Un’applicazione per consultare le previsioni meteo può avere bisogno della posizione geografica per fornire informazioni locali. Una piattaforma di messaggistica può richiedere l’accesso alla fotocamera per effettuare videochiamate. Ma quando un software domanda di consultare l’intera rubrica, utilizzare il microfono o rilevare la posizione anche quando non è in uso, diventa necessario comprendere quali informazioni vengano effettivamente raccolte e per quali finalità.
La protezione dei dati nelle app dipende anche da queste autorizzazioni, spesso concesse durante i primi minuti di utilizzo senza esaminare le conseguenze. Il problema riguarda tanto le informazioni direttamente disponibili sul dispositivo quanto quelle ottenute attraverso strumenti di analisi, identificatori pubblicitari e componenti software sviluppati da soggetti esterni.
Le autorità europee hanno progressivamente concentrato la propria attenzione su questi meccanismi. Nel settembre 2024, la Commission nationale de l’informatique et des libertés (CNIL), autorità francese per la protezione dei dati, ha pubblicato raccomandazioni specifiche per le applicazioni mobili, successivamente aggiornate nell’aprile 2025. Le indicazioni riguardano sviluppatori, editori, fornitori di componenti software e gestori dei sistemi operativi.
La questione centrale è individuare chi possa accedere alle informazioni personali, con quali strumenti e secondo quali condizioni. Un’autorizzazione tecnicamente valida, infatti, non garantisce automaticamente che ogni successivo trattamento dei dati sia legittimo.
Permessi dello smartphone: quali accessi sono realmente necessari
I moderni sistemi operativi consentono di amministrare separatamente numerose autorizzazioni. Posizione geografica, fotocamera, microfono, contatti, fotografie e calendario sono risorse che un’applicazione può utilizzare soltanto secondo le condizioni previste dal sistema e dalle autorizzazioni concesse.
La presenza di una richiesta non costituisce, da sola, un comportamento scorretto. È la relazione tra il servizio offerto e il dato richiesto a fornire il primo criterio di valutazione.
Un’applicazione dedicata alla navigazione stradale ha una ragione funzionale per conoscere la posizione del dispositivo. La stessa necessità risulta meno evidente per un programma che permette semplicemente di modificare fotografie già presenti nella memoria del telefono.
Anche quando l’accesso è giustificato, occorre considerare la durata dell’autorizzazione e il livello di precisione delle informazioni.
Nel caso della geolocalizzazione, diversi sistemi consentono di distinguere tra posizione precisa e approssimativa. Per ottenere le previsioni meteorologiche di una città può essere sufficiente conoscere un’area geografica generale, mentre un servizio di navigazione richiede normalmente coordinate più accurate.
La distinzione riguarda anche il momento in cui il dato viene raccolto. Autorizzare l’accesso alla posizione esclusivamente durante l’utilizzo dell’applicazione è diverso dal consentirlo in background, quando il programma non è visibile sullo schermo.
Quest’ultima possibilità può essere necessaria per determinate funzionalità, come la registrazione di un percorso sportivo durante un’attività o alcuni servizi di localizzazione continuativa. In assenza di una funzione corrispondente, rappresenta un elemento da esaminare con maggiore attenzione.
Un ragionamento analogo riguarda la rubrica telefonica. Consentire a un’applicazione di accedere a tutti i contatti può comportare il trattamento di informazioni relative anche a persone che non utilizzano quel servizio. Dove il sistema operativo lo permette, limitare la condivisione ai soli contatti necessari riduce la quantità di dati accessibili.
Le raccomandazioni della CNIL insistono proprio sul principio di minimizzazione: le applicazioni dovrebbero richiedere esclusivamente le autorizzazioni necessarie alle funzionalità e alle finalità dichiarate, privilegiando modalità meno invasive quando disponibili.
Il ruolo degli SDK pubblicitari nella raccolta delle informazioni
Una parte rilevante dei trattamenti effettuati dalle applicazioni mobili dipende da componenti software che l’utente normalmente non vede.
Si tratta degli SDK, acronimo di Software Development Kit: strumenti che permettono agli sviluppatori di integrare funzionalità già realizzate da altri fornitori.
Gli SDK possono gestire operazioni molto differenti. Alcuni servono a individuare errori tecnici, altri misurano l’utilizzo dell’applicazione, gestiscono notifiche oppure consentono di visualizzare inserzioni pubblicitarie.
