L’ordinamento italiano ed europeo costruisce attorno a una fonte giornalistica un muro che, sulla carta, è fra i più alti che una persona possa avere. Vale la pena guardarlo bene, perché è proprio la sua altezza a spiegare perché il modo in cui lo si aggira non ha niente a che fare con lo scavalcarlo.
Che cosa protegge davvero l’articolo 200
L’articolo 200 del codice di procedura penalesi apre in una scheda nuova elenca chi può astenersi dal deporre su quanto ha conosciuto per ragione della propria professione. Il terzo comma estende quella facoltà ai giornalisti professionisti iscritti all’albo, e la circoscrive: riguarda i nomi delle persone dalle quali hanno avuto notizie di carattere fiduciario nell’esercizio della professione.
La frase che conta viene dopo, ed è quella che di solito si cita male. Il segreto non si ferma alla parola che compone il nome: copre qualunque indicazione che possa portare a identificare la fonte. È una differenza tecnica con conseguenze pratiche enormi, perché sposta l’oggetto della protezione da un dato singolo a un insieme. In un documento interno quell’insieme è ovunque: chi era in copia, quale ufficio l’ha protocollato, quale matricola compare in calce, quale turno, quale data di revisione. Nessuno di quegli elementi è un nome. Tutti insieme, in un’azienda dove le persone che potevano avere quel file sono cinque, sono un nome scritto meglio.
La protezione, poi, non è assoluta nemmeno davanti al giudice. Se la notizia è indispensabile ai fini della prova del reato per cui si procede e la sua veridicità può essere accertata solo identificando la fonte, il giudice ordina al giornalista di indicarla. È un limite stretto, ed è comunque un limite: il muro ha un’apertura, e l’apertura è controllata da un magistrato.
L’EMFA alza il muro, e dice contro chi
Dall’8 agosto 2025 si applica il regolamento (UE) 2024/1083si apre in una scheda nuova, lo European Media Freedom Act. L’articolo 4 è la norma sulla protezione delle fonti giornalistiche e delle comunicazioni riservate, ed è scritta come un elenco di cose che gli Stati membri devono astenersi dal fare: imporre ai giornalisti o a chi lavora con loro di rivelare le fonti, fermarli, sanzionarli, intercettarli, perquisirli o sequestrare i loro materiali per arrivare a una fonte. Vieta anche l’uso di software di sorveglianza intrusivo contro di loro, salvo casi eccezionali (reati gravi, terrorismo, criminalità organizzata) autorizzati caso per caso da un’autorità giudiziaria indipendente e retti da necessità e proporzionalità.
È una norma severa e ben fatta, e vale la pena leggerla per quello che è: un elenco di divieti rivolti a chi potrebbe venire a prendersi il documento. Regola l’ingerenza. Non ha nulla da dire, e non è il suo mestiere, su un file che il giornalista carica di sua iniziativa su un servizio di un fornitore privato.
Anche la legge 69/1963 sull’ordinamento della professionesi apre in una scheda nuova guarda dalla stessa parte: fa del rispetto del segreto professionale sulla fonte un dovere del giornalista. Un dovere è una cosa che si adempie, e adempierlo significa fare in modo che l’informazione resti dove è arrivata.
La consegna volontaria non è prevista da nessuna delle due norme
Messe in fila, le tre norme dicono che nessuno può venire a prendersi la fonte: non con una perquisizione, non con un’intercettazione, non con uno spyware, e davanti al giudice solo alle condizioni strettissime del terzo comma. Poi arriva un martedì sera, ci sono quattrocento pagine da leggere entro domani, e le quattrocento pagine finiscono in una finestra di chat con la richiesta di riassumerle per punti.
