Datagate, dodici anni dopo

Una parola nata in Italia, uno scandalo nato alle Hawaii e una domanda che nel 2026 riguarda ogni organizzazione che tratta dati personali.

In OltreCode non inseguiamo le norme solo quando diventano obbligatorie; le studiamo quando nascono come visione. E qualche volta, per capire una norma, conviene partire da molto prima che venga scritta.

Datagate. Una parola che avrai già sentito sicuramente. Forse anche fin troppo. Nel 2018 è stata perfino una delle parole più cercate su Google. D'altronde si trattava di uno dei fatti più chiacchierati dell'anno. Lo scandalo Cambridge Analytica.

Uno scandalo di cui forse sappiamo fin troppo. Infatti, non è di Zuckerberg che voglio parlarti in queste pagine. La parola datagate, in effetti, è nata addirittura l'anno prima che Cambridge Analytica fosse fondata nel 2013.

Se avrai la pazienza di accompagnarmi, ti racconterò come e quando.

Un tunnel sotto una piantagione di ananas

È il 12 aprile 2012. Siamo alle Hawaii. A Kunia, nell'isola di Oahu, c'è un'enorme, colorata, piantagione di ananas. Se fossimo addetti ai lavori, sapremmo che sotto di noi esiste un tunnel in cemento armato usato, ai tempi di Roosevelt, come fabbrica di aeroplani. Fino a quel momento, però, pochi conoscono quel microcosmico segreto.

Si tratta di una delle sedi operative della National Security Agency (NSA), quell'organismo che, insieme alla CIA e al famigerato FBI, si occupa della pubblica sicurezza negli Stati Uniti d'America.

Dentro un tunnel, c'è un ragazzo epilettico classe 1983 che smanetta davanti a un computer. Ha un quoziente intellettivo di 145, ma non ha mai conseguito il diploma. È una sorta di agente segreto; ha lavorato per la CIA sia in Svizzera che in Giappone.

Quel ragazzo sta svolgendo un'azione illegale: sta scaricando un documento top secret. Non sa cosa gli accadrà da quel momento in poi, ma le sue intenzioni sono chiare: non può non dare ascolto alla sua coscienza. Si chiama Edward Snowden e la sua storia è la storia di Datagate.

7 giugno 2013: la bomba si chiama PRISM

Otto mesi di download di documenti top secret e, a gennaio, Edward contatta Laura Poitras, documentarista e regista premio Oscar, nonché membro del consiglio della Fondazione della libertà di stampa.

L'NSA lo congeda con una scusa poco più tardi e, a maggio, Snowden vola verso Hong Kong.

Il 6 giugno, Edward si trova ancora al Mira Hotel della metropoli cinese, quando le pagine del Guardian e del Washington Post rivelano al mondo i primi elementi dello scandalo più discusso dei nostri anni.

La bomba esplode il 7 giugno, quando i due quotidiani parlano per la prima volta di PRISM.

Su Google, Facebook, Apple, Microsoft, persino Skype. Edward ha scoperchiato il vaso di Pandora del nostro tempo.

Il 27 giugno si scopre che l'amministrazione Obama ha autorizzato le agenzie di intelligence a spiare milioni e milioni di email grazie all'esistenza di un altro software clandestino, Stellar Wind. Tutto ciò avviene senza il coinvolgimento della magistratura, senza alcuna autorizzazione ufficiale e nella più totale segretezza. Almeno fino a Snowden.

L'NSA si difende: ha agito nel rispetto della legge, per la sicurezza del popolo e della Nazione. Ma lo scandalo si allarga.

Ad ottobre, Cryptome rivela che la CIA ha spiato 46 milioni di telefonate in Italia, 60 milioni in Spagna, svariati milioni in Germania. Comuni cittadini, funzionari del governo, leader di partito e di stato. Persino Angela Merkel finisce tra gli intercettati. È bufera.

Edward esce allo scoperto. Il Dipartimento di giustizia lo incrimina il 21 giugno 2013. Violazione dell'Atto di spionaggio. Furto di proprietà del governo. Revoca del passaporto.

Clandestino, Snowden vola a Mosca, dove le autorità notano che il suo passaporto è invalido e lo trattengono presso l'aeroporto di Šeremét'evo per due mesi. La Russia gli concede, poi, il diritto d'asilo e tuttora Edward vive da qualche parte nello sterminato paese che lo ha accolto.

Una parola italiana travestita da inglese

Datagate. Lo scandalo del decennio. Eppure, se vai a Washington a parlare di "datagate", quasi nessuno capirà a cosa ti stai riferendo. Ovunque nel mondo, ma soprattutto in America, lo scandalo del 2013 è noto come Big Brother Scandal. E l'originale datagate?

Esiste una voce Wikipedia, List of "-gate" scandals, in cui datagate non appare mai. Come sarebbe possibile?

