La telefonata arriva quasi sempre nello stesso modo. Qualcuno dentro un’azienda o un ente ha visto una cosa che non va, ha provato a dirla e non è successo niente, e adesso ha in mano un documento. Te lo manda. Da quel momento la sua sicurezza dipende da come tu tratti un file.
La legge dice esattamente che cosa lo rende identificabile
Il decreto legislativo 24/2023si apre in una scheda nuova recepisce la direttiva europea sul whistleblowing e mette al centro un obbligo di riservatezza. L’identità della persona che segnala non può essere rivelata, senza il suo consenso espresso, a persone diverse da quelle competenti a ricevere e trattare la segnalazione.
La parte interessante non è il divieto, è la definizione dell’oggetto. La tutela riguarda l’identità e tutte le informazioni da cui l’identità si può dedurre, anche indirettamente. Il legislatore ha scritto la protezione al livello giusto, che non è quello del nome: ha capito che dentro un’organizzazione una persona si identifica per sottrazione, e che la sottrazione la fa il contesto.
Formalmente quell’obbligo lega chi gestisce la segnalazione dentro l’ente, non il giornalista che riceve un documento da un dipendente. Ma la definizione descrive con precisione clinica il rischio che si ha in mano, e questa è la ragione per cui vale la pena leggerla anche da fuori: se il legislatore ha dovuto scrivere «anche indirettamente» è perché la deduzione indiretta è il modo normale in cui questa cosa va storta.
Il campo si restringe da solo
Prova a guardare un documento aziendale con l’occhio di chi, dentro, vuole sapere chi l’ha fatto uscire. Non legge il contenuto: legge chi poteva averlo.
La distribuzione lo restringe a un ufficio. La data di revisione lo restringe a chi ci ha lavorato quella settimana. Un’annotazione a margine lo restringe a chi annota in quel modo. Il numero di protocollo dice da quale sistema è stato estratto, e i sistemi tengono i registri degli accessi. Se il documento è una stampa scansionata, la piega e l’ombra dicono da quale stampante. In poche mosse l’elenco passa da «l’azienda» a cinque persone, e da cinque persone a una.
È la stessa logica che il codice di procedura penale usa quando definisce il segreto del giornalista: l’articolo 200si apre in una scheda nuova non protegge il nome della fonte, protegge qualunque indicazione che possa portare a identificarla. Due leggi diverse, scritte in epoche diverse per scopi diversi, arrivano alla stessa definizione tecnica perché descrivono lo stesso fenomeno.
Il momento in cui il documento smette di essere tuo
Un documento riservato lascia la tua protezione in tre modi, e solo il primo si vede.
Il primo è la pubblicazione, e su quello una redazione ragiona: che cosa si mostra, che cosa si oscura, che cosa si tiene. È l’unico momento in cui qualcuno si ferma a pensare.
Il secondo è la circolazione interna. Il file integrale finisce nella chat del desk, nella posta del capo servizio, nel drive condiviso della redazione, sul portatile del collega che dà una mano con i numeri, nella cartella del legale. Ogni copia è su un sistema con la sua politica di conservazione, i suoi backup e i suoi log, e nessuna di quelle politiche è stata scritta pensando a questo documento.
Il terzo è lo strumento. Quattrocento pagine di delibere non si leggono a mano in una notte, e un modello linguistico le riassume in tre minuti. È esattamente il lavoro per cui quegli strumenti sono bravi, ed è anche il momento in cui il documento integrale viene trasmesso a una società terza, che lo riceve, lo conserva per il tempo che decide lei e in certi contratti lo usa per addestrare. Che cosa un modello si ricordi davvero è una domanda tecnica con una risposta lunga; la domanda breve è se valga la pena scoprirlo con questo file.
Perché «togliere il nome» è la misura sbagliata
La reazione istintiva è oscurare il nome del segnalante. Nella maggior parte dei casi non serve a niente, per una ragione semplice: nel documento il nome del segnalante non c’è. Un dipendente che fa uscire una delibera non compare nella delibera. Quello che c’è è l’insieme dei dettagli che porta a lui, e quell’insieme resta intatto.
La misura giusta è la stessa che le due norme descrivono: togliere gli elementi che restringono il campo. Nomi delle persone citate, ruoli e uffici, matricole, indirizzi, recapiti, numeri di protocollo, IBAN, date che identificano un turno. Sostituirli con segnaposto stabili, così che il testo resti leggibile («[ORG_2] ha deliberato in data [DATE_3]» si riassume e si traduce come l’originale) e tenere sul proprio computer, e solo lì, la corrispondenza fra segnaposto e valori veri.
Sulla parte che resta nel file dopo che il testo è pulito (l’autore nei metadati, il livello di testo sotto una scansione, le revisioni di un .docx) c’è un articolo apposta, e in questo caso non è un dettaglio: l’autore di un .docx è spesso il nome utente aziendale di chi l’ha creato.
La cosa che conviene decidere prima
Il GDPRsi apre in una scheda nuova chiede a chi tratta dati personali di applicare la minimizzazione e misure adeguate al rischio, e il regime per le finalità giornalistiche allenta gli obblighi verso l’interessato senza togliere questo. Ma la ragione per anonimizzare prima non è l’adempimento: è che la corrispondenza fra segnaposto e nomi è un oggetto che si può cancellare.
Finita l’inchiesta, cancellata la pratica, quello che resta è un testo che non riporta più a nessuno. Non riporta a nessuno per te, per il collega che ce l’ha ancora nel drive, e per chiunque dovesse chiedere alla redazione di consegnare quello che ha. È una proprietà che si ottiene solo decidendola all’inizio, perché a valle il documento integrale è già in sei posti.