Sulla privacy digitale si afferma molto e si dimostra poco. Da una parte si vende panico, dall'altra si vendono prodotti, ed entrambe lavorano con numeri che nessuno controlla. Questo articolo prova a fare il contrario: documentare che cosa un dispositivo invia davvero, che cosa cambia un sistema operativo rafforzato, che cosa non cambia, per sua stessa ammissione, e quanto ti costa nella vita di tutti i giorni.
Anticipiamo il risultato scomodo: il guadagno più grande non sta nel sistema operativo. Sta in due o tre decisioni che non costano nulla e che quasi nessuno prende.
Che cosa è stato misurato
Lo studio più citato è di Douglas Leith del Trinity College di Dublino, pubblicato nel 2021 e sottoposto a revisione per la conferenza SecureComm. Ha registrato il traffico di un dispositivo Android e di un iPhone, con telemetria disattivata e senza alcun account collegato.
Il risultato a riposo: Android inviava circa 1 MB in dodici ore, iOS circa 52 KB. Entrambi i dispositivi si collegavano in media ogni quattro minuti e mezzo. Tra i dati trasmessi, su entrambe le piattaforme, c'erano IMEI, numero di serie dell'hardware, numero di serie della SIM e numero di telefono.
Per correttezza va riportata anche l'altra parte. Google ha contestato i volumi: il ricercatore avrebbe calcolato male l'overhead TCP/IP, con un errore di un ordine di grandezza. Leith ha replicato che lui contava i dati utili, mentre Google includeva anche le intestazioni di protocollo. Il punto decisivo è ciò che in questa disputa nessuno ha mai negato: che questi dati vengono inviati. Si è discusso della quantità, non del fatto. Apple non ha mai risposto alle richieste, ripetute, del ricercatore: chi sostiene che Apple abbia respinto lo studio non ha una fonte.
L'obiezione abituale è che la misurazione risale al 2021. Per Android l'obiezione non regge più: nel 2025 Leith ha ripetuto le misure su un Pixel 7 con Android 14, pubblicando i risultati sulla rivista scientifica Computers & Security. Esito: cookie pubblicitari, identificativi di tracciamento dei clic e ID del dispositivo legati alla pubblicità vengono salvati sul telefono e rinviati, con le impostazioni di fabbrica, a riposo, senza che sia mai stata aperta un'app Google, senza consenso e senza possibilità di opposizione. Per iOS non esiste una misurazione altrettanto recente, perché gli iPhone moderni non si lasciano più aprire a questo scopo. Chi afferma al presente che "Android invia venti volte più di iOS" forza la fonte.
Colpisce che una parte di tutto questo Google la documenti da sé. La descrizione del servizio di configurazione dei dispositivi Android elenca la raccolta di IMEI, numero di serie, indirizzi MAC, dati della SIM e dell'operatore, indirizzo IP e identificativo dell'abbonato in forma troncata. Un opt-out lì non è previsto.
La contraddizione che descrive meglio la questione
Non serve drammatizzare. Bastano due documenti messi uno accanto all'altro.
La policy di Google Play impone che l'ID pubblicitario non venga collegato a dati personali né a identificativi permanenti del dispositivo come numero di serie, indirizzo MAC o IMEI. È proprio per questo che l'ID si può azzerare.
Uno studio sottoposto a revisione del 2023, pubblicato su PLOS ONE, ha misurato su dispositivi Samsung, Xiaomi, Realme e Google che un identificativo hardware di lunga durata viaggia nella stessa connessione dell'ID pubblicitario azzerabile. Gli autori descrivono la conseguenza con sobrietà: questo vanifica lo scopo degli identificativi azzerabili. Chi azzera l'ID pubblicitario taglia il filo sbagliato, perché l'altro filo corre lì accanto.
Dove vanno i dati
La maggior parte della raccolta non nasce nel sistema operativo, ma nelle app, e succede qualunque sia il sistema installato. Un'app esegue codice di terzi dentro il proprio processo, con i propri permessi. Un sito web no.
Quanto se ne raccoglie non va stimato. In un'analisi di oltre 86.000 app del Play Store tedesco, presentata a USENIX Security 2021, il 34,3 per cento inviava dati personali a operatori pubblicitari prima che ci fosse un consenso.
Anche la rivendita è documentata, e il caso meglio documentato in Europa viene dalla Germania. Un'inchiesta di netzpolitik.org e della radiotelevisione bavarese Bayerischer Rundfunk ha ottenuto da una piattaforma di compravendita di dati un archivio con 3,6 miliardi di punti di posizione relativi a 11 milioni di ID pubblicitari in Germania, come campione gratuito di anteprima. Non rubato, non trapelato: un campione commerciale.
