Si cerca un paio di scarpe una sera, e per le due settimane successive quelle scarpe ci inseguono ovunque: sui social, nei siti di notizie, persino nelle app meteo. Qualcuno lo trova comodo, qualcuno inquietante. Quasi nessuno si chiede come sia possibile, e cosa ci sia dietro: la profilazione degli utenti.
Il principio è semplice: si tratta di raccogliere informazioni sul comportamento di una persona online, metterle insieme e ricavarne un profilo: interessi, abitudini, capacità di spesa, a volte perfino stato di salute o orientamenti personali.
Di per sé non è un reato. La profilazione degli utenti è alla base della pubblicità digitale e, entro certi limiti, è perfettamente lecita. Il problema, come spesso accade, sta nei modi e nel consenso.
Profilazione degli utenti: gli strumenti alla luce del sole
Lo strumento più noto è il cookie: un piccolo file che il sito salva nel browser per riconoscere il visitatore. Quelli tecnici servono a far funzionare il sito, ad esempio a ricordare il carrello di un e-commerce. Quelli di profilazione, spesso di terze parti, seguono l’utente da un sito all’altro per costruirne il profilo pubblicitario.
Ecco perché esiste il famoso banner: in Europa i cookie di profilazione si possono usare solo dopo un consenso libero e informato. Rifiutare deve essere facile quanto accettare.
Accanto ai cookie ci sono i pixel: frammenti di codice invisibili, come quello di Meta o di Google, che segnalano alla piattaforma ogni visita, ogni prodotto aggiunto al carrello, ogni acquisto. Lo stesso principio si usa nelle newsletter, dove un’immagine di un pixel rivela se e quando la mail è stata aperta.
C’è poi la profilazione più semplice di tutte: quella che avviene quando si accede con un account. Chi naviga loggato su Google, Facebook o Amazon non ha bisogno di essere “riconosciuto”: si presenta da solo, e porta con sé tutta la cronologia.
Per anni si è detto che i cookie di terze parti sarebbero spariti. Google aveva annunciato di volerli eliminare da Chrome, salvo poi cambiare idea ad aprile 2025: restano, e la scelta è lasciata alle impostazioni del browser.
La zona grigia della profilazione degli utenti
Tra il lecito e l’illecito esiste una zona grigia piuttosto ampia.
La prima è il fingerprinting, letteralmente “impronta digitale”. Invece di salvare un file nel browser, si raccolgono le sue caratteristiche: modello di dispositivo, sistema operativo, risoluzione dello schermo, caratteri installati, lingua, fuso orario. Prese una per una non dicono nulla; messe insieme compongono un’impronta spesso unica.
Il fingerprinting non lascia tracce, non si cancella svuotando la cache e non mostra banner. Da febbraio 2025 Google lo consente agli inserzionisti che usano la sua piattaforma, e l’autorità britannica per la privacy ha definito la scelta “irresponsabile”. In Europa resta soggetto alle stesse regole di consenso dei cookie, ma verificarlo è molto più difficile.
La seconda zona grigia sono i cosiddetti dark pattern: banner con il tasto “Accetta” grande e colorato e il “Rifiuta” nascosto in un sottomenu, opzioni preselezionate, percorsi pensati per sfinire l’utente fino al clic desiderato. Il consenso, tecnicamente, c’è. Libero, un po’ meno.
Anche i grandi non ne sono immuni. Ad aprile 2025 la Commissione europea ha sanzionato Meta per 200 milioni di euro: il modello “paga o acconsenti” di Facebook e Instagram non offriva un’alternativa gratuita davvero meno invasiva.
Oltre il confine
Poi c’è la profilazione degli utenti che lecita non è.
Esiste un mercato poco visibile ma enorme, quello dei data broker: aziende che comprano dati da app e siti, li incrociano e li rivendono. La posizione GPS ceduta da un’app di giochi o di meteo, unita ad altri dati, permette di ricostruire dove una persona vive, lavora, si cura o prega.
A gennaio 2025 il furto di dati subito dal broker Gravy Analytics ha mostrato quanto sia esteso questo mercato: posizioni di milioni di utenti raccolte attraverso migliaia di app di uso comune, all’insaputa di chi le aveva installate.
E la profilazione illecita non riguarda solo i colossi. A marzo 2026 il Garante privacy ha sanzionato Intesa Sanpaolo per oltre 17 milioni di euro: circa 2,4 milioni di clienti erano stati selezionati in base a età, abitudini digitali e giacenze, senza una base giuridica valida né un’informativa trasparente.
