Apple epic-fail: la mappatura del territorio Italiano viola la privacy.
Passa la Apple-car, che sfiga!
A volte capita di compiere qualche marachella proprio davanti ad un DPO in pausa. Purtroppo i DPO non "fanno" i DPO, i DPO "sono" DPO, quindi anche mentre mangiano il gelato s'incazzano!
Quante probabilità c'erano? Ne basta una.
Dato che ci saranno delle spiegazioni da dare a gente che, come me, si lamenta, penso che Apple debba interpellare al volo un DPO, di quelli che sanno anche dire "no". Purtroppo, ho il sospetto che le indicazioni del collega avrebbero lo stesso effetto dei roboanti proclami sanzionatori del Garante: un accidenti di niente.
Oltre al DPO, forse servirebbe anche l'Acutil, il Memoril, o altre specialità "senza indicazioni terapeutiche approvate", perché comportarsi esattamente come ha fatto Google, attirando su di sé pesanti sanzioni da parte del Garante Privacy, potrebbe essere una cosa molto stupida... oppure molto intelligente, in effetti dipende dai punti di vista.
“I precedenti di Google Street View” di cui Apple avrebbe potuto beneficiare:
Google Street View: le auto dovranno essere riconoscibili - 15 ottobre 2010
Comunicato stampa relativo al provvedimento del 15 ottobre 2010
Ordinanza di ingiunzione nei confronti di Google Inc. - 18 dicembre 2013
Google paga una multa da 1 milione di euro inflitta dal Garante Privacy per il servizio Street View
Cosa hanno insegnato al mondo questi provvedimenti? Cosa avrebbe dovuto prendere in considerazione Apple prima di sguinzagliare le sue macchinette ficcanaso per le strade d'Europa?
I provvedimenti hanno tracciato i criteri che ritroviamo oggi nel GDPR e che sono applicabili ad un contesto ben specifico: Google Street View e la sua evoluzione per luoghi pedonali Google Special Collects.
Il principio fondamentale, come sempre, è la ricerca del bilanciamento tra il legittimo interesse di mappare il territorio e il diritto dei cittadini di essere informati preventivamente per potersi sottrarre alla "cattura" della propria immagine.
Cosa dovrebbe fare chi mappa le strade
Per Google Street View (Mappatura tramite autovetture), il Comportamento giudicato illecito o problematico consiste nell'inidoneità e nella tardività dell'informativa: Google ha acquisito immagini in aree pubbliche senza che i cittadini fossero adeguatamente informati del passaggio delle Google Cars, rendendo impossibile l'esercizio del diritto di opposizione, vanificando la possibilità di sottrarsi alla ripresa. Illecito trattamento per una banca dati di enormi dimensioni. Non male. Se un kebabbaro prende alcune migliaia di euro di sanzione per una singola videocamera senza cartello, quanto meriterebbe Google? Brutto argomento di questi tempi.
A prescindere dalle sanzioni, il Garante ha prescritto precise misure correttive che, a suo giudizio, permetterebbero di rendere lecita l'attività:
1. Riconoscibilità: Le vetture devono essere inequivocabilmente identificabili con adesivi/cartelli ben visibili, prima del loro passaggio, non dopo!
2. Preavviso Online: Pubblicazione sul sito Google delle località/quartieri da visitare, con 3 giorni di anticipo.
3. Preavviso Offline: Avvisi preventivi sulle pagine di cronaca di 2 quotidiani locali e su radio locali per ogni regione.
4. Oscuramento: Obbligo di oscurare preventivamente volti e targhe.
5. Rappresentante: Nomina di un rappresentante in Italia.
Per Google Special Collects (Mappatura a piedi in siti archeologici, musei, parchi, spiagge), cambiando il contesto, cambia anche l'applicabilità delle regole standard: gli avvisi radiofonici/stampa sono stati considerati sproporzionati e poco utili per luoghi remoti, al chiuso o ad accesso limitato (dove il rischio per la privacy è diverso rispetto alle strade urbane cittadine).
