Dati personali rubati e pubblicati sul dark web: perché l’interesse pubblico non autorizza media e social a ripubblicare tutto

Il caso Tajani pone un problema che va molto oltre la privacy di un esponente politico

La diffusione sul dark web di dati personali riferiti al Vicepresidente del Consiglio Antonio Tajani e ai suoi familiari ha determinato un intervento particolarmente netto del Garante per la protezione dei dati personali.

L’Autorità ha richiamato media, testate giornalistiche, siti web e piattaforme sulla necessità di non trasformare la notiziabilità dell’accaduto in una ulteriore circolazione delle informazioni sottratte.

Il principio espresso dal Garante è di notevole importanza: la provenienza illecita del dato non viene sanata dal fatto che esso sia successivamente reperibile online e neppure dal fatto che la persona cui si riferisce ricopra un ruolo pubblico.

Questa distinzione è essenziale.

Una cosa è raccontare che si è verificata una diffusione illecita di dati.

Un’altra è riprodurre quei dati.

Una cosa è informare sulla gravità di un attacco, sulla vulnerabilità dimostrata o sulle conseguenze istituzionali della vicenda.

Altra cosa è pubblicare indirizzi, numeri, documenti, credenziali, informazioni familiari o qualsiasi altro dato personale eventualmente contenuto nel materiale sottratto quando la conoscenza di quel dato specifico non sia indispensabile per comprendere il fatto di interesse pubblico.

È precisamente in questo spazio che si colloca il bilanciamento tra diritto di cronaca e protezione dei dati personali.

Il dark web non trasforma un dato rubato in un dato pubblico

Uno degli equivoci più pericolosi consiste nel pensare che, una volta comparsa un’informazione sul dark web, quella informazione sia ormai “pubblica” e possa quindi essere liberamente rilanciata.

Giuridicamente non funziona così.

La reperibilità tecnica di un dato e la liceità della sua diffusione sono due questioni completamente differenti.

Un documento sottratto attraverso un accesso abusivo, una violazione informatica o altra attività illecita non diventa un documento liberamente utilizzabile semplicemente perché qualcuno lo abbia caricato su un forum, su un canale o su un sito raggiungibile da altre persone.

La successiva pubblicazione può costituire un nuovo trattamento di dati personali, autonomo rispetto alla sottrazione originaria.

Di conseguenza, il soggetto che decide di ripubblicare il contenuto deve poter giustificare il proprio trattamento secondo la disciplina che gli è applicabile.

Il fatto che un terzo abbia commesso prima una violazione non attribuisce automaticamente agli altri un diritto di replicarla.

La notizia può essere pubblica senza che lo siano necessariamente i dati che ne costituiscono l’oggetto

È forse il punto più importante.

Il pubblico può avere un interesse assolutamente legittimo a conoscere che dati personali riferiti a una figura istituzionale siano stati illecitamente diffusi.

Questa circostanza può costituire una notizia.

Può essere rilevante sotto il profilo della cybersecurity.

Può avere implicazioni politiche, istituzionali, investigative o di sicurezza.

Ma l’esistenza dell’interesse pubblico alla vicenda non comporta automaticamente un interesse pubblico alla conoscenza di ogni singola informazione contenuta nei dati sottratti.

La cronaca può quindi informare sull’esistenza del leak senza necessariamente pubblicare il leak.

Questa distinzione consente di preservare contemporaneamente libertà di stampa e protezione della persona.

Essere una figura pubblica non significa rinunciare alla privacy

Anche questo principio deve essere chiarito.

Il diritto alla riservatezza di una persona che ricopre un incarico politico o istituzionale incontra limiti più ampi quando le informazioni riguardano l’esercizio della funzione, comportamenti pubblici o fatti direttamente rilevanti per il dibattito democratico.

Ma la notorietà non produce una cancellazione generale del diritto alla protezione dei dati.

Il personaggio pubblico continua a conservare una sfera personale.

Il punto di equilibrio cambia a seconda della natura dell’informazione.

Più il dato è direttamente collegato all’esercizio della funzione pubblica, più può rafforzarsi l’interesse della collettività a conoscerlo.