Il meccanismo tecnico è consultabile da chiunque, perché le specifiche delle aste pubblicitarie in tempo reale sono pubbliche. In una richiesta d'offerta compaiono, tra l'altro, l'ID pubblicitario in chiaro, latitudine e longitudine con l'indicazione della precisione, indirizzo IP, modello del dispositivo, operatore telefonico e l'identificativo dell'app in cui appare l'annuncio. Ogni partecipante all'asta vede questi dati, anche quando non vince l'offerta.
Sull'autorità di vigilanza americana va aggiunta una precisazione che di rado accompagna la notizia: i procedimenti noti contro i commercianti di dati di posizione si sono chiusi tutti con accordi transattivi senza sanzione e senza ammissione di colpa. Sono contestazioni di un'autorità, non fatti accertati. E gli accordi contengono un'eccezione espressa per finalità di sicurezza nazionale.
GrapheneOS: che cos'è
GrapheneOS è un sistema Android open source progettato per la sicurezza, sostenuto da un progetto senza scopo di lucro con una quindicina di persone a tempo pieno e finanziato interamente da donazioni. Oggi funziona soltanto sui dispositivi Google Pixel, e il motivo è tecnico: solo lì il bootloader, dopo l'installazione, si può bloccare di nuovo registrando una propria chiave di firma nel Secure Element. Solo così il Verified Boot funziona per intero. Un bootloader sbloccato, per il progetto, equivale espressamente a un'installazione incompleta.
Due elementi superano il quadro che circola di solito:
Il legame con i Pixel sta per finire. Nel marzo 2026 il progetto ha annunciato una partnership di lungo periodo con Motorola Mobility; i primi dispositivi sono attesi per il 2027. Non è un'esclusiva, e a GrapheneOS non va alcun compenso.
Il vantaggio sugli aggiornamenti si è ridotto. Da giugno 2025 il regolamento europeo sulla progettazione ecocompatibile impone per tutti gli smartphone immessi sul mercato almeno cinque anni di aggiornamenti di sicurezza. Il vantaggio dei Pixel oggi è quindi sette anni contro cinque, non più sette contro due.
Che cosa risolve davvero GrapheneOS
Google Play senza privilegi. Su Android standard i servizi Play sono privilegiati e fanno da base alle funzioni di sistema. Su GrapheneOS, se li installi, girano come un'app qualsiasi nella sandbox, secondo il progetto senza alcun accesso speciale e limitati al profilo in cui li installi. Il sistema non li usa mai come propria base.
Localizzazione senza Google. Le richieste vengono dirottate su un'implementazione propria, la posizione viene calcolata sul dispositivo e viene trasmesso soltanto un identificativo di rete.
Permessi che Android non conosce. L'accesso alla rete e ai sensori si può revocare app per app; in quel caso le app ricevono valori nulli invece dei dati dei sensori. A questo si aggiungono ambiti limitati per memoria e contatti, un allocatore di memoria rafforzato e profili separati con chiavi proprie.
Meno Google in sottofondo. Per la verifica della connettività, la sincronizzazione dell'ora, l'almanacco GNSS e il supporto alla localizzazione tramite rete mobile, GrapheneOS usa server propri, e impedisce la trasmissione dell'identificativo dell'abbonato e del numero di telefono.
Estrazione di dati da dispositivi bloccati. Qui sta l'effetto più solido che si possa documentare: tentativi di PIN limitati, limitazione della frequenza nel Secure Element, riavvio automatico dopo un periodo di inattività. Secondo documenti trapelati di un fornitore di strumenti forensi, i dispositivi bloccati con una versione aggiornata di GrapheneOS risultano non leggibili. La provenienza di questi documenti è debole: valgono come indizio, non come prova.
Che cosa GrapheneOS dichiara di non risolvere
Questa parte manca in quasi ogni presentazione, e il progetto su questo è notevolmente trasparente.
La rete mobile. La documentazione dice testualmente che collegarsi alla rete dell'operatore richiede per forza di identificarsi davanti a lui, e che la modalità aereo è l'unico modo per sottrarsi alla localizzazione tramite la rete mobile. Chiamate tradizionali ed SMS andrebbero evitati, perché si basano sulla fiducia nell'operatore.