In questo contesto, le misure correttive che permettono di rendere lecita l'attività sono leggermente differenti:
1. Informativa Semplificata: Esonero dagli annunci su radio e giornali.
2. Preavviso Partner: Oltre ai 3 giorni sul sito Google, avviso sui siti web (e newsletter) dei Partner/Enti ospitanti 7 giorni prima.
3. Cartellonistica: Obbligo di affiggere cartelli di avviso all'ingresso dei luoghi ad accesso controllato.
4. Operatori Riconoscibili: I "trekker" a piedi devono avere adesivi o segni distintivi chiari su abbigliamento e zaino (apparecchiature).
5. Orari: Riprese preferibilmente in orari di chiusura o di minor afflusso.
Siamo bel lungi da un divieto, ma usare il legittimo interesse come base giuridica per la mappatura richiede gente in gamba, capace di effettuare un test di bilanciamento serio e applicare misure di mitigazione (informativa effettiva, possibilità reale di opposizione, minimizzazione, oscuramento ecc.)
Odo in lontananza il brusio dei soliti quattro gatti spelacchiati che, non avendo capito nulla di protezione dei dati personali, dopo aver chiesto conforto all'Oracolo (Chatgpt) si stanno sbracciando perché, secondo loro, in un luogo pubblico si può fare quello che si vuole eccetera eccetera. No, ragazzi, non è affatto così, non si può fare quello che si vuole con la faccia della gente sui marciapiedi, con le targhe delle macchine, con le facciate dei condomini, le vetrine dei negozi, ecc.
Comunque, tornando ad Apple, a corredo di questo scenario ci sarebbe anche l'enorme scandalo globale, accertato da indagini che hanno coinvolto più Autorità europee, noto come "Wi-Spy". Il Garante Italiano, sempre nell'ambito dell'acquisizione delle immagini Google Street View, ha aperto un altra istruttoria, imponendo di interrompere qualsiasi raccolta e trattamento dei dati relativi alle reti wifi e al loro SSID (i "payload data"), e ha trasmesso gli atti in procura ravvisando un paio di ipotesi di reato (art.617-quater e art.617-quinquies)... cosucce che hanno indotto Google a interrompere immediatamente la raccolta dati e a collaborare fattivamente.
In questo bel quadretto, Apple che fa? Diciamo che applica una propria interpretazione creativa e sgarzullina di ciò che bisognerebbe fare. Se fossi diplomato alla Sorbona, azzarderei un'espressione forbita e ricercata che si usa da quelle parti: "se ne fottono!"
Come si sta muovendo Apple
Eccoci, dunque, faccia a faccia con la macchinina farabutta: Milano, un bel pomeriggio di fine Marzo 2026, pieno centro, via Monti... arriva la Apple Car senza alcun avviso, senza alcuna indicazione. Solo dopo il passaggio della macchina diventano visibili gli adesivi sul fianco e sul lunotto posteriore. Utilissimi, non c'è che dire, sono una bella pubblicità ambulante, ma sono decisamente meno utili a chi intenda sfuggire alla cattura. Temo che Apple abbia "frainteso" il Garante. Alla Sorbona direbbero: "lo stanno pijà per culo!"
Non è piacevole scoprire in questo modo che un emissario di Apple stia registrando ogni cosa che accade in prossimità della anonima macchina bianca.
Ma soltanto dopo, frugando sul sito web di Apple, che si tocca con mano il massimo del minimo. Come previsto dal Garante, una pagina con le informazioni c'è, ma è talmente approssimativa da rasentare il ridicolo:
Pagina ufficiale Apple Maps Image Collection per l’Italia
https://maps.apple.com/imagecollection/locations/it/it e https://maps.apple.com/imagecollection
Forse uno zoom rende meglio l'idea:
"La macchina di Apple passerà tra il 9 marzo ed il 9 settembre". SEI MESI... una finestra temporale gigantesca, palesemente inutile per capire quando la famigerata macchinetta passerà davanti al tavolino del bar dove gusterò il mio gelato quotidiano. Non penso che possa considerarsi un appuntamento e, ai miei occhi, nemmeno una indicazione sensata.