Più il dato appartiene invece alla sfera personale e non è necessario per comprendere una vicenda di interesse pubblico, più forte diventa la protezione della riservatezza.

La qualità pubblica dell’interessato, dunque, non è una autorizzazione generale alla pubblicazione.

È uno degli elementi del bilanciamento.

Ancora più forte è la tutela dei familiari

La presenza, nel medesimo insieme di informazioni, di dati riferiti ai familiari pone una questione ulteriore.

Essere coniuge, figlio, parente o familiare di un personaggio pubblico non significa automaticamente essere a propria volta una figura pubblica.

La notorietà non si trasferisce per relazione familiare.

Le Regole deontologiche relative all’attività giornalistica richiedono una particolare cautela rispetto ai congiunti e agli altri soggetti che non siano direttamente interessati ai fatti di rilevanza pubblica.

Di conseguenza, anche quando una determinata informazione relativa al politico possa essere pertinente alla cronaca, non ne deriva che possano essere pubblicati indiscriminatamente i dati delle persone che gli sono vicine.

La valutazione deve essere individuale.

Il diritto di cronaca non richiede normalmente il consenso dell’interessato

L’intervento del Garante non deve essere interpretato come un divieto generale per i giornalisti di trattare dati personali senza consenso.

Sarebbe incompatibile con la libertà di stampa.

Il GDPR, all’articolo 85, e il Codice in materia di protezione dei dati personali, agli articoli 136 e seguenti, prevedono un regime specifico volto proprio a conciliare protezione dei dati e libertà di espressione e informazione.

Nell’esercizio legittimo dell’attività giornalistica, il consenso della persona cui i dati si riferiscono non costituisce in via generale il presupposto necessario per pubblicare una notizia.

Altrimenti qualsiasi persona oggetto di una inchiesta potrebbe impedirne la pubblicazione semplicemente negando il consenso.

Ma l’assenza della necessità del consenso non significa assenza di limiti.

Il giornalista continua a dover rispettare i limiti del diritto di cronaca e, in particolare, l’essenzialità dell’informazione rispetto a fatti di interesse pubblico.

L’essenzialità dell’informazione è la regola decisiva

L’articolo 137 del Codice privacy e le Regole deontologiche relative all’attività giornalistica attribuiscono all’essenzialità dell’informazione una funzione centrale.

Prima di pubblicare un dato personale bisogna chiedersi se la sua conoscenza sia realmente necessaria per informare il pubblico sul fatto.

Non basta che il dato sia interessante.

Non basta che possa attirare lettori.

Non basta che renda l’articolo più dettagliato.

Deve esistere una relazione sostanziale tra quella specifica informazione e il fatto di interesse pubblico.

La differenza è quella tra interesse pubblico e semplice curiosità del pubblico.

Sono concetti completamente differenti.

Posso scrivere che i dati sono finiti sul dark web senza pubblicarli?

Sì, ed è precisamente la distinzione che il caso rende particolarmente evidente.

Una testata può raccontare l’esistenza della diffusione.

Può spiegare la natura generale dell’incidente.

Può indicare che sono coinvolti dati personali.

Può ricostruire le reazioni delle autorità.

Può analizzare le implicazioni in materia di cybersecurity e privacy.

Può riferire l’avvio di eventuali accertamenti.

Tutto questo non richiede necessariamente di mostrare al pubblico le informazioni sottratte.

La notizia è il fatto che la violazione sia avvenuta.

I dati rubati sono l’oggetto della violazione.

Confondere le due cose significa trasformare la cronaca dell’illecito in uno strumento di ulteriore amplificazione dell’illecito stesso.

Ripubblicare uno screenshot può equivalere a diffondere nuovamente i dati

Non è necessario trascrivere materialmente una informazione perché avvenga una diffusione.

Anche la pubblicazione di una fotografia, di uno screenshot, di un file o di un documento può rendere conoscibili dati personali.

La stessa cautela deve essere utilizzata con i video nei quali venga mostrato il contenuto del database sottratto.

In pratica, scrivere: “Questi sono i documenti pubblicati dagli hacker”

e allegare una schermata leggibile può produrre esattamente l’effetto che la normativa cerca di evitare.

