La maggior parte degli smartwatch, dei fasci fitness e degli anelli smart più popolari manca ancora di protezioni di privacy di base nonostante la raccolta di alcune delle informazioni personali più sensibili sugli utenti, secondo un new analysis by the Electronic Frontier Foundation (EFF) . L’organizzazione per i diritti digitali ha rilevato che solo pochi produttori di dispositivi indossabili sono trasparenti riguardo alle richieste governative di dati degli utenti, mentre la crittografia end-to-end rimane quasi inesistente nel settore.
L’EFF ha esaminato le pratiche di privacy di dieci grandi marchi di dispositivi indossabili: Apple, Google (incluso Fitbit), Amazfit, Coros, Garmin, Hume, Oura, Polar, Suunto e Whoop. I ricercatori hanno esaminato le politiche pubbliche disponibili e hanno contattato direttamente ogni azienda per verificare i loro risultati. La revisione si è concentrata su due aree: se le aziende pubblicano rapporti di trasparenza che dettagliano le richieste governative di dati degli utenti e se proteggono le informazioni sanitarie con crittografia end-to-end.
Secondo il rapporto, solo Apple e Google pubblicano attualmente rapporti di trasparenza che mostrano con quale frequenza ricevono richieste di dati degli utenti dalle forze dell’ordine o da agenzie governative. Apple, Google e Whoop dichiarano pubblicamente anche di notificare agli utenti tali richieste ogni volta che la legge lo consente. Oura ha recentemente aggiornato la sua politica sulla privacy, affermando di valutare la pubblicazione di rapporti sulla trasparenza, mentre Suunto ha dichiarato all’EFF di considerare misure simili. I restanti produttori o non pubblicano rapporti di trasparenza o non hanno alcuna politica pubblica che spieghi come gestiscono le richieste di dati governative.
L’EFF sostiene che questa mancanza di trasparenza sia particolarmente preoccupante perché i dispositivi indossabili raccolgono informazioni dettagliate sui loro proprietari, tra cui frequenza cardiaca, schemi di sonno, livelli di attività e cronologia della posizione. Quei dati sono già stati utilizzati nelle indagini penali, e le forze dell’ordine possono ottenere l’accesso tramite citazioni in giudizio o mandati di perquisizione. L’organizzazione ha inoltre indicato il fornitore di tecnologia di sorveglianza Penlink, che descrive i fitness tracker come una “fonte trascurata” di informazioni investigative perché rivelano schemi di movimento e cambiamenti fisiologici.
I ricercatori hanno anche scoperto che la crittografia end-to-end è in gran parte assente nel mercato dei dispositivi indossabili. L’Apple Watch è l’unico wearable per la salute per consumatori ampiamente disponibile che fornisce crittografia end-to-end per i dati sanitari memorizzati nell’app Health di Apple. Tuttavia, tale protezione non si applica più quando gli utenti scelgono di condividere informazioni con applicazioni o servizi di terze parti. Nessuna delle altre aziende esaminate offre una crittografia end-to-end comparabile per i dati sanitari archiviati nel cloud, il che significa che gli stessi fornitori possono accedere alle informazioni e divulgarle in risposta a richieste legali del governo.
L’EFF ha anche criticato la dipendenza del settore dallo storage cloud. Sebbene alcuni dispositivi Garmin e Polar possano funzionare senza sincronizzarsi costantemente con il cloud, l’organizzazione ha affermato che molti dispositivi indossabili necessitano ancora di memoria online per una piena funzionalità. Apple è stato l’unico produttore identificato come avendo offerto agli utenti l’opzione di conservare i dati sanitari esclusivamente sul telefono disabilitando la sincronizzazione iCloud nell’app Salute.
Invece di chiedere alle persone di smettere di usare dispositivi indossabili, l’EFF esorta i produttori a migliorare le loro pratiche sulla privacy. L’organizzazione afferma che le aziende dovrebbero pubblicare rapporti sulla trasparenza, notificare agli utenti ogni volta che legalmente possibile se i loro dati vengono richiesti dalle autorità e offrire crittografia end-to-end o opzioni di archiviazione robuste solo localmente, così che gli utenti possano decidere quante informazioni vogliono conservare nel cloud.