Cosa nasconde una VPN? Privacy, fiducia e come scegliere

Risorsa aggiuntiva per la lezione “Introduzione alle VPN: salvaguardia della privacy e sicurezza online” — corso Privacy Online

Cosa nasconde una VPN? Meno di quanto promettono le pubblicità, e più di niente. Può tenere la tua navigazione lontana dagli occhi della rete a cui sei collegato e del tuo provider internet, ma consegna quella vista all’azienda che gestisce la VPN (in inglese virtual private network, cioè «rete privata virtuale»). Questa risorsa ti aiuta a capire se te ne serve una e di chi ti staresti fidando.

A. Perché conta

Una VPN viene spesso presentata come un interruttore unico per la privacy: lo accendi e sei invisibile. In realtà ti protegge da alcuni osservatori e non da altri, e ne aggiunge uno nuovo: l’azienda che la gestisce. Per questo conviene guardarla con una domanda precisa, non con una promessa.

In questo corso privacy significa tre domande: che cosa si sa di te, chi lo sa e che cosa scegli di far sapere. Una VPN cambia il «chi», non la quantità di cose che si sanno. Capire cosa nasconde una VPN, e a chi, la trasforma da prodotto che ti viene venduto in strumento che scegli.

Cosa dicono le fonti

L’Agenzia per la cybersicurezza nazionale (ACN), nei suoi nove consigli per l’Internet Safer Day del 07/02/2023, scrive: «In vacanza, in albergo, in viaggio, evita di usare wi-fi pubblici non sicuri.» Subito dopo aggiunge: «Se puoi usa una Virtual Private Network (Vpn) affidabile.» Un altro consiglio dello stesso elenco riguarda l’HTTPS: se il sito lo usa, la comunicazione è più sicura.

Altroconsumo, in una guida del 10/06/2024, descrive la VPN come un tunnel cifrato tra il tuo dispositivo e un server scelto: il tuo indirizzo IP, cioè l’indirizzo con cui la tua connessione si presenta a internet, viene sostituito da quello del server. Ricorda che sulle reti Wi-Fi pubbliche qualcuno potrebbe tracciare la tua attività e che il provider internet potrebbe vedere quando, dove e come navighi.

Il Garante per la protezione dei dati personali, l’autorità italiana che vigila sulla privacy, nelle indicazioni «Fatti smart!» consiglia di verificare, sulle reti Wi-Fi pubbliche, che la navigazione avvenga con scambio di dati cifrato e che gli accessi, soprattutto a email e home banking, usino l’HTTPS. Suggerisce anche di controllare se un’app chiede l’accesso a contenuti del dispositivo, come foto o contatti. Le Linee guida cookie del Garante (10/06/2021) descrivono i cookie come stringhe di testo che i siti memorizzano sul tuo dispositivo e il fingerprinting, cioè il riconoscimento del dispositivo, come una tecnica «passiva», che non memorizza nulla su di esso.

Infine, il portale Your Europe della Commissione europea ricorda che chi tratta i tuoi dati dovrebbe darti un’informativa chiara: chi li tratta, per quale scopo, per quanto tempo li conserva e quali altre aziende li ricevono. È il documento in cui cercare ciò che la VPN non ti dice da sola.

B. Concetti chiave

Cinque idee che rispondono a una domanda: cosa nasconde una VPN, e a chi.

Il tunnel cifrato: cosa nasconde e a chi

Una VPN crea una connessione cifrata tra il tuo dispositivo e un server gestito dal fornitore del servizio. Il tuo traffico passa prima da lì e poi arriva ai siti che usi, che vedono l’indirizzo IP del server invece del tuo. Senza VPN, la rete locale (il Wi-Fi dell’albergo o del bar) e il tuo provider internet possono vedere più dettagli su ciò che fai; con la VPN vedono soltanto una connessione verso il server.

Perché ti riguarda: Il tunnel copre un solo tratto: dal tuo dispositivo al server della VPN. Se la tua preoccupazione è la rete intorno a te o il tuo provider internet, la VPN risponde direttamente: per questo conviene darle prima un nome.

