Il prezzo del servizio, il modello di ricavo e i dati raccolti sono tre questioni distinte: ogni risposta richiede prove.
La gratuità di un servizio di messaggistica non dimostra di per sé che venda i dati degli utenti. I servizi possono finanziarsi tramite donazioni, abbonamenti, servizi commerciali o pubblicità. Le domande corrette sono quali dati raccolga il servizio, perché ne abbia bisogno, per quanto tempo li conservi e con chi li condivida.
La crittografia end-to-end è soltanto una parte di questa valutazione. Il contenuto cifrato del messaggio e le informazioni sui tempi e sul percorso della comunicazione non sono la stessa questione.
Perché «se è gratis, il prodotto sei tu» non basta?
Questa frase può richiamare l’attenzione sugli incentivi economici, ma non sostituisce le prove. Per esempio, Signal nella sua pagina delle donazioni spiega il proprio modello senza scopo di lucro sostenuto dai contributi degli utenti. Non si può dedurre la vendita del grafo delle comunicazioni soltanto dalla sua gratuità.
Viceversa, pagare non garantisce la minimizzazione dei dati. Un servizio a pagamento può conservare dati per le operazioni, l’assistenza o l’analisi del prodotto. Valuta separatamente il prezzo, la proprietà dell’azienda, l’informativa sulla privacy e l’architettura tecnica.
| Modello di finanziamento | Domanda utile da approfondire |
|---|---|
| Donazioni | Quanto sono trasparenti le principali fonti di finanziamento e i costi operativi? |
| Abbonamenti degli utenti | Quali dati genera il pagamento e quali fornitori sono coinvolti? |
| Servizi commerciali | Come vengono separati i dati degli account personali e quelli aziendali? |
| Pubblicità | Su quali dati si basa la pubblicità e ha un legame con le conversazioni private? |
L’esistenza di un modello di ricavo non dimostra, da sola, tutte le pratiche di un servizio relative ai dati.
Che cosa sono i metadati e perché sono sensibili?
I metadati sono informazioni che circondano la comunicazione: tempi, dimensione approssimativa dei dati, percorso di consegna o membri del gruppo, a seconda del progetto del servizio. Combinandoli possono emergere schemi di comunicazione anche quando il testo dei messaggi non viene letto.
Tuttavia, non da ogni connessione si possono dedurre con certezza identità, argomento della conversazione o posizione esatta. Contano la qualità e il contesto dei dati. Registrare un indirizzo IP, per esempio, non equivale a disporre di una posizione GPS precisa.
D’altra parte, non bisogna sminuire il valore del contenuto dei messaggi. Il fatto che i metadati siano sensibili non significa che il contenuto di un contratto, di una fotografia o di una conversazione privata abbia «poco valore».
Come leggere un’informativa sulla privacy?
Invece di cercare una frase pubblicitaria, annota questi elementi:
- Tipo di dati: identificativo, numero di telefono, contatti, IP, orari, token di notifica, rapporti di errore o dati di pagamento?
- Finalità: instradamento, prevenzione degli abusi, sincronizzazione, analisi o pubblicità? Non confondere una finalità generica e vaga con una spiegazione precisa.
- Destinatario: il servizio stesso, un fornitore di hosting, servizi di notifica, un fornitore di pagamenti o un partner pubblicitario?
- Conservazione: qual è il periodo o criterio di cancellazione? Quali effetti ha l’eliminazione dell’account sui backup e sui registri di sicurezza?
- Controllo: che cosa è facoltativo e quale funzione non opera senza quei dati?
Se la risposta non è chiara, scrivi «sconosciuto». L’assenza di prove di vendita non dimostra l’assenza di raccolta, e la raccolta non dimostra automaticamente una vendita.
Che cosa dichiara esplicitamente Livara?
La pagina di sicurezza di Livara afferma che i metadati operativi vengono conservati per la consegna e la sincronizzazione, comprese le relazioni tra interlocutori, l’appartenenza ai gruppi, i tempi, la dimensione del testo cifrato e lo stato di consegna. La stessa pagina dichiara che LSS1 non è ancora collegato al normale percorso di invio dei messaggi.
Non si può quindi presentare Livara come «completamente anonimo», né il suo database come «privo di qualsiasi informazione utile». Il contenuto privato cifrato e i metadati osservabili sono due componenti diverse. Per le regole sull’utilizzo dei dati, occorre leggere anche l’informativa sulla privacy insieme all’architettura tecnica, non al suo posto.
Neppure l’autenticazione SRP determina il modello di ricavo o la raccolta di metadati. Questo protocollo riguarda l’accesso all’account; utilizzarlo non rende matematicamente impossibile vendere dati. Analogamente, la crittografia post-quantistica non è sinonimo di occultamento del grafo delle comunicazioni.
Costruisci un confronto utile
Per due o tre opzioni, crea una tabella con le colonne «dati necessari», «dati facoltativi», «accesso del servizio», «periodo di conservazione», «modello di ricavo» e «fonte e data». Non forzare una caratteristica sconosciuta in un segno di spunta verde o rosso. Se utilizzi un servizio aziendale, aggiungi il contratto, la gestione dei dispositivi e i requisiti di conservazione dell’organizzazione.
In sintesi: Le affermazioni sulla privacy devono essere sostenute da prove e dalla progettazione. La gratuità non giustifica una condanna, mentre il pagamento o il nome di un algoritmo non dimostrano immunità.
