Wi-Fi pubblico con password: cosa protegge davvero

Risorsa aggiuntiva per la lezione “Sicurezza nelle reti Wi-Fi pubbliche protette” — corso Privacy Online

La password scritta sulla lavagna di un bar o sulla card della camera d’albergo dà un senso di tranquillità. Il Wi-Fi pubblico con password tiene fuori chi sta fuori dalla rete, ma ogni altro ospite ha la tua stessa chiave. Questa risorsa spiega che cosa copre e che cosa non copre quella password, che cosa può registrare il locale su di te e come evitare che il telefono si riconnetta da solo ai posti in cui sei già stato.

A. Perché conta

Una password su una rete pubblica è come la chiave della cucina in comune di un ufficio. Tiene fuori gli estranei, ma ce l’hanno anche tutti i colleghi, e chi gestisce la cucina sa chi entra e quando. La tua privacy su quella rete dipende da altre tre cose: se i siti e le app che usi cifrano ciò che invii, che cosa registra il locale e che cosa fa il telefono da solo dopo che te ne sei andato.

Questo non significa evitare il Wi-Fi pubblico con password di alberghi e bar. Significa sapere a quali domande risponde la password e a quali no.

Cosa dicono le fonti

Il Garante per la protezione dei dati personali, l’autorità italiana che vigila sulla privacy, nella guida «Fatti smart!» invita chi usa connessioni Wi-Fi gratuite nei locali pubblici a verificare che la navigazione sia protetta «con protocolli di scambio dati criptati», e indica il protocollo HTTPS per gli accessi. L’attenzione va quindi alla cifratura di ciò che usi, più che alla sola presenza di una password.

Sul Wi-Fi gratuito offerto dagli enti pubblici, in un parere del 29/10/2020 sullo schema di linee guida dell’Agenzia per l’Italia Digitale (AgID), il Garante ha chiesto di stabilire «adeguati tempi di conservazione dei dati» e di informare gli utenti su finalità, tipologie di dati e tempi di conservazione. Ha anche suggerito di conservare soltanto i dati di connessione e disconnessione, non il traffico. Quel parere riguarda i servizi pubblici, non ogni bar o albergo, ma indica quali sono le domande giuste da porre a chi gestisce una rete.

Per la casella «novità e offerte» che tante pagine di accesso propongono, il GDPR, il regolamento europeo sulla protezione dei dati personali, è chiaro su due punti. Non configura consenso «il silenzio, l’inattività o la preselezione di caselle» (considerando 32), e, per capire se un consenso è libero, si guarda con la massima attenzione se un servizio dipende dal consenso al trattamento di dati che non servono a fornirlo (articolo 7, paragrafo 4). La Commissione europea, in una pagina in inglese, aggiunge che la persona deve poter rifiutare o ritirare il consenso senza essere penalizzata.

B. Concetti chiave

Cinque idee per leggere una rete che chiede una password.

La chiave condivisa

Nel Wi-Fi pubblico con password, quando la stessa password è data a tutti gli ospiti, la chiave tiene fuori chi non la possiede, per esempio una persona che passa nel parcheggio. Non trasforma però gli altri ospiti in estranei: una volta collegati, sono sulla tua stessa rete e hanno la tua stessa chiave.

Perché ti riguarda: La password ti dice chi è nella stanza, non chi può vedere che cosa. Ciò che tiene riservata la tua navigazione agli occhi degli altri ospiti è in gran parte la cifratura dei siti e delle app che usi.

WPA2 e WPA3 in parole semplici

WPA2 e WPA3 sono standard di sicurezza per il collegamento tra il tuo dispositivo e una rete Wi-Fi. Nella pagina sulle impostazioni consigliate per router e punti di accesso, Apple descrive WPA3 Personal come il protocollo più recente e più sicuro oggi disponibile per i dispositivi Wi-Fi. La modalità WPA2/WPA3 di transizione è una via di mezzo: usa WPA3 con i dispositivi che lo supportano e WPA2 con gli altri. WPA2 Personal (AES) è indicato da Apple quando non si può usare una delle modalità più sicure.

Perché ti riguarda: Questi standard proteggono il collegamento tra il tuo telefono e le apparecchiature del locale, non ciò che il locale sa della tua visita. Conoscerne i nomi ti aiuta a capire gli avvisi che il telefono mostra su una rete.