Cosa non nasconde

Una VPN non ti nasconde ai servizi in cui accedi. La tua email, il tuo social e il tuo motore di ricerca sanno che sei tu, qualunque indirizzo IP tu sembri avere, perché hai fatto l’accesso con il tuo account. Lo stesso vale per i cookie, che il sito salva sul tuo dispositivo, e per il fingerprinting: la VPN cambia il percorso della connessione, non quello che i siti memorizzano o riconoscono.

Perché ti riguarda: Ciò che i servizi che usi sanno di te dipende da loro e dal tuo account, non dalla rete da cui li raggiungi.

Fiducia spostata, non eliminata

Chi gestisce il server della VPN vede a quali siti ti colleghi e quando, al posto della rete locale e del tuo provider: il tuo traffico deve passare da lì per arrivare a destinazione. L’informazione non scompare, cambia mani; quanto il fornitore possa conservarne dipende dal servizio e da ciò che dichiara.

Perché ti riguarda: Stai scegliendo quale azienda ha la vista sulla tua navigazione, quindi a pesare di più è il comportamento del fornitore, non la velocità.

Come si paga una VPN «gratuita»

Un servizio gratuito si finanzia in qualche modo. Un piano gratuito può avere limiti sui dati scambiati o sul tempo di utilizzo, come ricorda Altroconsumo; oppure il servizio può sostenersi in un altro modo, e solo la sua informativa te lo dice. Su un telefono, l’app può chiedere anche permessi, come i contatti o la posizione, che per trasportare il tuo traffico non servono.

Perché ti riguarda: Un’app VPN pagata con i tuoi dati potrebbe vedere più della rete da cui volevi nasconderti. «Chi paga per questo servizio, e perché chiede questo permesso?» sono domande di privacy.

Dichiarazioni sui log, audit e giurisdizione

Un log è un registro che il fornitore conserva delle tue connessioni o della tua attività. Una VPN che dichiara di non tenere log fa una promessa, e una promessa non è una garanzia: cercala per iscritto nei suoi documenti. Contano anche l’audit, cioè un controllo esterno di un’azienda indipendente, con risultati pubblici e recenti, e il Paese in cui il fornitore ha sede e lavora, perché le leggi di quei Paesi possono riguardarlo.

Perché ti riguarda: Ciò che dichiara il fornitore, se qualcuno lo ha verificato e quali leggi lo riguardano si controlla nei suoi documenti. Dove non trovi risposta, la mancanza è già un’informazione.

C. Un esempio concreto: l’albergo di Luca

Luca ha 36 anni, vive a Milano e viaggia spesso. In un albergo all’estero la pagina di accesso al Wi-Fi gli ha dato un po’ di fastidio, così ha installato la prima VPN gratuita trovata nello store del telefono, la cui descrizione prometteva «anonimato totale». L’app gli ha chiesto i contatti e la posizione e lui ha toccato «Consenti»: dopotutto era un’app per la privacy. Quella sera ha controllato la banca, pubblicato una foto e cercato un ristorante, sentendosi invisibile.

Niente di ciò che ha fatto Luca era irragionevole, ma «invisibile» non era del tutto vero. La banca, il social e il motore di ricerca sapevano che era lui, perché aveva fatto l’accesso. La rete dell’albergo non vedeva più quali siti visitasse, ma l’azienda della VPN poteva vederli. E Luca non sapeva chi fosse quell’azienda, come guadagnasse, né perché volesse i suoi contatti.

Cosa è cambiato quando Luca ha riguardato la scelta

Tornato a casa, Luca ha fatto l’esercizio della sezione D:

• Ha scritto che cosa voleva davvero: tenere la navigazione lontana dalle reti di alberghi e aeroporti, non dalla sua banca.
• L’informativa dell’app gratuita consentiva di condividere dati d’uso con dei partner e non escludeva la conservazione dei log; di un audit indipendente non c’era traccia.
• Ha tolto i permessi e rimosso l’app.

