Analisi delle implicazioni legali del doxing e le tutele per le vittime.
Introduzione: il doxing, una minaccia digitale alla privacy
Il doxing, termine derivante dall’inglese “dropping doc(ument)s”, consiste nella raccolta sistematica di dati personali e loro successiva diffusione online senza il consenso della persona a cui tali informazioni o dati personali si riferiscono (“interessato”). Questa pratica si basa su un processo tecnico di triangolazione di informazioni: il soggetto che pratica doxing (“doxer”) agisce come un investigatore che raccoglie frammenti di dati personali sparsi nel web per ricostruire l’identità completa o altre informazioni riservate dell’interessato che avrebbe invece preferito restare anonimo o pubblicare solamente una parte di informazioni.
Ad esempio, il doxing si riscontra quando, partendo da un contenuto video a carattere intimo in cui il volto della persona non è visibile, si risale all’identità reale del soggetto incrociando dettagli del video, tatuaggi, o altre informazioni, in contrasto con la volontà dell’individuo di proteggere la propria identità.
Un altro esempio emblematico di doxing è avvenuto con i “doxing trucks” ad Harvard, dove i nomi e i volti di alcuni studenti che avevano pubblicato anonimamente degli articoli in favore della causa palestinese sono stati triangolati, raccolti e proiettati su schermi itineranti e giganti per esporli alla gogna pubblica mediatica e fisica, nonché allo svelamento della loro identità. .
Inoltre, la diffusione dell’indirizzo fisico di una persona ottenuto tramite doxing può portare al fenomeno dello “swatting”, che consiste nell’utilizzare dati personali non pubblicamente accessibili ma reperiti attraverso strumenti informatici per inviare false segnalazioni alle autorità sostenendo che un’emergenza stia avvenendo all’indirizzo della vittima. Le autorità, a seguito della segnalazione e sospettando che sia in corso un reato, possono intervenire con irruzioni nell’abitazione segnalata, con chiare ripercussioni persecutorie e di disturbo sulla vittima di questa pratica.
Violazione del diritto alla riservatezza, protetto dalla Costituzione
Tali esempi, nonostante gli ultimi due provengano prettamente dall’esperienza statunitense, permettono di introdurre il tema centrale della violazione del diritto alla riservatezza, che trova la sua base legale nell’articolo 2 della Costituzione Italiana. Questa norma riconosce e garantisce i diritti inviolabili dell’uomo, includendo la tutela della sfera privata, il cosiddetto diritto alla riservatezza, come elemento essenziale della dignità e dell’autonomia individuale. Il diritto alla riservatezza non è dunque solo il diritto a essere lasciati soli (come definito dalla dottrina giuridica), ma è il potere di decidere quali aspetti della propria identità rivelare al mondo, e quando questo potere viene sottratto attraverso la ricostruzione forzata dell’identità, si verifica una lesione diretta della libertà personale.
La norma costituzionale italiana si inserisce armonicamente nel sistema di tutela internazionale allestito sia dal Consiglio d’Europa, con la CEDU e le convenzioni specifiche(la Convenzione di Budapest e la Convenzione 108), che dall’Unione Europea con la Carta dei Diritti e il GDPR.Il sistema europeo non tollererebbe violazioni del tipo di quelle riferite. Sia nel caso del video anonimo re-identificato che in quello dei doxing trucks, infatti, si verifica il trattamento di dati personali particolari, cioè dati meritevoli di particolare protezione maggiore (vita sessuale, opinioni politiche…), in principio vietato salvo che si verifichino particolari e stringenti condizioni che, per definizione, nel doxing mancano.
La protezione europea, penale e civile
A livello normativo, il doxing integra anche una violazione del Regolamento Generale sulla Protezione dei Dati (“GDPR”) e del D.Lgs. 196/2003 (“Codice Privacy Italiano”). Ai sensi dell’articolo 4 del GDPR, ogni informazione che permetta di identificare una persona fisica è un dato personale e la sua diffusione arbitraria costituisce un trattamento illecito. Questa condotta di doxing contravviene altresì ai principi di correttezza e trasparenza previsti dall’articolo 5 GDPR, poiché i dati personali vengono trattati senza una finalità legittima. Inoltre, la mancanza di una base giuridica valida per il trattamento (come il consenso dell’interessato) configura una violazione dell’Articolo 6GDPR, privando la vittima di doxing del controllo sulle proprie informazioni.
