Sorveglianza di massa: chi raccoglie i dati e come lo fa

Risorsa aggiuntiva per la lezione “Il panorama della sorveglianza di massa: attori, metodi, implicazioni” — corso Anonimato Online

La sorveglianza di massa fa pensare a un film di spionaggio, ma in gran parte nasce da registrazioni ordinarie: le tracce che telefoni, reti, app e telecamere producono comunque, raccolte in blocco da organizzazioni con cui forse non hai mai avuto a che fare. Questa risorsa spiega con calma chi raccoglie dati su larga scala, con quali metodi e dentro quali limiti di legge, così puoi valutare di quanto anonimato ha bisogno la tua vita.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Un’indagine mirata parte da una persona e cerca i suoi dati. La raccolta in blocco fa il contrario: raccoglie dati su molte persone, quasi tutte non sospettate di nulla, e li interroga dopo.

Ecco perché il tema riguarda l’anonimato: i dati raccolti in blocco diventano rivelatori quando si possono collegare: un numero di telefono a un nome, un ID pubblicità a un indirizzo di casa, un volto a un profilo. Conoscere gli attori ti mostra quali collegamenti esistono nella tua vita.

Questo non significa che qualcuno ti stia osservando, né che tu debba avere paura. Molta raccolta è lecita e controllata; una parte non lo è, e i giudici lo hanno detto. L’obiettivo è sostituire un disagio vago con un quadro chiaro.

Cosa dicono le fonti

Una scheda della Cancelleria della Corte europea dei diritti dell’uomo e dell’Agenzia dell’UE per i diritti fondamentali (FRA), che riassume la giurisprudenza senza vincolare la Corte, descrive la sorveglianza di massa come l’insieme dei sistemi che raccolgono su larga scala informazioni nelle comunicazioni elettroniche e intorno a esse. Riassumendo la Corte di giustizia dell’UE, ricorda che i dati di traffico e di ubicazione, presi nel loro insieme, possono permettere «conclusioni molto precise» sulla vita privata delle persone (traduzione nostra: la scheda è in inglese).

L’Ufficio dell’Alto commissario delle Nazioni Unite per i diritti umani (OHCHR), nel rapporto del 2022 sul diritto alla privacy nell’era digitale, avverte che una sorveglianza indiscriminata rischia di scoraggiare la libertà di espressione e di associazione. Descrive anche governi che comprano dati dai data broker, pratiche che possono aggirare garanzie procedurali fondamentali.

Le autorità sono intervenute anche sul mercato dei dati: nel 2021 il Garante per la protezione dei dati personali ha sanzionato per circa 3 milioni di euro una società energetica che usava per il telemarketing dati che «non aveva raccolto direttamente, ma che aveva acquisito da altre fonti»: liste di contatti passate da un’azienda all’altra. Il consenso dato alla prima azienda, spiega il Garante, «non può estendere la sua efficacia anche a successive cessioni ad ulteriori titolari». Negli Stati Uniti la Federal Trade Commission (FTC), l’autorità per la tutela dei consumatori, ha contestato a due aziende di aver raccolto e usato dati di localizzazione senza un consenso verificabile, «per usi commerciali e governativi» (traduzione nostra); il suo ordine definitivo del gennaio 2025 ne limita l’uso.

B. Concetti chiave

Sei idee: chi raccoglie, come, e che cosa chiede la legge.

Raccolta in blocco e sorveglianza mirata

La sorveglianza mirata riguarda una persona o un’utenza precisa, di solito con un motivo e un’autorizzazione preventivi. La raccolta in blocco acquisisce interi flussi di dati, come le comunicazioni che passano su un cavo, e li filtra dopo.

Perché ti riguarda: Nella raccolta in blocco non vieni scelto per qualcosa che hai fatto. Ciò che decide quanto i dati dicono di te è quanto facilmente si possono collegare alla tua identità.

Tre tipi di attori

Il primo è lo Stato: servizi di informazione e polizia, in base alle leggi nazionali. Il secondo sono le aziende di cui usi i servizi, che registrano l’attività per farli funzionare, migliorarli e finanziarli; questo modello di business viene a volte chiamato capitalismo della sorveglianza. Il terzo sono i data broker (intermediari di dati), aziende di cui di solito non hai mai sentito parlare, che comprano, combinano e rivendono dati personali.

Perché ti riguarda: I tre attori si sovrappongono: dati raccolti da un’azienda possono passare a un broker e poi a un ente pubblico, quindi «chi ha i miei dati?» raramente ha una sola risposta.