La forma tecnica utilizzata non modifica la sostanza del trattamento.

Anche il collegamento diretto al materiale sottratto può essere problematico

Una testata potrebbe evitare di pubblicare direttamente i dati ma indicare al lettore dove trovarli.

Anche questo comportamento deve essere valutato con grande cautela.

Fornire un percorso diretto verso materiale illecito può amplificarne significativamente la diffusione.

Il fatto che il contenuto sia materialmente ospitato altrove non rende necessariamente neutrale la scelta editoriale di indirizzare migliaia di persone verso di esso.

La funzione concreta del collegamento e il contesto devono quindi essere considerati nella valutazione.

“Ma ormai quei dati li hanno visti tutti” non è una giustificazione

La viralità di una informazione non produce una sanatoria giuridica.

Anzi, ogni nuova pubblicazione può aumentare il danno.

Un dato inizialmente disponibile in un ambiente relativamente circoscritto può essere indicizzato dai motori di ricerca, ripreso dai social, copiato da altre testate e reso facilmente accessibile per anni.

La seconda diffusione può quindi avere un impatto persino maggiore rispetto alla prima.

È per questo che l’argomento: “era già online”

non può essere utilizzato automaticamente per giustificare una ulteriore pubblicazione.

Il giornalista può descrivere il documento senza mostrarlo integralmente

La tutela dell’informazione non richiede necessariamente una scelta binaria tra silenzio assoluto e pubblicazione integrale.

Esiste una terza possibilità: selezionare.

Quando una informazione contenuta in un documento possiede effettivo interesse pubblico, il giornalista può riferire il fatto nella misura necessaria, evitando di esporre dati ulteriori privi di pertinenza.

La tecnica giornalistica e la protezione dei dati possono quindi convergere.

Si può raccontare il contenuto rilevante senza diffondere numeri, identificativi, indirizzi o ulteriori informazioni personali non indispensabili.

L’oscuramento dei dati è uno strumento, non una soluzione automatica

La redazione può utilizzare tecniche di anonimizzazione o oscuramento.

Un documento può essere mostrato nascondendo determinate informazioni.

Ma anche questa operazione richiede attenzione.

Oscurare il nome e lasciare visibili altri elementi che consentono facilmente l’identificazione non significa necessariamente anonimizzare il documento.

Occorre considerare l’insieme delle informazioni.

Inoltre, quando il documento contiene dati di terze persone o familiari, il livello di cautela deve aumentare ulteriormente.

Il principio di minimizzazione offre un criterio operativo utile anche alla stampa

Sebbene l’attività giornalistica goda di un regime particolare, la logica della minimizzazione resta molto utile per comprendere quale debba essere il comportamento corretto.

Bisogna utilizzare soltanto le informazioni necessarie allo scopo informativo perseguito.

Se per spiegare l’incidente è sufficiente affermare che sono stati diffusi dati personali, non esiste necessariamente ragione per pubblicarne il contenuto.

Se una specifica informazione è indispensabile per dimostrare un fatto di rilevanza pubblica, la valutazione cambia.

La selezione deve essere svolta dato per dato.

La provenienza illecita è un elemento particolarmente grave

La peculiarità dell’intervento del Garante nel caso Tajani consiste nell’avere sottolineato anche la provenienza illecita dei dati.

Il problema non nasce soltanto dalla natura delle informazioni.

Nasce anche dal modo in cui sono state ottenute e immesse in circolazione.

La testata che decide di utilizzare materiale derivante da una attività illecita non può considerare neutrale questa circostanza.

Nel caso specifico, l’Autorità ha espressamente avvertito che anche l’acquisizione, oltre alla diffusione e alla ripubblicazione, può integrare una violazione della disciplina sulla protezione dei dati.

Per una redazione questo significa che il problema deve essere affrontato prima ancora della pubblicazione, già nel momento in cui si valuta se procurarsi o conservare il materiale.

La verifica giornalistica non coincide necessariamente con il possesso dell’intero database

Un giornalista deve verificare le notizie.

