Il punto di partenza: la discrezionalità esiste già
Ogni proposta seria deve partire da ciò che la norma già consente.
L’art. 166, comma 7 del Codice Privacy rimette al Garante la scelta di disporre la pubblicazione sul proprio sito internet dell’ordinanza-ingiunzione “per intero o per estratto”: la proporzionalità, dunque, non è estranea al sistema, è solo priva di criteri.
Manca ciò che trasforma una discrezionalità in una garanzia: parametri espliciti, un procedimento, un raccordo istituzionale.
Le mie proposte vanno tutte in questa direzione: non sottrarre la pubblicazione al Garante ma dare al Garante gli strumenti per esercitarla dentro lo scenario strategico che ho descritto fin dal primo articolo.
Quattro proposte
Prima proposta: la valutazione d’impatto “ibrida” pre-pubblicazione. Quando il destinatario della sanzione è un soggetto critico ai sensi del D.Lgs. 134/2024, la decisione sulla pubblicazione dovrebbe essere preceduta da una valutazione documentata delle sue possibili ricadute strategiche che consideri:
- la matrice dell’attacco all’origine della violazione;
- il contesto geopolitico;
- la probabilità che la pubblicazione venga strumentalizzata in campagne di disinformazione.
Non è un adempimento di facciata, ma l’equivalente istituzionale di ciò che l’art. 13 del decreto CER chiede alle imprese: leggere il rischio prima di agire.
Seconda proposta: il raccordo con l’Agenzia per la cybersicurezza nazionale. Per le sanzioni che originano da incidenti a soggetti critici, la valutazione d’impatto dovrebbe includere un parere obbligatorio ma non vincolante dell’ACN, reso in termini brevi e certi, sulla dimensione di sicurezza nazionale della vicenda.
Penso ad un parere obbligatorio, perché il Garante non può essere lasciato solo a valutare scenari di guerra ibrida che non rientrano nella sua missione istituzionale; non vincolante, perché l’indipendenza dell’autorità di protezione dei dati – presidio europeo irrinunciabile – non ammette subordinazioni.
Nei casi di rilievo sistemico, il raccordo dovrebbe potersi estendere alle strutture della Presidenza del Consiglio competenti per la sicurezza della Repubblica.
Terza proposta: la gradazione delle modalità di pubblicazione. Tra il tutto e il niente esiste uno spettro che la prassi non ha mai esplorato sistematicamente.
Per i soggetti critici, la forma ordinaria di pubblicazione dovrebbe diventare l’estratto tecnico: violazione accertata, misure correttive imposte, insegnamenti generali per il mercato, senza gli elementi descrittivi che si prestano alla spettacolarizzazione. La pubblicazione integrale resterebbe possibile, ma come extrema ratio motivata, quando l’interesse pubblico alla conoscenza piena prevale, in modo comprovabile, sul rischio di amplificazione.
Si noti che l’effetto di deterrenza resta intatto, perché la sanzione pecuniaria e la sua notizia non vengono meno; a cambiare è la quantità di materiale narrativo messo a disposizione di chi la notizia vuole trasformarla in arma.
Quarta proposta: il principio di proporzionalità geopolitica. È la chiusura di sistema: introdurre nell’art. 166 la previsione per cui la pubblicazione non può essere disposta, o va disposta in forma attenuata, quando rischia concretamente di amplificare gli effetti di una minaccia ibrida in corso o di agevolare la strategia di un attore ostile.
Una clausola generale, certo, ma il diritto vive di clausole generali: la stessa “proporzionalità” che governa le sanzioni ex art. 83 del GDPR non è meno indeterminata e nessuno ne propone l’abolizione.
Le possibili obiezioni, prese sul serio
Una proposta vale quanto le obiezioni che sa reggere. Io ne vedo tre.
- “Si indebolisce la deterrenza”.
Rispondo: la deterrenza abita nella sanzione, nella sua entità e nella sua certezza, non nella gogna.
Un regime che mantiene intatte le sanzioni pecuniarie e la vigilanza, e modula soltanto la vetrina, non ammorbidisce il diritto ma lo sottrae alla logica dello spettacolo, che non è mai stata la sua funzione.
- “Si comprime il diritto dei cittadini a sapere”.
Rispondo: l’estratto tecnico informa; la trasparenza differita – pubblicare integralmente quando la minaccia si è esaurita – concilia memoria pubblica e sicurezza; e gli interessati coinvolti dalla violazione restano comunque tutelati dalla comunicazione ex art. 34 del GDPR, che nessuna delle mie proposte tocca.
La trasparenza governata, come ho sostenuto a proposito della comunicazione di crisi, non è trasparenza diminuita.
- “Si crea un privilegio per i soggetti critici”.
Rispondo: il regime differenziato non premia l’impresa, protegge il servizio essenziale e la fiducia collettiva che vi si appoggia.
È la stessa logica per cui il decreto CER impone a quei soggetti obblighi che le altre imprese non hanno: a status speciale, disciplina speciale, nei doveri come nelle cautele.
Il beneficiario ultimo non è l’azienda sanzionata: è la tenuta del sistema.
Come arrivarci: il percorso, non solo la meta
Un’ultima considerazione di realismo istituzionale.
La novella legislativa è la via maestra ma non è l’unica né la più rapida.
A normativa invariata, nulla impedisce al Garante di autolimitare la propria discrezionalità con criteri pubblici sull’esercizio del potere di pubblicazione – come le autorità amministrative fanno da sempre con linee guida e provvedimenti generali – dando trasparenza, paradossalmente, proprio alla decisione sulla trasparenza.
Ancora, nulla impedisce, fin da domani, un protocollo d’intesa tra Garante e ACN sui casi che toccano soggetti critici: gli strumenti di raccordo tra autorità esistono e non richiedono passaggi parlamentari.
Chi ha letto questa serie riconoscerà lo schema: anche per le Istituzioni, come per le imprese, c’è un de iure condito che non aspetta il legislatore.
Conclusioni. Chiudere il cerchio
Sette contributi fa, questa serie è partita da una domanda scomoda: può la trasparenza diventare un vettore di rischio?
La risposta che ho provato a costruire è articolata ma, nella sostanza, semplice.
Sì, può: quando viene esercitata senza leggere il contesto e il rimedio non è mai stato ridurla, bensì governarla: le imprese, con la valutazione del rischio, le tre leve, la documentazione integrata e la parola preparata; lo Stato, con una pubblicazione delle sanzioni consapevole dello scenario in cui oggi cade ogni suo atto.
Il legislatore che metterà mano all’art. 166 non farà un favore alle imprese sanzionate: farà manutenzione alla fiducia dei cittadini, che di questa vicenda è – dall’inizio alla fine – la vera posta in gioco.
Le minacce ibride hanno trasformato le parole delle Istituzioni in terreno di scontro.
Sta alle Istituzioni, e a chi le consiglia, fare in modo che quelle parole non combattano mai dalla parte sbagliata.
