A seguito del servizio messo in onda da una nota trasmissione televisiva e nel quale si mostrava come, con estrema facilità, fosse di fatto possibile spiare i profili Facebook di persone con le quali non si ha “l’amicizia”, incuriosito dall’apparente semplicità del procedimento ho deciso che la cosa miglior da fare fosse provare in prima persona. E così, ci ho provato.

Mi ci è voluta forse un'ora o poco meno per trovare il tutorial giusto (direttamente su youtube) e un documento molto utile ed allo stesso tempo inquietante in cui il motore di ricerca (non così) nascosto incorporato all'interno di Facebook è stato mostrato ai miei occhi in tutto il suo potere al contempo disarmante e preoccupante.
Nel tentativo di rimanere comunque un esperto di protezione dati degno di tale nome ho operato utilizzando l’account di un amico per tentare di visualizzare le foto di un altro mio contatto (non vi era “amicizia” tra i due ed entrambi gli account erano “chiusi”). Di fatto, dunque, ho solo simulato di guardare qualcosa che non ero autorizzato a vedere, avendo ricevuto il consenso degli interessati.


Sono bastati alcuni semplici comandi scritti direttamente nella barra degli indirizzi del browser e le foto riservate dell'account del mio amico sono divenute visibili sull'account di un iscritto a Facebook il quale non sa nemmeno chi sia la persona ritratta nelle fotografie!
E le foto non sono l'unica cosa che si può facilmente vedere. La guida che ho piuttosto facilmente reperito è abbastanza allarmante, dal momento che vi si trovano persino comandi specificamente progettati per filtrare le inclinazioni religiose e politiche oltre che le preferenze sessuali. Permettetemi di non pubblicare brutalmente il collegamento a questo documento e, se non vi fidate delle mie parole, cercate voi stessi nel web: vi garantisco che, disgraziatamente, non vi sarà difficile trovare ciò di cui parlo.

Ora, secondo “l'esperto” del servizio televisivo, questi risultati delle query di interrogazione previste in quello che, ripeto, è un vero e proprio motore di ricerca interno a Facebook, sono possibili a causa delle impostazioni predefinite (ovvero di default) con cui si gestisce la privacy di elementi condivisi tra più utenti di Facebook.

Il meccanismo sarebbe il seguente: ad esempio quando qualcuno pubblica una foto in cui, oltre a chi ha pubblicato, sono presenti e taggati un gruppo di amici, questa immagine viene registrata tra i dati propri di ciascuno dei profili delle persone taggate.
Dunque questa foto avrà impostazioni di privacy diverse per ogni persona taggata al suo interno, corrispondenti esattamente alle specifiche scelte in merito alla privacy da ciascuno di coloro che sono stati agganciati alla foto col tag, e questo è del tutto normale.
Il punto è che, con una probabilità molto alta, tra questi amici ci sarà qualcuno con impostazioni di privacy "deboli", ossia che permettono a chiunque di vedere le proprie foto (il cosiddetto “profilo aperto”).
Ebbene, sembra che, per impostazione predefinita, Facebook imponga agli elementi condivisi tra utenti con livelli di impostazioni della privacy diversi, sempre le impostazioni più “deboli” tra tutte quelle specificate da ciascun utente che condivide quell'elemento. Detto così sembra qualcosa di estremamente complesso, ma l’esempio sottostante è sufficiente a chiarire il concetto:

Utente n.1 - foto tutte private.
Solo gli amici le possono vedere

 

 

 

Utente n.2 - foto tutte pubbliche.
Chiunque le può vedere

 

 

 

Utente n.3 - foto parzialmente pubbliche.
Le possono vedere gli amici e gli amici degli amici

 

 

 

Utente n.4 - foto tutte private.
Solo gli amici le possono vedere

 

 

 

Impostazione di default condivisa:
quella dell’utente n.2;
la foto è pubblica

 

 

In questo modo è ovvio che una percentuale molto alta delle foto presenti su qualunque account privato risulterà facilmente disponibile ed accessibile, dato che ogni foto potrà ereditare l’impostazione di foto pubblica da chiunque abbia scelto di rendere pubblici tutti i suoi contenuti.
In altre parole è come se qualcuno mettesse i propri dati personali in una cassetta di sicurezza la cui chiave di accesso è in possesso, oltre che proprio, di moltissime altre persone. La probabilità che qualcuno decida di lasciare la cassetta aperta, o che semplicemente la dimentichi aperta, è estremamente alta.

