Il telecomando è sul divano, lo schermo è nero, la stanza è silenziosa. Eppure, secondo una ricerca indipendente recente, il televisore potrebbe non esserlo affatto.
Negli ultimi anni la casa è diventata, senza che la maggior parte delle famiglie se ne accorgesse pienamente, un ambiente costellato di dispositivi connessi a Internet. Termostati, assistenti vocali, telecamere di videosorveglianza, elettrodomestici e, naturalmente, televisori. Dietro l’etichetta rassicurante di “smart TV” si nasconde in realtà un computer a tutti gli effetti, dotato di sistema operativo, connessione di rete, app store, microfono e, sempre più spesso, di sistemi pubblicitari sofisticati capaci di riconoscere automaticamente i contenuti visualizzati.
Recenti indagini indipendenti, condotte da team di ricerca specializzati in sicurezza informatica, hanno documentato comportamenti che meritano un’attenta riflessione giuridica. Alcuni modelli di televisore sarebbero in grado non solo di mappare gli altri dispositivi presenti sulla rete domestica (smartphone, computer, stampanti, dispositivi di domotica) e di raccogliere informazioni sulle reti Wi-Fi limitrofe, ma – in scenari di compromissione del dispositivo – anche di catturare l’audio ambientale attraverso il microfono integrato, persino quando l’apparecchio appare spento, memorizzando i dati acquisiti per poi trasmetterli non appena la connessione a Internet viene ripristinata.
Il fenomeno merita di essere inquadrato su due piani distinti, che nella prassi tendono a sovrapporsi ossia quello della raccolta “prevista” dal produttore per finalità di profilazione pubblicitaria (la cosiddetta tecnologia di riconoscimento automatico dei contenuti, o ACR) e quello, ben più insidioso, della vulnerabilità di sicurezza che consente a un soggetto terzo di prendere il controllo del dispositivo per finalità di sorveglianza non autorizzata.
Il profilo del trattamento “lecito” ma non per questo innocuo
Sotto il primo profilo, l’ACR configura un trattamento di dati personali (le abitudini di visione, spesso incrociabili con identificativi pubblicitari e con altri dati raccolti dal dispositivo) che deve confrontarsi con l’intero apparato di garanzie del Regolamento (UE) 2016/679. Il principio di privacy by design e by default, sancito dall’articolo 25 del GDPR, imporrebbe al fabbricante di configurare il dispositivo in modo che le funzioni di tracciamento siano disattivate per impostazione predefinita, lasciando all’utente una scelta libera, informata e specifica. Nella prassi, invece, molti produttori attivano l’ACR di default, relegando l’opt-out in menu di impostazione poco visibili, questa una circostanza che, alla luce delle Linee guida del Garante sui cookie e sulle tecnologie assimilate, richiamabili in via analogica per gli identificativi generati da dispositivi smart, difficilmente supera il vaglio della liceità basata su un consenso libero e informato.
Il profilo della sicurezza: quando il trattamento diventa un incidente
Il secondo profilo è più grave, perché non riguarda più le condizioni di liceità di un trattamento voluto dal titolare, ma la sua stessa esistenza come conseguenza di una falla di sicurezza. Un televisore compromesso da remoto attraverso vulnerabilità firmware o di rete non è più soltanto un problema di privacy individuale, diventa un punto d’appoggio per un attacco alla rete domestica o aziendale, un vettore di accesso a dati audio non autorizzati, un possibile trampolino per raggiungere altri dispositivi connessi. In questi casi si sovrappongono profili di responsabilità che vanno dalla violazione degli obblighi di sicurezza del trattamento ex articolo 32 GDPR, qualora il fabbricante sia anche titolare o responsabile del trattamento dei dati raccolti, alla disciplina emergente del Cyber Resilience Act (Regolamento UE 2024/2847), che impone requisiti essenziali di cybersicurezza ai prodotti con elementi digitali immessi sul mercato europeo, incluso l’obbligo di gestione delle vulnerabilità per l’intero ciclo di vita del prodotto.
Va inoltre ricordato che la disciplina della responsabilità da prodotto difettoso è stata recentemente aggiornata a livello europeo per includere espressamente il software e le componenti digitali tra gli elementi che possono rendere un prodotto “difettoso” ai fini del risarcimento del danno, aprendo scenari di responsabilità civile del fabbricante anche per vulnerabilità di sicurezza non tempestivamente corrette.
Il ruolo della NIS2 e la questione della filiera
Sebbene la direttiva NIS2 sia primariamente rivolta a soggetti operanti in settori essenziali e importanti, il principio di gestione del rischio di cibersicurezza lungo la catena di fornitura che essa impone si riflette anche sulle scelte di approvvigionamento delle organizzazioni. Un’azienda che introduce dispositivi IoT di consumo nella propria rete aziendale, si pensi a una smart TV in una sala riunioni, senza una preventiva valutazione dei rischi associati, compie una scelta che può risultare incompatibile con gli obblighi di gestione del rischio previsti dalla normativa, qualora l’azienda rientri nel perimetro soggettivo della direttiva.
Il contributo della consulenza tecnico-forense
In un eventuale contenzioso, sia esso un reclamo al Garante, un’azione risarcitoria o persino una denuncia per accesso abusivo a sistema informatico ex articolo 615-ter del codice penale, la dimostrazione della compromissione effettiva del dispositivo richiede competenze di informatica forense costituite dalla analisi del traffico di rete, acquisizione e studio del firmware, ricostruzione dei log di sistema secondo protocolli che ne garantiscano l’integrità e l’utilizzabilità probatoria. È un ambito in cui l’esperienza maturata come consulente tecnico in sede giudiziaria consente di offrire non soltanto una lettura giuridica del fenomeno, ma anche gli strumenti tecnici per accertarne la reale portata.
Alcuni accorgimenti pratici
In attesa di un consolidamento normativo e giurisprudenziale della materia, alcuni accorgimenti restano comunque raccomandabili tanto per i privati quanto per le organizzazioni, installare tempestivamente gli aggiornamenti firmware; rivedere periodicamente le impostazioni privacy del dispositivo, senza accettare acriticamente termini e condizioni predefiniti; segregare i dispositivi IoT domestici o aziendali su una rete dedicata, guest o VLAN separata, rispetto a quella utilizzata per i dispositivi che trattano dati sensibili; disattivare il protocollo UPnP sul router, salvo stretta necessità; evitare l’esposizione diretta dei servizi del dispositivo verso Internet.
Conclusioni
La casa connessa non è un ambiente neutro dal punto di vista giuridico è, a tutti gli effetti, un perimetro digitale che merita lo stesso rigore di analisi riservato ai sistemi informativi aziendali. Trattare i dispositivi domestici come oggetti di consumo qualsiasi, anziché come nodi di una rete che tratta dati personali e che può essere compromessa, significa sottovalutare un rischio che la tecnica, ormai, documenta con crescente chiarezza.
