I magnifici Pink Floyd dicevano di essere “comfortably numb”, più o meno traducibile con “piacevolmente insensibili”, riferendosi alla sensazione che danno gli anestetici: danno sollievo ma impediscono di essere presenti a se stessi e reattivi. O meglio: danno sollievo proprio perché inibiscono le nostre reazioni. Forse non si può trovare descrizione migliore del rapporto tra utenti di Internet e la gestione dei loro dati personali.
Il Gdpr e l’arte di rifiutare il tracciamento online: tutti i problemi dei cookie banner
A chi interessano i dati personali?
Riceviamo richieste di consenso al trattamento dei nostri dati così spesso che siamo quasi assuefatti. Visitiamo il sito del nostro quotidiano preferito e ci viene richiesto di accettare i cookies: clicchiamo su “OK” come degli automi, essendo questa la milionesima volta che capita. Compriamo qualcosa al centro commerciale e il cassiere ci chiede il nostro indirizzo email: ormai non chiediamo neanche più perché sia necessario, rispondiamo immediatamente con l’indirizzo di uno dei nostri account. Compriamo l’ultimo modello di smartphone e alla prima accensione acconsentiamo a tutti i termini e le condizioni senza neanche leggerli – l’avremo fatto già dieci volte, non li abbiamo letti prima, perché mai dovremmo cominciare a farlo ora? Vogliamo o dobbiamo partecipare ad un evento online e non ci chiediamo come Zoom tratti i dati relativi alla nostra partecipazione: ci colleghiamo e via.
E gli esempi potrebbero andare avanti per il resto dell’articolo. A guardare questi comportamenti sembrerebbe che la protezione dei dati non interessi a nessuno, conta solo visitare il sito del quotidiano online senza essere disturbati, lo sconto al centro commerciale, l’uso dello smartphone di ultima generazione e la conferenza online. Il mantra che è stato proposto dalle aziende di prodotti e servizi digitali è stato così efficace, specialmente nell’ultimo decennio, che nessuno lo mette mai in dubbio: per usufruire di tutti questi fantastici prodotti e servizi dobbiamo acconsentire al trattamento dei dati. Ovvio. A maggior ragione se i prodotti e servizi forniti sono gratis. Che importa se accettiamo termini e condizioni?
Cos’è la “digital resignation”
Nora Draper e Joseph Turow, professori di comunicazione, rispettivamente a University of New Hampshire e University of Pennsylvania, chiamano questa insensibilità o assuefazione “digital resignation”, una sorta di “distaccamento digitale” indotto dalle campagne promozionali che da anni molte aziende portano avanti per conquistare il mercato (sempre più vasto) del digitale. Non è vero che alle persone non interessa la protezione dei propri dati, ma si arrendono al fatto che non possono che metterla in secondo piano. In molti casi quella tra usufruire di un servizio e non acconsentire a fornire i propri dati non è una scelta libera. Vogliamo laurearci? Dobbiamo necessariamente usare Zoom per gli eventi online. Vogliamo sostenere quel colloquio di lavoro? È stato fissato su Webex, quindi non abbiamo scelta. Vogliamo rimanere in contatto con i nostri cari, anche i meno pratici con la tecnologia? Non possiamo che affidarci a WhatsApp o FaceTime. Non c’è alternativa. Di nuovo: per usufruire di un servizio si deve rinunciare alla gestione della propria privacy online.
Ovvio.
Ma davvero siamo costretti a fornire i nostri dati a tutti?
Ma fermiamoci un attimo a riflettere sull’ovvietà di questo do ut des. Alcune tecnologie, in effetti, funzionano solo grazie ai dati che forniamo. Se vogliamo usare Google Maps per raggiungere una determinata destinazione utilizzando l’app sullo smartphone, Google deve necessariamente sapere dove ci troviamo e con quale mezzo ci stiamo spostando. Se vogliamo salvare su una piattaforma virtuale una copia di una foto scattata con il nostro smartphone dobbiamo necessariamente dare a quella piattaforma accesso ai nostri album digitali. Questo, sì, è ovvio.