Metadati in blocco

Il contenuto è ciò che dici o scrivi. I metadati delle comunicazioni, che la normativa italiana chiama dati di traffico, sono ciò che sta intorno: chi ha contattato chi, quando, da dove, per quanto tempo. Nella sentenza Big Brother Watch del 2021, la Corte europea dei diritti dell’uomo ha osservato che questi dati possono essere analizzati e interrogati fino a dipingere un «quadro intimo» di una persona (traduzione nostra).

Perché ti riguarda: I metadati si raccolgono e si interrogano su larga scala più facilmente del contenuto, e uno schema di chiamate, luoghi e orari può dire più delle parole di un messaggio.

Data broker e dati comprati

I broker raccolgono dati da app, siti e altri fornitori: spesso la posizione dei telefoni, a volte semplici liste di contatti, come nel caso del Garante. Secondo la FTC, l’ordine vieta alle due aziende di vendere o usare dati di localizzazione sensibili, salvo casi limitati legati alla sicurezza nazionale o alle forze dell’ordine.

Perché ti riguarda: Un permesso dato a un’app del meteo può alimentare un mercato a cui non hai scelto di partecipare. È l’attore su cui incidi più direttamente, con i permessi che concedi.

Telecamere e riconoscimento facciale

Una telecamera registra un’immagine; il riconoscimento facciale è ciò che può collegare quell’immagine a un nome. Per l’anonimato la differenza conta: essere visti in mezzo alla folla non è come esservi identificati.

A novembre 2026, il regolamento europeo sull’intelligenza artificiale (AI Act) vieta i sistemi che creano o ampliano banche dati di riconoscimento facciale «mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso». Limita inoltre a casi ristretti l’identificazione biometrica remota «in tempo reale» negli spazi accessibili al pubblico a fini di contrasto dei reati. Questi divieti si applicano dal 02/02/2025.

Perché ti riguarda: Le regole su come un volto può essere abbinato a un’identità cambiano da Paese a Paese e sono ancora in evoluzione. La risorsa di questa sezione sulle proteste approfondisce il riconoscimento in tempo reale.

Necessità, proporzionalità e controllo

In Europa il diritto alla privacy poggia sull’articolo 8 della Convenzione europea dei diritti dell’uomo e sugli articoli 7 e 8 della Carta dei diritti fondamentali dell’UE. Nel 2020 la Corte di giustizia ha confermato che il diritto dell’Unione si oppone a leggi che obbligano gli operatori a conservare in modo generalizzato e indifferenziato i dati di traffico e di ubicazione di tutti. Fa eccezione una minaccia grave per la sicurezza nazionale, reale e attuale o prevedibile, per il tempo strettamente necessario e sotto il controllo di un giudice o di un organismo indipendente. Nel 2021 la Corte europea dei diritti dell’uomo ha stabilito che un sistema di intercettazione su larga scala deve avere garanzie «dall’inizio alla fine» (traduzione nostra), e ha ritenuto che quelle del Regno Unito di allora non bastassero.

Il tema riguarda anche l’Italia. Dopo una sentenza della Corte di giustizia del 02/03/2021, il Garante ha ricordato a Parlamento e Governo (segnalazione del 22/07/2021) che, per la Corte, l’accesso ai dati di traffico va limitato alla lotta contro le «forme gravi di criminalità» o le gravi minacce alla sicurezza pubblica, con un controllo preventivo di un giudice o di un’autorità indipendente. Allora i tabulati, gli elenchi di chiamate e connessioni, si acquisivano con un decreto del pubblico ministero, «non esigendo il vaglio del giudice». Con il decreto-legge 132/2021, convertito in legge a novembre 2021, l’acquisizione è stata subordinata alla «previa autorizzazione rilasciata dal giudice con decreto motivato».

Perché ti riguarda: Il diritto europeo non vieta ogni sorveglianza; chiede che ogni misura sia necessaria, proporzionata e controllata da un organismo indipendente. È un criterio utile per qualunque misura di cui senti parlare.

C. Un esempio concreto: la giornata di Luca a Lione

Luca ha 36 anni, vive a Milano e viaggia spesso per lavoro. Un martedì va in treno a Lione per una riunione ed è a casa per mezzanotte. Si chiede, un po’ curioso e un po’ scettico, quante organizzazioni potrebbero raccontare quella giornata.

Prenota il treno nell’app, con il suo nome sul biglietto. In Francia il telefono si collega a una rete mobile locale, mentre un’app del meteo installata mesi prima tiene attivo l’accesso alla sua posizione anche quando non la usa. Paga il pranzo con la carta, passa per due stazioni con telecamere e la sera manda agli amici una foto del Rodano.

Che cosa è cambiato quando Luca ha mappato gli attori

Ha fatto l’esercizio della sezione D sul treno del ritorno:

• Ha trovato più di una dozzina di possibili detentori di dati, in tre gruppi: aziende che ha scelto (treno, banca, messaggistica), aziende che non ha scelto (chi riceve i dati dall’app del meteo) ed enti pubblici che possono chiedere registrazioni in base alla legge.