La loro presenza non costituisce automaticamente un rischio. Tuttavia, l’integrazione di codice esterno rende più articolata la catena di responsabilità nella gestione dei dati.
Nel gennaio 2025, la CNIL ha richiamato l’attenzione su un aspetto tecnico particolarmente significativo: il codice di un SDK integrato in un’applicazione può disporre, per impostazione predefinita, delle stesse possibilità tecniche di accesso ai dati del resto dell’app.
Di conseguenza, quando una persona concede un permesso al programma, alcuni componenti incorporati potrebbero essere tecnicamente in grado di accedere alle medesime informazioni, salvo adeguate limitazioni.
Questo non significa che tutti gli SDK utilizzino effettivamente i dati disponibili o li trasmettano all’esterno. La possibilità tecnica deve essere distinta dal comportamento concretamente osservato.
Il rischio emerge quando il componente raccoglie informazioni ulteriori rispetto a quelle necessarie, comunica dati a soggetti non adeguatamente identificati oppure effettua trattamenti incompatibili con le finalità dichiarate.
Un caso documentato riguarda SpinOK, un software malevolo distribuito attraverso un SDK pubblicitario apparentemente legittimo. La CNIL ha ricordato che il componente ha interessato oltre cento applicazioni, per un totale di circa 400 milioni di download a livello mondiale.
Il caso dimostra che la sicurezza di un’applicazione dipende anche dalla selezione, dalla configurazione e dall’aggiornamento dei componenti esterni. Non dimostra, invece, che gli SDK pubblicitari siano generalmente malevoli o che un’app contenente strumenti pubblicitari effettui necessariamente raccolte abusive.
Per la protezione dei dati nelle app, la verifica dei fornitori integrati è quindi una responsabilità tecnica e organizzativa degli operatori che sviluppano e distribuiscono il servizio.
Identificatori pubblicitari e tracciamento tra applicazioni
La pubblicità personalizzata può utilizzare informazioni provenienti da diverse attività digitali, con modalità che variano secondo il sistema operativo, le impostazioni disponibili e le tecnologie adottate.
Gli identificatori pubblicitari sono uno degli strumenti impiegati per riconoscere un dispositivo o collegare determinate attività a un identificatore. Possono essere utilizzati, nei limiti consentiti, per misurare campagne, attribuire installazioni e gestire la personalizzazione degli annunci.
Altri sistemi possono basarsi su identificatori interni, eventi registrati dall’applicazione, informazioni trasmesse ai server o combinazioni di segnali tecnici.
Il Comitato europeo per la protezione dei dati (EDPB), nelle linee guida definitive dell’ottobre 2024 sull’articolo 5, paragrafo 3, della direttiva ePrivacy, ha chiarito che la disciplina relativa all’accesso e alla memorizzazione di informazioni nei dispositivi non riguarda esclusivamente i tradizionali cookie utilizzati nei siti web.
Le indicazioni esaminano anche tecniche come il tracciamento mediante pixel, determinati identificatori e altri meccanismi di accesso alle informazioni presenti nei terminali.
Il principio è rilevante perché un’applicazione può utilizzare tecnologie di tracciamento differenti da quelle immediatamente riconoscibili durante la navigazione web.
In determinate circostanze, la lettura o la memorizzazione di informazioni sul dispositivo richiede il consenso preventivo, salvo le eccezioni previste dalla normativa, come quelle relative alle operazioni strettamente necessarie per fornire un servizio esplicitamente richiesto.
La disciplina ePrivacy deve inoltre essere considerata insieme al Regolamento generale sulla protezione dei dati, il GDPR, quando le operazioni comportano il trattamento di dati personali.
La protezione dei dati nelle app richiede pertanto di distinguere almeno due questioni: il diritto di accedere alle informazioni presenti nel dispositivo e la liceità dei successivi trattamenti.
Non basta verificare che il sistema operativo abbia mostrato una finestra di autorizzazione.
Accettare un permesso non equivale a dare qualsiasi consenso
La differenza tra autorizzazione tecnica e consenso privacy è uno dei punti più delicati.
Quando un sistema operativo domanda se consentire a un’applicazione di utilizzare la fotocamera, la risposta riguarda principalmente la possibilità tecnica di accedere a quella risorsa.
Se l’applicazione intende successivamente trattare dati personali per finalità differenti, deve rispettare autonomamente gli obblighi previsti dalla normativa.