Che cosa può vedere il gestore

L’organizzazione che gestisce la rete è uno dei soggetti lungo il percorso dei tuoi dati. Quanto possa vedere di ciò che fai dipende in gran parte dalla cifratura dei siti e delle app: la risorsa su HTTPS di questa sezione spiega che cosa dice il lucchetto del browser e che cosa no. Per il Wi-Fi gratuito offerto dalle amministrazioni, il Garante ha suggerito che per risalire a eventuali abusi possano bastare i dati di connessione e disconnessione, senza conservare il traffico.

Perché ti riguarda: Il locale non è un aggressore: è un’organizzazione che raccoglie dati personali. La domanda più utile è che cosa conserva e per quanto tempo, più di quello che potrebbe intercettare.

La pagina di accesso e le condizioni d’uso

Molti alberghi e bar mostrano una pagina di accesso (in inglese captive portal) prima di lasciarti navigare. Può chiederti il numero della camera, il cognome, un indirizzo email o un numero di telefono, e offrire una casella per ricevere «novità e offerte». Le condizioni d’uso e l’informativa privacy collegate alla pagina dovrebbero dire che cosa registrano il locale, o l’azienda di Wi-Fi di cui si serve, e per quanto tempo.

Anche per il servizio pubblico offerto tramite gli alberghi, nella newsletter del 01/12/2020 il Garante ha scritto che «il turista deve poter decidere autonomamente se aderire al servizio».

Perché ti riguarda: Qui consegni buona parte di ciò che il locale sa di te. Secondo il GDPR una casella di marketing non può essere già spuntata, e accettare il marketing non dovrebbe essere il prezzo per collegarti quando non serve al servizio.

Reti salvate e connessione automatica

Il telefono ricorda le reti a cui ti sei collegato. Secondo la pagina di aiuto di Android, quando il Wi-Fi è attivo il dispositivo si collega in automatico alle reti vicine a cui si era già collegato. Su iPhone, Apple descrive due strade: far dimenticare al dispositivo la rete e la sua password, oppure disattivare soltanto l’accesso automatico a quella rete (in inglese Auto-Join), così la password resta salvata e ti colleghi quando vuoi tu.

Perché ti riguarda: Ogni rete salvata è un invito permanente a riconnettersi, e ogni riconnessione può far sapere di nuovo a quel locale che sei nei paraggi. L’elenco stesso è anche un registro dei posti in cui sei stato.

C. Un esempio concreto: i due giorni di Elena alla conferenza di un cliente

Elena, 35 anni, lavora nel marketing e ogni giorno tratta dati dei clienti: elenchi di contatti, risultati di campagne, bozze non ancora pubbliche. Questa settimana partecipa a una conferenza di due giorni in un albergo di Milano, e la password del Wi-Fi è stampata sulla card della sua camera.

• Mattina: si collega alla rete dell’albergo. Una pagina di accesso le chiede numero di camera, cognome ed email, con una casella «novità e offerte» già spuntata. Tocca Continua senza leggere.
• Metà mattina: si rende conto che altri duecento partecipanti hanno la stessa password e si chiede che cosa voglia dire davvero «protetta».
• Pranzo: apre il rapporto di un cliente conservato nel servizio cloud della sua azienda, che usa HTTPS.
• Pomeriggio: il telefono, nella borsa, si collega al Wi-Fi di una catena di caffè che aveva frequentato mesi prima a Roma.
• Sera: in camera conta le reti salvate sul telefono: quarantatré, molte delle quali non sa più collocare.

Non è successo niente di grave. Ma Elena aveva lasciato un racconto dei suoi spostamenti più chiaro di quanto pensasse, e l’etichetta «protetta» l’aveva fatta riflettere meno, non di più.

Cosa è cambiato quando Elena ha guardato meglio

La seconda sera Elena ha fatto il controllo della sezione D. Alcune cose l’hanno sorpresa:

• La password non era mai stata ciò che proteggeva il rapporto del cliente. Lo faceva HTTPS, a prescindere dalla password della rete.
• Le condizioni dell’albergo dicevano che il fornitore del Wi-Fi conservava per un certo periodo i dati di connessione, e la sua email era finita in un elenco di marketing per una casella che non aveva scelto di spuntare.
• Il telefono trattava un caffè visitato una volta come un posto a cui riconnettersi ogni volta che passava davanti a un locale della catena.

Ha preso tre decisioni: si è disiscritta dalle email di marketing dell’albergo; ha fatto dimenticare al telefono trentacinque vecchie reti e ha disattivato la connessione automatica per le poche che usa di rado; per il lavoro riservato in trasferta userà l’hotspot del proprio telefono. Per tutto il resto ha continuato a usare il Wi-Fi dell’albergo, più serena ora che sapeva che cosa mostra e che cosa no.

