La tua app per le abitudini rispetta la privacy? Cosa controllare prima di registrare la tua vita

Pensa a cosa racconta di una persona un anno di registri. “Niente alcol”, con la serie che si rompe ogni venerdì. Una spunta quotidiana per il farmaco. Gli orari in cui vai a dormire. Un voto all’umore che crolla ogni febbraio. “Sigarette: 4.” Preso da solo nulla sembra grave, ma messo insieme si legge come una cartella clinica, e in molte app sta su un server che non hai mai visto, accanto al tuo indirizzo email.

Questa guida serve a capire dove finisce quella cartella. Non nomina né giudica nessuna app per le abitudini. Racconta cosa è andato storto nelle app di salute e benessere in generale, cosa ti dice l’etichetta privacy dell’App Store e cosa no, e come confrontare un’app che sincronizza nel cloud con una che tiene tutto sul telefono.

Perché i registri delle abitudini contano come dati sanitari

La legge europea tratta già buona parte di queste informazioni come un caso speciale. Per il GDPR, i dati relativi alla salute e quelli sulla vita sessuale o sull’orientamento sessuale di una persona sono categorie particolari di dati personali (GDPR, art. 9): trattarli è vietato, salvo una breve lista di eccezioni, la più comune delle quali è il consenso esplicito per una finalità specifica. Un’abitudine chiamata “prendere l’antidepressivo” non è un contapassi. Se un singolo registro conti giuridicamente come dato sanitario dipende dal contesto, ma chi ha scritto la norma aveva in mente proprio questo tipo di informazioni.

Negli Stati Uniti il quadro è più frammentato. Ad aprile 2024 la Federal Trade Commission ha aggiornato la sua Health Breach Notification Rule (FTC, 2024) per chiarire che si applica alle app di salute e alle tecnologie simili non coperte dall’HIPAA, e ora considera “violazione della sicurezza” anche la divulgazione non autorizzata di informazioni sanitarie identificabili, non solo un attacco informatico.

Cosa è già andato storto con le app di salute

I casi qui sotto riguardano app per il ciclo, per le ricette e per la terapia, non app per le abitudini. Contano lo stesso perché il meccanismo è quello che può usare qualsiasi app: un kit software di un’azienda di analisi o pubblicità, integrato nell’app, che riferisce in silenzio quello che fai.

• Flo Health (2021). Secondo la FTC, l’app per il ciclo e l’ovulazione, usata da più di 100 milioni di persone, prometteva di mantenere riservati i dati sanitari e poi li ha condivisi, compreso il fatto che un’utente fosse incinta, con le divisioni di analisi di Facebook e Google e con altre società di marketing e analisi, tramite gli “app events”. L’accordo ha obbligato Flo a chiedere il consenso prima di condividere dati sanitari e a far distruggere ai destinatari quanto ricevuto (FTC, 2021).
• GoodRx (2023). Il primo caso della FTC basato sulla Health Breach Notification Rule. L’accusa: il servizio di sconti sui farmaci ha condiviso farmaci e condizioni di salute degli utenti con Facebook, Google, Criteo e altri, e nel 2019 ha caricato su Facebook i contatti di chi aveva comprato farmaci per cuore e pressione per mostrare loro pubblicità mirata. GoodRx ha accettato una sanzione civile di 1,5 milioni di dollari (FTC, febbraio 2023).
• BetterHelp (2023). Il servizio di terapia online avrebbe passato email, indirizzi IP e risposte a un questionario sanitario (con domande su depressione, pensieri suicidi e farmaci) a Facebook, Snapchat, Criteo e Pinterest a scopo pubblicitario. Ha accettato di pagare 7,8 milioni di dollari per rimborsi parziali (FTC, marzo 2023).

I ricercatori trovano lo stesso schema quando testano le app di persona. Grundy e colleghi (2019) hanno fatto girare in laboratorio 24 app Android ben recensite legate ai farmaci, le hanno riempite di dati fittizi e hanno osservato il traffico di rete.

