Dati raccolti da Facebook rispetto agli utenti non registrati o non connessi: un po' di chiarezza?

Finito nell’occhio del ciclone per l’affaire Cambridge-Analityca, Facebook sta faticosamente portando avanti una campagna per la trasparenza che, iniziata con l’audizione fiume di Mark Zuckerberg dinanzi al Congresso USA, sta proseguendo attraverso rilevanti modifiche del sistema di espressione/acquisizione del consenso degli interessati per il trattamento dei loro dati personali, nonché attraverso una – sia consentito dirlo – finalmente chiara esplicitazione delle dinamiche tecniche e commerciali sottese al funzionamento del social.
Una questione particolare che sul tema si è posta ha riguardato quello che potremmo definire slealth-working, ovverosia i dati raccolti da Facebook nei confronti dell’utente sì durante la navigazione ma mentre non si sta utilizzando la piattaforma. Sul punto è intervenuto David Baser, Product Management Director di Facebook che, con una pubblicazione sul portale newsroom (“Hard Questions: What Data Does Facebook Collect When I’m Not Using Facebook, and Why?”) ha cercato di fare chiarezza.

Navigazione su siti terzi: quali i dati raccolti da Facebook e perché?

Il punto di partenza da cui muove la spiegazione fornita da Facebook – a tratti connotata da una punta di banalità autoassolutoria, ndr – è che diversi siti web e app utilizzano i servizi messi a disposizione dal social network per offrire contenuti ed annunci che risultino più coinvolgenti e pertinenti (“engaging and relevant”).

Tra questi servizi Facebook include espressamente:

• plug-in sociali, come i pulsanti ‘Mi piace’ e ‘Condividi’, utili per condividere sul social anche i contenuti di altri siti;
• login Facebook, che consente di utilizzare il proprio account social per accedere a un altro sito web o app;
• Facebook Analytics, che aiuta i siti web e le app a capire meglio come le persone usano i loro servizi;
• annunci di Facebook e strumenti di misurazione, che consentono a siti web e app di mostrare annunci pubblicitari del social network, di pubblicare i propri annunci sul social network o altrove e di comprenderne l’efficacia.

Il vero aspetto di rilievo, però, è che si chiarisce finalmente la circostanza per cui, se si visita un sito o si usa un’app che utilizza i menzionati servizi, vi sono dati raccolti da Facebook anche se l’utente è disconnesso o addirittura non ha un account social.

La questione non è nuova e ha già creato più di un grattacapo a Facebook, ciononostante la spiegazione che si fornisce del fenomeno, come si diceva, si approssima alla banalità: ciò sarebbe infatti dovuto al fatto che “altre app e siti non sanno chi sta usando Facebook”.

Dunque, ammettendo che la pagina visitata abbia implementato una cookie policy conforme alla normativa, il problema sarebbe risolto con l’accettazione della stessa da parte dell’utente prima di avviare la navigazione sul sito terzo, giacché con detto consenso includerebbe anche i dati raccolti da Facebook nei riguardi del non-utente o dell’utente non loggato.

Minimizzata la portata del fenomeno, Facebook applica poi il noto principio di civiltà giuridica “mal comune, mezzo gaudio“, sottolineando come anche altri giganti del web come Twitter, Pinterest, LinkedIn, Amazon e Google ricevano informazioni da parte dei siti che ne implementano le funzionalità e, anzi, precisando con disinvoltura come «la maggior parte dei siti web e delle app invia le stesse informazioni a più società ogni volta che le si visita». 

Non sembra peraltro essere chiarito – almeno nella pubblicazione in esame – se i dati raccolti da Facebook rispetto agli utenti non connessi siano comunque elaborati in via combinatoria con quelli raccolti durante l’utilizzo della piattaforma: se così fosse, infatti, in buona sostanza sarebbe pressoché indifferente per l’utente navigare con la piattaforma aperta o chiusa.

Come utilizza Facebook i dati raccolti?

Facebook, sempre ribadendo che ciò avviene con modalità analoghe in relazione ai servizi di qualsivoglia natura offerti sul web, precisa poi che, durante la navigazione il browser dell’utente ne condivide anzitutto l’indirizzo IP. Ciò chiaramente risulta strumentale a far sì che il sito possa “recapitare” all’utente i contenuti richiesti. Inoltre vengono anche trasmesse informazioni identificative del browser utilizzato, per ragioni di carattere tecnico, atteso che non tutti i sitemi di navigazione supportano le medesime funzionalità.

Aggiunge poi, quasi in sordina, che il sito richiesto riceve anche i cookie, ovverosia «identificatori che i siti web utilizzano per sapere se hai visitato in precedenza. Questo può aiutare con cose come il salvataggio di articoli nel carrello».

È veramente singolare, tuttavia, che l’azienda di Zuckerberg non ritenga di precisare che i cookie cui fa riferimento sono solamente quelli cd. “tecnici“, che mai hanno creato problemi di sorta rispetto alla riservatezza dell’utente, tant’è che vanno solo segnalati nell’informativa privacy, ma non richiedono neppure un espresso consenso dell’interessato. E, purtuttavia, esistono altre tipologie di cookie, come ad esempio i cookie di profilazione, che nulla hanno a che fare con le esigenze dell’utente, ma che risultano invece strumentali all’analisi del suo comportamento a fini commerciali (c.d. Behavioural Advertising). Verosimilmente, i problemi (in termini di deficit di chiarezza) riguardano proprio tale categoria di cookie, sui quali però il social tace.