Il consenso, quando costituisce la base giuridica richiesta, deve essere libero, specifico, informato e inequivocabile. Inoltre, deve essere possibile revocarlo senza pregiudicare la liceità dei trattamenti effettuati prima della revoca.
Non tutti i trattamenti richiedono necessariamente il consenso GDPR. In alcuni casi possono essere fondati sull’esecuzione di un contratto, su obblighi legali oppure su altre basi giuridiche previste dal regolamento, purché ne ricorrano effettivamente le condizioni.
La distinzione impedisce di interpretare qualsiasi richiesta di autorizzazione come una concessione illimitata.
Un permesso per utilizzare la posizione durante una determinata funzione non dovrebbe diventare automaticamente una giustificazione per impiegare gli stessi dati in attività pubblicitarie incompatibili con quanto comunicato all’interessato.
Analogamente, il rifiuto del consenso a un trattamento facoltativo non dovrebbe comportare restrizioni ingiustificate nell’accesso a funzionalità che non dipendono da quel trattamento.
Sono aspetti sui quali le autorità europee hanno richiamato l’attenzione anche per contrastare interfacce progettate in modo da orientare le scelte degli utenti attraverso informazioni incomplete o presentazioni ingannevoli.
Informative privacy: quali dettagli permettono di capire come vengono usati i dati
L’informativa sulla privacy viene spesso consultata soltanto quando sorge un problema. Eppure, rappresenta uno degli strumenti più concreti per valutare l’affidabilità delle pratiche dichiarate da un’applicazione.
Il GDPR impone che le informazioni siano presentate in modo conciso, trasparente, intelligibile e facilmente accessibile, con un linguaggio chiaro.
Un’informativa adeguata deve permettere di identificare il titolare del trattamento, comprendere le finalità della raccolta, conoscere le categorie di dati interessate e individuare la base giuridica utilizzata.
Devono inoltre essere fornite le informazioni pertinenti sui destinatari dei dati, sui periodi di conservazione, sugli eventuali trasferimenti verso Paesi terzi e sulle modalità di esercizio dei diritti.
La presenza di formule generiche può rendere difficile comprendere il trattamento effettivamente svolto.
Per esempio, una descrizione che si limiti a parlare di utilizzo delle informazioni per migliorare l’esperienza dell’utente offre indicazioni insufficienti se non permette di individuare concretamente le operazioni effettuate e le relative finalità.
Non è invece necessario interpretare ogni riferimento a fornitori esterni come un segnale di abuso. Molte applicazioni si avvalgono legittimamente di servizi tecnici, infrastrutture informatiche e soggetti incaricati di specifiche attività.
La questione consiste nel verificare se ruoli, finalità e condizioni del trattamento siano rappresentati correttamente.
Le schede informative presenti negli store digitali possono offrire un primo orientamento. Le sezioni dedicate alla privacy delle applicazioni e alla sicurezza dei dati consentono infatti di consultare indicazioni sulla raccolta e sulla condivisione delle informazioni.
Queste dichiarazioni restano però diverse da un accertamento indipendente del comportamento tecnico dell’applicazione.
Una scheda apparentemente rassicurante non permette, da sola, di escludere errori di configurazione, violazioni di sicurezza o trattamenti non dichiarati.
Le verifiche europee e il rapporto tra GDPR e Digital Services Act
L’attenzione delle istituzioni europee si è estesa progressivamente dalle condizioni generali del trattamento dei dati alle modalità con cui le piattaforme digitali presentano pubblicità, organizzano le interfacce e influenzano le decisioni degli utenti.
Il Digital Services Act, applicabile in via generale dal 17 febbraio 2024, ha introdotto obblighi specifici per numerosi servizi intermediari e piattaforme online.
La disciplina si affianca al GDPR senza sostituirlo.
Tra le disposizioni più significative rientrano quelle sulla trasparenza pubblicitaria. Le piattaforme online soggette alle relative prescrizioni devono permettere agli utenti di riconoscere la natura pubblicitaria di un contenuto e comprendere, attraverso informazioni significative, perché viene loro mostrato.
Il regolamento vieta inoltre alle piattaforme online di presentare pubblicità basata sulla profilazione quando questa utilizza categorie particolari di dati personali, come quelli relativi alle convinzioni religiose, alle opinioni politiche o all’orientamento sessuale.
