Meta affronta indagini sulla privacy dall'UE, dall'India e dai lavoratori

Scrutinio dell’UE sul monitoraggio dei dipendenti

L’intero sistema di rilevamento del mouse di Meta è sotto indagine per possibile violazione delle regole di protezione dei dati dell’UE, mentre le corti in India e un accordo nel Kentucky aggiungono nuova pressione sulle pratiche di privacy dell’azienda.

Reuters ha riferito che lo strumento di Meta registra i movimenti del cursore dei dipendenti e potrebbe catturare dati originanti al di fuori degli Stati Uniti. Il sistema, progettato per il monitoraggio della produttività, potrebbe trasmettere tali informazioni a server in giurisdizioni che non hanno le stesse garanzie dell’UE, sollevando un possibile conflitto con il Regolamento Generale sulla Protezione dei Dati (GDPR). La Commissione Europea non ha ancora aperto un caso formale, ma l’accusa da sola segnala un rischio regolamentare che Meta non ha affrontato pubblicamente.

UE scrutinio del monitoraggio dei dipendenti

La denuncia dell’UE si concentra sul fatto che il software di rilevamento del mouse di Meta rispetti il requisito del GDPR per il trattamento legittimo e trasparente dei dati personali. Ai sensi dell’articolo 6, un titolare dei dati deve avere una base legittima per qualsiasi monitoraggio che possa identificare un individuo. I critici sostengono che Meta non ha fornito ai dipendenti una chiara possibilità di opt-out o una valutazione d’impatto, entrambi richiesti dal regolamento.

I documenti di politica interna di Meta, ottenuti da Reuters, descrivono lo strumento come una “utility per il miglioramento delle prestazioni”. La lingua non menziona flussi di dati transfrontalieri, né fa riferimento al principio di “minimizzazione dei dati” del GDPR. Se il sistema registra effettivamente le sequenze di tasti o le coordinate dello schermo che possono essere collegate a un utente specifico, la pratica potrebbe essere classificata come “profilazione” ai sensi dell’articolo 4(4) del GDPR, che comporta ulteriori obblighi di conformità.

La Corte Suprema indiana rimprovera Meta e WhatsApp

In un fronte separato, la Corte Suprema dell’India ha emesso una dichiarazione severa martedì, criticando Meta Platforms e WhatsApp LLC per la loro politica di privacy. La Corte ha dichiarato che non avrebbe permesso alle società di “sfruttare i dati personali degli indiani”. Le osservazioni sono arrivate durante le udienze sui ricorsi presentati da Meta e WhatsApp contro una sentenza del National Company Law Appellate Tribunal (NCLAT) che ha confermato le restrizioni precedenti sulle pratiche di gestione dei dati delle società.

L’osservazione della Corte non costituisce un ordine vincolante, ma segnala che qualsiasi futura azione regolamentare potrebbe essere sostenuta dalla più alta autorità giudiziaria del paese. La legge indiana sulla privacy, ancorata nelle Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules, richiede il consenso esplicito per il trattamento dei dati personali sensibili. La lingua della Corte Suprema suggerisce che i meccanismi di consenso attualmente utilizzati da Meta e WhatsApp potrebbero non essere conformi a tale standard.

Accordo sulla dipendenza da social media nel Kentucky

L’esposizione legale di Meta non è limitata ai regolatori stranieri. Un distretto scolastico del Kentucky che ha citato in giudizio l’azienda per aver presumibilmente favorito la dipendenza da social media ha ottenuto un accordo di 27 milioni di dollari, secondo quanto riportato da Engadget. La richiesta del distretto si basava sull’idea che le piattaforme di Meta fossero progettate per mantenere i minori impegnati per periodi prolungati, danneggiando così le prestazioni accademiche.

L’accordo non include un’ammissione di colpa, ma richiede a Meta di finanziare una serie di programmi di alfabetizzazione digitale nel distretto. Mentre l’importo è modesto rispetto ai ricavi globali di Meta, il caso evidenzia una tendenza crescente delle giurisdizioni locali che utilizzano la litigazione civile per far rispettare le aspettative relative alla privacy.

