WhatsApp e la nuova privacy policy: quali informazioni condivide con Facebook?

Partito dall’India, il mercato più grande per WhatsApp con 340 milioni di utenti che quotidianamente lo utilizzano per (video)chiamare, messaggiare ed effettuare pagamenti, l’allarme (e la confusione) relativi all’ultimo aggiornamento su termini di servizio e privacy policy dell’app si è presto diffuso in tutto il mondo. Ma che cosa e a che fine WhatsApp condivide con Facebook, e quanto gli è permesso nella regione europea?

Sul 2021 si riversano le speranze per il ritorno a una parvenza di normalità o quantomeno per un briciolo di quiete e serenità che possa far scivolare l’anno appena conclusosi nel dimenticatoio. E invece, a soli sei giorni dal suo inizio, ha già collezionato tra gli eventi classificabili come “2020: atto II” l’assalto a Capitol Hill, il ban del presidente uscente Donald Trump da Twitter e Facebook e la teoria complottista secondo cui dietro gli esiti delle elezioni americane ci sarebbero l’ex presidente Barack Obama, l'ambasciata americana a Roma e il leader di Italia Viva Matteo Renzi. Mentre le foto dello sciamano di QAnon e l’hashtag #italydidit fanno il giro del web, un’altra notizia scandisce i primi giorni di questo mese: la nuova policy di WhatsApp.

Tutto è iniziato con un pop-up, con cui l’app di messagistica, che conta globalmente circa due miliardi di utenti attivi, ha annunciato cambiamenti nei suoi termini di servizio e politiche per la privacy. Un mini-elenco riassuntivo degli aggiornamenti, un paio di righe con collegamenti alla documentazione completa e un passaggio che non è sfuggito nemmeno a chi frettolosamente ha cercato di liquidare il pop-up per tornare ad usare l’app normalmente: le nuove policies entreranno in vigore l’8 febbraio 2021 e la loro mancata accettazione comporterà l’eliminazione dell’account. Infine, l’opzione: accettare seduta stante o rimandare la scelta.

Presentandosi come un vero e proprio ultimatum, il pop-up ha sollevato non pochi sospetti e allarmismi. Più precisamente i timori, partiti dall’India, si sono condensati intorno all’idea che WhatsApp possa condividere i dati dei propri utenti con l’azienda madre Facebook (che ha comprato WhatsApp nel 2014) o addirittura leggere i messaggi degli utenti (evenienza in realtà scongiurata dalla crittografia end-to-end attiva automaticamente dall’aprile 2016, che impedisce sia a WhatsApp che a terzi di accedere al contenuto delle conversazioni).

Tuttavia, la questione è complessa e merita innanzitutto una precisazione: per gli utenti residenti all’interno della regione europea (incluso il Regno Unito) i servizi WhatsApp sono forniti da Facebook Ireland Limited, che è anche responsabile del trattamento dei dati degli utenti. Al contrario, per gli altri territori i servizi sono forniti da WhatsApp LLC. la differenziazione può sembrare banale, ma non lo è. I territori dell’Unione Europea sono infatti soggetti a una regolamentazione specifica in materia, ovvero il Regolamento generale sulla protezione dei dati (GDPR, dall'inglese General Data Protection Regulation), il quale disciplina, a livello europeo, il modo in cui le aziende e le altre organizzazioni trattano i dati personali.

Tale differenza si riscontra anche nei pop-up che hanno ricevuto gli utenti europei rispetto a quelli esterni all’area: mentre rimangono uguali gli aggiornamenti relativi all’elaborazione dati e a come le aziende possono usare i servizi ospitati da Facebook per archiviare e gestire le loro chat WhatsApp, l’elenco europeo presenta una voce in meno, ovvero proprio quella relativa alla partnership di WhatsApp con Facebook per offrire integrazioni con gli altri prodotti dell’azienda.

Per comprendere meglio cosa questo significhi, innanzitutto bisogna fare una distinzione tra la piattaforma social e l’azienda (Facebook Inc.), la quale oltre a WhatsApp, possiede anche Instagram, Messenger e Oculus, il marchio che produce visori per la realtà virtuale.