Ma la necessità di verifica non comporta automaticamente l’esigenza di scaricare, conservare e diffondere un intero archivio di dati personali sottratti.

La verifica può essere costruita attraverso fonti istituzionali, comunicazioni ufficiali, conferme indipendenti e altri elementi compatibili con il principio di proporzionalità.

Quando l’acquisizione del materiale grezzo comporta un trattamento di enormi quantità di dati personali, il rischio giuridico cresce sensibilmente.

Nel caso di materiale proveniente da attività dichiaratamente illecite, è quindi necessaria una valutazione particolarmente rigorosa prima di qualsiasi trattamento.

La tutela della fonte giornalistica non rende automaticamente lecito il contenuto

La protezione delle fonti costituisce uno dei cardini della libertà di stampa.

Ma deve essere tenuta distinta dal problema della liceità della pubblicazione.

Il fatto che un giornalista abbia diritto, nei limiti previsti dall’ordinamento, alla tutela della propria fonte non significa che possa pubblicare qualsiasi dato ricevuto da quella fonte.

Sono questioni differenti.

La riservatezza della fonte protegge il processo giornalistico.

Il controllo sull’essenzialità riguarda invece ciò che viene successivamente diffuso al pubblico.

Un documento autentico può essere comunque illecitamente pubblicabile

Autenticità e liceità sono concetti differenti.

Un dato può essere autentico.

Può essere perfettamente vero.

Può provenire realmente dalla persona interessata.

E può comunque non essere lecitamente diffondibile.

Questa distinzione è fondamentale perché il diritto di cronaca viene spesso ridotto al solo requisito della verità.

La verità è importante.

Ma non è l’unico parametro.

Deve esistere anche l’interesse pubblico e devono essere rispettati i limiti di essenzialità, dignità e pertinenza.

Anche il dato vero può essere inutilmente lesivo

Si immagini un documento contenente numerose informazioni.

Soltanto una ha interesse pubblico.

Le altre riguardano la vita privata.

Pubblicare l’intero documento sostenendo che “è tutto autentico” non risolve la questione.

La domanda è: era necessario rendere pubbliche anche quelle informazioni per raccontare il fatto?

Se la risposta è negativa, la veridicità non rende automaticamente proporzionata la diffusione.

Dati particolarmente sensibili richiedono una cautela ancora maggiore

Quando il materiale contiene informazioni appartenenti a categorie particolarmente protette, la valutazione deve diventare ancora più rigorosa.

Il diritto europeo riconosce una tutela rafforzata, ad esempio, alle informazioni relative alla salute, alle convinzioni religiose, alle opinioni politiche, alla vita sessuale e ad altre categorie particolari di dati.

Nel giornalismo possono operare specifiche deroghe, proprio per assicurare la libertà di informazione.

Ma queste deroghe non cancellano il criterio dell’essenzialità.

Il giornalista deve sempre interrogarsi sull’effettiva necessità della pubblicazione.

Anche i dati apparentemente “ordinari” possono creare un rischio enorme

Non bisogna pensare che il problema riguardi soltanto dati sanitari o altre categorie speciali.

Un numero telefonico personale, un indirizzo, un identificativo, una informazione familiare o dati che facilitino l’impersonificazione possono essere estremamente pericolosi.

Una diffusione massiva può favorire phishing, social engineering, furti d’identità, molestie e ulteriori tentativi di compromissione.

Il danno derivante da un leak non si limita quindi alla perdita astratta di riservatezza.

Può creare nuovi rischi concreti per le persone coinvolte.

Il giornale che ripubblica assume una responsabilità propria

Un principio fondamentale della materia è che le condotte devono essere valutate separatamente.

Il responsabile della sottrazione originaria può rispondere della propria attività.

Chi pubblica successivamente può effettuare un ulteriore trattamento.

Chi rilancia sui social può aggiungere una nuova diffusione.

Chi ospita il contenuto può trovarsi soggetto ai propri obblighi.

Non esiste una unica responsabilità che assorbe tutte le altre.

La prima violazione non rende giuridicamente irrilevanti quelle successive.

Lo stesso vale per influencer, blogger e siti non giornalistici

La disciplina non riguarda soltanto i giornalisti iscritti all’Ordine.