La Lombardia, in effetti, è una zona complicata... magari nelle altre regioni va meglio? Vediamo... macchè!
Ciò che sembrava una approssimazione grossolana cambia sapore e inizia ad assomigliare ad uno scherzo di pessimo gusto: Apple, questo faro di organizzazione, modello di imprenditoria, esempio planetario di efficienza, ha indicato lo stesso range temporale di 6 mesi per tutte le attività di mappatura in Italia.
In altri contesti, Apple si comporta diversamente: sulla pagina generale di Apple Maps Image Collection, per gli USA viene indicata una finestra temporale annuale e l’elenco delle contee coperte, con descrizione per tipo di survey (vehicle, backpack, transit), quindi Apple è perfettamente in grado di pianificare e comunicare con granularità i propri passaggi.
Non farlo, quindi, è una scelta.
Non farlo nonostante un preciso obbligo, cos'è?
Non è incapacità tecnica, è una scelta di design dell’informativa che, a mio giudizio, integra una violazione degli obblighi di trasparenza (artt. 12 e 13 GDPR): una smunta paginetta web, difficile da trovare, dal contenuto meramente formale, privo di valore informativo e, sicuramente, senza alcun valore informativo per le persone che desiderano proteggere la propria immagine evitando di essere riprese dal passaggio delle Apple car. Cosa faccio, resto in casa 6 mesi, ovunque io sia in Italia? Ma per favore!
Il Garante chiede qualcosa di ben diverso, l'agenda dei passaggi, la mappatura preventiva delle strade e dei luoghi coinvolti, con un anticipo minimo di 3 giorni, utile per consentire alle persone di organizzarsi, per spostare la macchina che non desiderano venga ripresa, per evitare di esporsi fisicamente durante il passaggio, per fare i fatti propri al riparo dalle videocamere ad altissima definizione della macchina di Apple.
Quindi, nonostante la piena consapevolezza di ciò che sarebbe necessario fare, Apple ha deciso di effettuare un'attività di mappatura, estremamente invasiva per tutta la popolazione, prescindendo da ogni misura di mitigazione necessaria, ignorando le indicazioni che il Garante ha messo nero su bianco con riferimento alla stessa identica attività effettuata dalla concorrenza.
Francamente, se fossi il Garante Privacy, mi sentirei offeso e preso per i fondelli. Probabilmente questo non sta accadendo e mi domando perché.
Garante Privacy... "magna tranquillo", che tanto qui va tutto bene!
Perché è un problema di sistema (non solo di privacy)
A scanso di equivoci, quando dico "va tutto bene", intendo questo:
L'utilizzo di telecamere di sorveglianza montate su flotte di veicoli usate per mappare le città rappresenta uno strumento di raccolta dati di una potenza senza precedenti e conduce ben oltre la semplice violazione della privacy individuale (come scattare una foto a qualcuno in un momento imbarazzante). Se analizzati in un'ottica maliziosa e distopica, i dati acquisiti da queste "telecamere mobili" possono essere sfruttati per implementare forme di controllo sociale e sorveglianza di massa estremamente invasive e, al contempo, invisibili agli occhi della gente.
Chiunque abbia accesso ai dati grezzi e non filtrati (prima che i volti o le targhe vengano offuscati), come un governo autoritario, un'azienda senza troppi scrupoli, un criminale informatico, potrà farci ciò che vuole. Ad esempio:
1. "Scoring" Socio-Economico e Redlining Assicurativo
Le telecamere non registrano solo strade, ma lo stato delle proprietà. Un'analisi algoritmica invisibile potrebbe scansionare ogni singola abitazione per creare un punteggio di affidabilità, di ricchezza o di rischio. Alcuni effetti concreti?
Aumenti invisibili: Le compagnie assicurative potrebbero acquistare questi dati per valutare lo stato dei tetti, la presenza di crepe nei muri o l'incuria del giardino, alzando i premi assicurativi senza dover mai inviare un perito e, forse, senza nemmeno spiegare le ragioni.