• Ha notato che reti e stazioni conservano soprattutto metadati, per tempi fissati dalle regole nazionali entro i limiti posti dai giudici europei.
• L’app del meteo era il collegamento che poteva cambiare subito: ora usa la posizione solo mentre è aperta.

Ha tenuto l’app del treno e la carta, che fanno parte di un servizio che vuole. Nel suo modello di minaccia personale ha annotato una riga: lo preoccupano le scie di dati commerciali, non un’indagine, quindi i permessi delle app contano più di strumenti impegnativi.

D. Provaci tu: mappa chi potrebbe avere dati sulla tua giornata (15 minuti)

Quattro passi brevi, su carta o in una nota. Scrivi ruoli, non segreti: «la mia banca», non il numero del conto.

Passo 1 — Elenca i momenti (4 minuti)

• Scegli ieri, o un giorno feriale tipico.
• Elenca i momenti in cui un dispositivo, un servizio o una telecamera potrebbero aver registrato qualcosa: spostamenti, pagamenti, messaggi, ricerche, app in background.
• Da dieci a quindici momenti bastano.

Passo 2 — Indica i possibili detentori (5 minuti)

Accanto a ogni momento scrivi chi potrebbe averne una registrazione, con tre lettere:

• A per un’azienda che hai scelto: la tua banca, il tuo operatore mobile, l’app che hai aperto.
• T per un terzo che non hai scelto: una rete pubblicitaria, un data broker, un partner citato in un’informativa privacy.
• P per un ente pubblico che potrebbe chiedere o ricevere quella registrazione in base alla legge del tuo Paese.

Passo 3 — Distingui contenuto e metadati (4 minuti)

• Sottolinea i momenti in cui ciò che viene conservato sono metadati (ora, luogo, con chi) e non contenuto.
• Cerchia i momenti in cui due registrazioni si potrebbero collegare facilmente, per esempio con il numero di telefono, la carta o un ID pubblicità.
• Nota quale lettera, A, T o P, compare più spesso. È una fotografia, non un punteggio.

Passo 4 — Scegli un collegamento e una domanda (2 minuti)

• Scegli un collegamento T da allentare questa settimana, come il permesso di un’app che non ti serve più.
• Scrivi una domanda per il tuo modello di minaccia personale: quali di questi attori vorresti davvero tenere a distanza, e perché?

Un collegamento capito vale più di una preoccupazione generica per tutti.

Già trattato nel corso Privacy Online

Cosa può vedere il provider internet? Privacy della connessione
Spiega che cosa vede della tua connessione di casa il provider internet, quali dati di traffico tratta e che cosa cambia con il DNS cifrato; questa risorsa allarga lo sguardo a chi raccoglie dati su larga scala, con quali metodi e dentro quali limiti di legge.

E. Video, articoli e altre risorse

Prima il Garante, poi le istituzioni internazionali ed europee e un regolatore statunitense. ONU, Corte europea, Corte di giustizia e FTC sono in inglese.

Autorità italiane

Garante per la protezione dei dati personali — Segnalazione sulla disciplina della conservazione, a fini di giustizia, dei dati di traffico telefonico e telematico – 22 luglio 2021
Perché, dopo la Corte di giustizia, l’accesso ai tabulati va limitato ai reati gravi e controllato prima da un giudice.
https://garanteprivacy.it/garante/doc.jsp?ID=9685978

Garante per la protezione dei dati personali — Telemarketing: Garante privacy sanziona Iren per 3 mln di euro (newsletter del 22/06/2021)
Un caso italiano di liste di contatti acquisite da altre fonti, e perché il consenso non segue i dati da un’azienda all’altra.
https://www.garanteprivacy.it/garante/doc.jsp?ID=9670319

Garante per la protezione dei dati personali — Diritti degli interessati
Il diritto di accesso e gli altri diritti, con i tempi di risposta e i costi.
https://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati

Istituzioni internazionali ed europee

Ufficio dell’Alto commissario delle Nazioni Unite per i diritti umani — The right to privacy in the digital age (A/HRC/51/17, 2022)
Il rapporto ONU sulla sorveglianza e sull’acquisto di dati dai broker da parte dei governi (in inglese).
https://digitallibrary.un.org/record/3985679

Corte europea dei diritti dell’uomo e FRA — Joint Factsheet: Mass surveillance
Una sintesi, aggiornata periodicamente, delle principali sentenze europee su intercettazione su larga scala e conservazione dei dati (in inglese).
https://ks.echr.coe.int/documents/d/echr-ks/mass-surveillance

