Dati rubati e ripubblicati: il dark web non rende il materiale liberamente utilizzabile

Dopo la diffusione di dati riferiti ad Antonio Tajani e ai suoi familiari, il Garante richiama media, siti e piattaforme.

 

Quando un dato personale finisce nel dark web, la sua circolazione può diventare una notizia. Questo, però, non significa che il dato stesso possa essere acquisito, mostrato o rilanciato senza limiti. È il punto centrale del richiamo pubblicato il 7 novembre 2026 dal Garante per la protezione dei dati personali dopo la diffusione di informazioni riferite al vicepresidente del Consiglio Antonio Tajani e ai suoi familiari.

L’Autorità si rivolge a media, testate giornalistiche, siti web e piattaforme. Nel comunicato afferma che acquisire, diffondere o ripubblicare dati provenienti da attività illecite costituisce a sua volta una violazione della normativa sulla protezione dei dati, anche quando la persona coinvolta è una figura pubblica. Il Garante annuncia inoltre che seguirà la circolazione dei contenuti e che, se necessario, potrà intervenire con urgenza per limitarne o vietarne il trattamento e chiedere alle piattaforme di rimuoverli.

 

In breve

La provenienza illecita del materiale non viene sanata dalla sua presenza online, dalla facilità con cui può essere copiato o dalla notorietà dell’interessato. Prima di pubblicare occorre separare la notizia dai dati che non sono necessari a raccontarla e verificare se la loro ulteriore diffusione aggiunga davvero informazione oppure moltiplichi il danno prodotto dall’illecito originario.

 

La notizia non coincide con il dato sottratto

Il caso mostra una distinzione che nei flussi editoriali veloci rischia di scomparire. È possibile informare il pubblico sull’esistenza di una minaccia, su un attacco o sulla messa in vendita di informazioni senza riprodurre indirizzi, recapiti, documenti, credenziali, dati dei familiari o altri elementi personali presenti nel materiale sottratto.

La domanda non è soltanto se il fatto abbia interesse pubblico. Occorre chiedersi anche quali dati siano indispensabili per comprenderlo. Le regole applicabili all’attività giornalistica consentono di trattare dati anche senza consenso, ma mantengono i limiti del diritto di cronaca e attribuiscono un ruolo centrale all’essenzialità dell’informazione. In altre parole, l’attenzione del pubblico non rende necessario ogni dettaglio disponibile.

Questo passaggio è importante anche fuori dalle redazioni tradizionali. Un ufficio stampa, il sito di un ente, la pagina social di un’impresa o una piattaforma possono amplificare dati personali con la stessa velocità di una testata. Il fatto che il contenuto sia già comparso altrove non elimina la responsabilità di chi decide di rilanciarlo.

 

Che cosa dice davvero il comunicato del Garante

Il testo del 7 novembre è un avvertimento ufficiale, non una nuova norma generale e neppure una sanzione già applicata a un determinato editore. Il Garante espone la propria valutazione sulla circolazione di questi dati e anticipa la possibilità di utilizzare i poteri correttivi previsti dall’ordinamento se la diffusione prosegue.

La distinzione evita due errori opposti. Il primo sarebbe minimizzare il comunicato perché non contiene ancora un ordine individuale: l’annuncio di monitoraggio e di possibili misure urgenti richiede invece attenzione immediata. Il secondo sarebbe presentarlo come se avesse introdotto un divieto nuovo e assoluto per qualsiasi notizia collegata a un illecito. Resta possibile raccontare fatti di interesse pubblico, ma occorre farlo senza trasformare i dati sottratti nel contenuto della pubblicazione quando non sono necessari.

 

Un controllo editoriale in cinque domande

Prima di usare materiale proveniente da una violazione, da un mercato illecito o da una fonte compromessa, un’organizzazione può fermare il flusso e rispondere a cinque domande.

1. Da dove proviene il materiale? Non basta sapere chi lo ha inoltrato. Occorre ricostruire, per quanto possibile, se i dati derivino da un accesso abusivo, da una sottrazione, da una vendita illecita o da un’altra attività illegale.
2. Qual è la notizia che vogliamo raccontare? Definirla in una frase aiuta a distinguere il fatto di interesse pubblico dai dettagli personali che alimentano soltanto curiosità o traffico.
3. Quali elementi sono davvero indispensabili? Se il fatto è comprensibile senza mostrare il dato, la scelta più prudente è descriverlo, oscurarlo o non riprodurlo.
4. Chi potrebbe subire un danno ulteriore? La verifica deve includere familiari e terzi, soprattutto quando non hanno alcun ruolo pubblico e compaiono nei materiali soltanto per effetto dell’illecito originario.
5. Esiste un percorso rapido di escalation e rimozione? I casi dubbi richiedono una decisione tracciabile, il coinvolgimento delle funzioni competenti e la possibilità di intervenire senza ritardi se emergono nuovi rischi.

Il responsabile della protezione dei dati può offrire un parere indipendente sui rischi e sulle misure, ma non sostituisce l’editore, il direttore o il titolare nella decisione. Chiarire i ruoli evita che la consulenza privacy diventi un passaggio formale senza una vera assunzione di responsabilità.

 

Continuità con i precedenti, ma non ripetizione

iSimply ha già commentato il caso Bova-Corona, nel quale il Garante aveva richiamato i limiti della notorietà e l’assenza di un interesse pubblico effettivo nella diffusione di conversazioni private. Il caso Tajani presenta una domanda diversa. Qui il primo allarme riguarda la provenienza dei dati da attività illecite e il rischio che la ripubblicazione trasformi media e piattaforme in un nuovo anello della catena di diffusione.

I due casi condividono un criterio: una persona conosciuta non perde il diritto alla protezione dei propri dati. La nuova vicenda aggiunge però un controllo preliminare sulla fonte del materiale. Prima ancora di domandarsi quanto pubblicare, occorre verificare se l’organizzazione debba acquisirlo e trattarlo.

 

Conclusione

Il dark web può essere parte della storia, ma non è una licenza editoriale. Una pubblicazione responsabile informa sull’attacco, sulle minacce e sulle conseguenze senza replicare ciò che rende l’illecito più efficace. Il controllo migliore avviene prima che il contenuto entri nel flusso di pubblicazione: provenienza, necessità e impatto devono essere esaminati insieme, con una decisione tracciabile e la possibilità di fermarsi.

 

Fonti dell’articolo

• Garante per la protezione dei dati personali, «Caso dati Tajani sul dark web, il Garante avverte i media», 7 novembre 2026, doc. web n. 10318166: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10318166
• Garante per la protezione dei dati personali, tema «Giornalismo»: https://www.garanteprivacy.it/temi/giornalismo
• Garante per la protezione dei dati personali, Regole deontologiche relative al trattamento dei dati personali nell’esercizio dell’attività giornalistica, doc. web n. 9067692: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9067692
• Normattiva, decreto legislativo 30 giugno 2003, n. 196, artt. 136-139, testo vigente: https://www.normattiva.it/atto/caricaDettaglioAtto?atto.codiceRedazionale=003G0218&atto.dataPubblicazioneGazzetta=2003-07-29&tipoDettaglio=vigente
• iSimply, «Bova, Corona e i limiti della notorietà: cosa dice il Garante sulla diffusione di conversazioni private»: https://www.isimply.it/news/bova-corona-diffusione-conversazioni-private-garante/

 

Nota di trasparenza

Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale