Amazon e il furto di dati biometrici: il tuo volto vale più di un rossetto

Anche se paghiamo per un prodotto, siamo noi stessi la merce, e la geometria del nostro volto è la valuta con cui saldiamo il conto finale, come dimostra la battaglia legale di Amazon sull’uso dei dati biometrici.

C’è un vecchio adagio nel mondo della tecnologia che dice: se non stai pagando per il prodotto, il prodotto sei tu.

Ma nel 2025, questa massima sembra ormai un reperto archeologico, troppo ottimista per i tempi che corrono. Oggi, anche quando paghi per il prodotto — magari un rossetto costoso o un paio di occhiali da sole firmati — sei comunque tu la merce. E la valuta con cui stai saldando il conto finale non sono gli euro o i dollari, ma la geometria del tuo volto.

La notizia che arriva dall’Illinois non è solo l’ennesimo capitolo della saga legale tra regolatori e Big Tech; è un promemoria brutale di come la comodità digitale sia diventata il cavallo di Troia perfetto per l’estrazione di dati biometrici. Ieri, la Corte d’Appello del Settimo Circuito degli Stati Uniti ha confermato che Amazon dovrà affrontare una class action per il suo strumento “Virtual Try-On” (VTO).

Sembra una questione tecnica, vero? Un noioso cavillo legale.

Invece, è la prova che il nostro desiderio di vederci con un paio di Ray-Ban virtuali prima di cliccare “acquista” ha aperto le porte a una sorveglianza commerciale senza precedenti.

La domanda che nessuno si pone mai mentre gioca con la realtà aumentata è semplice: dove finisce quella scansione della mia faccia? Amazon, ovviamente, ha cercato di derubricare la questione, ma i giudici non hanno abboccato.

E mentre noi ci preoccupiamo di chiudere le tende di casa per privacy, lasciamo che un’app mappi millimetricamente i nostri tratti somatici direttamente dal salotto.

Il prezzo nascosto della vanità digitale

Per capire la gravità della situazione, bisogna grattare via la patina di marketing “user-friendly” che Amazon spalma su ogni nuova funzionalità. Il Virtual Try-On non è magia; è un sistema sofisticato di riconoscimento facciale che crea una mappa biometrica del vostro volto — distanza tra gli occhi, forma del naso, contorno delle labbra — per sovrapporvi un’immagine digitale.

In Illinois, grazie al Biometric Information Privacy Act (BIPA), una legge del 2008 che rimane l’unico vero baluardo contro il far west biometrico negli USA, raccogliere questi dati senza un consenso scritto esplicito e informato è illegale.

Amazon ha tentato una difesa che definirei acrobatica, se non fosse tragicamente cinica. Hanno provato a sostenere che, poiché la tecnologia viene usata anche per provare occhiali da vista, rientrasse in un’esenzione prevista per l’assistenza sanitaria. Un tentativo goffo di nascondersi dietro il camice bianco per vendere cosmetici. Il giudice distrettuale Jorge L. Alonso non si è lasciato incantare, sottolineando l’assurdità di trattare la mappatura del volto per un rossetto come se fosse una procedura medica.

Amazon non spiega come la mappatura della bocca dell’utente rispetto agli occhi e al naso possa essere materialmente diversa per determinare se l’informazione è ‘biometrica’, quando ogni VTO utilizza lo stesso processo di realtà aumentata per mappare i punti di riferimento facciali.

— Jorge L. Alonso, Giudice Distrettuale degli Stati Uniti

La corte ha respinto le argomentazioni del colosso di Seattle, consolidando una classe di querelanti che non è affatto trascurabile. Secondo i documenti del tribunale, la class action coinvolge tutti gli individui che hanno utilizzato la funzione VTO in Illinois dal 7 settembre 2016, una finestra temporale immensa che copre l’ascesa esplosiva di queste tecnologie.

Non è un caso isolato, ma è sintomatico di come le aziende tecnologiche operino secondo il principio del “chiedere perdono, non permesso”. Implementano la tecnologia, raccolgono i dati, addestrano i loro algoritmi e poi, se vengono beccati, scatenano i loro eserciti di avvocati.

Ma questa volta, il muro legale dell’Illinois sembra reggere, e la decisione di ieri della Corte d’Appello cementa la posizione dei consumatori. E qui casca l’asino, o meglio, crolla il castello di carte della “privacy by design” tanto sbandierata nei comunicati stampa.

Perché l’illinois fa tremare i giganti

Perché Amazon, Google, Facebook e compagnia temono così tanto il BIPA dell’Illinois? Perché è una delle poche leggi al mondo che prevede un diritto privato di azione. Significa che non bisogna aspettare che un’autorità garante lenta e burocratica si muova; i cittadini possono fare causa direttamente.

E le multe sono salate: da 1.000 a 5.000 dollari per ogni singola violazione.

Fate due calcoli: se avete provato dieci paia di occhiali e cinque tonalità di rossetto, avete generato quindici violazioni. Moltiplicatelo per milioni di utenti e capirete perché i CEO della Silicon Valley sudano freddo ogni volta che sentono nominare Chicago.