Quei destinatari dichiaravano inoltre di poter passare i dati ad altre 216 aziende, le cosiddette “fourth parties”. La sintesi degli autori: la condivisione dei dati è “di routine, ma tutt’altro che trasparente”. Quando il team *Privacy Not Included di Mozilla ha esaminato 32 app per la salute mentale e la preghiera nel 2022, 28 hanno ricevuto l’etichetta di avvertimento sulla privacy e 25 non hanno superato gli standard minimi di sicurezza (Mozilla Foundation, 2022). Un anno dopo, quasi un terzo era migliorato, il 40% era peggiorato e il 59% delle app esaminate ha ricevuto l’avvertimento (Mozilla Foundation, 2023).

App per le abitudini e privacy: sette cose da controllare

Puoi fare tutto dalla pagina dell’App Store e dall’informativa privacy, prima di installare qualsiasi cosa.

1. Serve un account? Un account collega i tuoi registri a un indirizzo email e di solito significa che una copia sta sui server dell’azienda. Il login può valere la pena per la sincronizzazione, ma un’app che non ti fa iniziare senza account raccoglie qualcosa fin dal primo minuto.
2. Dove stanno i dati? Cerca nell’informativa una frase chiara: solo sul dispositivo, sui server dell’azienda o sincronizzati con il tuo iCloud. Se stanno sui loro server, controlla se parlano di crittografia “end-to-end” (non possono leggerli) o solo di dati “cifrati”, che può voler dire che le chiavi le hanno loro.
3. Quali terze parti ci sono nell’app? Cerca nell’informativa “analisi”, “pubblicità”, “partner” e “SDK”. Ogni SDK di analisi o pubblicità è un’altra azienda il cui codice gira dentro l’app, esattamente la via descritta nell’accusa contro Flo.
4. Cosa dice l’etichetta privacy? Per un’app vicina alla salute, leggi prima “Dati utilizzati per tracciarti”. Qualsiasi dato di salute, fitness o informazione sensibile tra i “Dati collegati a te” lascia il telefono legato alla tua identità. Più sotto trovi come leggere l’etichetta.
5. Quali permessi chiede? Un’app per le abitudini ha bisogno delle notifiche per i promemoria. Posizione, contatti o i tuoi dati di Salute dovrebbero arrivare con un motivo che ti convince.
6. Puoi esportare tutto? Un export leggibile (CSV o JSON) ti permette di andartene senza perdere anni di cronologia. Senza export, in pratica il tuo registro appartiene all’app.
7. Puoi cancellare tutto? Eliminare l’app pulisce solo il telefono. Se c’è un account, cerca “elimina account” nell’app e una frase che dica che vengono rimosse anche le copie sui server e nei backup. Nell’UE il GDPR ti dà anche il diritto alla cancellazione.

Un’altra clausola da scorrere: quella su fusioni e acquisizioni. Ti dice se i tuoi registri passerebbero all’acquirente in caso di vendita dell’azienda.

Come leggere l’etichetta privacy dell’App Store, e dove non basta

Nella pagina di un’app sull’App Store, la sezione “Privacy dell’app” raggruppa i dati sotto un massimo di quattro voci. Il riepilogo di Apple (Apple, etichette privacy) le definisce più o meno così:

• Dati utilizzati per tracciarti: combinati con dati di app, siti o fonti offline di altre aziende per la pubblicità mirata, o condivisi con un data broker.
• Dati collegati a te: raccolti in modo legato alla tua identità, tramite il tuo account, il tuo dispositivo o dati come il tuo numero di telefono.
• Dati non collegati a te: raccolti, ma senza identificativi e senza essere ricollegati a te.
• Nessun dato raccolto: lo sviluppatore dichiara che l’app non raccoglie alcun dato.

Le definizioni sono più severe di quanto sembri. Apple spiega agli sviluppatori che “raccogliere” vuol dire inviare dati fuori dal dispositivo e conservarli più a lungo del necessario per rispondere alla richiesta, che i dati elaborati solo sul dispositivo non contano e che l’etichetta deve includere ciò che raccolgono gli SDK di terze parti (Apple, dettagli sulla privacy). Quindi un’app con SDK pubblicitari non può dichiarare onestamente “Nessun dato raccolto”.