La stessa cosa vista da un giudice, come pura descrizione tecnica: nella sentenza Carpenter la Corte Suprema degli Stati Uniti afferma che un telefono genera dati di cella per il solo fatto di essere acceso, senza alcuna azione dell'utente oltre all'accensione, e che non c'è modo di evitare questa traccia se non scollegando il dispositivo dalla rete.
La modalità solo LTE non protegge dagli IMSI catcher. Il progetto chiarisce espressamente che la funzione serve solo a ridurre la superficie d'attacco e non va scambiata per un modo di potersi fidare della rete mobile. Chi la presenta diversamente va oltre quanto dichiara chi l'ha sviluppata.
Il DNS cifrato oggi serve a poco. Anche questa è un'ammissione del progetto: poiché l'indirizzo di destinazione e il nome del server restano visibili, il DNS cifrato "non vale ancora molto" e non sostituisce una VPN o Tor. In più, dal comportamento dei filtri si capisce che si sta filtrando, e questo di per sé aiuta a riconoscere il dispositivo.
Le perdite della VPN non sono risolte del tutto. Testualmente: al momento il progetto non la considera una funzione completa.
Il riconoscimento resta possibile. Le misure contro gli identificativi del dispositivo sono definite un bonus secondario: restano molti canali laterali per riconoscere un dispositivo da un'app all'altra.
L'anonimato non viene promesso. Il progetto non lo rivendica da nessuna parte, e la frase sulla modalità aereo ne è di fatto la rinuncia. Chi cerca l'anonimato cerca qualcosa che nessun sistema operativo offre.
La eSIM richiede ancora componenti proprietari di Google. La gestione è disattivata di default e si può attivare, ma usa componenti non modificati del firmware Pixel. L'idea che GrapheneOS abbia una propria implementazione eSIM è sbagliata: è venuta meno solo la dipendenza da Google Play.
E non aggira i controlli sull'hardware. Espressamente no, perché sarebbe fragile e si romperebbe di continuo. È una scelta onesta, e porta dritti al prossimo capitolo.
Il prezzo onesto: le app bancarie
Google gestisce un'interfaccia con cui le app verificano lo stato del dispositivo. Ha più livelli. Quello intermedio, nelle parole di Google stessa, richiede un'immagine di sistema certificata dal produttore; un bootloader bloccato da solo non basta. GrapheneOS supera il livello base, non i due superiori, non per mancanza di sicurezza, ma per mancanza di licenza.
Esiste una strada tecnicamente migliore, che Android stesso mette a disposizione: l'attestazione hardware standardizzata. Con questa un'app verifica lo stato di avvio direttamente per via crittografica e può accettare le chiavi di sistemi alternativi, senza passare da un servizio Google. GrapheneOS pubblica le proprie chiavi firmate e in formato leggibile dalle macchine, proprio perché gli operatori possano farlo.
La situazione in numeri, secondo quanto dichiarato dal progetto a fine luglio 2026: circa il dieci per cento delle app bancarie controlla l'integrità del dispositivo, circa il novanta per cento funziona. E la tendenza non sarebbe né nettamente migliore né peggiore: più operatori adottano il controllo di Google e, allo stesso tempo, più operatori accettano l'attestazione hardware come alternativa.
Per l'Italia il quadro è buono. Nell'elenco curato dalla comunità e linkato da GrapheneOS, per l'Italia risultano segnalate come funzionanti ventuno app di banche e pagamenti, tra cui Intesa Sanpaolo, UniCredit, Poste Italiane, BNL, Fineco, Mediolanum, ING Italia, Banca MPS, Sella, Banco BPM, Satispay e HYPE. L'elenco è compilato dagli utenti, e GrapheneOS dichiara espressamente di non garantirlo. Serve come orientamento, non come promessa.
Il pagamento contactless tramite Google Pay non funziona. In Europa questo pesa meno che altrove, perché molte banche europee offrono app proprie per pagare via NFC, e funzionano anche Curve Pay e PayPal. Fuori dall'Europa il progetto non conosce soluzioni.
La situazione si muove, e in entrambe le direzioni: all'inizio di agosto 2026 un grande operatore di pagamenti ha escluso GrapheneOS, mentre diverse banche tradizionali lo hanno ammesso espressamente. Se dipendi da un'app precisa, verificalo prima di cambiare, e nel dubbio tieni un secondo telefono.
Tre affermazioni diffuse che non sono vere
"Android Auto funziona solo con il cavo." Falso. Sono supportate entrambe le modalità; quella senza fili richiede soltanto più permessi.