Il Codice privacy contempla, entro il proprio ambito, anche trattamenti effettuati per finalità di pubblicazione occasionale di articoli, saggi e altre manifestazioni del pensiero.

Ma questo non significa che qualsiasi utente social acquisisca automaticamente tutte le prerogative della stampa.

La diffusione pubblica di dati personali attraverso un profilo social aperto non rientra necessariamente nell’attività esclusivamente personale o domestica.

Anche chi rilancia informazioni sul proprio account deve quindi considerare la liceità della diffusione.

“Non sono un giornalista” non costituisce una esenzione generale dalla normativa sulla protezione dei dati.

Condividere il post originale può essere comunque una nuova amplificazione

Il fatto di non avere materialmente caricato per primi il documento non significa necessariamente non contribuire alla sua diffusione.

Una condivisione può rendere il contenuto accessibile a una platea ulteriore.

Il diritto deve sempre guardare alla funzione concreta del comportamento.

Un utente che ripubblica sul proprio profilo dati personali sottratti non può automaticamente sostenere:

“Non li ho pubblicati io, li ho soltanto condivisi”.

La condivisione è precisamente una modalità di diffusione.

Le piattaforme non sono automaticamente responsabili di tutto ciò che gli utenti caricano

Anche qui è necessario evitare semplificazioni.

Il fatto che un contenuto illecito compaia su una piattaforma non significa che la piattaforma diventi automaticamente responsabile nel medesimo modo dell’autore della pubblicazione.

Il regime delle piattaforme deve essere valutato alla luce del Digital Services Act, della disciplina sulla protezione dei dati e degli eventuali ordini delle autorità competenti.

Ma quando il Garante adotta provvedimenti o richiede la rimozione di contenuti, l’operatore non può ignorare tali interventi.

Nel caso Tajani l’Autorità ha espressamente annunciato la possibilità di chiedere alle piattaforme la rimozione dei dati.

Il Garante può intervenire con misure molto incisive

Il GDPR attribuisce alle autorità nazionali di controllo poteri correttivi particolarmente ampi.

Il Garante può, ricorrendone i presupposti, imporre una limitazione provvisoria o definitiva del trattamento, incluso il divieto, e può ordinare la cancellazione dei dati.

A questi poteri possono accompagnarsi ulteriori interventi previsti dal GDPR e dalla disciplina nazionale.

Nel comunicato relativo al caso in esame, l’Autorità ha annunciato espressamente che monitorerà la circolazione delle informazioni e potrà adottare con urgenza provvedimenti di limitazione o divieto, richiedendo la rimozione dei contenuti dalle piattaforme.

Il messaggio ai media è quindi particolarmente chiaro: non si tratta di un semplice richiamo etico.

La libertà di stampa rimane pienamente tutelata

La fermezza dell’intervento non deve essere interpretata come censura preventiva della notizia.

Il giornalismo mantiene una funzione essenziale nell’ordinamento democratico.

L’articolo 21 della Costituzione tutela la libertà di manifestazione del pensiero e la libertà di stampa.

L’articolo 85 GDPR impone agli Stati membri di conciliare protezione dei dati e libertà di espressione e informazione.

La disciplina italiana prevede espressamente deroghe per l’attività giornalistica.

Il problema non consiste quindi nel vietare di parlare dell’episodio.

Consiste nel chiedere al giornalista di compiere l’operazione fondamentale che appartiene alla stessa funzione professionale della stampa:

selezionare ciò che è realmente necessario pubblicare.

Informare non significa necessariamente mostrare

Questa formula sintetizza bene il problema.

Un servizio giornalistico può essere completo senza riprodurre il dato personale.

Può spiegare:

• che è avvenuta una sottrazione;
• che determinati dati sono stati messi in circolazione;
• quali siano i rischi;
• quale autorità stia intervenendo;
• quali conseguenze istituzionali o di sicurezza ne derivino.

Non è sempre necessario mostrare la schermata contenente le informazioni della vittima.

Una cronaca rigorosa può essere molto dettagliata e contemporaneamente rispettosa della privacy.

