Molte app Android popolari stanno raccogliendo dati di localizzazione estremamente precisi e trasmettendoli a inserzionisti, data broker e persino agenzie governative, il tutto a causa di una configurazione predefinita lasciata attiva in alcuni software development kit (SDK) di terze parti. La denuncia arriva dalla Electronic Frontier Foundation (EFF), che ha analizzato diverse applicazioni scaricate milioni di volte e ha scoperto che i dati di posizione raccolti senza un consenso effettivo dell'utente finiscono in un mercato opaco dove chiunque può acquistarli, inclusi servizi di intelligence e forze dell'ordine.
Quando uno sviluppatore integra un SDK per la monetizzazione, spesso attiva tutte le opzioni di raccolta dati senza rendersene conto. Questi SDK, progettati per massimizzare i profitti pubblicitari, raccolgono di default la posizione precisa del dispositivo, che può essere precisa fino a 10 piedi (circa 3 metri) in alcune circostanze. Questo livello di dettaglio è molto più invasivo rispetto alla posizione approssimativa basata sull'indirizzo IP, che copre circa 1,2 miglia quadrate. Le autorità hanno utilizzato questi dati per operazioni mirate di sorveglianza e monitoraggio di cittadini statunitensi, sollevando serie preoccupazioni sulla privacy.
Sponsored Protocol
Il consenso dell'utente non copre la condivisione con gli SDK
Molte app richiedono l'autorizzazione alla posizione per funzioni legittime, come meteo o fitness, ma questo consenso viene automaticamente esteso agli SDK di terze parti. L'EFF sottolinea che "i permessi a livello di app non possono da soli segnalare un consenso significativo alla raccolta e alla condivisione della posizione da parte di SDK pubblicitari di terze parti". In due casi analizzati, le app sono state scaricate oltre 50 milioni e 10 milioni di volte, ma non mostravano alcun avviso né richiedevano il consenso per la condivisione dei dati di posizione, violando anche le linee guida del Google Play Store sulla sezione Sicurezza dei dati.
Un mercato dati che alimenta sorveglianza e operazioni militari
La posizione precisa è estremamente preziosa per gli inserzionisti, poiché aumenta il prezzo delle aste pubblicitarie, ma allo stesso tempo crea un incentivo perverso alla raccolta massiva. I dati venduti da inserzionisti e data broker sono stati acquistati da agenzie di intelligence e forze dell'ordine per operazioni altamente mirate. Alcuni SDK includono persino documentazione per gli sviluppatori su come attivare la protezione dei dati per gli utenti soggetti a GDPR e COPPA, ma queste impostazioni non sono abilitate di default. Questo significa che anche gli sviluppatori che vogliono rispettare la legge potrebbero non sapere che i loro SDK stanno violando la privacy.
Sponsored Protocol
Le raccomandazioni dell'EFF per sviluppatori, regolatori e legislatori
L'EFF ha formulato raccomandazioni chiare per diverse parti coinvolte. Gli sviluppatori hanno la responsabilità di proteggere la privacy dei propri utenti, verificando che gli SDK di terze parti non condividano dati per impostazione predefinita. I regolatori dovrebbero perseguire sia gli sviluppatori che non assicurano una corretta gestione dei dati, sia le aziende che sviluppano SDK progettati per raccogliere quantità invasive di dati di default. Inoltre, i legislatori statunitensi dovrebbero adottare una legge federale simile al GDPR che vieti la pubblicità comportamentale, rimuovendo così l'incentivo a raccogliere dati in modo eccessivo.
Sponsored Protocol
Per approfondire temi legati alla privacy e alla trasparenza dei dati, puoi leggere come Xbox Helix sta lavorando per rendere i giochi più accessibili, o scoprire le ultime notizie su Meta e le immagini AI. Inoltre, la vicenda di Jeff Dean che lascia Google dimostra quanto il settore tecnologico sia in evoluzione.