Nella sezione FAQ del sito di WhatsApp, alla domanda “quali informazioni WhatsApp condivide con le aziende di Facebook?”  si viene rimandati alla voce “informazioni raccolte” all’interno dell’informativa sulla privacy. Oltre a una serie di informazioni fornite dall’utente (il proprio numero di cellulare, il nome utente, lo stato e l’immagine del profilo, i numeri di telefono dei contatti presenti nella rubrica del suo dispositivo mobile, compresi quelli degli utenti non registrati a WhatsApp, l’elenco dei contatti preferiti, le interazioni con il servizio clienti e le informazioni su acquisti e transazioni se l'utente si avvale dei servizi di pagamento disponibili nel paese in cui risiede), vengono poi elencate le informazioni acquisite automaticamente (cookie, diagnostica, informazioni sul dispositivo su cui il servizio viene installato tra cui il livello della batteria, la potenza del segnale, la versione dell'app, le informazioni sul browser e sulla rete mobile, le informazioni sulle connessioni, l'operatore mobile o il provider ISP, la lingua e il fuso orario, l'IP e la posizione).

In questo caso a fare la differenza tra il servizio europeo e quello generale è l’acquisizione di “informazioni sullo stato”: nei territori extra UE WhatsApp raccoglie informazioni sulle modifiche relative all'accesso e allo stato dell’utente, ad esempio la sua presenza online ("stato online"), l'ultima volta che ha utilizzato i servizi ("ultimo accesso") e l'ultimo aggiornamento del suo stato. Per concludere vi sono le informazioni fornite da terzi (per esempio, ma non solo, i dati degli utenti forniti dalle aziende con cui essi interagiscono attraverso WhatsApp o i dati degli utenti forniti da servizi di terzi operati via WhatsApp).

Tornando quindi al terzo punto del pop-up, nella sezione “aggiornamenti chiave” presente sul sito di WhatsApp l’informativa sulla privacy per i Paesi europei informa che ad oggi Facebook non usa le informazioni degli account WhatsApp (ovvero quelle elencate nel paragrafo precedente) per migliorare le esperienze degli utenti con i prodotti di Facebook o per fornire esperienze pubblicitarie più pertinenti su Facebook. Tuttavia, ciò significa che le informazioni non vengono condivise per tali fini, ma non che non vengano condivise affatto, come infatti chiarisce la voce “Modalità di collaborazione tra WhatsApp e altre aziende di Facebook”: in qualità di membro delle aziende di Facebook, WhatsApp riceve informazioni da tali aziende e le condivide con esse (per esempio per combattere lo spam o migliorare l’assistenza).

Al contrario, sulla pagina internazionale generale, la versione precedente all’ultimo aggiornamento prevedeva che una volta accettati i termini di servizio e la privacy policy, l’utente avesse trenta giorni per accettare o meno la condivisione dei suoi dati con Facebook per migliorare le proprie esperienze con le inserzioni e i prodotti di Facebook. Tale opzione di scelta con l’aggiornamento del 4 gennaio 2021 è stata eliminata: non resta che accettare o rivolgersi all’Help Center per eliminare l’account.

In conclusione, gli utenti dei paesi europei sono esenti dal più allarmante dei cambiamenti, pur dovendo sottostare all’accettazione obbligatoria degli altri aggiornamenti per continuare ad utilizzare il servizio. Alcuni hanno considerato questa storia come un successo delle normative europee sulla privacy introdotte negli ultimi anni, mentre altri hanno comunque iniziato a valutare altre opzioni di messaggistica, tra cui Signal, consigliata sia da Edward Snowden che da Elon Musk.

Difatti, se a prima vista il famigerato pop-up appare come una semplice modifica unilaterale dei servizi che quotidianamente vengono utilizzati per chattare o videochiamare, un occhio più attento scorgerà che forse per la prima volta è stato esplicitato che è solo la cessione e condivisione dei propri dati con altre aziende e inserzionisti che permette a tali servizi di rimanere, all’apparenza, gratuiti: se non stai pagando, il prodotto sei tu.