C'è una parolina magica che fa capolino nell'affaire che lega Report alla fuga di milioni di dati personali dai pc dell'esperto Giangaetano Bellavia: privacy. E c'è un nemico di Sigfrido Ranucci pronto a portare in Parlamento questo scandalo appena all'inizio: Matteo Renzi (nella foto), solidale con il nostro direttore Tommaso Cerno nella battaglia contro i dossieraggi che stanno avvelenando la politica e pronto a denunciare tutto in Parlamento: «Il giornalismo libero è un valore sempre, il pluralismo è alla base della nostra democrazia: qualcuno troppo spesso lo dimentica», scrive l'ex premier. Nonostante sia rimasto finora in silenzio - cosa che a molti non è piaciuta - il Garante Pasquale Stanzione ha annunciato solo in serata di aver aperto una istruttoria per verificare se e come il data breach subìto dal professionista in una querelle con la sua ex socia di studio possa aver messo a repentaglio la privacy delle persone coinvolte in questa esfiltrazione di dati, i cui nomi sono stati pubblicati dal Giornale. Parliamo di 910 gigabyte di file «ad alta sensibilità» sottratti all'ex super consulente dei pm e di Report dalla sua ex collaboratrice Valentina Varisco rinviata a giudizio per «accesso abusivo al sistema informatico», che sarebbe avvenuto dal 18 giugno e al 25 settembre 2024, assieme al materiale fornito nel tempo dalla redazione di Report per valutazioni preliminari e custodito in hard disk chiusi in un armadio dello studio. «Sono dati pubblici», si era affrettato a dire Ranucci, ma le cose non stanno così. «Bisogna vedere cosa si intende per pubblico», spiega al Giornale Luca Bolognini, presidente dell'Istituto Italiano per la Privacy e cassazionista specializzato in diritto dei dati. Ci possono essere dati pubblici ma non immediatamente accessibili, o non disponibili, o a conoscenza limitata. Trattandosi di documenti legati a indagini e processi, difficile che la loro diffusione non autorizzata non sia reato.
Non basta disporre dei dati, bisogna essere autorizzati a trattarli: Bellavia e il suo studio hanno infatti l'obbligo ad avere un responsabile per il «trattamento» dei dati, come prevede l'articolo 28 della norma Ue sulla protezione dei dati 679 del 2016). C'è anche l'obbligo di segnalare al Garante la falla nella sicurezza, entro 72 ore dalla scoperta «senza ingiustificato ritardo». Se così fosse, come è immaginabile abbia fatto Bellavia, il Garante avrebbe già dovuto aprire un fascicolo. Altrimenti sarebbero guai.
Non è la prima volta che due professionisti che si separano tentino di contendersi «materiale sensibile», chiunque sia finito nell'elenco di magistrati, politici, imprenditori e manager ma anche persone «normali» come il figlio di Ignazio La Russa Geronimo («che non ha procedimenti giudiziari», ricorda il presidente del Senato) potrebbe aver già presentato un esposto al Garante. D'altronde, perché conservare documenti e dati su procedimenti archiviati? Per farci cosa? Al Giornale risulta che proprio Renzi stia già lavorando a un esposto in Procura e a Stanione, nel quale farebbe riferimento anche ad altri potenziali dossieraggi, da Equalize alle Sos girate al Domani dall'ufficiale Gdf Pasquale Striano (a giorni è attesa la chiusura indagini).
«Al Garante spetta il compito di verificare l'adeguatezza delle misure di sicurezza ai sensi dell'articolo 32», spiega Bolognini, se dovessero essere giudicate insufficienti sono previste sanzioni fino a 10 milioni di euro.
Secondo l'esperto di privacy, se le responsabilità della Varisco venissero accertate «si applicherebbe l'articolo 167-ter del Codice della Privacy (Dlgs 196/2003) che punisce fino a 4 anni - l'acquisizione fraudolenta di dati personali su larga scala allo scopo di trarne profitto o danneggiare qualcuno».