Tajani nel dark web, il Garante avverte i giornalisti: il caso arriva al G7 e riapre il nodo della libertà di stampa

🛡️ Executive Summary

• I dati personali di Antonio Tajani finiscono sul dark web. La Farnesina conferma il ritrovamento delle informazioni e segnala minacce analoghe rivolte al procuratore Francesco Lo Voi, al direttore della Polizia Postale Ivano Gabrielli e al sindaco Paolo Tassan-Zanin.
• Tajani porta le minacce ibride al G7. Il ministro collega politicamente l’episodio al sostegno italiano all’Ucraina e chiede che la questione venga affrontata nella riunione dei ministri degli Esteri a Parigi, il 9 e 10 novembre 2026.
• Il Garante per la protezione dei dati personali avverte giornalisti e piattaforme. L’Autorità annuncia un monitoraggio della diffusione dei dati e possibili provvedimenti urgenti di limitazione o rimozione.
• Il diritto di cronaca resta tutelato dall’ordinamento. L’articolo 85 del GDPR, il Codice Privacy e le regole deontologiche impongono di distinguere la diffusione indiscriminata di informazioni private dalla pubblicazione di notizie di interesse pubblico.

I dati personali del ministro degli Esteri Antonio Tajani e dei suoi familiari finiscono sul dark web, la Farnesina denuncia un’escalation di minacce ibride e il Garante per la protezione dei dati personali interviene con un avvertimento rivolto direttamente a giornalisti, testate e piattaforme digitali. Due comunicati istituzionali pubblicati il 7 novembre 2026 aprono contemporaneamente una questione di sicurezza nazionale e un confronto sui confini della libertà di informazione. Il ministro, che collega le intimidazioni alla posizione italiana favorevole all’Ucraina, chiede di inserire il tema nell’agenda del G7 Esteri di Parigi del 9 e 10 novembre, mentre l’Autorità garante richiama il divieto di diffondere informazioni personali provenienti da attività illecite e preannuncia possibili interventi urgenti. La tutela di Tajani e delle persone minacciate non è in discussione. Merita invece un approfondimento il linguaggio utilizzato dal Garante nei confronti della stampa, perché l’ordinamento italiano ed europeo non stabilisce un divieto generalizzato di raccontare fatti documentati attraverso materiale di provenienza illecita: richiede una valutazione dell’interesse pubblico, della necessità dei dati trattati e delle modalità con cui vengono pubblicati.

Tajani, i dati personali pubblicati nel dark web e le minacce alle istituzioni

Il comunicato ufficiale della Farnesina del 7 novembre 2026 conferma che le strutture incaricate della sicurezza informatica hanno individuato la diffusione di informazioni personali riferite al ministro degli Esteri Antonio Tajani in un’area del dark web raggiungibile attraverso la rete Tor. Il ministero non specifica pubblicamente la tipologia dei dati, il numero dei documenti coinvolti, il momento della loro acquisizione o le modalità con cui sono stati ottenuti dagli autori della pubblicazione. Non indica neppure una violazione accertata dei sistemi informatici ministeriali. Questa distinzione è fondamentale: il ritrovamento di dati personali sul dark web non dimostra automaticamente che l’infrastruttura della Farnesina sia stata compromessa. Le informazioni possono provenire da un’intrusione, da precedenti fughe di dati, da archivi pubblici aggregati abusivamente o da altre attività illecite. Allo stato delle comunicazioni ufficiali, l’origine tecnica dell’esposizione rimane sconosciuta.

Il ministero riferisce inoltre che Tajani ha espresso solidarietà al procuratore della Repubblica di Roma Francesco Lo Voi, al direttore della Polizia Postale Ivano Gabrielli e al sindaco Paolo Tassan-Zanin, destinatari di minacce considerate analoghe. La presenza di figure che operano nella diplomazia, nella magistratura, nella sicurezza informatica e nell’amministrazione locale rende l’episodio particolarmente delicato, perché la pubblicazione di informazioni personali può trasformarsi in uno strumento di intimidazione. Non è necessario che i dati siano segreti di Stato o documenti riservati per determinare un rischio concreto: recapiti privati, informazioni familiari e dettagli sulle abitudini personali possono facilitare molestie, impersonificazioni e campagne di pressione. La vicenda richiama il fenomeno del doxxing, vale a dire l’esposizione di informazioni personali utilizzata per intimidire, danneggiare o rendere vulnerabile un individuo. Il tema era già emerso nell’analisi delle misure adottate a Hong Kong contro la diffusione illecita dei dati personali, dove la protezione delle vittime si intreccia con i poteri delle autorità.