Basterà fare un piccolo esperimento. Se digiti nella barra di ricerca di Google "PRISM datagate" oppure "Snowden datagate" oppure "2013 datagate", il motore di ricerca ti restituirà solo pagine in italiano.

Dunque, anche se non esiste ancora un padre ufficiale del neologismo, sappiamo con certezza che nessuno, fuori dall'Italia, userebbe mai il termine datagate per indicare l'enorme scandalo di PRISM.

In sintesi, datagate è un nome solo all'apparenza inglese o anglofono che gli anglosassoni, però, non hanno mai usato. Tanto più che, in inglese, il termine data è talmente generico da renderlo fuorviante se privo di contesto. Si tratta di un neologismo tutto made in Italy.

Qualcuno ci controlla? Diciamo che potrebbe capitare

Comunque lo si chiami, lo scandalo ha interessato tutto il mondo occidentale. Quelle che potevano apparire come fantasiose teorie cospirazioniste si sono rivelate spaventosamente come realtà dei fatti. Nonostante le numerose smentite.

Fidarsi delle rassicurazioni dei governi può apparire rassicurante, ma non sempre è giusto. Ad agosto 2013, Barack Obama, Nobel per la pace 2009, nega categoricamente l'esistenza di un sistema di spionaggio domestico di massa. A settembre dello stesso anno, l'NSA è costretta ad ammettere di raccogliere e custodire informazioni sui tabulati telefonici di tutti i cittadini statunitensi.

Dove finisce questa enorme quantità di dati? Uno dei depositi più probabili è lo Utah Data Center, un impianto di stoccaggio dalle dimensioni titaniche: un milione di metri quadri per un costo stimato di 1,5 miliardi di dollari.

Nel 2013, mentre il mondo esige tutela al diritto di protezione della privacy, Google, Yahoo, Apple e Facebook dimostrano che la CIA e l'NSA entrano regolarmente nei loro sistemi per raccogliere dati privati.

Per rafforzare i loro sistemi di crittografia, i titani della comunicazione chiedono al governo statunitense una legge per tutelare la privacy degli utenti. La riforma viene annunciata da Obama durante una conferenza stampa alla White House nel 2014.

Nel 2015, una Corte d'appello degli Stati Uniti stabilisce che le intercettazioni fatte dall'agenzia governativa NSA sono illegali. Secondo i giudici il programma non è stato autorizzato in alcun modo dal Congresso e deve essere immediatamente sospeso.

Argo, Bentham e il panottico senza mattoni

Conosci Argo Panoptes? Si tratta di un gigante della mitologia greca. Possiede cento occhi e la madre degli dei, Era, gli affida l'incarico di sorvegliare Io, una delle amanti di Zeus, che ha rapito per sottrarla al marito. Argo riesce a non perderla mai di vista, perché per dormire riposa due occhi alla volta.

Nel 1791, il giurista Jeremy Bentham ha progettato un carcere ideale, chiamato Panopticon. Secondo il progetto, un unico sorvegliante (opticon) riesce a osservare tutti (pan) i soggetti detenuti e le loro attività, senza permettere a questi di capire in quale momento siano osservati o meno. Il nome è ispirato al gigante dai cento occhi.

Qualcuno è riuscito a realizzare un panottico in muratura. A Siena, per esempio, l'ex ospedale psichiatrico di San Niccolò, dismesso negli anni novanta, è stato progettato secondo le idee di Bentham.

Qualcun altro, invece, non ha avuto bisogno dei mattoni. I sistemi di sorveglianza di massa dell'NSA sono stati, per quanto possiamo saperne, il più sofisticato e pericoloso panottico della nostra storia.

Si tratta di una violazione della privacy a un nuovo (e molto più pericoloso) livello. La sorveglianza di massa comporta la messa a nudo di una società intera. Ed è evidente che chi controlla i dati personali di un'intera società non ci metterà poi molto a controllarla del tutto.

Il 29 ottobre 2015 il Parlamento europeo ha riconosciuto a Edward Snowden lo status di "difensore internazionale dei diritti umani".

Dodici anni dopo: da Snowden al GDPR

Quel 7 giugno 2013 non ha lasciato dietro di sé solo uno scandalo. Ha lasciato una domanda scomoda a un intero continente: se un governo alleato può leggere le nostre conversazioni, chi ci difende?

L'Europa ha risposto con una legge. Il 27 aprile 2016 il Parlamento europeo e il Consiglio approvano il Regolamento generale sulla protezione dei dati (GDPR), che diventa direttamente applicabile in tutti gli stati membri il 25 maggio 2018. I lavori preparatori erano cominciati prima di PRISM, è vero. Ma è stato dopo PRISM che quel testo ha trovato la spinta politica per arrivare in fondo.

Il principio che ha cambiato le regole del gioco ha un nome poco poetico: responsabilizzazione (accountability). Non basta più rispettare le norme. Bisogna essere in grado di dimostrare di averle rispettate. Chi tratta dati personali deve sapere quali dati ha, dove stanno, perché li ha raccolti, per quanto tempo li conserva e chi può vederli. Sembra banale. Prova a chiederlo in una riunione qualsiasi e osserva i volti.