Facebook poi aggiunge che

«Un sito web in genere invia due cose al tuo browser: in primo luogo, i contenuti di quel sito; e in secondo luogo, le istruzioni per il browser per inviare la richiesta alle altre società che forniscono contenuti o servizi sul sito. Pertanto, quando un sito Web utilizza uno dei nostri servizi, il tuo browser invia gli stessi tipi di informazioni a Facebook così come il sito web li riceve. Riceviamo anche informazioni su quale sito web o app stai utilizzando, poiché ciò è necessario per sapere quando fornire i nostri strumenti.»

La similitudine, in verità, non sembra del tutto centrata e, anzi, appare alquanto suggestiva nella fisiologicità che sembra evocare: l’assimilazione può forse reggere per quel che riguarda l’oggetto – ovvero la tipologia di informazioni trasferite a Facebook – ma, come si è detto, profondamente diversa è la ratio sottostante. Mentre nel caso delle informazioni inviate al sito web richiesto esiste, per l’appunto, una necessità tecnica connessa al “recapito” all’indirizzo dell’utente delle informazioni richieste, ciò non è affatto vero con riguardo ai servizi offerti da Facebook, in quanto qui il trasferimento dei dati avviene non sulla base della “domanda” dell’utente, bensì della presenza all’interno della pagina richiesta di plug-in e servizi offerti e – se tutto si svolge secondo le previsioni normative – sulla scorta di un consenso derivante dalla accettazione della cookie-policy.

Con riguardo all’utilizzo dei dati incamerati, poi, Facebook puntualizza che «La nostra privacy policy spiega in dettaglio cosa facciamo con le informazioni che riceviamo». Ebbene, sono essenzialmente tre le finalità per le quali sono impiegate le informazioni raccolte da altri siti web ed app:

• fornire i servizi offerti dal social network, inclusi quelli di advertising (Social plugins,  Facebook Login, Facebook Analytic, Ads e Ad Measurement);
• migliorare la sicurezza e la sicurezza sul social (individuazione dei bot e dei tentativi di accesso fraudolento);
• migliorare prodotti e servizi offerti.

“We don’t sell people’s data”: chiaro?

Il messaggio di fondo che però il management di Facebook vuol veicolare è ben riassunto nel perentorio “We don’t sell people’s data“, significativamente cristallizzato a fine paragrafo. Quel che si vuole esplicitare, in altri termini, è che l’azienda i Zuckerberg non cede a terzi i dati ricavati attraverso gli strumenti di cui s’è detto, limitandosi solamente ad offrire degli spazi profilati per l’advertising. Ma, tralasciando la pur inaccettabile vicenda Cambridge-Analityca, che sicuramente ha rappresentato una dimensione patologica d’impiego delle informazioni ricavabili dal social, può dirsi che sia davvero questo il problema? O forse si indica la luna ma Facebook ci suggerisce di guardare il dito?

La questione davvero urgente, probabilmente, era la mancanza di chiarezza rispetto agli utenti in ordine al “significato” delle azioni da questi compiute all’interno e all’esterno del social. Appare lecito domandarsi, ad esempio, quante persone fossero effettivamente a conoscenza del significato dei like espressi alle pubblicazioni presenti sulla newsfeed oppure addirittura su di un sito terzo. Quando utilizziamo, ad esempio, la funzione “mi piace” sul sito web di un quotidiano, magari in riferimento ad una notizia di carattere politico, eravamo davvero consapevoli che quella manifestazione di interesse fosse indirizzata prioritariamente a Facebook per consentirgli una migliore profilazione delle notizie o degli ads da mostrarci? Oppure più banalmente eravamo convinti di manifestare il nostro apprezzamento ad un certo accadimento o ad una certa opinione, rendendola nota ad una platea più o meno ampia di “amici”, magari al fine di avviare una discussione sulla tematica?

Il problema, peraltro, è più ampio ed urgente, come ha correttamente segnalato l’Antitrust: fin dalla nostra registrazione a Facebook ci viene assicurato che il servizio “è gratuito e lo sarà per sempre“, ma ciò veicola un messaggio potenzialmente ingannevole, in quanto non consente all’utente di comprendere con immediatezza la logica operativa della piattaforma social, che è invece effettivamente basata sulla cessione o comunicazione alla stessa di una mole straordinariamente ampia di dati, anche relativa a categorie “sensibili” (o “particolari”, secondo la nuova definizione del GDPR) da questa impiegati a fini di profilazione.

La vera peculiarità di Facebook, infatti, è quella di essere un depositario o custode dell’intera digital identity del soggetto, dunque capace di raccogliere ed analizzare dati di ogni sorta rispetto alle abitudini, ai bisogni e alle attività del soggetto (si è visto, anche non utente).

Il punto nodale, allora, probabilmente non è o, meglio, non è solo quale impiego Facebook faccia delle informazioni che raccoglie, bensì – soprattutto con riferimento agli utenti non registrati o non connessi – quello di chiarire che – potenzialmente – ogni nostra azione sul web, all’interno o all’esterno del social potrebbe alimentare il flusso di dati raccolti dal social e quindi  immessi nella disponibilità della piattaforma. E sarebbe ovviamente preferibile chiarirlo prima che le azioni siano compiute, attribuendo all’interessato un effettivo potere di autodeterminazione circa la opportunità o meno di acconsentire a tale fenomeno.

Il problema, dunque, è guardare la luna, non le dita con cui ce la si indica.