C’è posta per tech | Clubhouse. Ma veramente la privacy è così poco importante?
1
0
Terzo appuntamento con la rubrica che fa luce su tecnologia, data protection, cybersecurity, proprietà intellettuale
Sarà per il “fascino” dell’esclusività (si accede solo su invito e se si è in possesso di un Iphone), sarà perché molti personaggi pubblici lo hanno sponsorizzato e pubblicizzato, fatto sta che Clubhouse è il fenomeno del momento. Solo nel mese di febbraio il nuovo social network ha registrato una considerevole impennata dei download.
Prima di addentrarci sul terreno della tutela della privacy, facciamo chiarezza: cosa è Clubhouse?
Il nuovo social non ha testi, foto e video, si basa esclusivamente su audio. Lo sviluppo della piattaforma è dell’Alpha Exploration Company di Oakland (California). Attraverso un sistema di stanze, in cui ci sono degli speaker ma dove gli ascoltatori possono intervenire alzando virtualmente la mano, consente agli utenti di impegnarsi in conversazioni sui temi più disparati con altre persone in tutto il mondo (leggi qui la privacy policy).
La sua popolarità ha suscitato innumerevoli perplessità e critiche in merito alla tutela dei dati personali degli utenti tanto da spingere varie Autorithies – vedi Garante di Amburgo e Il Garante Italiano – ad inviare agli sviluppatori dell’App richieste formali per accertarsi che siano rispettati i diritti dei cittadini europei, ai sensi del GDPR. Il social è stato attenzionato anche dallo Stanford Internet Observatory che nel suo contributo (leggi qui) ha rilevato una serie di importanti vulnerabilità.
Watch Out
C’è Posta per Tech ha provato Clubhouse. Effettivamente tutti i difetti individuati dai Garanti sono facilmente riscontrabili dagli utenti sin dal primo accesso. Eccoli:
• insistenza nel richiedere l’accesso alla rubrica telefonica: si può negare ma solo con perseveranza e col risultato di non poter invitare nessuno. Secondo Johannes Caspar questa procedura viola palesemente il GDPR producendo esiti inquietanti. Su Twitter Alex Blanford, ricercatore inglese sui diritti digitali, ha pubblicato gli screenshot di numeri di centri sanitari tramutati da Clubhouse in potenziali contatti da seguire sulla piattaforma. Usando i contatti in rubrica, il social network ha ricostruito anche gli “amici in comune”, creando così reti di persone che, per vari motivi, hanno i recapiti degli ambulatori tra i numeri salvati;
• visibilità totale di chi ha garantito per il nuovo iscritto senza possibilità alcuna di nasconderlo: l’informatico forense Paolo Dal Checco spiega (leggi qui) come in questo modo i profili “mostrano in modo perenne i collegamenti tra soggetti basati proprio sulla catena d’inviti”;
• Nessun riferimento al Gdpr: che l’app sia basata negli States è di dominio pubblico così come è evidente che la stessa fornisca servizi anche nel territorio europeo. Questo presuppone che debba sottostare ai dettami del Regolamento, ma nella privacy policy non vi è alcun riferimento alla normativa;
• mancata granularità del consenso: per utilizzare l’app l’accettazione della privacy policy e dei termini di servizio avviene con un unico clic, in violazione del principio secondo cui è necessario che l’interessato esprima un consenso specifico e granulare, cioè mirato per ogni singola finalità del trattamento;
• trasferimento dei dati verso gli USA: è assodato che i server siano ubicati in California quindi la trasmissione è ammessa dalla stessa piattaforma. Tuttavia, la sentenza Schrems II ha invalidato il il cosiddetto Privacy Shield (scudo per il trasferimento dei dati tra UE e USA) con la conseguenza che attualmente l’interscambio delle informazioni sia sprovvisto di una garanzia specifica;
• trasferimento dei dati verso la Cina: la maggior parte del flusso dei dati si poggia su una società terza chiamata Agora con sede a Shangai la quale fornisce un’infrastruttura di back-end all’app. Questa tratterebbe dunque i dati degli utenti (numero ID Clubhouse e ID chatroom) in testo non crittografato e l’audio grezzo delle conversazioni, fornendo potenzialmente l’accesso al governo cinese;
• conservazione generica dei dati biometrici: gli sviluppatori assicurano che le tracce audio vengano registrate solo in caso di indagine, ma le Autorità Garanti vogliono vederci chiaro. Hanno infatti chiesto di chiarire puntualmente secondo quali termini e modalità tali informazioni ultrasensibili siano conservate e protette.
Let’s think about it
Siamo certi che buona parte delle persone che hanno scaricato l’app si siano imbattuti in riflessioni come la nostra e abbiano, comunque, deciso di accedervi.
In virtù dei tanti dubbi che circondano la vicenda, forse, per un utilizzo più consapevole di questo potente strumento, non sarebbe più utile attendere le risposte che il social fornirà alle Autorità?
In fondo è solo questione di ore…
(Valentina Arena e Davide Rapallino)
(Immagine di Grazia Pia Attolini)
