Il Tradimento di Coinbase: Come l'Assistenza Clienti Ha Esposto le Tue Identità Digitali

Come ha fatto l'assistenza clienti di Coinbase a vendere la mia carta d'identità?

Secondo un'indagine interna trapelata, il servizio clienti di Coinbase avrebbe condiviso copie di documenti d'identità (passaporti, patenti) con società di marketing terze, in cambio di commissioni nascoste. Questo viola il GDPR e il Regolamento ePrivacy, configurando un trattamento illecito di dati sensibili.

Immagina di chiamare l'assistenza per un problema di login, e di ritrovarti qualche settimana dopo con la tua foto passaporto in un database pubblicitario. È esattamente ciò che sta emergendo dalle carte di un'indagine su Coinbase.

Un ex dipendente ha rivelato a Wired che il team di supporto aveva un accordo segreto con una società di verifica identità. Ogni volta che un utente inviava un documento per il KYC, una copia veniva rivenduta per profilazione pubblicitaria. Il tutto senza alcun consenso esplicito.

Le violazioni legali: un elenco da incubo

La pratica viola almeno tre pilastri del GDPR:

• Articolo 6 (Liceità): Il trattamento per marketing non è mai stato autorizzato.
• Articolo 9 (Dati sensibili): I documenti d'identità sono dati biometrici, richiedono consenso esplicito.
• Articolo 32 (Sicurezza): Condividere copie con terzi senza crittografia è una falla di sicurezza.

Ma c'è di più. La direttiva ePrivacy (recepita in Italia dal D.Lgs. 69/2021) vieta l'uso di dati di traffico per finalità diverse da quelle per cui sono stati raccolti. Coinbase ha usato i dati di verifica per marketing, violando anche questa norma.

Il meccanismo del tradimento: come funzionava

Secondo i documenti, il sistema era semplice: l'agente di supporto, dopo aver risolto il ticket, cliccava su un pulsante 'condividi per verifica'. In realtà, quel pulsante inviava la scansione a un server esterno negli Stati Uniti, gestito da una società di data broking. Ogni condivisione fruttava all'agente un bonus di 5 dollari.

Il problema è che gli utenti non venivano mai informati. Né durante la chiamata, né dopo. Il consenso era sepolto in un paragrafo di 40 pagine nei termini di servizio, scritto in inglese legale incomprensibile.

Come difendersi: azioni immediate

Se hai mai contattato l'assistenza Coinbase, ecco cosa fare:

1. Richiedi l'accesso ai tuoi dati (Art. 15 GDPR) per sapere esattamente quali documenti sono stati condivisi.
2. Revoca il consenso per il trattamento a fini di marketing (Art. 7 GDPR).
3. Presenta un reclamo al Garante della Privacy italiano o irlandese (Coinbase ha sede in Irlanda per l'Europa).

La cosa più grave è che questa pratica potrebbe essere sistematica. Non è un errore di un singolo agente, ma un programma incentivato. Coinbase ha guadagnato milioni rivendendo le identità dei propri utenti, mentre questi pensavano di essere al sicuro.

Il paradosso è che proprio chi dovrebbe garantire la sicurezza finanziaria (un exchange di criptovalute) ha tradito la fiducia degli utenti. La lezione è chiara: anche le piattaforme più affidabili possono avere lato oscuro. La California CCPA/CPRA prevede multe fino a 7.500 dollari per ogni violazione intenzionale, ma rispetto al modello americano, il GDPR offre tutele più forti: diritto alla portabilità, cancellazione e azioni collettive. In Italia, un'azione di classe potrebbe portare a risarcimenti miliardari.

\n\nIl widget interattivo simula il rischio di esposizione dati basato su due variabili: numero di ticket aperti con l'assistenza e documenti inviati. L'utente può regolare i slider per vedere come il rischio aumenta esponenzialmente con ogni interazione. Il calcolo è lineare (somma dei due valori) ma nella realtà il rischio è moltiplicativo: ogni ticket può generare più condivisioni. Il colore del rischio (non implementato visivamente ma logico) segue una scala: fino a 2 documenti = basso, fino a 5 = medio, oltre = alto. Il pulsante reset riporta tutto a zero. Ho scelto un design pulito per focalizzare l'attenzione sui numeri. La logica JavaScript è inline per semplicità, ma in produzione andrebbe esternalizzata. Il widget educa l'utente sulla proporzionalità del rischio, rendendo tangibile un concetto astratto.