Occhiali per la realtà aumentata e lavoratori di dati nascosti

Gli occhiali per la realtà aumentata con intelligenza artificiale di Meta hanno attirato l’attenzione per il modo in cui raccolgono e trattano i dati visivi. Le indagini di Svenska Dagbladet e Göteborgs-Posten hanno rivelato che un subappaltatore a Nairobi, in Kenya, impiega migliaia di annotatori che etichettano i flussi video catturati dagli occhiali. I lavoratori hanno segnalato di aver visto filmati di persone in ambienti privati – inclusi bagni e camere da letto – senza la conoscenza dei soggetti.

Le segnalazioni citano un dipendente di Nairobi: “In alcuni video si può vedere qualcuno che va in bagno o si spoglia. Non penso che lo sappiano, perché se lo sapessero non starebbero registrando.” I lavoratori, impiegati da una società chiamata Sama, sono incaricati di disegnare riquadri intorno agli oggetti e ai volti per migliorare i modelli di visione artificiale degli occhiali. La catena di custodia di tali dati – dagli occhi dell’utente alle pipeline di formazione di Meta – solleva interrogativi sul consenso sia ai sensi delle normative UE che indiane sulla privacy.

Abuso di tracciamento Android che collega Meta e Yandex

Un sforzo di ricerca congiunta guidato da IMDEA Networks e Radboud University ha scoperto un vettore di abuso della privacy separato che interessa i dispositivi Android in tutto il mondo. Lo studio ha scoperto che le app native di Meta come Facebook e Instagram, così come le applicazioni Yandex, aprono server locali sul dispositivo e ascoltano su porte fisse. Attraverso questi canali, le app ricevono dati di tracciamento web dagli script Pixel di Meta e Yandex Metrica incorporati su milioni di siti web.

I ricercatori hanno documentato che il Pixel di Meta utilizza questa tecnica dal settembre 2024, mentre l’approccio di Yandex risale al 2017. Si stima che il Pixel sia presente su 5,8 milioni di siti; Yandex Metrica su 3 milioni. Collegando la porta locale all’app registrata, i tracker possono collegare un identificatore persistente – come l’ID pubblicitario Android – alla cronologia di navigazione dell’utente, aggirando efficacemente il modello di autorizzazione di Android e persino la modalità Incognito.

I fornitori di browser sono stati notificati e Chrome prevede di distribuire una mitigazione a breve. Fino a quando la mitigazione non sarà attiva, l’abuso rimane tecnicamente fattibile su qualsiasi dispositivo Android che esegue le app implicate.

Conseguenze finanziarie delle modifiche alla piattaforma incentrate sulla privacy

Le sfide di privacy di Meta si sono tradotte in un impatto misurabile sui guadagni. Il CFO dell’azienda, David Wehner, ha detto agli analisti che Meta si aspetta di perdere più di 10 miliardi di dollari in entrate pubblicitarie, circa l’8% del suo reddito annuale, come conseguenza diretta del framework App Tracking Transparency (ATT) di Apple. La perdita ha contribuito a un calo del 26% del prezzo delle azioni di Meta dopo l’ultima pubblicazione dei guadagni.

Mentre la modifica ATT colpisce principalmente gli utenti iOS, l’ambiente regolamentare più ampio – comprese le indagini UE, le osservazioni della Corte Suprema indiana e l’accordo del Kentucky – compensa la pressione sui ricavi. Gli inserzionisti stanno sempre più richiedendo la prova di conformità e la capacità di Meta di fornire segmenti di pubblico granulari potrebbe essere ridotta se vengono imposte ulteriori restrizioni.

Cosa guardare

Il prossimo trimestre rivelerà se l’autorità di protezione dei dati europea apre un’indagine formale sul GDPR per il software di rilevamento dei dipendenti di Meta. In India, la prossima ordinanza della Corte Suprema sui ricorsi potrebbe stabilire un precedente per gli standard di consenso in tutti i servizi digitali del paese. Infine, la distribuzione della mitigazione di Chrome per il tracciamento della porta locale sarà un test decisivo per vedere se Meta può limitare l’abuso di Android prima che si verifichino ulteriori cause legali. Gli stakeholder dovrebbero monitorare questi documenti regolamentari, poiché plasmeranno la roadmap di privacy di Meta e la sua capacità di monetizzare i dati degli utenti.