Ma perché, ad esempio, dovremmo lasciare che Meta, Google, Amazon, Microsoft, Apple, Zoom o aziende simili abbiano accesso ai dati relativi alle nostre comunicazioni se desideriamo metterci in contatto con qualcuno? Dal punto di vista strettamente tecnico, le comunicazioni crittografate end-to-end (di cui abbiamo già parlato in precedenza) hanno reso possibile la comunicazione tra due parti senza la necessità che alcuna informazione (non solo relativa al contenuto della comunicazione ma anche ai suoi metadati) sia condivisa con altri, fornitore del servizio incluso. Se poi vogliamo comunicare con più parti contemporaneamente, come si fa via Zoom o Skype, possiamo utilizzare servizi decentralizzati, sicuri e ormai affidabili (dal punto di vista del funzionamento) quanto quelli offerti dalle grandi aziende.
Non è dunque così ovvio che si debbano condividere dati per qualsiasi prodotto o servizio digitale. Piuttosto, è conveniente, anzi, estremamente proficuo per le grandi aziende, che con un marketing efficacissimo ci hanno invece convinto nel corso degli anni che questa fosse l’unica possibilità.
Non tutto quello che “paghiamo” coi nostri dati è gratuito
Se rifiutassimo di arrenderci a questo ineluttabile destino e ci fermassimo a pensare in maniera critica, neanche il più classico degli slogan ad oggi farebbe più tanta presa sugli utenti di Internet: se vuoi un servizio gratuito devi pagare con i tuoi dati… peccato che ormai il modello che si sta diffondendo maggiormente sia quello del servizio a pagamento con annessa condivisione dei dati, obbligatoria ovviamente! I servizi di streaming come Hulu negli Stati Uniti richiedono una tariffa di utilizzo mensile, eppure ormai sono tempestati di pubblicità targetizzata in base a geo-localizzazione e preferenze. Sostanzialmente paghiamo con i nostri dati anche i servizi che ci costano moneta. Paghiamo doppio, triplo, chi lo sa. Un po’ come il mito del fiorino di Troisi e Benigni.
La regolamentazione non la sola soluzione: le persone vanno messe nelle condizioni di proteggersi
In una interessante lezione tenutasi recentemente a University of California Berkeley, il Prof. Turow ha presentato la sua soluzione al problema: la regolamentazione. Le persone, nella maggior parte dei casi, non sanno neanche che stanno condividendo dati personali con terze parti, non conoscono nulla delle aziende cui verranno venduti e raramente hanno scelta alcuna a riguardo. Semplicemente, non vengono messi in condizione di proteggere la loro privacy qualora volessero. L’unico modo per consentir loro di farlo è scrivere e far rispettare norme precise sulla raccolta e la gestione dei dati dei consumatori. Giustissimo. Ma vorremmo aggiungere due punti importanti.
Come ci hanno abbindolati con un marketing (spesso) geniale
Il primo, che abbiamo introdotto sopra, è che questa percepita ineluttabilità della morte della privacy nel mondo moderno digitale, questa digital resignation, è frutto della campagna promozionale portata avanti da aziende che avevano tutto l’interesse a rendere lo scambio di dati la norma. Le pubblicità dei vari Amazon Echo o Google Nest sono spesso opere d’arte, il design dei prodotti è accattivante, le tante vendite sono una garanzia. Il marketing è geniale. Finora chi sviluppa tecnologie per la privacy ha preferito – senz’altro giustamente – focalizzarsi sul prodotto o servizio più che sulle campagne pubblicitarie, ma il risultato è che chi cerca prodotti e servizi che raccolgono ed utilizzano i nostri dati, spesso a nostra insaputa, trova pubblicità geniali mentre chi cerca informazioni su un prodotto fondamentale per la sicurezza online e la protezione della privacy come un virtual private network (VPN) si trova davanti il logo della cipolla di Tor. Carino magari per chi apprezza che Tor si fonda su una tecnologia nota come “onion routing”, cioè di routing a cipolla, ovvero un sistema che ricopre il dato da trasmettere con una serie di strati di crittografia sovrapposti l’uno all’altro, proteggendolo così da eventuali attacchi, e che fa passare il dato così protetto attraverso una serie di nodi casuali che proteggono anche informazioni sul computer da cui il dato proviene.
Gli strumenti per la protezione della privacy che nessuno conosce o usa
Se avete smesso di leggere dopo “routing a cipolla” non vi biasimo: come tutti i ricercatori di tecnologie per la privacy, il mio marketing lascia a desiderare! La cipolla non è accattivante. La mela morsa a lato sì. I nostri lettori hanno certamente più familiarità con questi temi rispetto all’utente medio di Internet, conoscono senz’altro Tor per navigare in maniera anonima e sicura, Signal per le comunicazioni private e DuckDuckGo come motore di ricerca, ma sono tantissimi gli strumenti per la protezione della privacy che nessuno conosce o usa.
