Orientarsi consapevolmente tra app di messaggistica: quando l’utente vuole ampia libertà e pieno controllo sui propri dati

In un nostro precedente contributo avevamo affermato che l’essere umano ha bisogno di comunicare (primo assioma della Scuola di Palo Alto)¹ e il vantaggio offerto da Internet di poter interagire con altre persone anche a distanza ha avuto successo. Del resto, sono numerosi i contributi divulgativi e scientifici che hanno descritto questa evoluzione (o involuzione, a seconda del punto di vista) di carattere sociale, che può avere indubbi riflessi di natura giuridico-legale.

credits Paweł Czerwiński

Oltre alla comunicazione verbale quasi quotidianamente utilizziamo anche quella scritta; o meglio, le circostanze della nostra vita molto spesso ci impongono di trasformare ciò che vorremmo comunicare verbalmente in messaggi di testo che inviamo con specifiche app. L’aspetto della comunicazione, però va analizzato anche su altri piani e precisamente su quelli della protezione delle persone fisiche con riguardo con riguardo al trattamento dei dati personali (e privacy) e della cybersecurity. Peraltro, è arcinoto che la pandemia abbia modificato la nostra comunicazione sia in termini di frequenza sia riguardo alle soluzioni utilizzate. Ogni persona dovrebbe sempre avere il pieno controllo dei propria dati personali ed essere pienamente consapevole dei loro trattamenti. Purtroppo, non sempre è così. Per la nostra comunicazione, quindi, utilizziamo alcune app. Negli ultimi mesi la cronaca ha dato risalto ad almeno tre app che risultano essere quelle più diffuse in quanto maggiormente utilizzate dagli utenti e precisamente Whatsapp, Signal e Telegram. Non è nostra intenzione dedicarci al confronto di queste tre app, ma di condividere alcune riflessioni circa gli strumenti che quasi quotidianamente utilizziamo. Vorremmo, quindi, sottolineare due aspetti:

• sicurezza del trattamento e dei dati personali;
• termini di utilizzo e pieno controllo di ogni individuo sulle proprie informazioni.

Riguardo al tema della sicurezza del trattamento, si rimanda all’art. 32 del GDPR e alle specifiche norme tecniche che possono essere utilizzate. Merita maggiore attenzione, invece, il punto che riguarda la consapevole accettazione da parte dell’utente dei termini di servizio e della privacy policy dei provider di soluzioni di messaggistica.

All’utente dovrebbe essere sempre garantito il pieno controllo sui propri dati personali mediante l’esercizio dei diritti riconosciuti nella normativa in materia di protezione dei dati personali vigente, per l’Europa il GDPR. L’utente, però, potrebbe anche decidere di esprimere la propria libertà esercitando di fatto il pieno controllo direttamente sui propri dati personali, senza essere condizionato da termini o policy imposte dal fornitore del servizio di messaggistica.

L’esercizio di tale libertà, però, presuppone che l’utente sia in condizioni di poter fruire di un sistema di messaggistica ma senza concedere alcun controllo ad uno o più soggetti. A tale stadio si perviene quando l’utente abbia conseguito la piena consapevolezza circa le risorse e gli strumenti che comunemente utilizza.

In sostanza, l’interessato dovrebbe domandarsi: “Sono pienamente consapevole di ciò che accade ai miei dati personali quando utilizzo una certa app?”. Molti non solo non si sono mai posti questa domanda, ma probabilmente hanno utilizzato la app o le app semplicemente perché “lo fanno gli altri” oppure perché sono stati così consigliati da qualche amico. Sono numerosi i contributi scritti, soprattutto negli ultimi mesi, fondamentalmente sulla domanda “Quale app di messaggistica è più sicura?”.

Ci sono parecchi contributi che addirittura riportano il il confronto tra Whatsapp, Signal e Telegram.

Illustri e noti professionisti informatici hanno chiarito da tempo che non si tratta di una questione di protocolli di sicurezza utilizzati da un’app piuttosto che dall’altra, poiché - salvo smentite - il generale livello di sicurezza e di encryption dei messaggi è buono e comunque garantito quasi da ogni app (sappiamo che Telegram garantisce messaggi criptati solo nelle c.d. “chat segrete”). In realtà, ciò che potrebbe differenziare le app tra loro non è solo il maggiore o minore livello di sicurezza adottato dagli sviluppatori, ma anche la possibilità di analizzare il relativo codice sorgente per sapere che quali istruzioni il software esegue, in che modo e con quali effetti. In questo caso si dice che si tratta di un software “open source”, ossia aperto e in grado di essere analizzato da chiunque.

A questo punto, l’interessato potrebbe effettuare la propria scelta verso un software open-source che garantisca un elevato livello di sicurezza e così sarebbe felice. In realtà, è necessaria un’ulteriore precisazione. Gli sviluppatori di un app di messaggistica possono optare per un sistema centralizzato, federato oppure per uno distribuito o decentralizzato. Nel primo caso, i dati personali dell’interessato sono nel controllo dello sviluppatore anche se questi dichiara esplicitamente di non avere accesso ai messaggi dell’utente. Infatti, lo sviluppatore, avrà comunque alcune informazioni (es. numero di telefono) dell’utente per poter erogare il servizio e consentire allo stesso di utilizzare il sistema di messaggistica; forse raccoglierà anche alcuni metadati. In questo caso, l’interessato non è del tutto libero di avere il pieno e totale controllo sui propri dati personali.

