Smartwatch, anelli connessi e fitness band raccolgono informazioni sanitarie per gran parte della giornata, ma le garanzie offerte agli utenti non avanzano allo stesso ritmo. Un’analisi della Electronic Frontier Foundation sulle principali aziende del settore descrive un quadro poco rassicurante: soltanto pochi produttori spiegano con sufficiente trasparenza quando i dati vengono condivisi e appena uno applica una protezione capace di impedirne l’accesso persino all’azienda che gestisce il servizio.
La valutazione dell’organizzazione per i diritti digitali si concentra su due elementi. Il primo riguarda i rapporti di trasparenza relativi alle richieste avanzate dalle autorità; il secondo è la presenza della crittografia end-to-end tra il dispositivo e la società che raccoglie ed elabora le informazioni. Sono criteri che chiamano in causa tanto le scelte tecniche quanto il modello operativo dei produttori, perché stabiliscono chi possa conoscere, trasferire o consultare dati estremamente personali.
Le autorità possono chiedere queste informazioni attraverso strumenti formali, come un mandato di perquisizione o un subpoena, ma anche tramite richieste informali. Nel caso dei fitness tracker, i dati disponibili possono associare la posizione dell’utente alla frequenza cardiaca rilevata in un determinato momento. Solo Apple e Google pubblicano rapporti di trasparenza; Whoop dichiara nella propria documentazione che notificherà agli utenti richieste di questo tipo, mentre Oura si è impegnata a pubblicare rapporti in futuro.
Thorin Klosowski, attivista per sicurezza e privacy dell’EFF e autore dell’analisi, si è detto sorpreso dal numero così ridotto di aziende che pubblicano questi documenti, soprattutto perché molte dispongono di procedure attraverso cui le forze dell’ordine possono richiedere i dati. La trasparenza diventa così una misura concreta della distanza tra ciò che un dispositivo registra e ciò che il suo proprietario sa sull’eventuale circolazione delle informazioni.
La raccolta, del resto, non si limita agli allenamenti. Orologi e anelli intelligenti possono monitorare costantemente parametri come battito cardiaco e respirazione, anche durante il sonno, contribuendo a far emergere segnali di possibili problemi come l’apnea notturna. Queste informazioni vengono spesso trasferite nel cloud per la sincronizzazione e il backup con l’app installata sullo smartphone, ampliando il percorso lungo il quale devono essere protette da intrusioni o accessi impropri.
Soltanto Apple ha superato il criterio più severo indicato dall’EFF. I dati raccolti da Apple Watch e archiviati nell’app Salute vengono cifrati in modo che neppure l’azienda possa leggerne i dettagli. La protezione presenta però un confine preciso: riguarda l’app integrata e non si estende automaticamente alle applicazioni di terze parti che raccolgono e sincronizzano informazioni analoghe.
Molte aziende adottano la cifratura durante il trasferimento e sul dispositivo, ma possono comunque vedere e utilizzare i dati una volta disponibili nei loro sistemi. L’EFF definisce questa configurazione lo standard del settore, osservando però che non deve necessariamente restare tale. Klosowski ha inoltre espresso delusione per la scarsità di una vera modalità offline, indicata come una soluzione relativamente accessibile che consentirebbe agli utenti di ridurre l’esposizione delle informazioni.
I produttori rivendicano comunque le proprie misure. Whoop afferma che i membri controllano i dati e che le informazioni non vengono vendute agli inserzionisti; Coros richiama il rispetto del GDPR e delle leggi statunitensi, oltre al divieto di vendita a terzi. Oura cita cifratura, controlli degli accessi, anonimizzazione e pseudonimizzazione, mentre Garmin rimanda alle proprie politiche sulla privacy. Il divario individuato dall’EFF resta però netto: proteggere i dati durante il transito non equivale a costruire servizi nei quali elaborazione locale, trasparenza e cifratura limitino strutturalmente l’accesso alle informazioni sanitarie.