima di venderla ad esempio una smart TV o di cederla a parenti o amici è essenziale resettarla alle condizioni di fabbrica e comunque accertarsi di aver eliminato ogni dato personale dal dispositivo.

Sempre con riguardo alle smart TV Insieme al Garante si è attivata anche AGCOM per proteggere i consumatori dai rischi connessi all’utilizzo di questi nuovi dispositivi, l’autorità ha infatti avviato ancora nel 2013 un’indagine conoscitiva sulla “Televisione 2.0 nell’era della convergenza”, l’indagine si è conclusa nel 2015 e nel provvedimento conclusivo è interessante registrare la posizione di Telecom che allora (prima dell’entrata in vigore del GDPR che ha razionalizzato la normativa in tema di protezione dei dati imponendone il rispetto anche alle aziende extra-UE che trattano dati di cittadini europei) lamentava una evidente asimmetria fra gli obblighi in tema privacy dei player europei e dei competitor con sede in paesi terzi, essendo questi ultimi avvantaggiati dalle loro normative (in particolare quella statunitense) meno rigorose.

Non è passato molto tempo da quando questo approccio (basato sul “principio dello stabilimento” del fornitore del servizio) venisse eliminato dal GDPR, come sappiamo però numerose aziende non hanno ancora fatto i conti seriamente con questo rovesciamento normativo, sia dal punto di vista dell’adeguamento alla disciplina comunitaria, sia dal punto di vista del trasferimento dei dati nel loro paese.

La posizione dell’Europa sulle smart tv

Il Gruppo Europeo dei Garanti non è rimasto inattivo mentre le autorità nazionali intervenivano nel settore IoT ed ha emanato delle linee guida molto dettagliate con riguardo agli assistenti vocali virtuali.

Il Gruppo dei Garanti si sofferma anche sui televisori di ultima generazione quali strumenti in cui, sempre più spesso, vengono installati di default questi dispositivi. Come visto in precedenza questo è un esempio particolarmente interessante perché le smart TV sono tra quei dispositivi “insospettabili” il cui utilizzo in realtà comporta la generazione di un flusso di dati complesso e sovrapposto.

Se prima per fare in modo che altre aziende ottenessero i dati del produttore del dispositivo era necessario comunicare loro i dati (attività che salvo limitate eccezioni è impossibile fare senza il consenso dell’interessato), ora questo problema non esiste più se l’utente scarica volontariamente l’app del secondo produttore sul suo smart TV, e trattandosi di funzionalità che rendono più “smart” il dispositivo la maggior parte degli utenti è incline a migliorare l’esperienza d’uso utilizzando questi strumenti ulteriori (cedendo però così a una molteplicità di aziende i loro dati).

Le linee guida includono importanti precisazioni specie con riguardo alla gestione dei dati personali con riguardo a questi servizi. Il Gruppo dei Garanti dice infatti che nella maggioranza dei casi la base del trattamento dei dati dovrà essere individuata nel consenso dell’interessato. Per il funzionamento “base” di un assistente virtuale non sarebbe nemmeno necessario raccogliere dati dell’utente, è quindi evidente che ogni trattamento dati debba passare (di regola) per il consenso dell’interessato.

Questa ricostruzione è importante perché può ben essere estesa a quanto abbiamo detto finora sulle smart TV, ovvero dispositivi che per funzionare non avrebbero bisogno della condivisione di alcun dato personale (e che per decenni hanno funzionato senza condividere alcun dato personale fatti salvi quelli necessari per il pagamento del canone). È quindi evidente che per ogni passaggio di dati dall’utente al produttore della smart TV (o ad altri soggetti tramite la smart TV) sia necessario raccogliere il (libero, informato e specifico) consenso dell’utente.

La Commissione Europea ha anche avviato, nel luglio 2020, un’indagine relativa al settore IoT ed ha rilasciato un report preliminare nel luglio 2021 dopo aver raccolto informazioni da oltre 200 aziende del settore.

L’esame della Commissione riporta anche dati relativi alla dimensione del fenomeno IoT, in particolare in un sondaggio del 2020 in Europa il 51% degli intervistati ha affermato di accedere a internet da un dispositivo smart TV, da una consolle per videogiochi o da uno smart speaker.

A questo si aggiunge la considerazione che i dispositivi più “pericolosi” perché consentono accesso alla più ampia selezione di servizi IoT rivolti ai consumatori, dai servizi dedicati ai contenuti multimediali, ai servizi di intermediazione, ai servizi di informazione e ai servizi di ricerca e shopping.

A queste funzioni secondo la Commissione presto si affiancheranno quelle di automated decision making in quanto i dispositivi smart contengono software in grado di analizzare determinate situazioni e prendere in autonomia le decisioni conseguenti (ad esempio scaricare un’app o rinnovare un servizio).

Smart tv e privacy, prospettive per il futuro

L’evoluzione tecnologica pone oggi non solo i regolatori ma anche gli utenti di fronte a nuove sfide.

Pensare ad un televisore come ad una piattaforma di servizi (non tutti richiesti) non è un passaggio facile ed immediato per molte persone, eppure proprio in queste sacche di inconsapevolezza si insinuano i Big della rete per rastrellare dati personali da utilizzare per i fini più diversi.

Gli apparati smart (specie quelli all’apparenza più innocui) offrono la possibilità di “personalizzare” molti servizi e di attivare funzioni evolute (intelligenza artificiale, riconoscimento vocale, etc.) richiedendo però in cambio molti dei nostri dati personali, dati che peraltro vengono quasi sempre trasferiti all’esterno del “perimetro di sicurezza” che è l’Unione Europea, in paesi dove la cultura della privacy è meno rigida della nostra.

Se il GDPR voleva creare un ambiente di trasparenza e tutela verso il consumatore, il settore tecnologico rimane un ambiente in cui i sotterfugi sono all’ordine del giorno e in cui quindi l’utente deve essere sempre attento.

Questo accade anche per un fenomeno epocale per cui il settore dei media è sempre meno condizionato dagli editori e dalle agenzie pubblicitarie tradizionali e sempre più dai Big della rete, che stanno accentrando e contemporaneamente trasformando la comunicazione tradizionale, rendendola sempre più dipendente dal profilo degli utenti.

Stiamo quindi vivendo un cambiamento storico nel modo in cui l’informazione e l’intrattenimento ci vengono proposti e la nostra soglia dell’attenzione deve rispecchiare questa evoluzione consentendoci così di individuare i rischi reali e di evitare una continua disseminazione di piccole porzioni dei nostri dati, che alla lunga consente a chi ci offre prodotti smart di conoscerci più di noi stessi e di condizionare le nostre scelte di consumo, culturali e politiche.

Note

1. Le opinioni espresse in questo articolo rispecchiano esclusivamente quelle degli autori e non impegnano in alcun modo le organizzazioni con cui collaborano. ↑