Non sono così sicuro che questa sia la vera ragione per cui tutto questo accade, anche perché questa spiegazione non si adatta del tutto ad altre opzioni di ricerca previste nel motore integrato in Facebook e perfettamente funzionanti, come i luoghi che sono piaciuti al singolo utente o i luoghi dove quell'utente è stato, dal momento che questi dettagli sono molto spesso totalmente personali e non condivisi con altri. Per esempio la geo-localizzazione si può realizzare sia registrandosi spontaneamente presso una località, sia per effetto di una condivisione di una foto con qualcuno che ha, per suo conto, geo-localizzato quel contenuto; ma questo non accade per i “mi piace”, che sono dati strettamente correlati al singolo utente. Dunque, per queste informazioni, il ragionamento in base al quale esse siano accessibili a tutti perché ereditano i permessi meno stringenti tra quelli di tutti coloro che condividono quell'elemento, o è meno probabile o semplicemente non si può applicare.

Ad ogni modo, quale che sia la spiegazione, un paio di cose vanno osservate.

Prima di tutto le impostazioni di privacy predefinite per gli elementi condivisi in Facebook dovrebbero essere immediatamente modificate in modo tale da ottenere, di default, l’effetto di avere il setting di privacy più elevato per tutti i profili nei quali le foto compaiono, anche quando solo uno degli utenti presenti nella foto abbia scelto i parametri più stringenti. Una tale modifica sembra non particolarmente impegnativa o difficoltosa a chiunque abbia competenze informatiche, anche limitate.

Inoltre questa modifica, oltre che apparire come qualcosa di ragionevole e sensato, è esplicitamente richiesta dal GDPR; ma, sebbene qui stiamo parlando di impostazioni di default, non bisogna confondere una impostazione di default scelta dai programmatori di Facebook (decidere che un contenuto che per qualcuno è privato e per qualcun altro è pubblico, viene definito, come impostazione condivisa, come contenuto pubblico) con la protezione dei dati per impostazione predefinita (by default) prescritta all’articolo 25 del GDPR.

In questo caso, infatti, ad obbligare Facebook a modificare le sue impostazioni predefinite sui contenuti condivisi è piuttosto l’articolo 6 del GDPR, quello in cui si descrivono i fondamenti di liceità del trattamento.

Difatti, nel caso in oggetto siamo di fronte ad un dato personale (una fotografia) che è riferibile contemporaneamente a più persone, ossia a più “interessati”. Sui profili Facebook di coloro che hanno scelto la totale pubblicità dei loro contenuti, tra cui le fotografie, essi sono visibili a tutti perché il proprietario di quel profilo, l’interessato, ha dato il consenso in merito (art. 6, par. 1, lettera a) del GDPR). Tuttavia, allorché un contenuto è condiviso tra un certo numero di interessati, è del tutto ovvio che il mancato consenso anche di uno solo di essi deve necessariamente portare all’oscuramento di quel particolare contenuto sui profili di tutti gli interessati che ne condividono i diritti di pubblicità, e non soltanto sul profilo di chi ne ha vietato la visualizzazione al di fuori della sua cerchia virtuale di amici.

È opportuno ricordare che, per le finalità stesse dell’iscrizione a Facebook, tutti i contenuti di un certo utente sono, per impostazione predefinita, visibili a tutti i suoi “amici”, e questo punto è, di conseguenza, regolato sempre dall’art. 6, par. 1 del GDPR, ma stavolta dalla lettera b), in cui si dice che il trattamento (in questo caso la visualizzazione ad uso dei propri “amici”) è lecito in quanto esso è parte dell’esecuzione di un contratto (in questo caso quello che si sottoscrive con Facebook all’atto della creazione di un proprio profilo).

Questa previsione dell’articolo 6 non appare affatto applicabile, invece, alla fattispecie presa in considerazione precedentemente, dal momento che la visualizzazione dei propri contenuti fuori dalla cerchia degli amici è chiaramente regolamentata dalla prestazione di un consenso. Va infatti precisato che, fino al maggio 2014, le impostazioni predefinite di Facebook prevedevano che tutti i post ed i contenuti fossero pubblici, mentre a partire da quella data l’impostazione predefinita è che i post ed i contenuti di ciascun utente siano visibili esclusivamente ai propri “amici”.

Il secondo punto su cui fare chiarezza sono le opzioni di vera e propria profilazione che il motore di ricerca integrato in Facebook implementa. Come è noto il profitto di Facebook proviene per lo più dalla pubblicità (come si evince da questo rapporto ufficiale https://s21.q4cdn.com/399680738/files/doc_financials/2017/Q4/Q4-2017-Earnings-Presentation.pdf) e, dalla semplice esperienza d’uso, è risaputo che le preferenze espresse dagli utenti sono utilizzate per fare targeted advertising.

Questo è un aspetto estremamente delicato. Innanzitutto se da un lato gli utenti sono messi nelle condizioni di scegliere se ricevere o meno pubblicità mirata, è pur vero, come si evince dalla mera esperienza d’uso, che si può scegliere di non aderire piuttosto che di aderire, ovvero per impostazione predefinita gli annunci sono personalizzati e dopo si potrà scegliere se continuare a riceverli o meno. Inoltre, chiarito che nell’iscriversi a Facebook di fatto si accetta di “compensare” il servizio ricevuto coi propri dati personali forniti stesso tramite l’utilizzo del social network, va sempre tenuto in conto che Facebook, in quanto titolare del trattamento, deve tutelare e conservare quei dati nel rispetto del GDPR. Il fatto che direttamente tramite la stessa interfaccia web di Facebook sia possibile fruire di un motore di ricerca integrato nel social network, e che tra i comandi e le opzioni di ricerca si possano persino specificare filtri inerenti preferenze politiche, religiose e sessuali, non è accettabile ai sensi del GDPR.