Un ulteriore divieto riguarda la pubblicità basata sulla profilazione dei minori, quando il fornitore della piattaforma sa con ragionevole certezza che il destinatario è minorenne.
Queste regole non devono essere confuse con un divieto generalizzato di ogni forma di pubblicità personalizzata, né possono essere estese automaticamente a qualunque applicazione mobile indipendentemente dalla sua natura.
La Commissione europea ha avviato diverse attività di vigilanza sull’applicazione del DSA, comprese verifiche relative alla trasparenza degli annunci e alle caratteristiche di grandi piattaforme digitali.
Sul versante della protezione dei dati personali, le autorità competenti continuano invece a operare secondo il GDPR e le disposizioni applicabili in materia di comunicazioni elettroniche.
La CNIL, dopo aver pubblicato le proprie raccomandazioni sulle applicazioni mobili, ha annunciato controlli specifici a partire dal 2025, comprendendo l’esame dei componenti SDK.
È necessario distinguere anche il valore delle diverse iniziative istituzionali. L’avvio di un’indagine non dimostra automaticamente l’esistenza di una violazione. Una contestazione preliminare, un accertamento definitivo e una sanzione rappresentano fasi differenti, con conseguenze giuridiche diverse.
Allo stesso modo, l’individuazione di una vulnerabilità tecnica non dimostra necessariamente che informazioni personali siano state effettivamente sottratte o utilizzate in modo illecito.
Questa distinzione è essenziale per interpretare correttamente le notizie relative alla sicurezza delle applicazioni e alle verifiche delle autorità europee.
Come controllare le autorizzazioni già concesse
La protezione dei dati nelle app non termina con l’installazione. Le autorizzazioni possono essere riesaminate successivamente e, in molti casi, modificate senza disinstallare il programma.
Sui dispositivi Android, le impostazioni relative a sicurezza, privacy e autorizzazioni permettono di verificare quali applicazioni abbiano accesso a risorse come posizione, fotocamera e microfono.
Le denominazioni dei menu possono variare secondo la versione del sistema operativo e le personalizzazioni del produttore.
Per la geolocalizzazione, le opzioni disponibili possono comprendere il rifiuto dell’accesso, l’autorizzazione limitata alla sessione, quella concessa durante l’utilizzo dell’applicazione e, dove previsto, l’accesso continuativo.
È inoltre possibile, sui dispositivi compatibili, scegliere se condividere la posizione precisa oppure quella approssimativa.
Gli iPhone offrono controlli analoghi nella sezione dedicata a privacy e sicurezza. Il sistema consente di gestire le autorizzazioni delle singole applicazioni e di verificare diversi accessi alle risorse del dispositivo.
La funzione di trasparenza del tracciamento delle app, introdotta da Apple a partire da iOS 14.5, prevede una specifica richiesta di autorizzazione per determinate attività di tracciamento tra applicazioni e siti appartenenti ad altre aziende.
Il rifiuto limita le attività ricomprese da tale sistema di autorizzazione, ma non equivale necessariamente all’interruzione di ogni raccolta di dati o di ogni comunicazione con server esterni.
Le applicazioni possono infatti continuare a effettuare trattamenti necessari al servizio e altre operazioni consentite dalle regole applicabili.
Tra gli strumenti disponibili su iPhone rientra anche il resoconto sulla privacy delle app, che permette di esaminare gli accessi a determinate risorse e l’attività di rete registrata dal dispositivo.
Su Android, la dashboard della privacy e le funzioni di gestione delle autorizzazioni consentono controlli analoghi, secondo le caratteristiche della versione installata.
Questi strumenti permettono di individuare comportamenti che meritano un approfondimento. Un accesso frequente alla posizione, ad esempio, può dipendere da una funzionalità legittima oppure da impostazioni eccessivamente permissive. Il solo numero degli accessi non basta a stabilirne la correttezza.
Anche la presenza di comunicazioni verso domini esterni richiede un’interpretazione tecnica: potrebbero riguardare servizi indispensabili, sistemi di diagnostica, distribuzione di contenuti o strumenti pubblicitari.
Cosa accade quando un’autorizzazione viene revocata
Revocare un permesso impedisce o limita determinati accessi futuri attraverso le funzionalità controllate dal sistema operativo. Non comporta necessariamente la cancellazione delle informazioni raccolte in precedenza.