Marketing predittivo (e predatorio): Identificare auto vecchie, vernice scrostata o giocattoli rotti in cortile per bombardare i residenti con pubblicità di prestiti ad alto tasso di interesse o servizi di recupero crediti.
2. Wardriving e Mappatura Invisibile delle Reti
Questi veicoli non sono dotati solo di occhi (telecamere), ma spesso di antenne che collezionano dati. Cosa ci facciamo?
Sniffing dei dati: Oltre a mappare il Wi-Fi per la geolocalizzazione, un uso malevolo prevede l'intercettazione dei "pacchetti payload" delle reti non protette. (Nota storica: come già citato, questo è un rischio reale, accaduto "per errore"* in passato proprio durante le mappature commerciali).
Inventario dei dispositivi: Registrando i segnali Bluetooth e gli indirizzi MAC, si può sapere esattamente quanti smartphone, smart TV o dispositivi medici connessi ci sono in una specifica casa.
* definizione di "errore": far credere che l'installazione sulle auto di antenne e software di cattura sia avvenuto a causa di un fraintendimento nell'assegnazione dei task allo stagista.
3. Estrazione di "Pattern of Life" e Grafo Sociale Ombra
Passando più volte nello stesso quartiere in orari o giorni diversi, i dati grezzi possono ricostruire la routine di intere popolazioni. A cosa servirebbe?
Mappatura delle vulnerabilità: Sapere esattamente a che ora le case di un quartiere si svuotano o si riempiono, o quali abitazioni appartengono a persone anziane che vivono sole e non escono mai.
Relazioni segrete: I sistemi di intelligenza artificiale possono incrociare i volti delle persone catturate per strada per scoprire chi frequenta chi, identificando incontri non registrati online (es. dissidenti politici che si incontrano in segreto, o amanti clandestini).
4. Furto Biometrico e Riconoscimento Biometrico
Se l'offuscamento dei volti viene bypassato o rimosso alla fonte, i veicoli diventano tristi mietitori di dati biometrici. Qui ci si diverte:
Analisi dell'andatura (Gait Analysis): Anche se il viso è coperto, i video ad alta risoluzione possono registrare e mappare il modo unico in cui le persone camminano, creando un'impronta biometrica inalterabile associata all'indirizzo di casa.
Riflessi: Le fotocamere ad altissima risoluzione possono catturare i riflessi sulle finestre delle case per mappare la disposizione interna delle stanze o registrare le interazioni che avvengono all'interno.
5. Controllo Sociale e "Giustizia Predittiva"
In un regime autoritario, i dati visivi verrebbero utilizzati per addestrare algoritmi di polizia predittiva. Roba da film? Mica tanto:
Algoritmi del degrado: Il sistema potrebbe analizzare la quantità di spazzatura sui marciapiedi, i graffiti o le persone "sospette" che stazionano agli angoli delle strade per abbassare il "rating sociale" di un intero codice postale, riducendo di conseguenza i servizi pubblici, i trasporti o il valore immobiliare della zona creando un odioso circolo vizioso.
Sono solo esempi di ciò che rientra nel campo del "possibile". Purtroppo, ciò che può essere fatto, in un orizzonte temporale abbastanza lungo, tendenzialmente si verifica. Inoltre, esistono fattori che tendono ad accorciare i tempi, ma questa è un'altra storia.
Ciò che rende questa distopia reale è la sua passività. Le vittime non devono installare app compromesse o cliccare su link malevoli: vengono profilate, catalogate e giudicate semplicemente esistendo nel mondo fisico, prendendo un gelato in Via. Monti, parcheggiando la vettura a bordo strada, accompagnandosi ad amici, tornando dalla palestra in tuta da ginnastica e borsone, ecc.
A prescindere dalle intenzioni, collezionare quei dati genera un rischio, sia per attività di trattamento volontarie, che per l'infinita varietà di incidenti, furti, accessi non autorizzati, vendite sottobanco ed ogni altro comportamento del campionario criminoso che, si sa, va ben oltre la fantasia e l'immaginazione delle brave persone. Ed è proprio per questo che alla "Casalinga di Voghera" sembra impossibile che possa accadere.