D. Provaci tu: il controllo della privacy sul Wi-Fi protetto (10 minuti)

Quattro passi, da fare la prossima volta che ti colleghi in un albergo, in un bar o in una stazione, oppure subito, con il telefono in mano. Qualunque sia il tuo elenco, è una sistemata, non un esame.

Passo 1 — Leggi la rete prima di collegarti (2 minuti)

• Chiedi al personale il nome esatto della rete invece di tirare a indovinare.
• Se il telefono mostra un avviso sulla rete, per esempio di sicurezza debole o di privacy, leggilo. Apple spiega che su iPhone quell’avviso segnala una rete che potrebbe esporre informazioni sul dispositivo, e che a correggerla deve essere chi la gestisce: puoi segnalarlo al personale.

Passo 2 — Leggi la pagina di accesso e le condizioni (3 minuti)

• Nota che cosa chiede la pagina: numero di camera, nome, email, telefono, oppure l’accesso con un account social.
• Apri le condizioni d’uso o l’informativa privacy, se ci sono, e cerca che cosa viene registrato, per quanto tempo e se i dati servono per il marketing.
• Togli la spunta alle caselle di marketing che non hai scelto e dai solo ciò che serve per collegarti.

Passo 3 — Leggi le reti salvate come una mappa (2 minuti)

• Su iPhone apri Impostazioni, poi Wi-Fi, e tocca il pulsante per modificare l’elenco (in inglese Edit): Apple indica che mostra le reti note al dispositivo. Su Android apri Impostazioni › «Rete e internet» › «Internet», dove compaiono le reti salvate; i nomi delle voci possono cambiare con la versione e con il produttore.
• Contale e segna quelle che non userai più: vecchi alberghi, aeroporti, eventi.
• Segna quelle che usi solo di rado, come la casa di un parente.

Passo 4 — Dimentica, o ferma la connessione automatica (3 minuti)

• Per le reti che non userai più, falle dimenticare al telefono. Su iPhone tocca il pulsante delle informazioni accanto alla rete (in inglese More Info), scegli l’opzione per dimenticare la rete (Forget This Network) e conferma. Su Android tieni premuta una rete salvata e tocca «Elimina».
• Per quelle che usi di rado, su iPhone disattiva l’accesso automatico (Auto-Join) nella stessa schermata: la password resta salvata, ma il telefono si collega solo quando lo decidi tu. Su Android la pagina di aiuto non descrive un’opzione per singola rete: se il tuo telefono ne ha una, va cercata nei dettagli della rete, e i nomi cambiano tra produttori.

Una rete dimenticata oggi è un posto in meno a cui il telefono si ricollega senza chiederti nulla.

Già trattato nel corso Sicurezza Online

Il wifi pubblico è sicuro? Cosa è cambiato davvero
Copre il lato sicurezza delle stesse reti, come gli hotspot falsi che imitano quello del locale e le pagine di accesso contraffatte, mentre questa risorsa guarda a che cosa una rete e chi la gestisce imparano su di te.

E. Video, articoli e altre risorse

Prima le fonti istituzionali italiane ed europee, poi le pagine di aiuto delle piattaforme. Le pagine della Commissione europea e di Apple qui indicate sono in inglese.

Fonti istituzionali italiane ed europee

Garante per la protezione dei dati personali — Fatti smart! Le indicazioni del Garante per tutelare la tua privacy quando usi smartphone e tablet
Consigli sull’uso dello smartphone, tra cui la navigazione su Wi-Fi gratuito nei locali pubblici con protocolli cifrati.
https://www.garanteprivacy.it/temi/smartphone/fatti-smart

Garante per la protezione dei dati personali — Parere sullo schema di «Linee guida per l’erogazione del servizio pubblico Wi-Fi free» predisposto da AgID (29/10/2020)
Tempi di conservazione, informativa agli utenti e dati di connessione e disconnessione nel Wi-Fi pubblico gratuito.
https://www.garanteprivacy.it/garante/doc.jsp?ID=9487928

Garante per la protezione dei dati personali — Wi-Fi pubblico gratuito, il Garante chiede all’Agid più tutele per gli utenti (Newsletter n. 470 del 01/12/2020)
La sintesi del parere, con la scelta del turista di aderire o no al servizio offerto tramite gli alberghi.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9494215

