YouTube & il Potere Invisibile
Da PRISM alle richieste FISA: YouTube come strumento di sorveglianza di Stato. Quello che Snowden ha svelato nel 2013 è ancora in vigore.
Governi all’ascolto: da PRISM alle richieste FISA — YouTube come strumento di sorveglianza di Stato
Quello che Edward Snowden ha svelato nel 2013 è ancora in vigore. YouTube — parte di Google — è uno dei principali fornitori di dati per l’intelligence americana. E i governi europei non sono da meno.
🔎 PRISM: YouTube nella rete di sorveglianza NSA
Nel giugno 2013, il contractor dell’NSA Edward Snowden ha consegnato al Guardian e al Washington Post documenti classificati che dimostravano l’esistenza del programma PRISM (nome in codice US-984XN). PRISM è un programma dell’NSA che consente la raccolta di comunicazioni internet e dati archiviati direttamente dalle principali aziende tecnologiche americane — tra cui Google (e quindi YouTube), Microsoft, Apple, Facebook, Yahoo.
Secondo i documenti pubblicati, PRISM rappresentava il 91% di tutto il traffico internet acquisito dall’NSA ogni anno ai sensi della Sezione 702 del FISA Amendments Act. Google, che possiede YouTube, era tra i primi provider integrati nel sistema. La base legale era (ed è tuttora) la Sezione 702 del Foreign Intelligence Surveillance Act (FISA).
- Operativo dal: 2007 (governo Bush, dopo il Protect America Act)
- Base legale: Sezione 702 FISA Amendments Act 2008, rinnovata periodicamente
- Cosa raccoglie: email, video, chat vocali e testuali, VoIP, foto, trasferimenti file, social network, notifiche di accesso
- Aziende incluse (da documenti Snowden): Google/YouTube, Microsoft/Skype, Apple, Facebook, Yahoo/AOL, PalTalk
- Metodo: L’NSA invia richieste mirate alle aziende; i dati vengono consegnati in un “secure server” dedicato da cui l’NSA preleva le informazioni
- Peso nel sistema: 91% dell’intelligence internet NSA proveniva da PRISM (fonte: EPIC v. DOJ)
🤐 Il problema della segretezza obbligatoria
Le aziende coinvolte — Google inclusa — non possono legalmente rivelare di aver ricevuto richieste FISA. La legge americana vieta esplicitamente di comunicare pubblicamente l’esistenza, il numero o il contenuto di tali richieste. Google pubblica un Transparency Report semestrale che include le richieste governative, ma — significativamente — i dati FISA vengono riportati solo in intervalli aggregati di 250 unità (es. “0–249 richieste”) e con un ritardo obbligatorio di 6 mesi. Questo rende impossibile una stima precisa.
«Google, Microsoft and Twitter publish transparency reports detailing government requests for information, but these reports do not include FISA requests because they are not allowed to acknowledge them.» Eyerys.com — basato su documentazione pubblica NSA/FISA
Nel giugno 2013, Google ha formalmente presentato una petizione alla Foreign Intelligence Surveillance Court (FISC) chiedendo il diritto di rivelare pubblicamente il numero esatto di richieste FISA ricevute, argomentando che le restrizioni alla trasparenza violavano il Primo Emendamento (libertà di parola). La petizione ottenne un accordo parziale: Google poteva pubblicare dati in intervalli di 250 richieste con ritardo di 6 mesi. Non abbastanza per una trasparenza reale. Fonte: Time, giugno 2013.
🌍 Le richieste governative europee: l’Italia al 15° posto mondiale
Al di là di PRISM, Google pubblica semestralmenteil numero di richieste di dati utente ricevute da governi di tutto il mondo. Nel periodo più recente disponibile, l’Italia si posiziona regolarmente tra i 15-20 paesi che inviano più richieste a Google nel mondo. Le richieste riguardano procedimenti penali, indagini fiscali, controversie civili. Google pubblica la percentuale di richieste con cui si conforma: tipicamente tra il 60% e il 75% delle richieste italiane vengono soddisfatte.
- Google riceve decine di migliaia di richieste governative di dati utente ogni sei mesi da paesi di tutto il mondo
- Le richieste includono dati di YouTube: cronologia visioni, dati di account, messaggi privati, indirizzi IP
- Il Transparency Report NON include le richieste FISA (classificate) né le NSL (National Security Letters)
- Per le richieste FISA, Google pubblica solo intervalli aggregati di 250 unità con ritardo 6 mesi — aggiornamento più recente: settembre 2025 (correzioni retroattive su UK CLOUD Act IPA)
- Google stima di ricevere FISA content requests per un range di “0–499 account” per semestre — ma l’incertezza dell’intervallo rende il dato poco informativo
🔗 Il legame strutturale: perché Google non può dire no
Un punto spesso trascurato nel dibattito pubblico è che le aziende americane non hanno scelta quando ricevono una richiesta FISA. Sono legalmente obbligate a consegnare i dati. Rifiutarsi esporrebbe l’azienda a gravi conseguenze legali. E non solo: il CLOUD Act del 2018 ha esteso questa obbligazione ai dati archiviati su server al di fuori degli Stati Uniti, purché siano “sotto il controllo” di una società americana. YouTube archivia dati in Europa — ma Google è americana, e il CLOUD Act si applica.
I dati di un utente europeo su YouTube, archiviati su server europei, possono in teoria essere richiesti dalle autorità americane tramite il CLOUD Act o FISA, indipendentemente dal GDPR. Questo è il nodo tecnico-legale irrisolto tra USA e UE che ha portato all’annullamento del Privacy Shield nel 2020 (sentenza Schrems II, CGUE). Il suo successore, il Data Privacy Framework, approvato nel 2023, è già oggetto di contestazione legale.
🔐 Crittografia: quanta ne usa YouTube?
Dopo le rivelazioni Snowden del 2013, Google ha accelerato l’implementazione della crittografia su tutti i suoi servizi. YouTube utilizza HTTPS/TLS per tutto il traffico web e app, il che significa che i dati in transito tra il browser/app dell’utente e i server Google sono crittografati. Tuttavia, esistono limiti importanti:
- ✓ ATTIVO HTTPS/TLS 1.3 per tutto il traffico web e app
- ✓ ATTIVO Crittografia dei dati archiviati sui server Google
- ✗ ASSENTE End-to-end encryption per messaggi privati (non come Signal/WhatsApp)
- ✗ ASSENTE Crittografia che impedisca a Google stessa di accedere ai vostri dati
- ~ PARZIALE I dati sono crittografati, ma Google ha le chiavi. Qualsiasi governo possa ottenere un ordine FISA ottiene i dati in chiaro.