Casalinga di Voghera, magna tranquilla pure tu!
Per quanto mi riguarda, domani partirà una bella segnalazione al Garante. Una volta, parlando dell'ipotetico arrivo di un ispezione, ho visto un AD compiere sconci gesti apotropaici. Chissà, magari Apple esorcizzerà la paura recapitando alle persone giuste buoni sconto propiziatori... questo spiegherebbe molte cose.
Garante, magna tranquillo... goditi le bistecchine della macelleria Feroci.
Prosit.
Serve una mano?
A beneficio del Garante, di Google, di Apple e di chiunque voglia mappare le strade (Street View, Special Collects, Look Around), ecco alcune indicazioni sintetiche di cui tener conto.
1. Contesto e finalità
- Trattamento di dati personali tramite riprese a 360° da veicoli o operatori a piedi, in spazi pubblici o aperti al pubblico.
- Finalità tipica: realizzare mappe e viste panoramiche a supporto della navigazione e dell’informazione geografica (legittimo interesse del titolare).
- Rischi: identificazione di persone e beni (volti, targhe, abitazioni, esercizi commerciali), profilazione spaziale, potenziali usi secondari (analisi socio‑economica, sicurezza, marketing aggressivo, sorveglianza).
2. Base giuridica e principi
- Base giuridica prevalente: legittimo interesse del titolare (art. 6, par. 1, lett. f, GDPR), da supportare con test di bilanciamento documentato.
- Principi chiave (art. 5 GDPR):
- Liceità, correttezza, trasparenza.
- Limitazione della finalità.
- Minimizzazione dei dati (angolo di ripresa, risoluzione, tempi di conservazione, oscuramento).
- Esattezza e aggiornamento.
- Limitazione della conservazione.
- Integrità, riservatezza e responsabilizzazione.
3. Informativa e trasparenza – Riprese da veicoli
Misure minime richieste alla luce dei provvedimenti del Garante su Google Street View:
- Riconoscibilità dei veicoli
- Auto chiaramente identificabili con loghi e cartelli ben visibili su più lati.
- I segni distintivi devono essere percepibili prima che il veicolo arrivi a distanza di ripresa utile, per consentire alle persone di sottrarsi.
- Preavviso online
- Pubblicazione sul sito del titolare, in lingua locale, dell’elenco delle aree interessate.
- Anticipo minimo: 3 giorni prima dell’inizio delle riprese.
- Per le grandi città: indicare i quartieri/zone, non solo il nome della città.
- Preavviso offline
- Avvisi sulle pagine di cronaca locale di almeno due quotidiani per ogni area/Regione coinvolta.
- Annunci tramite almeno un’emittente radiofonica locale per ciascuna Regione interessata.
- Contenuto minimo dell’informativa
- Identità e contatti del titolare e del DPO (se nominato).
- Finalità del trattamento e base giuridica (mappatura per servizio cartografico, legittimo interesse).
- Tipologie di dati trattati (immagini, targhe, facciate, eventuali metadati di localizzazione ecc.).
- Eventuali trasferimenti extra UE e misure di garanzia.
- Modalità di esercizio dei diritti (accesso, cancellazione/blur aggiuntivo, opposizione).
- Tempi di conservazione delle immagini non offuscate e delle immagini pubblicate.
4. Informativa e trasparenza – Riprese “Special Collects” (a piedi, luoghi specifici)
In linea con il provvedimento del Garante su Google Special Collects:
- Esonero da stampa/radio generalisti
- Non richiesti annunci su giornali o radio locali quando le riprese avvengono in luoghi ad accesso limitato o molto specifici (musei, siti archeologici, parchi recintati, interni).
- Preavviso tramite partner
- Pubblicazione sul sito del titolare almeno 3 giorni prima.
- Pubblicazione sui siti (e, se presenti, newsletter/avvisi) dei partner/enti ospitanti almeno 7 giorni prima.
