La trasparenza è un fattore di democrazia e di civiltà, ma a volte la ricerca spasmodica che di essa si fa potrebbe generare paradossalmente dei rischi. Questo articolo esamina il paradosso, ne analizza le implicazioni e propone possibili soluzioni.
Le minacce ibride rappresentano oggi uno dei principali strumenti con cui attori statali ostili tentano di destabilizzare le democrazie occidentali.
L’Unione Europea ha riconosciuto la natura sistemica di questo rischio, integrandolo nella Direttiva CER (Critical Entities Resilience) e imponendo agli Stati e alle entità critiche di valutarne gli impatti.
In questo scenario esiste un punto cieco: la pubblicazione delle sanzioni privacy prevista dall’art. 166 del Codice Privacy. In un contesto di guerra ibrida, questa misura – nata per garantire trasparenza – rischia di amplificare gli effetti di un attacco malevolo, contribuendo involontariamente alla strategia dell’aggressore.
La minaccia ibrida: l’arma perfetta per destabilizzare uno Stato
Negli ultimi dieci anni la geopolitica ha cambiato pelle.
Il conflitto non si presenta più come uno scontro militare tradizionale ma come un ecosistema di pressioni, interferenze, attacchi informatici, manipolazioni informative, coercizioni economiche e sabotaggi mirati. È un ambiente fluido, in cui le linee tra pace e ostilità si confondono e ogni vulnerabilità può diventare un punto di ingresso.
In questo scenario così frammentato e multidimensionale emerge lo strumento che più di ogni altro sfrutta tale complessità: la minaccia ibrida. Un fenomeno che non può essere racchiuso in definizioni rigide, perché evolve insieme al contesto che intende destabilizzare e richiede quindi concetti elastici, capaci di seguirne la trasformazione.
Quando parlano di minacce ibride, le Istituzioni Europee in genere fanno riferimento ad “…attività dannose coordinate che vengono pianificate e realizzate con intenti malevoli. Il loro obiettivo è compromettere un obiettivo, ad esempio uno Stato o un’Istituzione, ricorrendo a una varietà di mezzi, spesso combinati. Tra questi mezzi possono figurare gli attacchi informatici…”.
L’obiettivo di queste particolari minacce non è solo colpire infrastrutture o rubare dati ma anche minare la fiducia dei cittadini nelle Istituzioni, incrinare la percezione di sicurezza, alimentare sfiducia e polarizzazione.
Il vero campo di battaglia quindi è la fiducia pubblica.
Con la Direttiva CER l’Europa ha riconosciuto la natura sistemica del rischio
Con la Direttiva CER (Critical Entities Resilience), l’Unione Europea ha riconosciuto che le minacce ibride non rappresentano semplici incidenti o anomalie tecniche ma elementi strutturali dello scenario di rischio che incide direttamente sulla sicurezza nazionale e sulla continuità dei servizi essenziali.
Il D.Lgs. 134/2024 che ha recepito tale Direttiva nel nostro ordinamento nazionale impone:
- valutazioni del rischio che includano esplicitamente le minacce ibride;
- analisi delle dipendenze critiche tra settori come energia, trasporti, telecomunicazioni, finanza;
- misure di prevenzione e di risposta integrate tra sicurezza fisica, cyber e continuità operativa.
Quindi un attacco informatico contro un soggetto critico non è un problema aziendale ma un problema di Stato.
Il fattore reputazionale è il vero moltiplicatore dell’attacco
Gli attacchi ibridi che colpiscono entità critiche hanno quasi sempre una componente di:
- disinformazione;
- amplificazione mediatica;
- delegittimazione del servizio essenziale;
- erosione della fiducia dei cittadini.
In questa prospettiva, quando una grande azienda dell’energia, dei trasporti o delle telecomunicazioni subisce un data breach riconducibile a una minaccia ibrida, l’evento non può essere qualificato come un mero incidente tecnico ma assume la natura di un messaggio politico, deliberatamente costruito per veicolare l’idea che “lo Stato non è in grado di proteggere ciò che conta”.
È in questo snodo che si colloca il punto critico.
Art. 166 del Codice Privacy: valutazioni sul modello di trasparenza
L’art. 166 del D.lgs. 196/2003 prevede che, in caso di violazioni, il Garante per la protezione dei dati personali possa disporre la sanzione amministrativa accessoria della pubblicazione dell’ordinanza-ingiunzione, per intero o per estratto, sul proprio sito web istituzionale.
È una misura concepita con finalità nobili: garantire trasparenza, rafforzare la deterrenza e assicurare accountability.
Tuttavia, è stata definita in un contesto storico in cui:
- la guerra ibrida non costituiva ancora un elemento strutturale dello scenario di rischio;
- gli attacchi cyber non erano strumenti ordinari della competizione geopolitica;
- la reputazione delle entità critiche non rappresentava un bersaglio strategico.
