Sat, 28 Oct 2023 16:08:57 GMT

Ho letto recentemente un po' di cose, di là, sul #doxxing, sul trattamento di dati personali raccolti da "fonti pubbliche" (liberamente accessibili in rete) e sulla rivelazione dell'identità di chi sceglie di ricorrere a uno pseudonimo. Thread lungo, scusate. (1/17)

Mi sembra che non sia una questione semplice e che, perciò, ci possa essere un po' di confusione (e ci sta). Per prima cosa, nel nostro ordinamento non c'è una vera e propria definizione di ciò che viene chiamato #doxxing. (2/17)

"Di là" viene definito come "sharing someone’s private information online without their permission" e, se ci fermassimo qui, in linea di massima si potrebbe provare a tradurre come diffusione non autorizzata di dati personali. (3/17)

Il problema, però, è anche (e soprattutto) provare a capire, e distinguere, quantomeno: (1) chi raccolga questi dati personali; (2) per quale motivo li tratti (finalità) e (3) su quale presupposto di liceità (base giuridica), oltre che come (ma evitiamo). (4/17)

Capire chi tratta i dati è importante, perché può incidere anche sugli altri aspetti del trattamento: il fatto che un PM raccolga informazioni per indagare su un possibile reato (e su chi possa averlo commesso) è chiaramente diverso dal "dossieraggio" di un privato. (5/17)

Oltretutto, occorrono delle distinzioni anche tra privati: il GDPR non si applica ai trattamenti "effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico", ma (6/17)

questo non vuole dire, chiaramente, che un privato possa diffondere liberamente dati personali di terzi, anche perché la diffusione mi pare radicalmente incompatibile con un carattere "esclusivamente personale o domestico". (7/17)

Ancora, una P.A. può di certo "condividere in rete dati personali di privati", anche senza il loro permesso, se è necessario per perseguire una finalità legittima e sorretta da adeguata base giuridica: i dati necessari per i risultati di un bando, ad esempio. (8/17)

Non è facile, perciò. La diffusione di dati personali in rete, anche senza autorizzazione, non è sempre e comunque illecita e, anzi, in certi casi è espressamente disciplinata (divulgazione pubblica a fini di whistleblowing). (9/17)

Allo stesso modo, è lecito ricorrere a esperti di sicurezza informatica nell'ambito di indagini difensive (391 bis c.p.p.): ciò non vuol dire che, nell'ambito delle loro indagini, questi esperti possano liberamente "bucare" account o siti oppure, ancora, che possano (10/17)

diffondere in rete il risultato delle loro verifiche, anche se svolte mediante "fonti pubbliche". Tra l'altro, il riferimento alle "fonti pubbliche" in questi casi non risolve niente: fino al 2003, il consenso non era richiesto per (11/17)

"dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque" (art. 12 L. 675/1996), ma si tratta di una norma abrogata da tempo e già nel Codice Privacy del 2003 era scritta diversamente. (12/17)

Quindi? Sarei cauto, tutto qui. Il "doxxing", com'è definito di là, viola i T&C di X con le relative conseguenze; qui i "prohibited uses" sono scritti meglio, forse non a caso. E' reato? (13/17)

Sarei cauto a maggior ragione, e dipende dal caso specifico, ma se la pubblicazione non autorizzata (di là o di qua) si limita all'identità e non riguarda dati sensibili, biometrici o giudiziari (che chiamo così per facilità), in generale propenderei per il no. (14/17)

E' sanzionabile? Salvi casi eccezionali, sì e direi che siamo nello "scaglione sanzionatorio" più pesante. Quanto fa? Dipende da moltissimi fattori (11 in tutto), come il numero di interessati, le categorie di dati, gravità e conseguenze della violazione. (15/17)

Verrà sanzionato? Se qualcuno proporrà reclamo, lo vedremo. In teoria il Garante potrebbe procedere anche d'ufficio, o dietro segnalazione, ma mi sembra già sufficientemente "carico" (e non so se "citofonare" con tag sui social sia opportuno). (16/17)

Bonus track: ho visto da più parti link a questo articolo (https://www.altalex.com/guide/doxxing) che mi sembra che citi l'art. 167 del Codice Privacy solo parzialmente, con qualche rischio di confusione sulle conseguenze penali. (17/17)

(Ho scritto troppo, sorry. Contributi, critiche e commenti più che bene accetti e taggo @quensil.bsky.social, @fabioquellaltro.bsky.social, @vitalbaa.bsky.social, @giorgialodi.bsky.social, @informapirata.bsky.social, @dpo.bsky.social)

My Feed