Il Codice Privacy Italiano riveste un ruolo essenziale in questo quadro normativo poiché disciplina il trattamento dei dati personali a livello nazionale e funge da ponte verso la tutela penale. In particolare, l’articolo 167 del Codice Privacy punisce il trattamento illecito di dati personali effettuato con lo scopo di arrecare danno all’interessato o trarne profitto.
Oltre a questa fattispecie specifica, la giurisprudenza italiana ha spesso ricondotto il doxing ad ulteriori reati, nello specifico:
- diffamazione (articolo 595 del Codice Penale), quando la pubblicazione è accompagnata da commenti volti ad intaccare la reputazione professionale o personale della vittima;
- atti persecutori (c.d. “stalking”) (articolo 612-bis del Codice Penale), qualora la diffusione illecita dei dati scateni una tempesta di messaggi d’odio o minacce che inducono nella vittima un perdurante stato d’ansia o paura;
- sostituzione di persona (articolo 494 del Codice Penale), se l’autore del doxing, dopo aver ottenuto le informazioni, le utilizza per creare profili falsi sui social o per impossessarsi dell’identità della vittima al fine di arrecarle un danno;
- violenza privata (articolo 610 Codice Penale), che si manifesta quando la minaccia o la diffusione di dati personali viene usata come mezzo per costringere la vittima a fare o tollerare qualcosa contro la propria volontà;
- accesso abusivo a sistema informatico (articolo 615-ter Codice Penale) se le informazioni sono state carpite violando le barriere digitali predisposte da parte della vittima su un sistema informatico.
Dal punto di vista della responsabilità civile, il doxing viene inquadrato nella tutela extracontrattuale prevista dall’articolo 2043 del Codice Civile. Infatti, il doxer è obbligato a risarcire il danno ingiusto causato dalla sua condotta illecita, il cui onere della prova è posto in capo alla vittima. Tale risarcimento potrà coprire sia il danno patrimoniale, come eventuali spese legali o perdite economiche, sia il danno non patrimoniale, che include tra gli altri la lesione della dignità, il danno morale o lo stress psicologico patiti a causa della diffusione dei dati.
A livello pratico, si può verificare il problema dell’impossibilità di identificare l’autore dell’attività illecita. Vale dunque la pena ricordare che, quando il doxing sia reso possibile, favorito o potenziato dalla violazione di fonti di dati proprietarie, quindi tramite data breach, ricorre anche la concorrente responsabilità del titolare di quei dati che siano stati esfiltrati, che ha l’obbligo di notifica all’Autorità di controllo e, se vi è pericolo di grave pregiudizio, di comunicazione alle persone interessate entro precisi termini di legge. In questi casi, è anche possibile esercitare il diritto di accesso e gli altri diritti previsti dalla legge al fine di approfondire la reale portata della violazione e del pregiudizio subito.
L’Intervento delle autorità
La vittima di doxing ha la possibilità di adire il Garante della Privacy o sporgere denuncia presso le competenti autorità giudiziarie, rivolgendosi in particolare alla Polizia Postale o ai Carabinieri.
Adire il Garante Privacy è una scelta strategica quando l’obiettivo primario è bloccare la diffusione illecita dei dati personali e sanzionare la condotta sotto il profilo della gestione delle informazioni. Attraverso una segnalazione o un reclamo formale, la vittima può richiedere indagini specifiche su come i propri dati siano stati sottratti e diffusi, specialmente nei casi in cui la “triangolazione” malevola abbia portato a rivelare l’identità di un soggetto che operava in forma anonima.