Ha preso una decisione: prima del viaggio successivo avrebbe confrontato due o tre fornitori con le stesse cinque domande e, nel frattempo, per le operazioni delicate in viaggio avrebbe usato i dati mobili. Non una VPN per abitudine, né il rifiuto delle VPN per principio, ma una scelta che sa spiegare.

D. Provaci tu: la verifica prima di scegliere una VPN (15 minuti)

Quattro passi brevi. Non ti serve una VPN per farli: «non mi serve» è un risultato valido.

Passo 1 — Dai un nome a cosa vuoi nascondere e a chi (3 minuti)

• Scrivi una frase: «Voglio tenere ___ lontano da ___».
• Se il secondo spazio è la rete locale o il tuo provider internet, una VPN può aiutare. Se sono i servizi in cui accedi o gli inserzionisti, guarda piuttosto le impostazioni dell’account e del browser.
• Se non riesci a completare la frase, forse una VPN non ti serve.

Passo 2 — Guarda che cosa c’è già sul tuo telefono (3 minuti)

• Su Android, la pagina di aiuto indica le impostazioni VPN in Impostazioni › Rete e internet › VPN; se non le trovi, cerca «VPN» nell’app Impostazioni. Su iPhone di solito si arriva cercando «VPN» nelle Impostazioni.
• Cerca app o profili VPN che non usi più o che non riconosci.
• Per ogni app VPN che tieni, controlla se ciascun permesso ha senso per uno strumento che deve solo trasportare il tuo traffico.

Passo 3 — Fai cinque domande a un fornitore (6 minuti)

Per capire come scegliere una VPN, prendi quella che usi o che stai valutando, apri la sua informativa privacy e cerca le risposte:

1. Che cosa dichiara di registrare delle tue connessioni e della tua attività? Esclude per iscritto la conservazione dei log?
2. Un’azienda indipendente ha verificato il servizio con un audit? Il rapporto è pubblico? Quanto è recente?
3. In quale Paese ha sede l’azienda e dove opera?
4. Come si finanzia: con un abbonamento, con un piano gratuito limitato o in un altro modo?
5. Condivide dati con «partner» o con terzi, e per quale scopo?

Dove non trovi nulla, scrivi «non trovato»: è già una risposta.

Passo 4 — Prendi una decisione (3 minuti)

• Tienila: il fornitore ha risposto abbastanza bene e copre la preoccupazione del passo 1.
• Sostituiscila: la preoccupazione è reale, ma questo fornitore non ti ha convinto.
• Eliminala: non ti serve una VPN per la tua preoccupazione, oppure non usi più questa.

Una decisione che sai spiegare vale più di una VPN accesa per abitudine.

Già trattato nel corso Sicurezza Online

Una VPN sul router di casa: cosa fa e cosa non fa
Tratta la VPN sul router per i dispositivi di casa, con i compromessi di velocità e compatibilità, e affronta già le domande sulla fiducia; questa risorsa aggiunge le app VPN sul telefono, i loro permessi e la verifica di un fornitore.

E. Video, articoli e altre risorse

Fonti istituzionali, una guida per i consumatori e la documentazione della piattaforma. Tutte in italiano.

Fonti istituzionali italiane ed europee

ACN (Agenzia per la cybersicurezza nazionale) — Nove consigli per l’Internet Safer Day
I consigli del 07/02/2023 su Wi-Fi pubblici, VPN affidabile e HTTPS.
https://www.acn.gov.it/notizie/contenuti/nove-consigli-per-l-internet-safer-day

Garante per la protezione dei dati personali — Fatti smart! Le indicazioni del Garante per tutelare la tua privacy quando usi smartphone e tablet
Che cosa controllare su Wi-Fi pubblici e permessi delle app.
https://www.garanteprivacy.it/temi/smartphone/fatti-smart

Garante per la protezione dei dati personali — Linee guida cookie e altri strumenti di tracciamento
Che cosa sono cookie e fingerprinting, tracciamenti che la VPN non cambia.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876

Commissione europea, Your Europe — Protezione dei dati e della privacy online
Quali informazioni deve darti chi tratta i tuoi dati: scopo, conservazione, destinatari.
https://europa.eu/youreurope/citizens/consumers/internet-telecoms/data-protection-online-privacy/index_it.htm