Il titolo giornalistico non può diventare un espediente per diffondere il dato

Anche titoli, sottotitoli, anteprime social e miniature fanno parte della diffusione.

Non sarebbe coerente oscurare correttamente il dato nell’articolo e inserirlo poi nel titolo condiviso sui social.

La valutazione deve riguardare l’intera comunicazione editoriale.

Lo stesso vale per fotografie e didascalie.

L’essenzialità dell’informazione non cambia a seconda della posizione grafica nella quale il dato viene collocato.

Gli archivi online rendono il danno potenzialmente permanente

La ripubblicazione digitale presenta inoltre una caratteristica che la distingue dalla vecchia carta stampata.

Il contenuto può rimanere accessibile per anni.

Può essere indicizzato.

Può essere copiato.

Può comparire nelle ricerche sul nome della persona.

Può alimentare ulteriori banche dati.

Il danno non si esaurisce necessariamente nelle ventiquattro ore della notizia.

Questa persistenza aumenta la responsabilità nella scelta iniziale di ciò che viene pubblicato.

Il diritto all’oblio non è la prima risposta quando il dato non avrebbe dovuto essere pubblicato

Si parla spesso di diritto all’oblio come rimedio successivo.

Ma la migliore tutela rimane evitare una diffusione sproporzionata all’origine.

Se una informazione non è essenziale per la cronaca, la soluzione corretta non dovrebbe essere:

“la pubblichiamo oggi e tra cinque anni vedremo se deindicizzarla”.

Il principio di responsabilità richiede una valutazione preventiva.

Il diritto all’oblio non deve diventare il modo per correggere sistematicamente decisioni editoriali evitabili.

Se il dato viene diffuso illecitamente, l’interessato può chiedere tutela

L’interessato dispone degli strumenti previsti dalla normativa sulla protezione dei dati.

A seconda delle circostanze può chiedere la cessazione del trattamento, la cancellazione, la limitazione e rivolgersi al Garante o all’autorità giudiziaria.

Quando dal trattamento illecito derivi un danno materiale o immateriale, può inoltre assumere rilievo l’articolo 82 GDPR sul diritto al risarcimento, naturalmente nei limiti dei presupposti richiesti dalla norma.

Non basta quindi dimostrare una astratta violazione per ottenere automaticamente qualsiasi somma.

Devono essere valutati violazione, danno e nesso causale.

Il risarcimento per violazione della privacy non è una pena privata

Il GDPR non attribuisce al danneggiato una somma punitiva semplicemente perché il titolare abbia sbagliato.

Il risarcimento ha funzione compensativa.

Può riguardare danni patrimoniali e non patrimoniali, quando ne ricorrano le condizioni.

Nel caso di una divulgazione massiva di dati personali possono essere rilevanti, a seconda dei fatti, conseguenze reputazionali, perdita di controllo sui dati, rischi concreti e ulteriori effetti pregiudizievoli.

Ogni domanda deve però essere costruita sul caso specifico.

La diffamazione è una questione ulteriore e non coincide con la violazione della privacy

La pubblicazione di un dato può essere illecita sotto il profilo della protezione dei dati senza essere diffamatoria.

Viceversa, una comunicazione può essere diffamatoria anche senza comportare un particolare problema di privacy.

Le due discipline proteggono beni diversi.

La privacy riguarda il trattamento di informazioni personali e il controllo sulla loro diffusione.

La diffamazione riguarda l’offesa alla reputazione attraverso la comunicazione a più persone nei termini previsti dalla legge.

In una stessa vicenda possono eventualmente concorrere più profili, ma non devono essere confusi.

Anche chi ha originariamente subito l’attacco può avere propri obblighi

Esiste poi un piano completamente diverso.

Se i dati presenti sul dark web provengono da una violazione di un sistema appartenente a un titolare del trattamento, occorre verificare se si sia verificato un data breach ai sensi del GDPR.

Il titolare deve valutare il rischio prodotto dalla violazione e, quando ricorrono i presupposti, notificare l’evento al Garante senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza.

Quando la violazione presenta un rischio elevato per i diritti e le libertà delle persone, può essere necessaria anche la comunicazione agli interessati.