- Cartellonistica sul posto
- Cartelli informativi all’ingresso e nei punti di accesso principali.
- Testo sintetico + link/QR code all’informativa completa online.
- Riconoscibilità degli operatori
- “Trekker” o operatori dotati di abbigliamento, badge e segni distintivi chiari (logo, dicitura sullo zaino/apparecchiatura).
- Scelta degli orari
- Preferibilmente orari di chiusura o di minore afflusso, quando ragionevole, per ridurre il numero di persone riprese.
5. Misure tecniche di protezione
- Offuscamento sistematico
- Oscuramento automatico di volti, targhe e altri elementi fortemente identificativi prima della pubblicazione delle immagini.
- Procedure per richieste di ulteriore offuscamento (persone, abitazioni, attività commerciali).
- Limitazione della conservazione di dati grezzi
- Riduzione al minimo del periodo di conservazione dei flussi non offuscati, strettamente necessario per il controllo qualità.
- Politiche chiare di cancellazione definitiva e log delle operazioni.
- Sicurezza
- Cifratura dei dati in transito e a riposo.
- Controlli di accesso rigorosi per chi può vedere i dati non offuscati.
- Audit periodici sugli accessi e sulle operazioni di trattamento.
6. Reti Wi‑Fi e altri segnali radio
Alla luce del caso “Wi‑Spy” e dei provvedimenti relativi alla raccolta di SSID e payload da parte di Google Street View:
- Divieto di raccolta dei “payload data”
- Nessuna acquisizione di contenuti di comunicazioni elettroniche (traffico Wi‑Fi, dati in chiaro, pacchetti).
- Eventuale attività pregressa va sospesa, con congelamento dei dati e confronto con le Autorità competenti.
- Mappatura SSID/MAC solo se strettamente necessaria
- Raccolta di SSID e MAC address solo per finalità tecnicamente giustificate (es. posizionamento), con DPIA e misure di minimizzazione.
- Nessun uso per profilazione di persone o famiglie.
7. DPIA, ruoli e governance
- Valutazione d’impatto (DPIA)
- Necessaria in quanto trattamento su larga scala, sistematico, in spazi pubblici, con potenziale impatto elevato sui diritti delle persone (art. 35 GDPR).
- Analisi dei rischi specifici (profilazione spaziale, pattern of life, possibili abusi da parte di terzi in caso di data breach).
- Ruoli privacy
- DPO: consultato su design del servizio, DPIA, misure di mitigazione, gestione reclami.
- Rappresentante nell’UE (art. 27 GDPR) se il titolare è extra UE e offre il servizio nell’Unione.
- Responsabili del trattamento: società che forniscono servizi di raccolta, elaborazione, offuscamento e hosting.
- Registro dei trattamenti
- Descrizione specifica del trattamento di mappatura (categorie di interessati, dati, destinatari, trasferimenti, misure tecniche e organizzative).
8. Diritti degli interessati
- Diritto di opposizione
- Canale semplice (form online, indirizzo email dedicato) per chiedere offuscamento aggiuntivo o rimozione di immagini specifiche.
- Diritto di accesso e cancellazione
- Procedure per identificare rapidamente le immagini che ritraggono una persona, sulla base di coordinate, screenshot o riferimenti forniti dall’interessato.
- Riscontro tempestivo
- Tempi di risposta in linea con il GDPR, con attenzione a casi sensibili (minori, contesti imbarazzanti, situazioni di rischio).
9. Cose da non fare (lesson learned)
- Veicoli non chiaramente identificabili, con loghi visibili solo dopo il passaggio o in modo marginale.
- Preavvisi generici e inutilizzabili (es. “tra marzo e settembre in tutta la Regione”) che non consentono in concreto di sottrarsi alle riprese.
- Raccolta di dati Wi‑Fi oltre il minimo necessario, in particolare qualsiasi forma di payload.
- Conservazione indefinita dei dati non offuscati o assenza di policy di cancellazione.
Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.
Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.
Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è si... allora una birra virtuale è d'obbligo!