Guide per i consumatori

Altroconsumo — VPN: che cos’è, come funziona e quando serve
Che cosa fa una VPN, quando può servire, gratuite e a pagamento.
https://www.altroconsumo.it/hi-tech/internet-telefono/speciali/vpn

Documentazione delle piattaforme

Guida di Android — Connettersi a una rete privata virtuale (VPN) su Android
Dove si trovano le impostazioni VPN su Android e da dove possono arrivare le app VPN.
https://support.google.com/android/answer/9089766?hl=it&co=GENIE.Platform%3DAndroid

Link verificati a ottobre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa poggia sul pilastro Competenze al livello FL2 – Iniziato: giudicare uno strumento da ciò che fa, non da ciò che promette.

Competenze

• Capire chi può vedere il tuo traffico su una data rete, con e senza VPN.
• Leggere l’informativa di un fornitore cercando log, condivisione dei dati e finanziamento.
• Trovare le impostazioni VPN e i permessi delle app VPN.

Consapevolezza

• Capire che una VPN cambia chi può vedere il tuo traffico.
• Sapere che una VPN non ti nasconde ai servizi in cui accedi, né ai cookie e al fingerprinting.
• Riconoscere che una VPN «gratuita» si finanzia in qualche modo, e che la risposta conta.

Comportamento Sicuro

• Usare una VPN per un motivo che sai nominare, non per abitudine.
• Scegliere un fornitore le cui dichiarazioni hai controllato; eliminare le app VPN che non usi.
• Riservare le operazioni delicate a connessioni di cui ti fidi, con HTTPS, con o senza VPN.

G. Domande su cui fermarti

• A chi affideresti più volentieri l’elenco dei siti che visiti: al tuo provider internet, alla rete di un albergo o a un’azienda che gestisce una VPN?
• Che cosa dovrebbe mostrarti un fornitore di VPN prima che tu ti fidi di lui?
• Quali tra le cose che vuoi tenere più private le conoscono servizi in cui accedi, dove una VPN non cambia nulla?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente a questo tema.

1. Prima di cercare una VPN

• R9 — Connettiti solo tramite HTTPS: la busta chiusa del web: rende più sicura la comunicazione con il sito su una rete pubblica, con o senza VPN.
• R13 — Controlla le autorizzazioni delle app: chi può fare cosa: un’app VPN vede già il tuo traffico, quindi controlla con attenzione gli altri permessi.
• R22 — Elimina le app non utilizzate: meno porte aperte sul tuo telefono, comprese le app VPN installate per un solo viaggio.

Impegno minimo: oggi completa la frase del passo 1: «Voglio tenere ___ lontano da ___».

2. Se decidi che una VPN fa per te

• R11 — Usa una VPN per il traffico riservato: quando serve davvero, sulle reti di cui non ti fidi e con un fornitore verificato con le cinque domande del passo 3.
• MS10 — Configura una VPN sul router di casa: copre insieme i dispositivi di casa, ma è un passo più avanzato, da fare quando hai un fornitore di cui ti fidi.

Impegno minimo: prima di installare o rinnovare una VPN, controlla una cosa nella sua informativa: se esclude per iscritto la conservazione dei log.

In breve

• Cosa nasconde una VPN? La tua navigazione alla rete locale e al tuo provider internet, e il tuo indirizzo IP ai siti che visiti.
• Non ti nasconde ai servizi in cui accedi, né ai cookie e al fingerprinting, e non ti rende anonimo.
• Una VPN sposta la fiducia sul fornitore: log, audit, finanziamento e giurisdizione sono ciò che scegli davvero.
• «Non mi serve» può essere una risposta informata. Così può esserlo «questa, per questo motivo».

Risorse correlate in questo corso

• Privacy sul Wi-Fi pubblico: cosa sa di te una rete aperta
• Wi-Fi pubblico con password: cosa protegge davvero
• Cosa significa HTTPS? Cosa dice il lucchetto, e cosa no
• Cosa può vedere il provider internet? Privacy della connessione

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.