Se un’applicazione ha già trasferito dati personali ai propri server, la successiva disattivazione della geolocalizzazione non determina automaticamente l’eliminazione degli eventuali dati storici conservati.
Per intervenire sui trattamenti già effettuati possono essere necessarie ulteriori operazioni, come la gestione delle preferenze privacy, la revoca del consenso oppure l’esercizio dei diritti riconosciuti dal GDPR.
Il regolamento prevede, alle condizioni stabilite dalla legge, il diritto di accesso, di rettifica, di cancellazione, di limitazione del trattamento e di opposizione. Riconosce inoltre il diritto alla portabilità nei casi previsti.
La cancellazione non è incondizionata: determinati dati possono dover essere conservati, per esempio, in presenza di obblighi legali o di altre circostanze espressamente previste dalla normativa.
La stessa disinstallazione dell’applicazione non coincide necessariamente con la cancellazione dell’account e delle informazioni presenti sui sistemi del fornitore.
Questa differenza assume particolare rilievo nei servizi che archiviano documenti, cronologie di attività, posizioni geografiche o informazioni personali associate a un profilo.
Quando un’applicazione non viene più utilizzata, la verifica delle autorizzazioni dovrebbe quindi accompagnarsi all’esame delle condizioni di conservazione dei dati e delle eventuali procedure per eliminare l’account.
Quando una richiesta di accesso diventa un segnale da approfondire
Alcune circostanze giustificano un controllo più attento, pur senza rappresentare automaticamente la prova di una violazione.
Una richiesta di accesso alla rubrica completa per una funzione che non coinvolge i contatti, un’autorizzazione alla posizione continua per un servizio utilizzato occasionalmente oppure un’informativa che non identifica chiaramente il titolare del trattamento sono elementi che meritano una valutazione.
Anche l’impossibilità di distinguere tra funzionalità essenziali e trattamenti facoltativi può rendere difficile esprimere una scelta consapevole.
La disponibilità dell’applicazione attraverso uno store ufficiale offre alcune garanzie legate ai controlli e alle politiche della piattaforma di distribuzione, ma non costituisce una certificazione assoluta della conformità privacy.
Né l’elevato numero di installazioni né le recensioni positive sono sufficienti per dimostrare l’assenza di trattamenti irregolari.
Per la protezione dei dati nelle app, assumono particolare importanza la coerenza tra permessi e funzionalità, la chiarezza delle informazioni sui destinatari dei dati, la possibilità di modificare le preferenze e la disponibilità di aggiornamenti di sicurezza.
Occorre inoltre distinguere i rischi tecnicamente documentati dalle ipotesi. La presenza di un SDK pubblicitario rende possibile determinate operazioni, ma non prova che vengano svolte. Una comunicazione di rete verso un fornitore esterno non dimostra, senza ulteriori elementi, la trasmissione di dati sensibili.
La verifica effettiva può richiedere analisi del traffico, esame del codice, documentazione tecnica o accertamenti da parte delle autorità competenti.
Dalle impostazioni del telefono ai diritti sulle informazioni personali
I controlli messi a disposizione dai sistemi operativi costituiscono uno strumento concreto, ma intervengono soprattutto sulle possibilità di accesso alle risorse del dispositivo.
La gestione dei dati già comunicati a un servizio coinvolge invece il titolare del trattamento e gli eventuali altri soggetti responsabili delle operazioni svolte.
Se le informazioni disponibili risultano insufficienti, il GDPR consente all’interessato di chiedere al titolare di conoscere quali dati personali siano trattati e di ottenere le ulteriori informazioni previste dal diritto di accesso.
Quando una richiesta non riceve una risposta adeguata, possono essere utilizzati gli strumenti di tutela previsti dalla normativa, compreso il reclamo all’autorità di controllo competente. In Italia tale funzione è esercitata dal Garante per la protezione dei dati personali.
Di norma, il titolare deve rispondere alle richieste di esercizio dei diritti entro un mese dal ricevimento, salvo le proroghe consentite nei casi previsti dal regolamento.
La distinzione tra autorizzazioni del dispositivo e diritti esercitabili nei confronti del titolare permette di affrontare una delle questioni meno evidenti nell’utilizzo delle applicazioni: impedire nuove raccolte di dati e ottenere informazioni su quelli già acquisiti sono operazioni differenti, che richiedono strumenti e interlocutori diversi.