Unione europea — Regolamento (UE) 2016/679 (GDPR), articolo 7, «Condizioni per il consenso», testo italiano
Il consenso condizionato (art. 7, par. 4) e il considerando 32 su silenzio, inattività e caselle preselezionate.
https://gdpr-text.com/it/read/article-7

Commissione europea — When is consent valid?
Consenso libero, inequivocabile, specifico e informato, e diritto di ritirarlo con la stessa facilità. In inglese.
https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/legal-grounds-processing-data/grounds-processing/when-consent-valid_it

Documentazione delle piattaforme

Apple Support — Recommended settings for Wi-Fi routers and access points
WPA3 Personal, WPA2/WPA3 di transizione e WPA2 Personal, e gli avvisi di sicurezza debole sull’iPhone. In inglese.
https://support.apple.com/en-ng/102766

Apple Support — Forget a Wi-Fi network or prevent your device from automatically joining it
Come far dimenticare una rete o disattivare Auto-Join su iPhone. In inglese.
https://support.apple.com/en-mn/102480

Guida di Android — Connettere il tuo dispositivo Android a reti Wi-Fi
Come le reti salvate si riconnettono in automatico e come eliminarne una.
https://support.google.com/android/answer/9075847?hl=it

Link verificati a ottobre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa poggia sul pilastro Consapevolezza al livello FL2 – Iniziato: capire che cosa copre davvero una rassicurazione familiare, la password sul muro.

Competenze

• Leggere la pagina di accesso e le condizioni d’uso per capire che cosa viene registrato e perché.
• Distinguere WPA2 e WPA3 e riconoscere gli avvisi di sicurezza che il telefono mostra su una rete.
• Far dimenticare al telefono le reti salvate e disattivare la connessione automatica.

Consapevolezza

• Riconoscere che una password condivisa tiene fuori gli estranei, non gli altri ospiti.
• Capire che anche il locale è un’organizzazione che raccoglie dati personali.
• Sapere che il telefono si ricollega da solo alle reti note, a meno che tu non gli dica altrimenti.

Comportamento Sicuro

• Dare a una pagina di accesso solo ciò che serve per collegarti e togliere le spunte che non hai scelto.
• Lasciare che il telefono si colleghi alle reti usate di rado solo quando lo decidi tu.
• Sfoltire le reti salvate dopo un viaggio, come abitudine e non come progetto.

G. Domande su cui fermarti

• Quando vedi una password sul muro di un bar, che cosa pensi che protegga, e quella convinzione regge ancora?
• Quale informazione preferiresti non dare a un locale solo per collegarti?
• Se qualcuno leggesse l’elenco delle reti salvate sul tuo telefono, che cosa racconterebbe dell’ultimo anno della tua vita?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente a questo tema.

1. Cosa fai su una rete condivisa

• R10 — Non trattare dati sensibili sulle reti Wi-Fi pubbliche: una password non rende privata una rete pubblica, quindi decidi in anticipo quali attività aspettano una rete di cui ti fidi.
• R15 — Scegli la crittografia dell’hotspot più sicura: WPA3, oppure WPA2 se serve: se condividi invece la connessione del tuo telefono, proteggila con la crittografia più forte che il telefono offre.

Impegno minimo: scrivi un’attività che non farai su una rete condivisa e l’alternativa che userai al suo posto.

2. Cosa fa il telefono dopo che te ne sei andato

Far dimenticare una rete al telefono la toglie insieme alla sua password; disattivare la connessione automatica la tiene, ma aspetta te.

Impegno minimo: oggi fai dimenticare al telefono cinque reti salvate che non userai più.

In breve

• Il Wi-Fi pubblico con password tiene fuori gli estranei, ma ogni ospite ha la stessa chiave.
• WPA3 è lo standard più recente e protegge il collegamento tra telefono e rete; non dice nulla su ciò che il locale registra su di te.
• La pagina di accesso e le sue condizioni sono il punto in cui il locale impara di più: dai solo ciò che serve e togli le spunte che non hai scelto.
• Far dimenticare le vecchie reti e disattivare la connessione automatica evita che il telefono si ricolleghi da solo.

Risorse correlate in questo corso

• Privacy sul Wi-Fi pubblico: cosa sa di te una rete aperta
• Cosa nasconde una VPN? Privacy, fiducia e come scegliere
• Cosa significa HTTPS? Cosa dice il lucchetto, e cosa no
• Cosa può vedere il provider internet? Privacy della connessione

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.