Ma questo piano deve essere tenuto distinto dalla successiva attività dei media.

Il fatto che il titolare abbia subito un attacco non significa automaticamente che abbia violato il GDPR

Anche questo è importante.

Subire un cyberattacco non equivale automaticamente a essere responsabili di un illecito privacy.

Bisogna verificare se le misure tecniche e organizzative fossero adeguate al rischio, se gli obblighi di sicurezza previsti dall’articolo 32 GDPR fossero rispettati e come sia stata gestita la violazione.

Nessun sistema può garantire l’assenza assoluta di attacchi.

La responsabilità dipende dalla concreta adeguatezza delle misure e dal comportamento successivo all’incidente.

La provenienza dei dati deve essere accertata prima di attribuire responsabilità

Nel caso di informazioni comparse sul dark web non bisogna automaticamente concludere che siano state sottratte direttamente alla persona cui si riferiscono o a una specifica amministrazione.

I dati possono provenire da differenti fonti.

Possono essere aggregati.

Possono derivare da violazioni avvenute in momenti diversi.

Possono anche essere mescolati con informazioni false.

Prima di attribuire responsabilità a un determinato titolare è quindi necessario ricostruire la fonte effettiva della compromissione.

L’esistenza del leak non dimostra da sola quale sistema sia stato violato.

I giornalisti devono verificare anche l’autenticità del materiale

Un’altra ragione per la quale la ripubblicazione indiscriminata è pericolosa consiste nella possibilità che i dati presenti sul dark web siano manipolati.

Gli attaccanti possono mescolare informazioni autentiche e false.

Possono modificare documenti.

Possono utilizzare dati precedentemente pubblici e presentarli come risultato di un nuovo attacco.

La pressione a pubblicare per primi non dovrebbe quindi sostituire il dovere di verifica.

Una informazione sottratta illegalmente non è necessariamente anche una informazione corretta.

L’interesse politico non coincide con l’interesse per la vita privata

Quando la persona coinvolta svolge un ruolo istituzionale, il giornalista deve valutare con particolare attenzione il rapporto tra informazione e funzione pubblica.

Un fatto che incida sull’esercizio della carica, sull’utilizzo di risorse pubbliche o su una questione istituzionalmente rilevante può avere un interesse giornalistico molto forte.

Un dettaglio puramente familiare o personale privo di rapporto con la funzione rimane invece protetto in misura molto maggiore.

La notorietà del protagonista non consente di eliminare questa distinzione.

I familiari non devono diventare strumenti per raccontare il personaggio pubblico

È un problema ricorrente nel giornalismo politico.

L’interesse per una figura istituzionale può portare ad ampliare la narrazione alle persone che gli sono vicine.

Ma un familiare non perde la propria autonomia personale per il solo rapporto con il personaggio pubblico.

Quando il familiare non ha un ruolo nella vicenda di interesse pubblico, la divulgazione dei suoi dati deve essere valutata con particolare rigore.

La regola assume ancora maggiore forza quando siano coinvolti soggetti vulnerabili o minori.

Anche una testata straniera accessibile dall’Italia può porre questioni complesse

Internet rende la diffusione transnazionale.

Un contenuto può essere pubblicato da una testata situata in un altro Stato e diventare immediatamente accessibile in Italia.

La determinazione della legge applicabile, della giurisdizione e dei poteri delle autorità può diventare complessa.

Non si può quindi presumere che collocare il server o l’editore fuori dall’Italia renda automaticamente irrilevante il diritto europeo sulla protezione dei dati.

Il GDPR possiede un ambito territoriale molto ampio quando ricorrono le condizioni previste dall’articolo 3.

Il ruolo dei motori di ricerca può amplificare ulteriormente il problema

Una notizia pubblicata da un singolo sito può diventare molto più facilmente accessibile attraverso l’indicizzazione.

Per questo il diritto europeo ha progressivamente sviluppato anche una tutela relativa alla deindicizzazione in determinate circostanze.

Ma ancora una volta la questione deve essere esaminata caso per caso.

Un articolo di rilevante interesse pubblico attuale può legittimamente continuare a essere reperibile.

