Si invia una foto di un documento d’identità al proprio commercialista, un estratto conto al proprio partner, una password temporanea a un collega. Tutto questo passa tramite WhatsApp, spesso senza pensarci. La crittografia end-to-end, visualizzata ad ogni apertura di conversazione, dà l’impressione che questi scambi siano protetti. La realtà è più sfumata e alcuni angoli morti meritano attenzione.
Backup cloud: il collegamento che la crittografia end-to-end non copre
La crittografia end-to-end protegge i messaggi durante il loro transito. In concreto, né WhatsApp né Meta possono leggere il contenuto di una conversazione in corso. Il problema si presenta dopo.
Quando si attiva il backup automatico su Google Drive o iCloud, la cronologia delle conversazioni esce dal perimetro della crittografia in transito. Per impostazione predefinita, queste copie non beneficiano dello stesso livello di protezione. Vengono memorizzate sui server di Google o Apple, soggette alle loro condizioni di accesso, anche in caso di requisizione giudiziaria.
WhatsApp offre da diversi mesi un’opzione di backup crittografato end-to-end, protetto da una password o da una chiave di 64 cifre. Può essere attivato nelle impostazioni dell’app, nella sezione Discussioni e poi Backup. Coloro che analizzano la sicurezza su WhatsApp con Bewise spiegano bene questo meccanismo e le sue implicazioni concrete.
Il tranello: se si perde questa password, il backup diventa irrecuperabile. WhatsApp non può reimpostarla per voi. Il consiglio operativo è quindi duplice: attivare la crittografia del backup e poi memorizzare il segreto in un gestore di password affidabile e accessibile in caso di cambio di telefono.
Metadati di WhatsApp: cosa raccoglie Meta anche con la crittografia
Ci si concentra spesso sul contenuto dei messaggi. Il contenuto è crittografato, d’accordo. Ciò che non lo è, sono i metadati: chi parla con chi, a che ora, da quale dispositivo, con quale frequenza, in quale gruppo.
Queste informazioni sono sufficienti per tracciare un profilo comportamentale dettagliato. Un datore di lavoro che comunica esclusivamente con un’agenzia di reclutamento tra le 12:00 e le 14:00, un paziente che contatta uno specialista a intervalli regolari: i metadati raccontano una storia che la crittografia non nasconde.
Meta utilizza questi metadati per alimentare il suo ecosistema pubblicitario. La politica sulla privacy di WhatsApp specifica che alcuni dati vengono condivisi con le altre entità del gruppo (Facebook, Instagram). Il GDPR limita questa pratica in Europa, ma non la elimina completamente.
Cosa rivelano i metadati senza leggere un solo messaggio
- La rete di contatti: l’elenco dei numeri con cui si scambia, la frequenza e la durata delle interazioni, i gruppi a cui si appartiene
- Le abitudini di connessione: orari di attività, tempo trascorso sull’app, tipo di dispositivo e versione del sistema operativo
- La localizzazione indiretta: l’indirizzo IP al momento della connessione consente di stimare l’area geografica, anche senza attivare la condivisione della posizione
Multa GDPR e trasparenza: cosa ha cambiato la regolamentazione europea
Nel 2021, la Data Protection Commission irlandese ha inflitto una multa di 225 milioni di euro a WhatsApp. L’accusa riguardava il mancato rispetto degli obblighi di trasparenza previsti dal GDPR, non sul contenuto dei messaggi stessi.
WhatsApp non informava sufficientemente gli utenti su come i loro dati venivano trattati e condivisi con Meta. Il problema era la mancanza di chiarezza, non una falla tecnica.
La Corte di giustizia dell’Unione europea ha successivamente confermato, a febbraio 2026, che le decisioni vincolanti del Comitato europeo per la protezione dei dati potevano essere contestate direttamente davanti alle giurisdizioni europee. Il ricorso di WhatsApp sul merito era ancora in fase di esame a quella data. Questo contenzioso dimostra che la battaglia regolamentare non riguarda solo ciò che WhatsApp fa dei vostri dati, ma anche ciò che l’app vi dice.
Impostazioni sulla privacy di WhatsApp: le configurazioni da controllare ora
Invece di elencare consigli generici, ci concentriamo sulle impostazioni che hanno un impatto reale e che la maggior parte degli utenti lascia per impostazione predefinita.
Verifica in due passaggi
Accessibile in Impostazioni, poi Account. Si definisce un codice PIN a sei cifre richiesto periodicamente e durante ogni registrazione del numero su un nuovo dispositivo. È la protezione più efficace contro il furto di account, una tecnica di phishing comune in cui un terzo tenta di registrare il vostro numero sul proprio telefono.
Visibilità del profilo e dello stato
Per impostazione predefinita, la foto del profilo, lo stato e l’ora dell’ultima connessione sono visibili a tutti i contatti. Si può limitare ciascuno di questi elementi a “I miei contatti” o “Nessuno” nelle impostazioni sulla privacy. Non è un gadget: l’ora dell’ultima connessione, incrociata con altre informazioni, facilita l’ingegneria sociale.
Messaggi effimeri
Si può attivare la scomparsa automatica dei messaggi dopo 24 ore, 7 giorni o 90 giorni, conversazione per conversazione o per impostazione predefinita per tutte le nuove discussioni. Per gli scambi contenenti documenti sensibili (documenti d’identità, coordinate bancarie), la modalità effimera limita la finestra di esposizione in caso di accesso non autorizzato al telefono.
- Attivare il backup crittografato end-to-end e memorizzare la password in un gestore dedicato
- Configurare la verifica in due passaggi con un PIN a sei cifre
- Limitare la visibilità della foto del profilo, dello stato e dell’ora dell’ultima connessione
- Utilizzare i messaggi effimeri per qualsiasi invio di documenti sensibili
WhatsApp offre un livello di protezione del contenuto dei messaggi superiore a quello di molte app di messaggistica di massa. Il limite concreto si trova dalla parte dei metadati, dei backup cloud non crittografati per impostazione predefinita e della mancanza di trasparenza sulla condivisione dei dati con Meta. La sicurezza reale dipende tanto dalle impostazioni che si attivano quanto dalla crittografia stessa.