Oggi il quadro è radicalmente mutato e quelle stesse finalità devono confrontarsi con un ambiente in cui la dimensione informativa, tecnologica e reputazionale è diventata parte integrante della sicurezza nazionale.
Un possibile paradosso nel modello di trasparenza
Nel quadro che ho appena delineato, a mio giudizio, si manifesta una dinamica che merita particolare attenzione. Se una minaccia ibrida punta – anche – a erodere fiducia, indebolire la percezione di sicurezza e mettere in discussione la legittimità dello Stato e dei suoi servizi essenziali, allora la pubblicazione di una sanzione privacy nei confronti di un soggetto critico rischia, potenzialmente, di amplificare l’effetto dell’attacco.
Per come lo vedo io, il paradosso si articola così:
- un attore ostile colpisce un’infrastruttura critica;
- Il Garante, pubblicando la sanzione, contribuisce involontariamente a rafforzare l’impatto reputazionale dell’attacco;
- il risultato finale rischia di avvicinarsi all’obiettivo dell’aggressore.
A me appare come un possibile cortocircuito istituzionale: un effetto collaterale non previsto, che oggi potrebbe non essere pienamente considerato o gestito nel quadro attuale.
Un problema reale ma ancora poco riconosciuto
Né la Direttiva CER né la NIS2 affrontano esplicitamente il tema della amplificazione istituzionale involontaria.
In Italia, il Codice Privacy non prevede alcun meccanismo per valutare:
- il contesto geopolitico,
- la natura dell’attacco,
- il rischio di contribuire alla strategia dell’aggressore.
Il risultato è un vuoto normativo, un punto cieco che riguarda direttamente la resilienza nazionale.
Possibili direzioni di intervento
Nel quadro che ho delineato, ritengo che il rischio di amplificare involontariamente gli effetti di una minaccia ibrida richieda una riflessione più attenta sul modello attuale.
A mio avviso, un primo passo potrebbe consistere nell’introdurre una valutazione di impatto “ibrida” prima della pubblicazione di una sanzione, capace di considerare non solo la correttezza formale del provvedimento ma anche le sue possibili ricadute strategiche, incluse eventuali interferenze con la resilienza nazionale.
Quando sono coinvolte entità critiche, mi sembra inoltre opportuno prevedere un coordinamento strutturato con l’Agenzia per la Cybersicurezza Nazionale e con la Presidenza del Consiglio, così da valutare congiuntamente le implicazioni sistemiche di ogni scelta comunicativa.
Nella mia interpretazione, anche le modalità di pubblicazione meriterebbero un ripensamento: un approccio più tecnico, privo di elementi identificativi e focalizzato sulle misure correttive, potrebbe ridurre l’esposizione reputazionale senza compromettere la funzione informativa.
Per le entità critiche immagino un regime speciale, in cui la pubblicazione rappresenti davvero l’extrema ratio, da adottare solo quando non esistono alternative che garantiscano un equilibrio adeguato tra trasparenza e sicurezza.
Infine, sempre secondo la mia opinione, una revisione dell’articolo 166 del Codice Privacy potrebbe introdurre un principio esplicito di proporzionalità geopolitica, stabilendo che la pubblicazione non possa essere disposta quando rischia di amplificare gli effetti di una minaccia ibrida.
Non si tratterebbe di ridurre la trasparenza ma di esercitarla con maggiore consapevolezza del contesto strategico in cui oggi operano le istituzioni.
Conclusioni. La resilienza passa anche dalle parole
Nella mia valutazione, la trasparenza rimane un principio democratico imprescindibile, un elemento costitutivo della credibilità delle Istituzioni e della tutela dei diritti. Allo stesso tempo, l’attuale scenario di minacce ibride impone di considerare con maggiore attenzione il contesto in cui gli strumenti di trasparenza vengono applicati.
In alcune circostanze, infatti, la pubblicazione delle sanzioni privacy può assumere un ruolo diverso da quello originariamente previsto e, se non adeguatamente ponderata, rischiare di produrre effetti non coerenti con l’interesse generale.
A mio giudizio, ripensare questo meccanismo non significa proteggere gli operatori economici né tantomeno occultare gli incidenti ma rafforzare la capacità dello Stato di preservare la propria stabilità istituzionale e di non contribuire, anche involontariamente, alle strategie di chi mira a indebolire la nostra democrazia.
La resilienza, infatti, non si esaurisce nelle tecnologie o nelle procedure: è anche capacità di leggere il contesto, valutare le conseguenze e tutelare ciò che rappresenta il fondamento ultimo del sistema pubblico.
Nella mia prospettiva, questo fondamento è la fiducia dei cittadini.