Microfoni, webcam e posizione: cosa si sa davvero
C’è poi la domanda che prima o poi tutti si fanno, di solito dopo aver visto la pubblicità di qualcosa di cui si era appena parlato a cena: il telefono ci ascolta?
La risposta, allo stato attuale delle conoscenze, è più sfumata di quanto si creda. Nel 2018 un gruppo di ricercatori della Northeastern University ha analizzato circa 17.000 app Android: nessuna prova di registrazioni audio nascoste. In compenso alcune app catturavano schermate e video di ciò che l’utente faceva sullo schermo, inviandoli a terzi senza dichiararlo.
Nel 2024 è emersa una presentazione commerciale di Cox Media Group, società di marketing americana, che vantava la capacità di indirizzare la pubblicità ascoltando le conversazioni attraverso i microfoni dei dispositivi. Le grandi piattaforme citate hanno preso le distanze e non è mai stato dimostrato che il sistema funzionasse. Resta il fatto che qualcuno abbia ritenuto di poterlo vendere.
La verità, meno romanzesca, è che spesso non serve ascoltare: la posizione, le ricerche, i contatti e le abitudini dicono già abbastanza. Se due persone passano la serata insieme e una delle due cerca un prodotto, l’altra potrebbe vederne la pubblicità semplicemente perché i loro telefoni erano nello stesso posto.
A volte, però, il confine viene superato davvero, e da chi meno ce lo si aspetterebbe. A giugno 2025 un gruppo di ricercatori ha scoperto che il Meta Pixel, presente su milioni di siti, comunicava di nascosto con le app di Facebook e Instagram installate sui telefoni Android. In questo modo la navigazione sul web veniva collegata all’identità dell’utente, anche in modalità anonima e scavalcando i permessi del sistema. Dopo la pubblicazione, Meta ha interrotto il meccanismo.
Poi ci sono gli attacchi mirati, che non hanno nulla a che vedere con la pubblicità. Gli spyware professionali possono accedere a messaggi, microfono, fotocamera e posizione di un telefono senza che la vittima faccia nulla. A inizio 2025 WhatsApp ha comunicato che circa novanta tra giornalisti e attivisti, anche in Italia, erano stati presi di mira attraverso un file che si installava da solo. Sono strumenti costosi, riservati a governi e apparati, e non riguardano l’utente comune. Ma dimostrano che, tecnicamente, si può.
Per la webcam vale un discorso simile. Esistono malware in grado di attivarla da remoto, di solito installati aprendo un allegato o un programma scaricato da fonti poco affidabili. Molto più diffuse, però, sono le mail di ricatto che sostengono di aver registrato la vittima attraverso la webcam: nella quasi totalità dei casi è un bluff, costruito magari con una vecchia password trapelata online per sembrare credibile.
Qualche difesa, per fortuna, esiste. Da alcuni anni iPhone e Android mostrano un indicatore colorato quando microfono o fotocamera sono in uso, e permettono di controllare quali app accedono alla posizione. Rivedere ogni tanto quei permessi, aggiornare il sistema e diffidare delle app gratuite che chiedono più di quanto servano resta la regola più efficace. E il pezzo di nastro adesivo sulla webcam, per quanto poco elegante, non è una paranoia.
E chi ha un sito?
A questo punto la domanda è legittima: cosa c’entra tutto questo con il sito di un’azienda, di un professionista o di un piccolo negozio online?
C’entra eccome, perché anche un piccolo sito può alimentare la profilazione degli utenti. Ogni pixel installato per “fare pubblicità su Facebook”, ogni plugin di statistiche, ogni video di YouTube incorporato in una pagina può raccogliere dati sui visitatori. E la responsabilità, davanti alla legge, è di chi gestisce il sito, non di chi ha scritto il codice.
Non si tratta di rinunciare al marketing digitale, ma di farlo con criterio: sapere cosa è installato sul proprio sito, a chi vengono inviati i dati, quale consenso viene richiesto e se quel consenso viene davvero rispettato. Un banner che compare ma non blocca nulla è peggio di nessun banner: è la prova di sapere e di non aver fatto.
In sintesi la profilazione degli utenti è uno strumento, e come tutti gli strumenti può essere usata con competenza o senza scrupoli. La differenza la fanno la trasparenza e il rispetto delle scelte dell’utente.
Del resto, a Carnevale, “ti conosco mascherina” è un gioco. Online, molto meno.