App per professionisti e PMI, a rischio i dati sensibili: quali sono le più pericolose e come tutelarsi

Il 56% delle app più scaricate in Italia condivide i dati personali degli utenti con terze parti a fini pubblicitari. E, attenzione, non parliamo certo di applicazioni di nicchia: nella lista figurano infatti strumenti di uso quotidiano per milioni di professionisti e piccole imprese, da LinkedIn a Gmail, fino alle piattaforme social più diffuse. A confermarlo è una ricerca condotta da Truffa.net, che ha analizzato le informative sulla privacy delle app più popolari sull’App Store iOS nel 2026, mettendo in fila dati che dovrebbero far riflettere chiunque utilizzi uno smartphone per lavoro.

Il quadro d’insieme è peraltro molto più ampio: il 76% delle app usa le informazioni raccolte per attività di marketing del proprio sviluppatore, il 96% le elabora per analisi statistiche sul comportamento degli utenti e l’84% le sfrutta per personalizzare l’esperienza. Solo nel 2025, al Garante della privacy sono arrivate 2.415 segnalazioni di data breach. Le app sono infatti uno dei canali preferiti dagli aggressori informatici, e chi le usa per gestire clienti, fatture o comunicazioni aziendali è esposto a rischi concreti.

Quali app raccolgono più dati sensibili?

Stando allo studio effettuato, al primo posto della classifica si collocano Facebook e Messenger, seguite da Instagram e Threads: entrambe le piattaforme di Meta condividono infatti il 68,6% dei dati con soggetti esterni, raccogliendo rispettivamente il 91,4% e l’85,7% delle informazioni per il funzionamento dei servizi.

Il dato su LinkedIn, poi, risulterà sicuramente di particolare attenzione per chi usa l’app in contesti lavorativi, come molti imprenditori o liberi professionisti. La piattaforma raccoglie di fatto il 74,3% dei dati per il funzionamento del servizio (inclusi foto, audio e contatti come indirizzi email) e cede il 37,1% delle informazioni a terzi, tra cui agenzie pubblicitarie. Una quota simile di dati viene impiegata per attività di marketing diretto, come suggerimenti di corsi e servizi a pagamento. È dunque lecito affermare che il profilo di un professionista su LinkedIn vale molto più di una semplice vetrina, almeno agli occhi della piattaforma.

Sul fronte opposto, alcune app si distinguono per un approccio molto più cauto. Booking.com, secondo la ricerca, non condivide alcun dato con soggetti esterni e non li utilizza per pubblicità o analytics. Revolut e Trenitalia mostrano livelli di raccolta molto contenuti, con percentuali nell’ordine del 2-5% per le sole funzionalità di base.

Quali dati vengono raccolti dalle app

Le categorie di informazioni nel mirino delle applicazioni sono varie e spesso sottovalutate dagli utenti. La ricerca individua le principali:

• cronologia di navigazione e delle ricerche;
• dati anagrafici e informazioni di contatto;
• informazioni sugli acquisti;
• posizione e spostamenti nel tempo;
• contenuti creati dall’utente;
• informazioni finanziarie;
• dati su salute e attività fisica.

Di qui, l’evidenza di un rischio ancora più rilevante per il libero professionista o la piccola impresa che fa ricorso a queste applicazioni con eccessiva leggerezza, considerato che la sovrapposizione tra uso personale e professionale del dispositivo può aprire le porte a diverse conseguenze non certo raccomandabili: i dati di un cliente, una comunicazione riservata o le credenziali di accesso a un gestionale possono infatti transitare attraverso app che li cedono a soggetti non sempre identificabili.

Come tutelarsi: le indicazioni del Garante della privacy

Per incrementare il livello di sensibilizzazione in questo ambito, il Garante della privacy ha aggiornato le proprie indicazioni per gli utenti, tenendo conto anche dell’uso crescente dell’intelligenza artificiale nelle applicazioni.

Il punto di partenza, spesso trascurato, è la fase che precede il download: prima di installare qualsiasi app è opportuno leggere l’informativa sul trattamento dei dati, verificare chi li raccoglierà e per quali finalità, quanto a lungo verranno conservati e se potranno essere ceduti a terze parti. Se per l’installazione è richiesta una registrazione, è bene limitarsi ai soli dati strettamente necessari.

Un secondo livello di attenzione riguarda i permessi che le app richiedono al momento dell’installazione. Accesso alla fotocamera, al microfono, alla rubrica o alla posizione sono funzioni che non sempre hanno un rapporto diretto con il servizio offerto: se la richiesta appare sproporzionata, è preferibile non procedere. Lo stesso vale per la geolocalizzazione, che molte app (incluse quelle social) usano per tracciare gli spostamenti nel tempo e condividere queste informazioni con terzi.

Sul fronte delle credenziali, il Garante raccomanda di non memorizzare nell’app i dati di accesso a carte di credito o sistemi di pagamento. Una precauzione che, evidentemente, assume un peso diverso per chi utilizza lo stesso dispositivo sia per uso personale che per la gestione dell’attività.

Il ruolo degli sviluppatori e delle PMI

In questo scenario, molto dipende anche dal ruolo degli sviluppatori e delle PMI. “Quando sviluppiamo un app – dice a Partitaiva.it Luigi Marino, CEO di Creact, una delle più note aziende italiane nell’app building – l’obiettivo è sempre quello di bilanciare la richiesta del dato con il funzionamento del servizio. La domanda da porsi è: questo dato serve davvero al funzionamento del servizio o al miglioramento reale dell’esperienza utente? A volte da parte dei clienti c’è la richiesta di raccogliere il più possibile. Molti pensano che avere più dati significhi automaticamente avere più valore. In realtà non è così: più dati significano anche più responsabilità, più rischi, più obblighi di sicurezza e più esposizione in caso di violazione ed infine più complessità per il fruitore”.