Il Garante Privacy ha il potere di ordinare il blocco o il divieto del trattamento dei dati, obbligando di fatto alla rimozione delle informazioni illecite, e può infliggere pesanti sanzioni amministrative. Un aspetto cruciale risiede nel legame previsto dall’articolo 167 del Codice Privacy: se durante l’accertamento emergono elementi che fanno presumere l’esistenza di un reato, il Garante ha l’obbligo di informare senza ritardo il pubblico ministero competente, trasmettendo una relazione motivata. Questa collaborazione assicura che una violazione della privacy particolarmente grave non resti confinata all’ambito amministrativo, ma trovi una risposta anche nel sistema penale.
Parallelamente, quando il doxing integra vere e proprie fattispecie criminose, è fondamentale rivolgersi alle autorità giudiziarie competenti. Mentre il Garante si occupa del “dato personale”, la Polizia Postale e i Carabinieri si occupano del reato e dell’ autore del fatto una volta ricevuta la denuncia o querela.
La Polizia Postale, in particolare, possiede le competenze tecniche necessarie per seguire le tracce digitali lasciate dal doxer durante la fase di raccolta e triangolazione dei dati. La denuncia/querela permette inoltre di richiedere misure cautelari urgenti, come il sequestro preventivo delle pagine web o dei profili social utilizzati per l’attacco, prevenendo che il danno alla vittima diventi irreparabile.
Le modalità per la rimozione e la raccolta delle prove
Qualunque sia il percorso che si voglia seguire per ottenere tutela, è essenziale raccogliere più prove possibili affinché gli strumenti giuridici utilizzati per difendersi dal doxing possano essere efficaci. Con strumenti di prova si intende tutto ciò che possa dimostrare che l’evento sia accaduto, quali ad esempio la raccolta ordinata di screenshot, indirizzi URL, timestamp (data e orari precisi) e log di accesso.
Una volta raccolte le prove, il passo successivo è agire per limitare il danno, richiedendo formalmente la rimozione dei contenuti ai gestori delle piattaforme o dei social media. Oggi, grazie al Digital Services Act (“DSA”), i fornitori di servizi digitali hanno l’obbligo legale di predisporre meccanismi di segnalazione chiari e di agire tempestivamente per rimuovere i contenuti illeciti. In questa fase, un ruolo di rilievo è affidato ai “Trusted Flagger“, come l’associazione PermessoNegato, ovvero segnalatori attendibili le cui segnalazioni godono di una corsia preferenziale rispetto a quelle dei singoli utenti, permettendo di ottenere l’azione richiesta alla piattaforma in tempi estremamente rapidi.
Consigli di prevenzione per la sicurezza online
Al fine di ridurre il rischio di essere vittime di doxing, è consigliato adottare impostazioni privacy restrittive sui social, rendendo i profili privati e limitando la visibilità dei post in modo da evitare l’esposizione dei dati personali ad un pubblico particolarmente esteso.
È necessario evitare la condivisione di dati personali come dati anagrafici, indirizzi o numeri telefonici, utilizzare pseudonimi e strumenti di privacy check integrati nelle applicazioni.
Infine, sul piano tecnico, possono essere adottate misure come l’implementazione di password complesse, l’autenticazione a due fattori, il monitoraggio della propria presenza online con servizi di alert per fughe di dati, l’utilizzo di software antivirus e VPN che aggiungono strati di protezione contro azioni automatizzate di raccolte dati prodromiche al doxing o altri illeciti.
Conclusioni: la consapevolezza come strumento principale alla lotta contro il doxing
In ultima analisi, come si è visto, il doxing non può essere considerato una semplice offesa virtuale, ma costituisce un reato grave che lede la privacy e la sicurezza personale richiedendo vigilanza e sanzioni dissuasive per contrastarlo efficacemente.
Infatti, solo attraverso una matura consapevolezza digitale sarà possibile garantire che la condivisione delle informazioni rimanga un atto consenziente e cosciente, preservando l’integrità e la libertà di ogni individuo online e offline.
Articolo a cura del Dott. Filippo Battilana