Quanto appena evidenziato va a scontrarsi direttamente con i principi fondamentali applicabili al trattamento dei dati ai sensi del Regolamento 2016/679 ed elencati nell’articolo 5. Al paragrafo 1, lettera a) si legge: “[I dati personali sono] trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»);”; ancora, alla lettera f) dello stesso paragrafo è scritto: “[I dati personali sono] trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).”.

In base alla succitata lettera a), diventa necessario comprendere quanto chiaramente nell’informativa resa da Facebook sia specificato che l’impostazione predefinita riguardante gli annunci personalizzati prevede che essi siano attivi, fino a diversa indicazione dell’utente. Se ciò è chiaramente indicato, l’unica critica che si può muovere al colosso di Menlo Park è che la loro informativa sia ancora troppo simile ad un oceano nel quale è assai difficile trovare la rotta giusta verso le informazioni che si desiderano (a titolo meramente esemplificativo, il sottoscritto non è riuscito a trovare questo dettaglio).

Ben diverso è invece il riferimento alla lettera f); in questo caso c’è una totale violazione delle disposizioni del Regolamento 2016/679. In base all’esperienza diretta, con pochissimo sforzo e con competenze informatiche davvero minime, chiunque può accedere a dati personali soltanto nominalmente riservati, oltre che poter effettuare ricerche nell’intero database di Facebook applicando filtri che puntano direttamente a dati particolari di milioni di iscritti. Insomma, non una finestra, bensì una voragine aperta su dati di cui Facebook dovrebbe avere la massima cura e che invece sono comodamente a disposizione di chiunque, sia di semplici curiosi che di società di profilazione le quali da tali informazioni possono trarre, nella più rosea ed innocua delle ipotesi, ampi profitti.

A quanto appena osservato si aggancia anche l’articolo 21, paragrafo 1, del GDPR nel quale viene garantito il diritto all’opposizione al trattamento da parte dell’interessato, ovvero in questo caso del singolo utente di Facebook, in particolare l’opposizione alla profilazione. Dal momento che, sempre nello stesso articolo ed allo stesso paragrafo, è prescritto che in caso di opposizione dell’interessato il titolare del trattamento, ossia Facebook, è tenuto ad astenersi dal proseguire nel trattamento dei dati personali (salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato), le conseguenze di uno scenario in cui gli utenti di Facebook esercitassero in massa questo loro diritto all’opposizione sono facilmente immaginabili. In presenza di un motore di ricerca di così facile accesso ed utilizzo appare assai ostico far ricadere il tutto nelle condizioni contrattuali del social network più diffuso al mondo.

Per altro tutta questa faccenda sminuisce addirittura il noto scandalo “Cambridge Analytica”. Come si ricorderà in quel caso si contestava a Facebook di aver mal gestito e custodito i dati dei propri utenti, avendo consentito tramite una impostazione troppo permissiva di accedere a dati della cerchia degli amici di persone che avessero deciso di adottare la tecnica del single sign on per iscriversi ad una applicazione della società Cambridge Analytica. Insomma, il “cattivo” in quel caso era la società inglese, mentre Facebook giocava solo la parte dello sbadato che per una leggerezza aveva spianato la strada alle attività di una società tra i cui scopi dichiarati ci sono la profilazione per fini commerciali e politici. Ma lo scenario che abbiamo analizzato fin qui ribalta completamente la situazione, ed anzi fa passare per degli sprovveduti i signori di Cambridge Analytica, che di certo avranno corrisposto un pagamento a Facebook per fruire del servizio “Facebook login”, mentre, grazie a questo inquietante motore di ricerca disponibile gratuitamente a tutti, avrebbero potuto ottenere all’incirca gli stessi risultati e perseguire gli stessi scopi senza spendere neanche mezzo scellino.

In conclusione, che sia per buonsenso, per rispondenza ai regolamenti o per non esporre la propria società a clamorosi crolli, il Consiglio di Amministrazione di Facebook farebbe bene ad attuare una seria revisione dei permessi e della gestione generale della privacy così da imboccare definitivamente la strada della conformità al GDPR. Oltre ciò resta il grandissimo problema della voragine aperta dal motore di ricerca integrato nel social network di Menlo Park, la cui sola esistenza ne mina seriamente la stessa sopravvivenza esponendo gli iscritti al social network a tutti i ben noti rischi connessi ad una “spensierata” gestione dei propri dati personali e particolari.