"La fotocamera è peggiore." Vero a metà, ed è proprio lì l'errore. La stessa app dà la stessa qualità che sul sistema originale, e l'app Fotocamera Pixel funziona senza che Google Play sia installato. La fotocamera di GrapheneOS inclusa nel sistema è volutamente più essenziale: meno scatti per l'HDR, e panorama, astrofotografia o foto in movimento non sono espressamente in programma.
"Sbloccare il bootloader fa decadere la garanzia." Google non ha mai detto nulla in proposito. Le condizioni di garanzia per lo Spazio economico europeo stabiliscono che la garanzia volontaria del produttore lascia impregiudicati i diritti di garanzia previsti dalla legge; sono esclusi i danni causati da modifiche. GrapheneOS dichiara che i Pixel restano coperti, ma una conferma di Google non esiste. Consideralo una questione aperta, non risolta.
Che cosa conta più di qualsiasi sistema operativo
In ordine di efficacia rispetto all'impegno richiesto.
1. Signal per tutto ciò che è sensibile. Entrambi i grandi servizi di messaggistica cifrano i contenuti. La differenza sta nei metadati, ed è verificabile, perché Signal pubblica gli ordini dei giudici e le proprie risposte. In tutti i casi documentati dal 2016 a marzo 2026, Signal ha potuto consegnare solo due informazioni: data di registrazione e ultima connessione. Nel caso più recente erano richiesti dati su 37 numeri di telefono; sette account non esistevano, per 24 non c'erano dati. Per confronto, WhatsApp nella propria informativa europea elenca da sé che cosa raccoglie: come interagisci con gli altri, momento, frequenza e durata delle tue attività, e poi modello del dispositivo, livello della batteria, intensità del segnale, rete mobile e indirizzo IP. Chi non conserva nulla non può consegnare nulla. È l'unico punto di questo elenco per cui la prova sta in atti giudiziari.
2. Meno app, più browser. È il passo strutturalmente più efficace, e quasi nessuno lo fa. Un componente di terzi integrato in un'app eredita tutti i permessi che concedi all'app; Apple ammette nelle proprie regole che si tratta di tracciamento anche quando lo sviluppatore non usa il componente a quello scopo. Un'app cancellata è l'unica misura efficace al cento per cento.
3. Autenticazione a due fattori resistente al phishing. Le chiavi di sicurezza hardware e le passkey sono legate al dominio; una pagina di accesso contraffatta non può generare una conferma valida. È crittografia, non un'euristica di riconoscimento. Google riferisce da una propria analisi che nessun utente che usava esclusivamente chiavi di sicurezza è caduto vittima di phishing mirato. Per un patrimonio importante lo scenario catastrofico realistico è il furto dell'account, non la pubblicità personalizzata. Per inciso: lo studio di Google del 2019 citato spesso con i suoi numeri al cento per cento riguardava le richieste di conferma sul telefono, non le chiavi di sicurezza; le due evidenze vengono confuse di continuo.
4. Permessi di posizione e app inutilizzate. Posizione approssimativa invece che precisa, "solo mentre l'app è in uso", autorizzazioni una tantum. Android revoca automaticamente i permessi alle app che restano inutilizzate per mesi e ne cancella la cache. Vista la precisione con cui i dati di posizione vengono venduti, l'opzione approssimativa è la singola impostazione più efficace.
5. Eliminare l'ID pubblicitario: utile, ma con dei limiti. Su Android, dopo l'eliminazione, ogni accesso restituisce una stringa di zeri; su iOS vale lo stesso se non hai concesso il permesso di tracciamento. L'effetto è misurabile: dopo l'introduzione della richiesta, la trasmissione dell'identificativo pubblicitario di iOS è scesa da un quarto delle app a zero. Però il numero di componenti di tracciamento è rimasto praticamente lo stesso, e l'identificativo hardware descritto sopra continua a viaggiare. Due minuti di lavoro, da valutare con onestà. Su iOS conviene anche l'interruttore separato per la pubblicità personalizzata di Apple stessa, che la richiesta di tracciamento non copre.
6. Igiene dell'account. La cancellazione automatica dei dati di attività riduce l'archivio del più grande raccoglitore singolo. Con la dovuta precisione: Google scrive di puntare a rimuovere i dati dalla visualizzazione, e si riserva espressamente una conservazione più lunga per finalità legali.
7. La scelta del browser. Safari blocca del tutto i cookie di terze parti e cancella dopo sette giorni senza interazione i dati salvati tramite script; Firefox separa i cookie sito per sito. Nessuno dei due aiuta contro il servizio con cui hai effettuato l'accesso.