Tajani collega le intimidazioni all’Ucraina e chiede un intervento del G7

Il ministro attribuisce un significato politico alla pubblicazione dei dati, collegando le intimidazioni alla posizione assunta dall’Italia a sostegno dell’Ucraina. È una valutazione esplicitata dalla Farnesina, ma il comunicato non presenta evidenze tecniche sufficienti per attribuire l’operazione a uno specifico gruppo criminale, a una struttura di intelligence o a uno Stato straniero. Il fatto che una minaccia possa essere coerente con una campagna di destabilizzazione non equivale a dimostrarne la provenienza. L’attribuzione di un attacco informatico richiede elementi verificabili, come infrastrutture utilizzate dagli operatori, modalità di compromissione, tracce forensi e collegamenti documentati con campagne precedenti. Confondere la possibile finalità geopolitica con l’identificazione dell’autore rischia di indebolire proprio la credibilità della risposta istituzionale.

Tajani chiede alla Presidenza di turno del G7 di affrontare il tema delle minacce ibride nella riunione ministeriale prevista a Parigi il 9 e 10 novembre 2026. La richiesta arriva mentre la Farnesina richiama la propria riorganizzazione interna, con l’attivazione dal 1° gennaio 2026 di una nuova Direzione cyber, incaricata di rafforzare la protezione del ministero dalle incursioni informatiche. La scelta politica di portare il tema in sede internazionale appare coerente con la natura transnazionale delle operazioni digitali, ma pone anche una questione di responsabilità interna: quanto sono protetti i dati personali delle figure istituzionali, quali procedure vengono attivate dopo l’individuazione di una minaccia e come vengono coordinate le informazioni fra amministrazioni? Il problema supera la semplice protezione della rete ministeriale e riguarda l’intera filiera della sicurezza nazionale. Nel confronto sulla sovranità cibernetica italiana e sulle responsabilità di ACN, Polizia Postale e Farnesina emerge proprio la necessità di trasformare gli investimenti tecnologici in capacità effettive di prevenzione e risposta.

Il Garante Privacy avverte i media e annuncia possibili rimozioni

Nello stesso giorno interviene il Garante per la protezione dei dati personali, con il comunicato ufficiale dedicato al caso Tajani, identificato dal numero Doc-Web 10318166. L’Autorità specifica che le informazioni circolate sul dark web riguardano anche i familiari del vicepresidente del Consiglio e rivolge un avvertimento a media, testate giornalistiche, siti web e piattaforme. Secondo il Garante, acquisire, diffondere o ripubblicare informazioni personali provenienti da attività illecite può integrare una violazione della normativa sulla protezione dei dati, indipendentemente dalla notorietà della persona coinvolta. L’Autorità annuncia inoltre che controllerà la circolazione delle informazioni e potrà adottare provvedimenti urgenti per limitarne o vietarne il trattamento, chiedendone eventualmente la rimozione dalle piattaforme digitali. Il testo costituisce un avvertimento pubblico, non documenta un provvedimento già adottato contro una specifica testata.

La protezione richiesta è particolarmente comprensibile quando sono coinvolti familiari estranei all’esercizio di funzioni pubbliche. La notorietà di un ministro non rende automaticamente rilevanti gli indirizzi, i recapiti e gli altri dati privati delle persone che gli sono vicine. Riprodurre integralmente documenti rubati o rilanciare collegamenti che permettono di raggiungere archivi contenenti informazioni riservate rischia di moltiplicare gli effetti dell’attività illecita originaria. Il giornalismo non ha bisogno di pubblicare dati personali non essenziali per dimostrare che una persona sia stata minacciata, né l’interesse pubblico giustifica indiscriminatamente l’esposizione delle famiglie. La questione cambia però quando l’avvertimento viene formulato in termini che sembrano ricomprendere anche l’acquisizione e il trattamento giornalistico delle informazioni, senza distinguere le finalità e le modalità dell’attività professionale.