La querelante principale, Tanya Svoboda, ha messo in luce un punto cruciale che va oltre il semplice risarcimento economico. La sua accusa non riguarda solo il fatto che i dati siano stati presi, ma l’arroganza sistemica con cui è stato fatto.

Amazon ribadisce frequentemente il suo presunto rispetto per la privacy dei consumatori, ma ha mostrato, e continua a mostrare, un totale disprezzo per i diritti alla privacy dei consumatori, specialmente per i cittadini dell’Illinois.

— Tanya N. Svoboda, Rappresentante della class action in Svoboda v. Amazon.com Inc.

È interessante notare come Amazon abbia combattuto con le unghie e con i denti per evitare la certificazione della class action, sapendo che affrontare i singoli casi sarebbe stato gestibile, ma affrontare un blocco unico di consumatori è un incubo finanziario e di pubbliche relazioni.

La Corte d’Appello, nella sua opinione depositata ieri, è stata lapidaria. Il giudice Scudder ha confermato che il tribunale distrettuale non ha abusato della sua discrezionalità nel certificare la classe, respingendo il tentativo di Amazon di frammentare il fronte legale.

Ma non illudiamoci che questo sia solo un problema americano. Sebbene il GDPR in Europa offra tutele teoricamente forti, la realtà pratica è che le tecnologie testate e raffinate in mercati con meno supervisione finiscono inevitabilmente per permeare i sistemi globali.

I dati biometrici raccolti (illegalmente o meno) servono ad addestrare modelli di intelligenza artificiale che non conoscono confini geografici. Il modello che impara a riconoscere un volto in Illinois sarà incredibilmente efficiente nel riconoscere un volto a Milano o a Berlino.

Siamo di fronte a un paradosso normativo: mentre in Europa ci riempiamo la bocca di “sovranità digitale” e regolamenti sull’AI, le aziende americane stanno accumulando il più grande database biometrico della storia umana, spesso senza che gli utenti ne abbiano la minima consapevolezza. E lo stanno facendo vendendoci l’idea che sia tutto un gioco, un filtro divertente, un aiuto per lo shopping.

Non è solo questione di rossetti

La vera inquietudine nasce quando si prova a “unire i puntini” tra questa causa e la direzione generale del mercato tecnologico. Amazon non ha bisogno di vedere come vi sta il rossetto “Rosso Passione”. Amazon ha bisogno di perfezionare i suoi algoritmi di visione artificiale per i suoi negozi senza casse (Amazon Go), per i suoi sistemi di sicurezza (Ring), e per la sua divisione cloud (AWS) che vende servizi di riconoscimento facciale a governi e aziende terze.

Ogni volta che usate il VTO, state lavorando gratis per Amazon. State fornendo dati di training di alta qualità, etichettati e verificati, in cambio di un’immagine in realtà aumentata che svanisce dopo pochi secondi. È uno scambio iniquo che farebbe impallidire i baratti coloniali.

Inoltre, c’è il rischio di sicurezza. I dati biometrici, a differenza delle password, non possono essere cambiati. Se il database dei modelli facciali di Amazon venisse violato (e ricordiamo che nessun sistema è impenetrabile), non potete farvi una plastica facciale come cambiereste il PIN del bancomat.

La leggerezza con cui trattiamo queste informazioni è allarmante. Le stime parlano chiaro: sono almeno 163.738 gli utenti coinvolti solo in questa specifica azione legale, un numero che rappresenta solo la punta dell’iceberg di una pratica diffusa su scala globale.

Il conflitto di interessi è palese. Da un lato, Amazon vuole vendervi prodotti; dall’altro, vuole estrarre dati comportamentali e biometrici per dominare il mercato dell’AI. Le due cose sono ormai inseparabili nel loro modello di business. La privacy non è un bug nel sistema, è l’ostacolo che cercano attivamente di aggirare. E quando non riescono ad aggirarlo tecnicamente, provano a farlo legalmente, ridefinendo cosa sia “sanitario” o “biometrico” a loro piacimento.

Siamo al 18 dicembre 2025, e la battaglia per la proprietà del nostro volto è appena iniziata. La decisione della Corte d’Appello contro Amazon è una vittoria, certo, ma è una vittoria difensiva in una guerra che stiamo perdendo per logoramento. Mentre celebriamo il fatto che un tribunale abbia detto “no” a un gigante, milioni di persone altrove stanno cliccando “accetta” su termini di servizio che non hanno letto, regalando la propria identità biometrica per la comodità di non doversi alzare dal divano.

Forse la prossima volta che un’app vi chiederà di accendere la fotocamera per “vedere come vi sta” un prodotto, dovreste chiedervi: chi sta guardando chi?

E soprattutto, quanto vale davvero la vostra faccia sul mercato dei dati?

Perché per Amazon, la risposta è evidente: vale abbastanza da rischiare milioni di dollari in spese legali pur di non smettere di guardarla.