8. DNS cifrato, il punto più sopravvalutato. Utile per filtrare, ma non nasconde gli indirizzi di destinazione e non rende anonimi. GrapheneOS lo dice della propria funzione più chiaramente di quanto farebbe la maggior parte dei fornitori.
9. Il livello della rete mobile. Qui non esiste una soluzione sul dispositivo, e non è una misura ma un limite. La modalità aereo interrompe davvero il collegamento radio, al prezzo di non essere raggiungibile.
Una parola sulla situazione italiana, perché qui la legge è esplicita. In Italia la conservazione dei dati di traffico è un obbligo per gli operatori: il traffico telefonico viene conservato per ventiquattro mesi dalla data della comunicazione, il traffico telematico, esclusi i contenuti, per dodici mesi, i dati delle chiamate senza risposta per trenta giorni. Per le indagini su terrorismo e sugli altri reati gravi richiamati dal codice di procedura penale il termine sale a settantadue mesi. Il contenuto delle comunicazioni resta fuori. Per acquisire questi dati serve l'autorizzazione del giudice con decreto motivato, e solo se ci sono sufficienti indizi di reati puniti con la reclusione non inferiore nel massimo a tre anni, oppure di minacce e molestie telefoniche gravi. Per chi vive in Italia questo significa che la traccia della rete mobile non è soltanto prodotta: per legge viene anche conservata.
Che cosa c'entra con la protezione patrimoniale
La privacy digitale non è protezione patrimoniale, e sarebbe poco serio sostenerlo. Riduce due rischi concreti: il furto degli account e l'aggregazione di informazioni in un profilo che altri sfruttano. Il primo è un rischio finanziario reale, il secondo è piuttosto una questione di sovranità personale.
Che cosa la privacy digitale espressamente non fa: non protegge alcun patrimonio dall'accesso per via legale. Ciò che le autorità sanno del tuo patrimonio dipende dagli obblighi di comunicazione e dai registri, non dal tuo telefono; fin dove arrivi oggi lo abbiamo documentato nella pagina sul registro patrimoniale europeo. E se un patrimonio sia attaccabile nel momento critico lo decide la struttura in cui è detenuto: di questo parliamo nella protezione patrimoniale, nelle strutture di protezione e negli investimenti all'estero.
Chi confonde le due cose investe energie nel posto sbagliato. Un telefono blindato con un patrimonio scoperto è una combinazione nettamente peggiore del contrario.
Se vuoi capire come si applica tutto questo alla tua situazione, c'è la consulenza personale. La consulenza si svolge in inglese.
Domande frequenti
Le app bancarie funzionano su GrapheneOS?
In gran parte sì. Il progetto stesso stima intorno al dieci per cento la quota di app bancarie che non funzionano e considera la tendenza complessivamente stabile. Per l'Italia, nell'elenco curato dalla comunità, risultano segnalate come funzionanti ventuno app di banche e pagamenti, tra cui Intesa Sanpaolo, UniCredit, Poste Italiane, BNL, Fineco, Mediolanum e ING Italia. Google Pay non funziona; il pagamento contactless passa dalle app di molte banche europee e da Curve Pay e PayPal.
GrapheneOS mi rende anonimo?
No, e il progetto non lo afferma. Rende più difficile la profilazione da parte della piattaforma e delle app. Non cambia nulla di ciò che vede il tuo operatore telefonico, perché per sua stessa ammissione la modalità aereo è l'unico modo per sottrarsi alla localizzazione tramite la rete mobile, e non cambia nulla degli account intestati a te.
Perché solo dispositivi Google Pixel?
Perché solo lì il bootloader, dopo l'installazione, si può bloccare di nuovo con una chiave propria, condizione necessaria per un Verified Boot completo. La situazione sta cambiando: da marzo 2026 esiste una partnership con Motorola Mobility, e i primi dispositivi sono attesi per il 2027.
Se sblocco il bootloader perdo la garanzia?
Google non si è mai espressa in proposito. Le condizioni di garanzia per lo SEE stabiliscono che la garanzia volontaria del produttore lascia impregiudicati i diritti di garanzia previsti dalla legge; sono esclusi i danni causati da modifiche. GrapheneOS dichiara che i Pixel restano coperti, ma una conferma di Google non c'è.
Un telefono sicuro protegge il mio patrimonio?
No. Riduce il rischio di furto dell'account e limita la profilazione. Ciò che le autorità sanno del tuo patrimonio dipende dagli obblighi di comunicazione e dai registri, e il fatto che un patrimonio sia attaccabile dipende dalla struttura in cui è detenuto. Nessun sistema operativo incide su nessuna delle due cose.