Il GDPR non cancella il diritto di cronaca: cosa stabiliscono le norme

Il rapporto fra protezione dei dati personali e libertà di stampa non può essere risolto attraverso un principio assoluto. L’articolo 85 del Regolamento europeo 2016/679 stabilisce che la tutela della privacy deve essere conciliata con la libertà di espressione e di informazione, prevedendo un regime particolare per i trattamenti effettuati a scopi giornalistici. In Italia, gli articoli 136 e 137 del Codice Privacy disciplinano questa attività e richiamano i limiti del diritto di cronaca, con particolare attenzione all’essenzialità dell’informazione rispetto a fatti di interesse pubblico. Non esiste quindi un’esenzione totale che permetta ai giornalisti di pubblicare qualsiasi dato, ma neppure una regola secondo cui la provenienza illecita di un documento rende automaticamente illecita ogni successiva attività di informazione che lo riguardi.

Le stesse regole deontologiche per il trattamento dei dati nell’attività giornalistica, pubblicate dal Garante, riconoscono espressamente la necessità di contemperare i diritti fondamentali della persona con la libertà di stampa. Il criterio decisivo riguarda la rilevanza pubblica delle informazioni e la loro indispensabilità per descrivere correttamente il fatto. Un giornalista può avere ragione di verificare un documento, studiarne la provenienza e ricostruire come sia stato utilizzato per intimidire una figura istituzionale, senza per questo doverlo pubblicare integralmente o divulgare dati privati estranei alla notizia. Consultare materiale per accertare un fatto, pubblicarne il contenuto e partecipare alla sua distribuzione illecita sono attività diverse, che richiedono valutazioni giuridiche differenti. Il trattamento dei dati da parte del giornalista deve comunque rispettare le condizioni previste dall’ordinamento e non autorizza comportamenti come l’accesso abusivo ai sistemi o la sottrazione di documenti.

Il precedente Report e la necessità di distinguere privacy e informazione

La formulazione dell’avvertimento del Garante solleva una questione che va oltre il caso personale del ministro. Un’autorità indipendente deve proteggere le persone senza trasformare una comunicazione preventiva in un’indicazione indistinta che possa scoraggiare il lavoro giornalistico legittimo. Il diritto di informare sulla pubblicazione di dati rubati non coincide con il diritto di diffondere indiscriminatamente quei dati. È possibile raccontare un’operazione di intimidazione, verificare l’autenticità di documenti, ricostruire i soggetti coinvolti e individuare eventuali responsabilità istituzionali senza esporre informazioni private che non aggiungono nulla alla comprensione dei fatti. La distinzione dovrebbe essere il punto di partenza dell’intervento regolatorio, perché separa la tutela concreta delle vittime da un effetto dissuasivo potenzialmente più ampio.

Il rapporto fra Garante e libertà di stampa ha già prodotto controversie giudiziarie significative. Nel gennaio 2026, il Tribunale di Roma ha annullato la sanzione da 150.000 euro che l’Autorità aveva inflitto alla Rai per la diffusione, durante Report, di un audio relativo al caso Sangiuliano. La decisione, ricostruita nell’approfondimento sull’annullamento della sanzione a Report, ha valorizzato il rapporto fra interesse pubblico, diritto di cronaca ed essenzialità dell’informazione. I fatti sono differenti e il precedente non stabilisce automaticamente la liceità di eventuali pubblicazioni nel caso Tajani. Dimostra però quanto sia importante applicare i criteri giuridici al contenuto concreto di ciascuna notizia, evitando di trasformare la presenza di dati personali in una ragione sufficiente per escludere la protezione dell’attività giornalistica.

Leggi anche: Dal dossier “dall’aldilà” all’inchiesta di Report: le contraddizioni del Garante Privacy sono notizia

Il nodo della sicurezza nazionale: pubblicare dati non significa spiegare un attacco

La presenza di informazioni personali sul dark web solleva anche interrogativi tecnici che i due comunicati non permettono ancora di risolvere. Qual è stata la fonte originaria dei dati? Sono stati sottratti a un’amministrazione pubblica, acquisiti attraverso piattaforme private oppure aggregati da archivi già compromessi? Le informazioni erano recenti e riservate oppure erano già circolate in altre occasioni? L’autore della pubblicazione disponeva effettivamente di elementi utili a intimidire le persone coinvolte? Sono domande essenziali per valutare la gravità dell’incidente, ma non trovano risposta nei documenti pubblicati. La sola presenza di un archivio su Tor non basta a stabilire la modalità dell’attacco, la sua portata o l’eventuale responsabilità di un soggetto straniero.