A tal proposito, la ricerca cita il fatto che il 96% delle app raccolga dati per analytics comportamentali. Spesso, però, senza che sia realmente necessario. “Gli analytics sono utili, ma non tutto ciò che è misurabile è necessario – ricorda Marino – Capire quali schermate vengono usate, dove gli utenti abbandonano un flusso o quali funzioni creano problemi può essere fondamentale per migliorare un’app. Però questo non significa dover tracciare ogni singolo comportamento individuale in modo dettagliato”.

Il gap tra regole e realtà: migliaia di segnalazioni ogni anno

Abbiamo inoltre condiviso con l’esperto come, nonostante il GDPR esista dal 2018, i dati del Garante mostrano ancora migliaia di segnalazioni di breach ogni anno, lasciando aperte le interpretazioni sul fatto che il problema sia tecnico, culturale o di scarsa consapevolezza dei committenti.

“Secondo me è un mix dei tre fattori, ma la radice è soprattutto culturale – dice l’esperto – Il problema tecnico esiste: password deboli, server non aggiornati, permessi configurati male, API esposte, backup non protetti, assenza di monitoraggio. Però quasi sempre questi problemi derivano da decisioni organizzative e progettuali prese a monte. Molte aziende vedono ancora la privacy e la sicurezza come un adempimento burocratico, qualcosa da sistemare alla fine con una privacy policy o un banner cookie. Invece dovrebbero essere parte del progetto fin dall’inizio. C’è poi un tema di consapevolezza dei committenti: spesso chi commissiona un’app si concentra su design, funzionalità, tempi e costi, ma non chiede come saranno gestiti i dati, dove saranno salvati, chi vi avrà accesso, per quanto tempo e con quali misure di sicurezza. Il GDPR ha creato un quadro normativo chiaro, ma la sua applicazione concreta richiede maturità digitale. E molte PMI stanno ancora facendo questo percorso”

D’altronde, aggiunge ancora il CEO, quando un cliente commissiona un’app, è molto difficile che ponga esplicitamente il tema della privacy by design fin dal brief iniziale, con il tema della privacy che emerge spesso dopo, quando si parla di login, pagamenti, dati degli utenti, CRM, newsletter o integrazioni con servizi esterni.

Quali sono le app più rischiose

Alcune tipologie di applicazioni presentano profili di rischio più elevati. Le app che sfruttano l’intelligenza artificiale per modificare foto e video (si pensi ai tool, sempre più diffusi, con cui invecchiare i volti, cambiare genere, sovrapporre il proprio viso su corpi altrui) raccolgono dati biometrici particolarmente sensibili, spesso senza che l’utente ne sia pienamente consapevole. Le piattaforme di dating trattano informazioni molto personali sulla vita privata, e verificare con chi vengono condivise è un passaggio che in pochi compiono prima dell’iscrizione.

Anche le app dedicate alla salute e all’attività fisica meritano attenzione: i dati su battito cardiaco, pressione e calorie bruciate rientrano nella categoria delle informazioni sanitarie e possono essere trasmessi a terzi per finalità che non sempre emergono chiaramente dall’informativa.

“Le app basate su intelligenza artificiale richiedono un livello di attenzione superiore, perché spesso trattano dati molto delicati – afferma Marino – immagini del volto, voce, documenti, conversazioni, preferenze personali o dati aziendali. Nel caso di dati sensibili o biometrici, l’approccio deve essere molto prudente: raccolta minima, consenso chiaro, finalità specifica, tempi di conservazione limitati e massima trasparenza verso l’utente”.

Sicurezza tecnica e scelta del canale di download

Sul piano tecnico, installare un software antivirus sul dispositivo che ospita le app, mantenere le applicazioni aggiornate all’ultima versione e impostare password robuste sono misure di base che riducono significativamente l’esposizione ai rischi.

Anche la scelta del canale di download è una delle difese più efficaci. I market ufficiali (come App Store per il mondo iOS e Google Play per quello Android) garantiscono controlli sull’affidabilità dei prodotti e consentono di consultare le recensioni di altri utenti, incluse le segnalazioni su comportamenti anomali nella gestione dei dati. È inoltre bene evitare di scaricare app tramite link ricevuti via SMS o messaggistica, o da siti che non offrono garanzie verificabili. In caso di comportamenti illeciti accertati, è possibile rivolgersi al Garante della privacy, all’Agcm o all’Agcom per presentare una segnalazione formale.

Ma c’è un chiaro vantaggio competitivo, oggi, nel poter dire ai clienti “la nostra app raccoglie solo i dati strettamente necessari”? “Sì, e secondo me sarà sempre più importante – conclude Marino -. Per anni molte aziende hanno considerato la raccolta dati come un vantaggio competitivo in sé. Oggi il vero vantaggio competitivo può essere l’opposto: dimostrare affidabilità, trasparenza e rispetto dell’utente. Dire che un’app raccoglie solo i dati necessari significa comunicare serietà. Vuol dire che dietro c’è una progettazione consapevole, non un’integrazione casuale di strumenti di tracciamento, SDK pubblicitari o servizi terzi”.