E la sorveglianza americana? Il 16 luglio 2020 la Corte di giustizia dell'Unione europea, con la sentenza nota come Schrems II, invalida il Privacy Shield, l'accordo che permetteva di trasferire dati verso gli Stati Uniti. La motivazione, in sostanza, è che le leggi statunitensi sulla sorveglianza non garantiscono agli europei una tutela equivalente. Sette anni dopo, una corte ha messo nero su bianco ciò che Edward aveva documentato scaricando file in un tunnel sotto una piantagione di ananas. Il quadro è stato poi ricostruito il 10 luglio 2023 con il Data Privacy Framework, ma il dibattito non si è mai davvero chiuso.

Il 2026: semplificare o erodere?

Oggi la domanda non è più "esiste la sorveglianza di massa?". È: quanta protezione siamo disposti a permetterci?

Sul tavolo di Bruxelles c'è il pacchetto di riforma noto come Digital Omnibus, che punta a razionalizzare e semplificare un impianto normativo diventato stratificato (GDPR, Data Act, direttiva sulla sicurezza delle reti e dei sistemi informativi (NIS2), regolamento sull'intelligenza artificiale (AI Act)). Le proposte più discusse sono tre.

Il Comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS) hanno risposto con un parere congiunto (il n. 2 del 2026) che riconosce l'esigenza di semplificare, ma avverte: alcune modifiche rischiano di abbassare la soglia di tutela e di generare incertezza proprio dove serviva chiarezza. Semplificazione o erosione? La differenza, come sempre, la farà l'applicazione concreta.

Intanto, in Italia

Il Garante per la protezione dei dati personali ha approvato il piano ispettivo per il primo semestre 2026: almeno 40 ispezioni condotte con la Guardia di finanza. Nel mirino ci sono le violazioni di dati (data breach) su banche dati pubbliche di particolare rilevanza, il dossier sanitario, i sistemi di segnalazione degli illeciti (whistleblowing), il telemarketing illecito nel settore energetico, le pratiche di pseudonimizzazione e, per la prima volta, le applicazioni di intelligenza artificiale nelle scuole, dove i soggetti coinvolti sono minori.

Non sono esercitazioni teoriche. Nel solo mese di luglio 2026 il Garante ha sanzionato Piaggio & C. Spa per 460.000 euro, Altroconsumo Edizioni per 280.000 euro in materia di marketing, ed è intervenuto su una violazione di dati della Città metropolitana di Sassari. Nello stesso periodo ha chiesto garanzie più solide sui dati biometrici nello schema di decreto legislativo di adeguamento all'AI Act.

Il panottico che ci siamo costruiti da soli

Torniamo per un attimo a Bentham e al suo carcere ideale. Il punto del panottico non era vedere tutto sempre. Era far credere al detenuto di poter essere visto in qualunque momento. Bastava il dubbio a modificarne il comportamento.

Nel 2013 il sorvegliante doveva entrare di nascosto nei server di Google, Facebook, Apple e Microsoft. Nel 2026 non ne ha più bisogno: gli apriamo la porta noi. Assistenti vocali sempre in ascolto, dispositivi indossabili che misurano il sonno e il battito, badge che tracciano gli accessi, videosorveglianza intelligente, sistemi di punteggio, modelli linguistici addestrati su miliardi di conversazioni. La differenza rispetto a PRISM è che questa volta abbiamo accettato le condizioni d'uso. Con un tocco.

La morale

L'articolo poteva finire con Snowden e con l'idea che la libertà si difenda con il coraggio di qualcuno. È una bella storia, ma è una storia pericolosa. Perché sposta la responsabilità sempre altrove: sull'eroe, sul governo, sul legislatore europeo, sull'ennesimo regolamento.

La verità è più prosaica. La protezione dei dati non si difende con i gesti eclatanti, si costruisce con il metodo. Si chiama protezione fin dalla progettazione (privacy by design) e vuol dire decidere prima come si trattano i dati, non dopo l'ispezione. In concreto, sono quattro cose.

1. Un registro dei trattamenti aggiornato davvero. Non il file compilato una volta e mai più riaperto, ma la mappa viva di quali dati tratti, dove stanno e per quanto tempo.
2. Una valutazione d'impatto sulla protezione dei dati (DPIA) fatta quando serve. Prima di attivare il trattamento rischioso, non dopo che qualcuno ha chiesto conto.
3. Un responsabile della protezione dei dati (DPO) che sia una funzione, non una casella. Con competenze reali, tempo dedicato e accesso al vertice.
4. Una procedura di gestione delle violazioni già provata. Perché le 72 ore per la notifica al Garante cominciano a scorrere nel momento peggiore possibile.

Per proteggere la privacy non servono eroi. Serve qualcuno che se ne occupi ogni giorno.

OltreCode: Oltre la norma, verso la cultura del dato.