La differenza fra data breach e data leak, approfondita anche nella guida sul valore delle informazioni violate e sulle conseguenze della loro esposizione, è importante proprio per ricostruire il perimetro delle responsabilità. Se i dati provengono da un’intrusione, occorre individuare il sistema compromesso, verificare gli accessi e comprendere quali controlli siano stati aggirati. Se invece derivano dall’aggregazione di informazioni già disponibili, la risposta deve concentrarsi sulla prevenzione degli abusi e sulla limitazione dei danni. Anche un’operazione di raccolta e diffusione può costituire un rischio serio per la sicurezza personale, ma non ogni esposizione di informazioni equivale a una violazione informatica della struttura pubblica a cui appartiene la vittima. Questa precisione è necessaria tanto alla comunicazione istituzionale quanto alla cronaca.

Minacce ibride e G7: l’Italia deve chiarire quali rischi sta affrontando

La decisione di Tajani di portare la vicenda al G7 Esteri di Parigi apre un terreno politico importante. Le minacce ibride possono comprendere operazioni informatiche, disinformazione, intimidazioni individuali e campagne destinate a condizionare il comportamento delle istituzioni. Il caso descritto dalla Farnesina presenta elementi compatibili con un’attività intimidatoria, ma non contiene ancora una ricostruzione pubblica che permetta di stabilire se si tratti di un’operazione coordinata, di un’iniziativa criminale autonoma o di una campagna riconducibile a interessi geopolitici. La posizione italiana sull’Ucraina fornisce il contesto indicato dal ministro, non una prova definitiva dell’attribuzione.

La tutela degli esponenti istituzionali e delle loro famiglie richiede una collaborazione effettiva fra le strutture di sicurezza, la Polizia Postale e gli organismi competenti per la protezione delle informazioni. Ma l’efficacia della risposta dipende anche dalla capacità di comunicare con precisione che cosa è accaduto, quali dati risultano compromessi e quali misure sono state adottate. Un allarme formulato in termini molto generali può aumentare la preoccupazione senza chiarire il livello concreto del rischio. Lo stesso principio vale per l’intervento del Garante: proteggere le vittime significa impedire nuove esposizioni dannose, non rinunciare alla possibilità di ricostruire pubblicamente le modalità di un’operazione che coinvolge figure dello Stato.

Continua con:

Tribunale annulla la sanzione a Rai per Report sul caso Sangiuliano

Cybersecurity, l’AI accelera gli attacchi e l’Italia cerca sovranità

La libertà di stampa non deve diventare una seconda vittima del doxxing

Nel caso Tajani esistono due interessi legittimi che non devono essere contrapposti artificialmente. Il primo è la protezione delle persone minacciate, comprese quelle che non esercitano alcuna funzione pubblica. Il secondo è il diritto dei cittadini a conoscere l’esistenza, la natura e le implicazioni delle intimidazioni rivolte ai rappresentanti delle istituzioni. Il giornalismo responsabile non pubblica indirizzi privati, recapiti familiari o documenti sensibili soltanto perché sono stati diffusi sul dark web, ma non può essere automaticamente escluso dalla possibilità di verificare una notizia e analizzarne le conseguenze politiche e di sicurezza.

Per questo il comunicato del Garante merita una lettura attenta. La normativa sulla privacy deve impedire che l’informazione amplifichi il danno causato dagli aggressori, non diventare uno strumento che renda più difficile accertare come quel danno sia stato prodotto. La Farnesina ha posto un problema di sicurezza nazionale; il Garante ha richiamato la tutela delle persone. La responsabilità delle istituzioni consiste ora nel fornire chiarimenti proporzionati e nel rispettare il ruolo di una stampa capace di svolgere verifiche autonome, senza partecipare alla circolazione illecita dei dati. Il vero confine non passa fra chi può parlare del caso Tajani e chi deve tacere, ma fra chi informa su un fatto di interesse pubblico e chi utilizza dati personali per aggravare un’intimidazione. È una distinzione prevista dall’ordinamento e fondamentale per affrontare le minacce ibride senza sacrificare uno dei presidi democratici chiamati a raccontarle.