È bene precisare, però, che ciò non vuol dire che si tratti di uno scenario contrario alla disciplina in materia di protezione dei dati personali, qualora il titolare del trattamento abbia provveduto a rispettare la normativa. Nel caso del sistema decentralizzato ogni utente è considerato un nodo, evitando così l’accentramento dei dati in capo al soggetto che “gestisce” la piattaforma. L’utente, quindi, dovrebbe essere l’unico ad avere accesso ai propri dati personali e al contenuto dei messaggi che scambia con altri soggetti e, conseguentemente, ad avere il pieno e totale controllo dei propri dati personali e del contenuto dei messaggi.

La preferenza per un sistema federato con attenzione ca agli aspetti di sicurezza, ci hanno indotto a optare per app di messaggistica come DeltaChat che funziona con il nostro account email per scambiare messaggi anche criptati poiché “implementa lo standard Autocrypt Level 1 e può anche cifrare e2e i messaggi da e verso altre app compatibili con Autocrypt.” (riportiamo dalla FAQ Delta Chat supporta la cifratura end-to-end?).

La acuta intuizione degli sviluppatori di DeltaChat si trova nel vantaggio di avere un’app diversa da un client email che in modo semplificato, ma efficace e potente, raggiunga l’obiettivo di inviare e recapitare messaggi criptati mediante lo scambio di email. Coloro i quali hanno provato DeltaChat sono rimasti sorpresi dalla intuizione che è alla base del sistema. Del resto, è sufficiente leggere quanto è pubblicato sul sito di riferimento per comprendere quanto sia comodo questo sistema.

Inoltre, per chi volesse approfondire, in rete ci sono diversi contributi anche abbastanza dettagliati che descrivono i punti di forza di DeltaChat e tra i tanti, segnaliamo “10 Ways Delta Chat is Better than WhatsApp, Signal, and Telegram”.

Molti hanno timore di cambiare app di messaggistica (es. Whatsapp) perché si teme il rischio di non essere più raggiungibili. In realtà, si tratta di un falso problema perché chi ha interesse a contattarci può farlo mediante qualsiasi soluzione disponibile e non è obbligato a farlo con una sola app (magari perché più utilizzata). Infatti, avendo i nostri recapiti digitali, chi ha interesse può raggiungerci comunque. A volte si tende a preferire app note per garantire alti livelli di sicurezza, evitando le email, ma - come si è evidenziato - con soluzioni adeguate (es. PGP, SMIME, DeltaChat, ecc.) è possibile anche scambiare messaggi email criptati senza utilizzare sistemi complessi come la (italiana) PEC (per l’estero Registered Electronic Mail - REM). Il livello di discussione che si è generato negli ultimi mesi riguardo alle tre citate app (Whatsapp, Signal e Telegram) dimostra l’attenzione per la messaggistica istantanea (IM). In particolare, probabilmente molti non sanno che diverse applicazioni di IM si basano sul protocollo Jabber - XMPP (si fa risalire al 1999).

La caratteristica del protocollo XMPP è quella del sistema federato; sul piano pratico può essere paragonato al sistema di posta elettronica, con la differenza che un utente sulla rete ha un unico indirizzo XMPP. Ma come funziona in pratica? È necessario ottenere un account di IM (molto simile a quello di un email nel formato utente@dominioxmpp.ext) da un provider (qui c’è un elenco di server). Chi, invece, volesse decidere di installare un server mail c.d. self hosted può optare per Mailcow che è gratuito, sicuro, potente e con una integrata robusta soluzione XMPP. Una volta effettuata la registrazione per ottenere l’account IM e che lo stesso è attivo, è possibile scambiare messaggi con altri utenti che utilizzino lo stesso sistema di IM. Per scambiare messaggi di IM è necessario utilizzare app (client) ad hoc (e qui c’è un elenco), ma è anche possibile mediante client web (merita di essere menzionato il progetto Movim). Si potrà scegliere in base al sistema operativo (esistono soluzioni per quasi tutte le piattaforme).

Qual è il vantaggio di IM?

In primo luogo, si tratta di sistema decentralizzato e quindi l’utente non “dipende” da soggetti che gestiscono il sistema, ma ha il pieno e totale controllo del proprio account al quale ha accesso (ancor di più in una configurazione come quella di Mailcow su descritta). È possibile attivare l’encryption end-to-end (solitamente secondo il protocollo OMEMO che è un’estensione del protocollo XMPP) per poter scambiare messaggi di testo, nonché contenuti multimediali (immagini video) e ogni formato di file. Alcuni client stanno sperimentando il Multimarkdown per i messaggi di testo.

Questa soluzione offre garanzie di sicurezza (in informatica la sicurezza non è mai assoluta e al 100%), immediatezza della comunicazione (per sua natura si tratta di messaggi istantanei), pieno e totale controllo dei propri dati da parte dell’utente. Il limite, se può essere considerato tale, è che i soggetti con i quali si vuole utilizzare il sistema di IM devono tutti avere un account ad hoc. Esistono ulteriori soluzioni di comunicazione in generale che non si riferiscono soltanto alla messaggistica, di cui alcune basate su blockchain, che - però - per configurazione e utilizzo presentano una curva di apprendimento che non rende immediato l’utilizzo da parte di un utente medio. Sono anche ben note soluzioni relative a piattaforme di social networking decentralizzate e strutturate in maniera da evitare l’accesso ai contenuti pubblicati da parte di uno o più soggetti; quindi, sono soluzioni con un adeguato potere di controllo sui propri dati da parte dell’utente.

In conclusione, dovremmo riflettere sulle risorse che comunemente utilizziamo - soltanto perché lo fanno anche altri - ponendo, invece, maggiore attenzione alla (preziosa) libertà di ciascun individuo di avere il pieno controllo sulle informazioni che lo riguardano e, conseguentemente, di decidere autonomamente.

Considerate la vostra semenza: fatti non foste a viver come bruti ma per seguir virtute e canoscenza Dante Alighieri, Divina Commedia, Inferno, XXVI