Corte di giustizia dell’Unione europea — Press release No 123/20: Judgments in Case C-623/17, Privacy International, and joined cases
Le sentenze del 2020 sulla conservazione generalizzata dei dati di traffico e di ubicazione, e sulle sue eccezioni (in inglese).
https://curia.europa.eu/jcms/jcms/p1_3252415

Commissione europea, AI Act Service Desk — Articolo 5: Pratiche di IA vietate
Il testo in italiano delle pratiche vietate, compresi lo scraping non mirato di immagini facciali e l’identificazione biometrica remota in tempo reale.
https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-5

Un regolatore fuori dall’UE

FTC (Stati Uniti) — FTC Finalizes Order Prohibiting Gravy Analytics, Venntel from Selling Sensitive Location Data
L’ordine definitivo del gennaio 2025 su due broker di dati di localizzazione, e che cosa vieta (in inglese).
https://www.ftc.gov/news-events/news/press-releases/2025/01/ftc-finalizes-order-prohibiting-gravy-analytics-venntel-selling-sensitive-location-data

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Consapevolezza, livello FL2 – Iniziato: capire chi raccoglie dati su larga scala prima di decidere quali collegamenti allentare.

Competenze

• Distinguere la raccolta in blocco dalla sorveglianza mirata.
• Dividere i possibili detentori dei tuoi dati in aziende che hai scelto, terzi ed enti pubblici.
• Riconoscere i metadati della tua giornata e gli identificatori che li collegano a te.

Consapevolezza

• Capire che dati raccolti per uno scopo possono arrivare ad attori che non hai mai scelto.
• Sapere che il diritto europeo chiede che le misure di sorveglianza siano necessarie, proporzionate e controllate da un giudice o da un organismo indipendente.
• Vedere la sorveglianza come contesto per le tue scelte, non come motivo di paura.

Comportamento Sicuro

• Concedere la posizione e gli altri permessi solo alle app che ne hanno bisogno.
• Trasformare questo contesto in decisioni nel tuo modello di minaccia personale.
• Rivedere ogni tanto la tua mappa, man mano che app, abitudini e regole cambiano.

G. Domande su cui fermarti

• Quale attore della tua mappa vorresti conoscere meglio, e che cosa gli chiederesti?
• Dove scambi dati con un servizio a cui tieni, e dove non sei più sicuro che lo scambio sia equo?
• Se domani si potesse tagliare un solo collegamento tra i tuoi dati e il tuo nome, quale farebbe più differenza per te?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Che cosa immetti nei flussi di dati commerciali

• R13 — Controlla le autorizzazioni delle app: chi può fare cosa: il permesso di posizione di un’app è una delle vie con cui i dati arrivano a broker che non hai mai scelto.
• R12 — Disattiva Bluetooth e localizzazione quando non servono, così il telefono produce meno registrazioni della tua posizione fin dall’inizio.

Impegno minimo: oggi, limita al solo uso dell’app, oppure nega, l’accesso alla posizione per un’app che non ha un motivo chiaro per conoscerla.

2. Conoscere le regole che ti riguardano

• Il GDPR, il regolamento europeo sulla protezione dei dati, ti dà il diritto di accesso: puoi chiedere a un’azienda della tua mappa una copia dei dati che tratta su di te e per quanto tempo li conserva. Secondo il Garante l’azienda deve risponderti entro un mese (di più nei casi complessi) e, in linea di principio, gratuitamente.
• Quando senti parlare di una nuova misura di sorveglianza, fatti le tre domande europee: è necessaria, è proporzionata, e chi la controlla? Le regole variano da Paese a Paese e cambiano nel tempo.

Impegno minimo: questo mese, leggi l’informativa privacy di un’azienda segnata con T o A sulla tua mappa e trova la parte che dice con chi condivide i dati.

In breve

• La sorveglianza di massa prima raccoglie dati su molte persone, poi seleziona; quanto rivela dipende da quanto facilmente i dati si ricollegano a te.
• Gli attori principali sono gli Stati, le aziende di cui usi i servizi e i data broker, e i dati passano dall’uno all’altro.
• In Europa i giudici chiedono limiti stretti alla conservazione generalizzata dei dati e garanzie per tutta l’intercettazione su larga scala.
• Capire gli attori è il contesto del tuo modello di minaccia personale; i permessi che concedi sono il collegamento che controlli più direttamente.

Risorse correlate in questo corso

• Sorveglianza delle manifestazioni: i tuoi diritti e il telefono
• Censura su internet: come funzionano i blocchi dei siti
• Verifica dell’età e anonimato: chi sa chi sei e dove vai
• Di quanto anonimato hai bisogno? Il tuo piano su un foglio

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.