Quando Max Schrems, un attivista austriaco per la privacy, ha chiesto di vedere i suoi dati personali che Facebook ha memorizzato sui suoi server, gli è stato inviato un CD-ROM contenente un documento di 1.222 pagine.

Questo file, che si estenderebbe quasi un quarto di miglio se stampato e posato da un capo all’altro, ha offerto uno sguardo all’appetito di Facebook per i dettagli privati dei suoi 1,65 miliardi di utenti.

Le informazioni includevano numeri di telefono e indirizzi e-mail di amici e familiari del signor Schrems; una storia di tutti i dispositivi che ha usato per accedere al servizio; tutti gli eventi a cui era stato invitato; tutti quelli che aveva “friendzonato” (e successivamente de-friended); e un archivio dei suoi messaggi privati.

C’erano anche le trascrizioni dei messaggi che aveva cancellato.

Ma il signor Schrems, che dice di aver usato Facebook solo occasionalmente per un periodo di tre anni, crede che una parte considerevole di informazioni gli sia stata nascosta.

Ha ricevuto record di dati per circa 50 categorie, ma crede che ce ne siano più di 100, dice alla BBC.

“Hanno nascosto i miei dati di riconoscimento facciale, che è una tecnologia che può identificarmi attraverso le mie foto. Non rivelano nemmeno le informazioni di tracciamento, che sono le cose ancora più inquietanti che fanno – cose come se hai letto una pagina web su una macchina sportiva e per quanto tempo l’hai letta.”

Facebook può anche tracciare l’uso di internet dei non membri attraverso l’uso di cookie posti sulle loro macchine, come una recente decisione legale in Belgio ha confermato.

L’esperienza del signor Schrems illustra vividamente le sfide che dobbiamo affrontare in un’era digitale piena di app di messaggistica, social network, motori di ricerca su misura, client e-mail e applicazioni bancarie, tutti che raccolgono dati personali su di noi e li memorizzano, da qualche parte, nella nuvola.

Ma dove sono esattamente tutti questi dati, come vengono usati e quanto sono sicuri?

I quattro grandi

Più della metà del cloud storage affittabile nel mondo è controllato da quattro grandi società. Amazon è di gran lunga la più grande, con circa un terzo della quota di mercato e più di 35 centri dati in tutto il mondo.

I tre successivi maggiori fornitori sono Microsoft, IBM e Google, e ognuno di loro adotta un modello globale simile di server farm.

Tutti questi grandi fornitori di cloud pubblici duplicano abitualmente i dati degli utenti nelle loro reti. Ciò significa che le informazioni caricate nel cloud, ad esempio, nel Regno Unito o negli Stati Uniti, è probabile che vengano trasferite ad un certo punto ai server nelle principali città del mondo, da Sydney a Shanghai.

Il problema con questo, dice il Prof Dan Svantesson, uno specialista di diritto internet presso la Bond University, in Australia, è che “c’è sempre un rischio che il paese in cui i tuoi dati vanno non abbia lo stesso livello di protezione.

“Se i tuoi dati finiscono in un altro paese, può essere poco chiaro chi vi ha accesso, sia i fornitori di rete o le forze dell’ordine”, dice.

Benjamin Caudill, un consulente di cybersecurity presso Rhino Security Labs a Seattle, ha anche preoccupazioni su come questi dati vengono distribuiti.

“Nessuno sa davvero come è fatta la salsiccia”, dice il signor Caudill, il cui lavoro include il test delle difese delle imprese attraverso l'”hacking etico”.

“È molto difficile capire dove sono conservati i tuoi dati. Molte volte le aziende stesse non sono sicure di dove potrebbero risiedere tutti i dati”.”

Ha detto che un suo cliente, che stava usando il servizio cloud Azure di Microsoft, è stato vittima di un hack – tutti i dati e i back-up sono stati cancellati.

Ma dopo alcune ricerche, è emerso che una parte dei dati persi era stata memorizzata altrove sui server di Azure. Mentre questo è stato un sollievo per il cliente del signor Caudill, l’apparente natura casuale del posizionamento dei dati sui server di Microsoft non lo ha riempito di fiducia.

“Nessuno sa davvero quanto siano sicuri i servizi cloud dei principali fornitori”, dice il signor Caudill, che sospetta che “sia Amazon che Azure hanno avuto importanti compromessi di sicurezza ad un certo punto.”

Violazione della sicurezza?

Per parte loro, tutti i grandi fornitori di cloud pubblici dicono che la sicurezza è una priorità.

Nella struttura server di Google in South Carolina, per esempio, le guardie pattugliano le porte e impiegano scanner biometrici dell’iride agli ingressi del sancta sanctorum. I raggi laser sotto il pavimento rilevano gli intrusi.

Ma nessuno direbbe che non hanno mai avuto violazioni della sicurezza.

Un portavoce di Microsoft ha detto alla BBC: “Microsoft ha un impegno con i clienti per aiutare a salvaguardare i dati dei clienti e consentire loro di prendere decisioni su quei dati. Consigliamo ai clienti di visitare il Microsoft Trust Center per saperne di più su come i loro dati sono gestiti e tenuti al sicuro.”

Amazon sottolinea che i clienti “mantengono la proprietà e il controllo dei loro contenuti. Scelgono la posizione in cui memorizzare i loro dati e non si spostano a meno che il cliente non decida di spostarli”

Questa capacità di scegliere la regione in cui vengono memorizzati i dati si sta dimostrando sempre più popolare tra le aziende, in particolare nell’Unione europea, dove il nuovo rigoroso regolamento generale sulla protezione dei dati dovrebbe entrare in vigore nel 2018.

Posta a tuo rischio e pericolo

Ma noi consumatori spesso non abbiamo questo lusso.

“I dati del tuo account Gmail sono assolutamente su più di un server. È assolutamente in più di un paese”, dice il Prof Svantesson.

Ma perché dovrebbe importarci?

Più i nostri dati sono sparsi in tutto il mondo, più sono vulnerabili agli hacker, sostiene il signor Caudill – una supposizione confermata dal fatto che le frodi di identità sono in aumento.

Come le persone continuano a caricare le loro informazioni digitali online, in una palude di complessità legali territoriali e protocolli di sicurezza nazionale non rivelati, il Prof Svantesson offre alcuni consigli pratici – che molte persone ancora non seguono.

“Suggerirei di non mettere mai nulla di sensibile sul cloud, come i dati della carta di credito, o immagini personali che non si vuole che gli altri vedano.

“Alcune cose dovresti lasciarle a te stesso”, consiglia.

Segui il redattore di Technology of Business @matthew_wall su Twitter

Clicca qui per altri articoli di Technology of Business