Un dato personale non necessario inserito nel medesimo articolo può invece generare problemi differenti.

La soluzione migliore rimane la corretta selezione all’origine.

Che cosa dovrebbe fare concretamente una redazione davanti a un leak

La prima domanda non dovrebbe essere: “Possiamo pubblicarlo?”

Dovrebbe essere: “Qual è la notizia?”

Se la notizia è l’esistenza dell’attacco, bisogna raccontare l’attacco.

Se una specifica informazione contenuta nel materiale è indispensabile per comprendere un fatto di interesse pubblico, occorre valutarne proporzionalità ed essenzialità.

Tutto ciò che non serve alla funzione informativa dovrebbe essere escluso, oscurato o trattato in maniera da impedire una diffusione non necessaria.

Quando il materiale proviene da attività manifestamente illecite e contiene grandi quantità di dati personali, l’acquisizione stessa richiede, alla luce dell’avvertimento del Garante, una valutazione preventiva estremamente rigorosa.

Una redazione non dovrebbe trasformarsi involontariamente nel moltiplicatore dell’attacco

È questa la logica più profonda dell’intervento dell’Autorità.

Per chi sottrae informazioni personali, ottenere l’attenzione dei media può costituire una forma di amplificazione.

Il materiale inizialmente confinato in ambienti poco accessibili raggiunge improvvisamente milioni di persone.

Il nome dell’attaccante viene ripreso.

I documenti vengono mostrati.

I dati vengono copiati.

La violazione originaria acquisisce una portata immensamente maggiore.

Il giornalismo deve quindi raccontare la vicenda senza diventare inconsapevolmente lo strumento attraverso il quale l’attacco raggiunge il proprio massimo impatto.

Anche il lettore dovrebbe evitare di rilanciare i dati

La responsabilità sociale non riguarda soltanto le redazioni.

Quando una persona incontra sui social uno screenshot contenente dati personali rubati, dovrebbe evitare di rilanciarlo.

La condivisione contribuisce alla persistenza dell’informazione.

Può portarla davanti a nuovi destinatari.

E rende molto più difficile rimuoverla successivamente.

L’idea: “Lo condivido perché tanto è già pubblico” è precisamente una delle ragioni per cui un leak limitato può diventare irreversibile.

Il principio conclusivo: l’interesse pubblico legittima la notizia, non necessariamente il dato rubato

Il caso Tajani rende particolarmente evidente un principio che vale ben oltre la singola vicenda.

Quando dati personali vengono sottratti e messi in circolazione illegalmente, esistono due oggetti completamente differenti.

Il primo è il fatto della sottrazione e della diffusione.

Il secondo è il contenuto dei dati sottratti.

Il primo può costituire una notizia di rilevante interesse pubblico, soprattutto quando coinvolge una figura istituzionale.

Il secondo deve essere sottoposto a un controllo molto più rigoroso.

Essere un personaggio pubblico non significa rinunciare alla protezione dei dati.

Essere un familiare di un personaggio pubblico non significa diventare automaticamente persona pubblica.

Il fatto che una informazione sia vera non significa che sia indispensabile pubblicarla.

Il fatto che sia già sul dark web non significa che possa essere liberamente rilanciata.

Il fatto che un giornalista possa trattare dati senza consenso non significa che non debba rispettare l’essenzialità dell’informazione.

Il fatto che una testata voglia dimostrare l’esistenza del leak non significa che debba riprodurne integralmente il contenuto.

La libertà di stampa rimane fondamentale.

Ma proprio perché è una libertà essenziale per la democrazia, il suo esercizio non può essere confuso con la semplice replicazione di qualsiasi informazione ottenuta illegalmente.

La domanda che una redazione dovrebbe porsi non è quindi: “Questi dati sono interessanti?”

È: “La conoscenza di questo specifico dato da parte del pubblico è realmente indispensabile per comprendere il fatto di interesse generale che stiamo raccontando?”

Quando la risposta è negativa, la funzione giornalistica può essere pienamente esercitata senza pubblicarlo.

Ed è questo il confine tra raccontare una violazione e contribuire a perpetuarla.