- Session, un Signal decentralizzato;
- invidious.io come alternativa decentralizzata a Youtube;
- disroot.org che fornisce tanti servizi diversi, come un account email, spazio per salvare, condividere e modificare file e documenti online, programmi per aumentare la produttività di gruppo come blocchi di appunti condivisi e messaggistica…;
- jitsi.org come alternativa a Zoom o Teams;
- scuttlebutt.nz come alternativa decentralizzata ai grandi social network.
E tanti altri validi, utili prodotti gratuiti che mettono la protezione della privacy al centro del progetto ma purtroppo nessuno conosce. La regolamentazione auspicata da Turow è fondamentale, ma se non impone l’utilizzo di tecnologie per la protezione della privacy allora il marketing per queste ultime deve migliorare. Noi “educatori della privacy” dobbiamo migliorare e cercare di imparare dai maestri di Apple, Zoom, Meta i segreti per catturare l’attenzione del pubblico e divulgare in maniera efficace le informazioni che potrebbero aiutare chi volesse utilizzare delle alternative più attente alla protezione della privacy: prodotti utili e facili da usare senza dover rinunciare al diritto di gestire i propri dati come meglio si crede.
Perché in materia di privacy tutte le responsabilità gravano sugli utenti
Il secondo punto che vorremmo aggiungere alle conclusioni della lezione di Turow è che la regolamentazione finora ha dato un peso sproporzionato alle responsabilità dell’utente. Ad esempio, come facevamo notare altrove, molte aziende hanno interpretato la normativa del GDPR relativa alla richiesta di consenso attivo ed esplicito per il trattamento dei dati come un obbligo di richiedere l’accettazione dei cookies ogni volta che si visita un sito. Sta all’utente scegliere quali cookies accettare e quali rifiutare, attività estremamente gravosa se si pensa a quanti siti Internet in media visitiamo al giorno. Gli utenti navigano su Internet come mezzo per accedere a prodotti e servizi, non per perdere tempo a stabilire quali e quanti cookies accettare. In generale, proprio poiché lo sviluppo di tecnologie che proteggono la privacy di default non è imposto per legge alle grandi aziende, gli utenti sanno che devono fare da soli, che se vogliono accedere a prodotti e servizi ma, allo stesso tempo, proteggere la loro privacy devono contare sulle proprie conoscenze e capacità, e spesso non si sentono in grado, ricadendo quindi in una deprimente digital resignation. E questo è un punto su cui le istituzioni pubbliche come le università, le scuole o le biblioteche potrebbero intervenire.
Come sostiene l’esperto di piattaforme online Ethan Zuckerman, professore di public policy e comunicazione a University of Massachusetts ad Amherst, gli utenti non vogliono tutte queste responsabilità, non vogliono preoccuparsi di dover gestire un proprio server o un’istanza Nextcloud autonomamente perché non si fidano dei termini e delle condizion dei servizi cloud di Amazon o Microsoft, non vogliono occuparsi di impostare e mantenere da soli un servizio di comunicazione anonima per whistleblowers come SecureDrop. Ed è normale sia così. Non si può pretendere che l’utente medio di Internet sia un esperto di scienze informatiche o di ingegneria.
Conclusioni
Sono le istituzioni, con personale formato e capace, che potrebbero invece fornire queste infrastrutture, farsi carico di questa responsabilità ed offrire servizi informatici decentralizzati da loro gestiti, facili da usare, consentendo ai singoli individui o le piccole comunità, come i giornali locali, di accedere a servizi digitali ormai necessari nella vita e nel lavoro di tutti i giorni senza dover compromettere la propria privacy. Quindi, regolamentazione sì ma anche coinvolgimento di istituzioni locali che mettono a disposizione servizi di qualità a coloro che alla protezione dei propri dati tengono tanto quanto tengono allo shopping, alla formazione online, al lavoro da remoto, alla comunicazione con i propri contatti fisicamente lontani.
Chi continua a dire che senza il mercato dei dati personali Internet muore è male informato oppure ha interesse a farlo. Un po’ come chi sostiene che senza sorveglianza di massa non può essere garantita la sicurezza nazionale. Questi trade-off non sono reali, non nella misura in cui vengono proposti. Le alternative, le tecnologie per usare Internet in maniera sicura e rispettosa della privacy esistono eccome e funzionano, si tratta solo di farle conoscere a tutti e renderle accessibili, che è una decisione prettamente politica.
