Come escono i tuoi dati: app, cookie, posizione e registri pubblici

La lezione precedente ha descritto cosa detengono i broker di dati. Questa segue quattro percorsi concreti attraverso cui le tue informazioni viaggiano per raggiungerli: il codice di terze parti incluso nelle app ordinarie, i cookie e i pixel sui siti web, la posizione del tuo telefono, e i registri pubblici la cui esistenza non puoi impedire in primo luogo.

Le app e i kit di sviluppo software al loro interno

La maggior parte delle app non è costruita interamente dall’azienda il cui nome vi compare. Gli sviluppatori aggiungono comunemente kit di sviluppo software (SDK) di terze parti per cose come l’analisi, la segnalazione di arresti anomali o la pubblicità. La documentazione per sviluppatori di Apple stessa, che richiede alle app di dichiararlo, definisce i “partner di terze parti” come “strumenti di analisi, reti pubblicitarie, SDK di terze parti, o altri fornitori esterni il cui codice hai aggiunto alla tua app”, e avverte direttamente gli sviluppatori contro il “collocare nella tua app un SDK di terze parti che combina i dati utente della tua app con i dati utente di app di altri sviluppatori per indirizzare la pubblicità o misurarne l’efficacia, anche se non usi l’SDK per questi scopi.” In altre parole, un SDK aggiunto da uno sviluppatore per un motivo può, da solo, inoltrare dati che finiscono combinati con dati di app del tutto non correlate.

Cookie e pixel sui siti web che leggi

Sul web, la stessa idea si presenta come cookie. Il Centro di apprendimento di Cloudflare spiega che un cookie di prima parte, impostato dal sito che stai guardando, è diverso da un cookie di terze parti, impostato da un dominio che non è quello mostrato nella tua barra degli indirizzi — il più delle volte un’azienda pubblicitaria o di analisi incorporata in molti siti diversi. Poiché quella terza parte ti rivede ogni volta che atterri su un altro sito che porta il suo cookie, può costruire un registro della tua navigazione tra siti che non le hai mai detto di visitare. La guida per i consumatori della FTC conferma che questo accade anche oltre i cookie: i siti “possono tracciare la tua attività online usando un cookie o un pixel per identificarti anche dopo che hai lasciato il sito”, e nelle app, “gli inserzionisti possono usare un identificatore pubblicitario unico per tracciarti”, a volte insieme al fingerprinting del dispositivo, che riconosce il tuo browser o dispositivo dalle sue impostazioni particolari piuttosto che da un file archiviato.

La posizione del tuo telefono, spesso senza alcun sensore speciale

La posizione è una delle categorie più sensibili, e la FTC ha intrapreso un’azione diretta di applicazione della legge in merito. Nel 2022, l’agenzia ha citato in giudizio Kochava, un broker che ha descritto come venditore di “enormi quantità di dati di posizione precisi raccolti da decine di milioni di utenti mobili.” L’avviso della FTC ha notato che questo tipo di dati può rivelare visite a “cure mediche, luoghi di culto, salute riproduttiva, rifugi per senzatetto e rifugi per violenza domestica, e recupero da dipendenze”, e come dimostrazione, il personale della FTC ha dichiarato di essere stato in grado di usare i dati di Kochava per identificare un dispositivo che aveva visitato una clinica di salute riproduttiva femminile e risalire fino a una casa specifica. Quei dati iniziano con un’app che ha chiesto il permesso di accesso alla posizione, poi, separatamente da qualsiasi cosa il tuo operatore mobile possa già calcolare da quali torri cellulari si connette il tuo telefono, ha passato la posizione ad aziende esterne.

Registri pubblici: la fonte a cui non puoi sottrarti

Lo studio del 2014 della FTC su nove grandi broker di dati ha scoperto che tutti tranne tre ottenevano dati direttamente da fonti federali come l’Ufficio del censimento e i registri di morte dell’Amministrazione della previdenza sociale, e che i governi statali e locali fornivano registri di proprietà, iscrizioni elettorali, registri giudiziari e licenze professionali. Parte di questo flusso ha effettivamente limiti legali: il rapporto della FTC nota che almeno ventidue stati statunitensi limitano l’uso commerciale dei registri di iscrizione elettorale, e la legge federale sulla protezione della privacy dei conducenti limita la divulgazione dei registri dei veicoli a motore al di fuori di scopi specifici. Ma i registri sottostanti stessi — un atto di proprietà, un registro di matrimonio, un deposito giudiziario — esistono perché la legge li richiede, che tu preferisca o meno che esistessero.