Clubhouse, il social network ‘vocale’ del momento, passato in pochi giorni da 2 milioni a oltre 5 milioni di utenti complessivi, non da segni di voler arrestare la sua crescita. Paradossalmente, il fatto di essere disponibile solo su invito (e su iPhone, per Android ci stanno lavorando), massimo due inviti a iscritto, ha fatto sorgere un ‘mercato’ di inviti a pagamento. Ma non è per questo che il Garante per la Privacy italiano ha richiamato la Alpha Exploration Company di Oakland, la casa madre di Clubhouse: il problema è rappresentato dalle carenze in ambito privacy, e la società ha 15 giorni per ottemperare a quanto prescrivono le norme europee del GDPR.
L’elenco della infrazioni è piuttosto nutrito, visto che l’azienda californiana ottempera a quanto prescritto dal CCPA, il Californian Consumer Privacy Act, che si ispira sì al GDPR, ma riguarda solo gli abitanti dello Stato. E non prende in considerazione l’utilizzo di lingue diverse dall’inglese, per esempio. Questa è solo una delle possibile contestazioni elevate ad Alpha, e neppure la più complessa a cui porre rimedio.
Anche l’informativa di Clubhouse si trova su un sito – notion.so – che nulla ha a che fare con quello ufficiale dell’app, ovvero joinclubhouse.com, risultando così difficile da associare e più complesso da consultare. Vi è poi la verifica dell’età minima – per associarsi bisogna avere più di 18 anni – e bastano le polemiche su TikTok per ricordare quanto questa condizione può essere dirimente e difficile da accertare. Anche il fatto che per utilizzare l’app sia necessario accettare la privacy e i termini del servizio con un unico clic, rappresenta una palese violazione dell’art. 32 del GDPR, che sancisce la necessità che l’interessato esprima un consenso specifico, cioè mirato per ogni singola finalità del trattamento.
Ma dall’assenza di menzioni al GDPR deriva sempre un’eccessiva genericità del documento: ad esempio, l’app afferma di cancellare tutte le conversazioni alla chiusura della relativa room, ma non fa cenno all’attività di profilazione. Immagazzinando dati personali, attività e svariati metadati si limita a spiegare di conservarli il tempo ragionevolmente necessario per gli scopi descritti nell’informativa. Che non avendo valore legale in Europa, non significa nulla. Non bastasse, la società non vende i dati personali degli utenti, ma può ‘condividerli’ con i suoi affiliati: un’operazione che richiederebbe l’ottenimento di un’autorizzazione specifica. Manca anche la possibilità di ritirare i consensi e di ricevere un pacchetto riepilogativo dei propri dati in possesso della piattaforma.
A questo proposito va segnalato che un ricercatore inglese sui diritti digitali, Alex Blanford, ha pubblicato su Twitter gli screenshot di numeri di centri sanitari tramutati da Clubhouse in potenziali contatti da seguire sulla piattaforma. Usando i contatti in rubrica, il social network ha ricostruito anche gli ‘amici in comune’, creando così reti di persone che, per vari motivi, hanno i recapiti degli ambulatori tra i numeri salvati. Un tema molto caldo perché concerne la riservatezza dei dati sanitari. Il problema qui è rappresentato dalle conseguenze di quella ragnatela di rapporti pubblici, come il nome di chi ha garantito per il nuovo iscritto. Non è possibile nasconderlo, mostrando quindi in modo perenne i collegamenti tra soggetti.
Nessuna traccia nemmeno del Data Protection Officer, il professionista chiamato, tra le altre cose, a intervenire in caso di violazioni e ad aiutare il responsabile del trattamento a implementare le procedure di sicurezza.
Stupisce davvero questo approccio da parte di un’app scaricabile anche in Europa, ma per ora si potrebbe obiettare che Clubhouse è di fatto ancora in fase beta, e l’app potrebbe essere ‘esplosa’ prima che i sui creatori se lo attendessero. Ma nei confronti del Garante questa obiezione non sarebbe accettata: soprattutto non avrebbe vita lunga. Meglio mettersi al lavoro in fretta.