In quel momento non è stata violata nessuna delle norme che abbiamo appena letto, e questo è precisamente il problema. Non c’è stata un’ingerenza da respingere né una deposizione da rifiutare: c’è stata una trasmissione volontaria a una società terza, che l’ha ricevuta, conservata per un tempo che decide lei e, secondo il contratto che quasi nessuno legge, eventualmente usata per addestrare. Da quel momento l’informazione non sta più solo da te, e l’unico presidio che la teneva al sicuro (il fatto che stesse solo da te) non c’è più. Il muro non ha porte. La finestra l’hai aperta tu.
Il GDPRsi apre in una scheda nuova arriva alla stessa conclusione da un’altra strada, e con la testata come titolare del trattamento. Trasmettere a un fornitore i dati personali contenuti in un documento è un trattamento con un destinatario, e va retto: base giuridica, rapporto con quel fornitore, valutazione del trasferimento se sta fuori dall’Unione, misure adeguate al rischio. Il regime speciale per le finalità giornalistiche allenta alcuni obblighi verso l’interessato, non trasforma un fornitore in un posto neutro.
Chi ha visto quel documento, oltre a te
C’è un dettaglio dell’articolo 200 che in redazione si sottovaluta, e che decide più cose di quanto sembri: la facoltà di astenersi è scritta per i professionisti iscritti all’albo. Il collaboratore che ha trascritto l’audio, il praticante che ha fatto la ricerca, il fixer che ha tradotto l’allegato, lo stagista che ha convertito il PDF: hanno visto lo stesso documento e, davanti a un giudice, non hanno quella facoltà.
Ne segue una cosa poco romantica e molto operativa. La protezione di una fonte non è una qualità del giornalista che l’ha incontrata, è una proprietà del materiale e di quante copie identificabili ne circolano. Ogni persona in più che vede il documento integrale è una persona in più che può essere chiamata a dire quello che ha visto, e un documento in più su un altro computer.
Perché l’anonimizzazione è la forma tecnica dello stesso obbligo
Se il segreto copre ogni indicazione che porta a identificare la fonte, allora togliere quelle indicazioni prima che il documento vada da qualche parte non è una cautela in più: è l’unica forma che quell’obbligo può avere quando il documento deve essere lavorato. È la stessa ragione per cui un rettangolo nero non basta: coprire il nome lascia in piedi le altre cinque righe che portano lì lo stesso, e in un PDF spesso non toglie nemmeno il nome: resta nel livello di testo sotto il rettangolo.
La differenza con la sostituzione è che i segnaposto reggono la lettura. Un testo in cui la fonte è «[FULLNAME_1]» e l’ufficio è «[ORG_2]» si lascia riassumere, tradurre e interrogare esattamente come l’originale, perché le domande che si fanno a un modello (riassumi, trova le contraddizioni, elenca le date) sono domande sulla struttura del testo, non sulle persone. E la corrispondenza fra segnaposto e valori veri resta sul tuo computer, cifrata, così la risposta si rimette al suo posto quando torna.
Quello che resta dentro un file dopo che il testo è stato ripulito (l’autore nei metadati, il livello di testo sotto una scansione, le revisioni di un .docx) è un problema a parte e serio, e sta nell’articolo sui metadati.
Tre domande, prima di caricare
Uno: in questo documento, che cosa restringe il campo? Non «c’è un nome»: c’è una matricola, un ufficio, una data di turno, una firma in calce, un numero di protocollo. Se un insieme di tre di queste cose porta a cinque persone, il documento così com’è non esce.
Due: la domanda che sto per fare ha bisogno di quei dati? Quasi mai. Nessuna delle domande che si fanno davvero a un modello migliora perché il modello sa come si chiama la persona.
Tre: dopo la pubblicazione, che cosa resta ricomponibile? È la domanda che nessuno si fa prima e tutti si fanno dopo. Se la corrispondenza fra segnaposto e nomi vive in un file che si può cancellare, da quel momento il testo lavorato non riporta più a nessuno, nemmeno se qualcuno chiede alla redazione di consegnare tutto quello che ha.