L’antefatto:  l‘app mobile di Linkedin presente sullo Store di Apple raccoglie dati sensibili sugli utenti senza chiederne consenso, ma un paio di ricercatori di Skycure Security se ne accorgono analizzando il codice.

Si tratta di appunti sulle riunioni e dei dettagli completi del calendario del dispositivo (che viene visualizzato all’interno dell’app) relativi agli ultimi cinque giorni, inviati ai server di Linkedin sotto forma di file di testo (quindi nemmeno crittografati) ogni volta che viene avviata l’app.

Julie Inouye, in qualità di portavoce di Linkedin, giustifica questa pratica dicendo “Incrociamo le informazioni delle persone con cui hai pianificato le riunioni e i loro profili LinkedIn, in modo da offrirti ulteriori informazioni su di loro“.

L’impressione però è che non tutte queste informazioni siano indispensabili per fare ciò, come per esempio quelle relative a chi non possiede un profilo Linkedin o le note, fermo restando che in ogni caso rimangono forti dubbi che l’applicazione di LinkedIn stia effettivamente rispettando le linee guida di Apple sulla privacy (con particolare riferimento alla sezione 17.1).

E pensare che solo qualche giorno fa…

Oggi invece Joff Redfern – il responsabile dello sviluppo dei prodotti mobile di Linkedin – pubblica sul blog ufficiale alcuni chiarimenti:

“Per quelli che non hanno familiarità con la nostra funzionalità calendario, con il vostro permesso noi ci sincronizziamo con il calendario del vostro smartphone per fornire informazioni sulle persone in riunione con voi, mostrandovi il loro profilo Linkedin.”

Traduzione: “Siete voi che non sapete usare la nostra app, ma vi spieghiamo ugualmente che ci avete dato il consenso a trattare ogni vostro dato #avostrainsaputa“.

“Al fine di fornire il nostro servizio di calendario per coloro che scelgono di utilizzarlo, abbiamo bisogno di inviare informazioni sui vostri eventi del calendario ai nostri server in modo che possiamo abbinare le persone con profili LinkedIn. Tali informazioni vengono inviate in modo sicuro su SSL e non condividiamo mai né memorizziamo le informazioni del calendario.“

Traduzione: “Lo facciamo per offrirvi nuovi servizi, sia chiaro. E in realtà questi dati sono criptati e non memorizzati sui nostri server.“

Cosa facciamo:

• “Noi chiediamo il permesso prima di accedere al vostro calendario; questa continuerà a essere una caratteristica opt-in (cioè subordinata al consenso dell’utente)”
• “Noi vi forniamo un modo per disattivare la funzione di calendario in qualsiasi momento nelle impostazioni”
• “Noi inviamo i dati del calendario al nostro server solo quando l’applicazione LinkedIn è avviata, per abbinarli con profili pertinenti su LinkedIn dei partecipanti alla riunione”
• “Noi inviamo i dati del calendario ai nostri server attraverso una connessione sicura SSL”

Traduzione: “Chiediamo il permesso, ma senza spiegare bene per cosa. Pur non conoscendo quali dati noi acquisiamo, voi potevate disattivare già ora il calendario, senza alcun motivo apparente. Se lo smartphone è spento, se la batteria è scarica, se non c’è campo o se non avviate l’applicazione noi non possiamo leggere i vostri dati. Se uno dei contatti non è ancora iscritto a Linkedin, sarà nostra cura contattarlo per suggerirgli di iscriversi, così a quel punto rientrerà nella casistica generale. Inviamo i dati del calendario sui nostri server, ma #aloroinsaputa perché non li memorizziamo.”

Cosa non facciamo: 

• “Noi non memorizziamo le informazioni del calendario sui nostri server”
• “Noi non condividiamo o utilizziamo i dati del calendario per scopi diversi da quelli dell’abbinamento con profili  rilevanti di LinkedIn”
• “Noi non accediamo in nessun caso ai dati del calendario, a meno che voi abbiate indicato esplicitamente di sincronizzare il calendario”

Traduzione: “Forse memorizziamo i dati ma non sui nostri server; magari quelli di Amazon. Oppure li memorizziamo dopo averli annegati negli altri in nostro possesso, che è ben altra cosa rispetto al dato originale. O forse non lo facciamo noi.“

Dove miglioreremo:

• “Noi non preleveremo più i dati della sezione note del vostro calendario eventi”
• “Ci sarà un nuovo link “ulteriori informazioni” per spiegare come i dati del calendario vengono utilizzati“.

Traduzione: “Continueremo a prelevare gli altri, salvo diversamente espresso dall’utente, che in qualsiasi momento potrà andare a leggersi come vengono utilizzati. Ma non quali dati.“

Apple ha richiesto espressamente a Linkedin di rimuovere dall’app la parte di codice incriminata, segno che effettivamente le linee guida non erano state rispettate; nei prossimi giorni quindi sarà rilasciato presumibilmente questo aggiornamento.

Apple stessa però, a mio avviso, non è esente da responsabilità visto che non è riuscita a individuare e bloccare una app contenente codice proibito di questo tipo. Il “walled garden” basato su rigide procedure di verifica, fortemente imposto alla collettività dalla mela morsicata, in questo caso non ha applicato i controlli con la stessa rigorosità di altre occasioni, dove rilasci di applicazioni famose sono stati bloccati per molto meno.

Per quanto riguarda invece la lesione dei diritti del singolo utente, non mi è chiaro se anche nel caso di Linkedin esistano le condizioni per una class action come nel caso di IQ Carrier lo scorso dicembre, come non mi è chiaro se ne debba invece essere esentata perché le responsabilità ricadono in toto sul distributore/controllore, cioè Apple. La mia sensazione è che dopo l’aggiornamento di questa storia non ne sentiremo più parlare.

Il messaggio però passato è che, a fronte di un generico consenso richiesto all’utilizzatore di un servizio, gli andrebbe sempre chiarito anche per cosa lo si chiede. L’importante è essere trasparenti, rendere accessibili i termini dello scambio e segnalarne l’esistenza.

Purtroppo oggi siamo talmente abituati ad accettare servizi in cambio di privacy da sottovalutarne i rischi connessi.

Per dirla come Cory Doctorow:

“In the United States, there’s a legal vogue for something called “Do Not Track”: users can instruct their browsers to transmit a tag that says, “Don’t collect information on my user”.”

Sui possibili meccanismi per migliorare la tutela della privacy online delle persone cito invece il pensiero di  Lawrence Lessig espresso nel libro “Code and Other Laws of Cyberspace”: norme, leggi, codici e mercati.

UPDATE: 6/6/2012 h 17:50

Sempre su quel discorso sulla sicurezza dei dati personali che costituirebbe la massima priorità per Linkedin, è arrivata la conferma che 6.5 milioni di password degli iscritti sono state trafugate.