Avast, l’antivirus raccoglieva e rivendeva i dati degli utenti senza informarli a sufficienza

Durante un'indagine condotta dai colleghi di Vice e PCMag, è stato scoperto che, tramite la propria sussidiaria Jumpshot, Avast vendeva a terzi i dati sensibili raccolti sulla navigazione degli utenti, senza prima informarli a sufficienza.

Ormai dovremmo saperlo, se il servizio è gratuito, il prodotto sei tu, come cita il vecchio adagio. Il Web si è sviluppato sulla base della gratuità, ma offrire servizi avanzati e gestirli per milioni di utenti ha dei costi, anche piuttosto elevati, che devono essere coperti. Nulla di male dunque nell’utilizzare come merce le informazioni raccolte sugli utenti. A patto che questi ne siano consapevoli e possano decidere cosa condividere. Purtroppo però come sappiamo altrettanto bene questo accade assai di rado. Ad esempio ultimamente un’indagine condotta dai colleghi di Vice e PCMag, ha appurato che il celebre antivirus Avast, tramite Jumpshot, una sussidiaria della stessa azienda, vendeva a terzi i dati sensibili raccolti sulla navigazione degli utenti.

I dati personali e sensibili riguardavano tutte le attività svolte online dagli utenti: cronologia dei siti visitati (tutti, anche quelli porno), acquisti effettuati online, coordinate GPS delle località cercate su Maps, visite alle pagine delle aziende su LinkedIn e molto altro ancora. Secondo i giornalisti, l’antivirus si occupava della raccolta vera e propria, mentre Jumpshot confezionava il tutto in specifici pacchetti dati, che venivano poi offerti ad altre aziende a fini di profilazione, marketing e pubblicità. Secondo il report, tra le aziende interessate all’acquisto dei dati figuravano alcuni colossi come Google, IBM e Microsoft, siti come Yelp, TripAdvisor ed Expedia, brand come Pepsi, Sephora e L’Oreal o ancora editori come Condé Nast, anche se molti, interrogati in merito, si sono rifiutati di rispondere.

Avast ci ha tenuto a chiarire che i dati erano rigorosamente anonimizzati, sottolineando anche come la propria attività sia pienamente conforme a quanto previsto sia dal CCPA statunitense che dal GDPR europeo. Tuttavia è bene ricordare anche che, durante il processo, a ciascun utente è assegnato un codice univoco di identificazione che non cambia mai, a meno che l’utente non proceda alla disinstallazione dell’antivirus. Secondo alcuni esperti di sicurezza dunque sarebbe ancora possibile identificare i singoli utenti.

La cosa in realtà era, almeno parzialmente, già stata comunicata sin dal 2015, quando l’azienda spiegò il tutto in un post (forse non esattamente la scelta comunicativa migliore), Inoltre, a partire da luglio 2019, durante l’installazione dell’antivirus, all’utente viene mostrato un avviso relativo alla raccolta dei dati forniti a Jumpshot, dando così la possibilità all’utente di negare il consenso. Questa possibilità sarà estesa entro febbraio anche ai vecchi utenti che hanno l’antivirus già installato.

Il problema però sta nella scarsa trasparenza sulla tipologia di dati raccolti o sul fatto che gli stessi saranno conservati per tre anni. Questi dati infatti non sono esplicitati nell’avviso ma solo all’interno del documento sulla privacy linkato nel testo. Molti utenti distratti dunque potrebbero erroneamente presupporre che i propri dati siano perfettamente al sicuro o non immaginare quanto specifici essi possano essere, dando così il proprio consenso, poco informato.