Il punto debole è proprio quell’“onestamente”. Apple dice chiaramente che le informazioni sono dichiarate dallo sviluppatore stesso. Quando Koch e colleghi (2022) hanno registrato il traffico di rete di 1.687 app dell’App Store tedesco, almeno 276 inviavano dati che l’etichetta non dichiarava, segno che l’accuratezza dell’etichetta non viene verificata in fase di revisione. Prendi l’etichetta come una dichiarazione firmata dallo sviluppatore. Un’etichetta piena di tracciamento è un campanello d’allarme affidabile; un’etichetta pulita è un buon segno, che però l’informativa deve confermare.

Sul dispositivo o nel cloud: cosa guadagni e cosa perdi

La sincronizzazione nel cloud risolve problemi veri. La cronologia ti segue su un telefono nuovo o su un tablet, sopravvive a un telefono finito in fondo al lago e non devi mai pensare ai backup. Il prezzo è una seconda copia, leggibile dall’azienda se non è cifrata end-to-end, che può finire in una violazione di dati, essere condivisa con un’informativa che cambia più avanti o venire venduta insieme all’azienda.

Tenere i dati solo sul telefono elimina quella copia e con essa quasi tutte le strade per cui le cose sono andate storte nei casi sopra. Però la responsabilità passa a te, ed è giusto dirlo senza giri di parole:

• Se perdi o rompi il telefono senza backup, la cronologia è persa. Nessuno può recuperarla per te.
• Eliminare l’app di solito elimina anche i suoi dati.
• Non c’è sincronizzazione automatica tra il telefono e un altro dispositivo.
• I backup tocca a te farli: il backup del telefono stesso o un export manuale che devi ricordarti di fare.

Conviene anche sapere cos’è davvero il backup del telefono. Su iPhone, i dati locali di un’app di solito finiscono nel backup su iCloud o sul computer. Con la “protezione dei dati standard” di Apple, attiva per impostazione predefinita, il backup di iCloud è cifrato ma le chiavi stanno nei data center di Apple; solo attivando la Protezione avanzata dei dati diventa cifrato end-to-end (Apple, sicurezza dei dati di iCloud). È una scelta di fiducia diversa rispetto al server di un’app, visto che ti affidi già ad Apple per il telefono, ma non equivale a “nessuno potrà mai vederli”.

Una regola pratica: più le abitudini sono sensibili, più conviene tenerle sul dispositivo e fare un export regolare da conservare in un posto che controlli tu. Se registri acqua e lettura, può vincere la comodità della sincronizzazione. Se registri alcol, farmaci o umore, probabilmente no.

Cosa questa checklist non può dirti

Leggere etichetta e informativa ti dice cosa afferma un’azienda. Solo un’analisi del traffico come quella di Grundy o di Koch mostra cosa invia davvero un’app, e pochi la faranno a casa. Anche la ricerca ha dei limiti. Lo studio di Grundy riguardava 24 app Android di una sola categoria, testate in laboratorio con utenti fittizi. Le analisi di Mozilla riguardano app per la salute mentale e la preghiera, non app per le abitudini, e dipendono in parte da come le aziende hanno risposto alle domande. I casi FTC sono accuse chiuse con un accordo: mostrano cosa può succedere, non quanto spesso succede.

E le informative cambiano. Un’app pulita oggi può aggiungere un SDK con l’aggiornamento del mese prossimo, e l’etichetta cambia solo quando lo sviluppatore la aggiorna. Ricontrollare una volta l’anno, o quando un’app all’improvviso ti chiede di creare un account, è già una buona abitudine.

La privacy è un motivo per scegliere un’app. Se tracciare le abitudini serva davvero è un’altra domanda, a cui rispondiamo in tracciare le abitudini funziona?, e conta anche come l’app tratta un giorno saltato: leggi cosa fa un giorno saltato alla tua serie.