DOCUMENTI PUBBLICI E DATI PERSONALI: NEI PAESI BASSI CENTINAIA DI ATTI ONLINE SENZA UNA CORRETTA ANONIMIZZAZIONE

Trasparenza amministrativa e protezione dei dati personali devono convivere: pubblicare un documento perché soggetto a obblighi di pubblicità non significa poter rendere accessibili indiscriminatamente tutte le informazioni contenute al suo interno. Un’inchiesta dell’emittente pubblica olandese NOS, realizzata con il programma Nieuwsuur e richiamata nell’articolo allegato, ha scoperto che numerosi comuni dei Paesi Bassi avevano pubblicato online documenti contenenti dati personali che avrebbero dovuto essere preventivamente anonimizzati. Tra le informazioni rese accessibili figuravano indirizzi e-mail, numeri di telefono, indirizzi di residenza, estremi dei documenti di identità e Burger Service Nummer (BSN), il numero identificativo utilizzato nei rapporti con la Pubblica Amministrazione olandese e assimilabile, per funzione, al codice fiscale italiano. Il caso dimostra come un data breach possa derivare non soltanto da un attacco informatico, ma anche da un errore nei processi amministrativi di pubblicazione e anonimizzazione dei documenti.

255 DOCUMENTI CONTENEVANO IL NUMERO IDENTIFICATIVO PERSONALE

La portata dell’esposizione emerge dai numeri riportati nell’approfondimento.

L’indagine ha individuato 255 documenti contenenti BSN. In un singolo documento risultavano inoltre presenti i dati personali di 43 cittadini, compresi nomi, recapiti e numeri identificativi.

Non si trattava quindi soltanto di informazioni marginali. La pubblicazione coinvolgeva dati capaci di identificare direttamente gli interessati e, in alcuni casi, informazioni particolarmente delicate dal punto di vista del rischio conseguente alla loro esposizione.

GLI ATTI DOVEVANO ESSERE PUBBLICATI, MA NON TUTTI I DATI

Il punto più interessante riguarda la natura dei documenti.

Secondo l’articolo allegato, si trattava prevalentemente di pratiche amministrative soggette agli obblighi di pubblicità previsti dalla normativa olandese sulla trasparenza, tra cui richieste di autorizzazioni edilizie e osservazioni presentate dai cittadini nell’ambito di procedimenti pubblici.

La pubblicazione dell’atto, quindi, poteva essere prevista dall’ordinamento. Ciò non significava, però, che ogni informazione contenuta nel documento dovesse essere resa accessibile.

Prima della diffusione, gli atti avrebbero dovuto essere sottoposti a un processo di anonimizzazione, eliminando o oscurando i dati personali non necessari alla pubblicazione.

È proprio questa distinzione a rendere il caso significativo anche oltre i confini olandesi: obbligo di trasparenza e obbligo di protezione dei dati non si escludono reciprocamente.

ANONIMIZZARE NON SIGNIFICA SEMPLICEMENTE PUBBLICARE E POI CORREGGERE

Quando un documento amministrativo viene pubblicato online, le informazioni possono essere visualizzate, copiate e conservate da terzi in tempi molto rapidi.

Per questo motivo il controllo deve intervenire prima della diffusione.

L’episodio olandese mostra l’importanza di costruire un processo nel quale la pubblicazione sia preceduta da una verifica effettiva dei dati presenti nel documento e dalla rimozione delle informazioni che non devono essere rese pubbliche.

Il problema non può essere affrontato soltanto intervenendo dopo una segnalazione.

IL PROBLEMA ERA GIÀ STATO SEGNALATO NEL 2017

Secondo il documento allegato, la criticità non è nuova.

Già nel 2017, l’Autorità olandese per la protezione dei dati personali, l’Autoriteit Persoonsgegevens, aveva richiamato i comuni sulla necessità di prestare maggiore attenzione alla pubblicazione di documenti contenenti informazioni riferibili ai cittadini.

Successivamente erano stati introdotti software dedicati all’anonimizzazione e procedure di verifica.

Nonostante ciò, gli errori hanno continuato a verificarsi.

Questo elemento evidenzia un principio importante per qualsiasi organizzazione: adottare uno strumento tecnologico non significa automaticamente aver risolto il rischio. Occorre verificarne il funzionamento e mantenere controlli organizzativi adeguati.

OLTRE 120 DATA BREACH NOTIFICATI NEL 2026

Il dato più significativo riguarda la frequenza degli episodi.

Secondo l’articolo, nel solo 2026 l’Autorità olandese aveva già ricevuto oltre 120 notifiche di violazioni derivanti dalla pubblicazione involontaria di dati personali da parte delle amministrazioni comunali, in numero sensibilmente superiore rispetto all’anno precedente.

Il fenomeno non appare quindi riconducibile esclusivamente a un singolo errore occasionale, ma richiama l’attenzione sull’efficacia complessiva delle procedure utilizzate per predisporre e pubblicare gli atti amministrativi.

DOPO L’INCHIESTA: RIMOZIONE DEI DOCUMENTI E NOTIFICA DELLE VIOLAZIONI

A seguito della pubblicazione dell’inchiesta, diversi comuni hanno provveduto a rimuovere immediatamente i documenti interessati dai siti istituzionali.

Secondo la fonte allegata, gli enti hanno inoltre avviato le procedure di notifica all’Autorità di controllo e di informazione dei soggetti coinvolti previste dalla disciplina sulla protezione dei dati personali.

La rimozione rappresenta quindi soltanto una parte della gestione dell’incidente: quando la pubblicazione indebita determina una violazione dei dati personali, devono essere valutati anche gli ulteriori adempimenti richiesti dalla normativa.

IL DATA BREACH NON NASCE SOLTANTO DA UN HACKER

È probabilmente questa la lezione più importante dell’episodio.

Nell’immaginario comune, una violazione dei dati viene spesso associata a malware, ransomware, furti di password o intrusioni nei sistemi informatici.

In realtà, anche pubblicare per errore un documento contenente dati che avrebbero dovuto essere oscurati può determinare un’esposizione indebita delle informazioni personali.

La cybersecurity e la protezione dei dati comprendono quindi anche processi documentali, procedure interne e controlli preventivi.

COSA INSEGNA IL CASO ALLE PUBBLICHE AMMINISTRAZIONI

L’esperienza descritta nell’articolo evidenzia la necessità di integrare gli strumenti automatici di anonimizzazione con misure organizzative e controlli preventivi efficaci.

La pubblicazione online deve essere considerata una fase del trattamento dei dati che richiede particolare attenzione, proprio perché può rendere le informazioni accessibili a un numero indeterminato di persone.

Prima della diffusione di un documento occorre quindi verificare quali informazioni siano effettivamente necessarie rispetto alla finalità di trasparenza e quali, invece, debbano essere eliminate o oscurate.

Il principio vale soprattutto quando gli atti contengono identificativi personali, recapiti, indirizzi o altre informazioni riferibili direttamente ai cittadini.