Insospettabili app Android condividono posizione utenti con SDK invisibili

Molte applicazioni Android che usiamo ogni giorno richiedono l’accesso alla posizione per funzionare correttamente: pensiamo a mappe, servizi di consegna, previsioni meteo o raccomandazioni basate sulla posizione del dispositivo.

Dietro queste funzionalità, però, spesso operano librerie software sviluppate da terze parti, note come SDK di localizzazione, che gestiscono la raccolta e l’invio dei dati di posizione.

Un’indagine di Android Authority ha richiamato l’attenzione su un aspetto poco conosciuto: numerosi SDK integrati nelle app possono accedere alla geolocalizzazione dell’utente e trasmettere informazioni ai rispettivi fornitori, anche quando lo sviluppatore dell’app non gestisce direttamente tali dati. Questo scenario è rilevante perché Google Play impone ai developer di dichiarare con precisione le pratiche di raccolta e condivisione dei dati sensibili, incluse quelle derivanti da SDK esterni.

Che cosa sono gli SDK di localizzazione

Un SDK (Software Development Kit) è un insieme di librerie, strumenti e documentazione che gli sviluppatori integrano nelle proprie applicazioni per aggiungere funzionalità già pronte, senza doverle costruire da zero.

Nel contesto della geolocalizzazione, gli SDK permettono di ottenere coordinate GPS, ricercare luoghi vicini, calcolare percorsi o visualizzare mappe sfruttando API dedicate. Molti di questi strumenti appartengono a società specializzate in pubblicità, analisi statistiche o servizi cartografici, come Google Maps, Mapbox o Huawei Location Kit. Quando un’app invoca le API dello SDK, parte delle informazioni può raggiungere i server del fornitore della libreria, secondo quanto previsto dalla relativa informativa sulla privacy.

Perché la raccolta della posizione solleva dubbi

Il problema evidenziato da Android Authority non riguarda necessariamente comportamenti illeciti, ma la scarsa consapevolezza degli utenti. Una singola applicazione può integrare più librerie di terze parti, ciascuna con proprie modalità di trattamento dei dati. Anche quando la posizione viene utilizzata per una funzione legittima, l’utente potrebbe non sapere quali soggetti ricevono effettivamente tali informazioni. Google richiede agli sviluppatori di compilare la sezione Data safety di Google Play, indicando quali dati vengono raccolti, condivisi e per quale finalità. La responsabilità della correttezza delle dichiarazioni resta comunque in capo allo sviluppatore dell’app, che deve considerare anche il comportamento degli SDK integrati.

Il sistema operativo Android permette di concedere la posizione precisa oppure quella approssimativa, limitando l’accesso alla sola durata dell’utilizzo dell’app o negandolo completamente. Dal punto di vista tecnico, tuttavia, uno SDK incorporato può utilizzare i dati che l’app ha già ottenuto in modo autorizzato, se ciò rientra nella progettazione dell’applicazione. Per questo motivo, la semplice presenza del permesso di localizzazione non basta a comprendere come verranno utilizzate le informazioni.

Diventa importante verificare anche la scheda privacy dell’applicazione, leggere l’informativa del produttore e valutare se la funzione richiesta giustifica realmente l’accesso alla posizione. Android continua inoltre a rafforzare gli strumenti dedicati alla privacy, offrendo il Privacy Dashboard, autorizzazioni temporanee e la possibilità di scegliere tra posizione precisa e approssimativa.

Gli sviluppatori devono prestare maggiore attenzione

Integrare un SDK significa accettarne il comportamento in termini di raccolta dati, aggiornamenti e conformità normativa. Ogni nuova versione della libreria può modificare le informazioni elaborate o introdurre nuovi flussi di dati, rendendo necessario aggiornare sia la documentazione sia le dichiarazioni richieste da Google Play.

Le indicazioni ufficiali di Google invitano infatti gli sviluppatori a utilizzare sempre le versioni più recenti degli SDK, verificare periodicamente i dati raccolti e mantenere aggiornata la sezione dedicata alla sicurezza e alla privacy dell’applicazione. Una gestione accurata delle dipendenze software rappresenta quindi un elemento essenziale sia per la conformità normativa sia per la fiducia degli utenti.