Quando qualcuno mi lascia il suo indirizzo email, il nome di suo figlio, una password che ha riutilizzato altrove, una foto che non voleva diventasse virale, non mi sta cedendo niente. Me lo sta affidando. È un atto di fiducia, e ha la stessa identica natura del lasciare le chiavi di casa al vicino prima di partire. Il GDPR è il manuale d’istruzioni che spiega come si fa il custode. Ma se hai bisogno del manuale per capire che le chiavi del vicino non si copiano, il problema non è il manuale.

È da qualche anno che lavoro contemporaneamente in due mondi che maneggiano dati delicati senza avere quasi mai la stessa sensibilità per essi. Da una parte la scuola: account Google di centinaia di ragazzi, registri elettronici, comunicazioni con le famiglie, casi disciplinari che lasciano tracce documentali da custodire. Dall’altra il mio piccolo ecosistema software: plugin WordPress, una mailing list che gestisco in proprio, siti che ospitano contatti di clienti e colleghi. Sono due contesti molto diversi sul piano tecnico, ma identici sul piano morale: gente che si fida, e io che decido cosa farne.

Vorrei provare a raccontare perché ho smesso, da un po’, di pensare alla privacy come a un dovere legale. E perché credo che chiunque tratti dati altrui — un’azienda, un freelance, un docente, un piccolo studio professionale — farebbe bene a smettere anche lui.

Il depositario, non il proprietario

Nel Codice Civile c’è un contratto antichissimo che si chiama deposito. Funziona così: tu mi lasci una cosa, io me ne prendo cura, te la restituisco quando me la chiedi. Per tutto il tempo in cui la tengo, non è mia. È tua, custodita da me. Se la danneggio per negligenza ne rispondo. Se la cedo a un terzo senza permesso commetto un illecito. Se ne approfitto è abuso di fiducia.

I dati personali funzionano esattamente così, e per qualche ragione abbiamo deciso di fingere che non sia vero. Parliamo di “dati che raccogliamo”, di “informazioni che acquisiamo”, di “banche dati di nostra proprietà”. Ma la verità è che quei dati non sono nostri. Sono del ragazzo di sedici anni che ha aperto un account scolastico perché gli era stato detto di farlo. Sono della signora che si è iscritta alla nostra mailing list perché le interessava ricevere notizie. Sono del cliente che ci ha mandato un PDF con la sua carta d’identità per firmare un contratto. Noi li teniamo. Punto.

Spostare il vocabolario dal possesso alla custodia cambia molte cose, ma soprattutto ne cambia una: non ci si chiede più cosa posso fare con questi dati, ci si chiede cosa il loro proprietario si aspetta che io faccia. Sono due domande con risposte molto diverse. La prima ti porta a leggere il regolamento per capire fin dove puoi spingerti. La seconda ti porta a immaginare la faccia di quella persona se sapesse quello che stai per fare.

Una storia, raccontata male di proposito

Qualche mese fa, in una scuola che conosco bene, è successa una cosa apparentemente piccola. Lo studente A è entrato nell’account Google dello studente B, fingendosi B per qualche minuto. Niente di catastrofico, niente di rubato, nessun dato esfiltrato all’esterno. Una bravata, hanno detto alcuni. Una cosa da ragazzi.

Eppure quando ho cominciato a leggere i log degli accessi, a incrociare IP e timestamp, a ricostruire la sequenza minuto per minuto, mi sono accorto che la cosa apparentemente piccola era enorme. Non per le conseguenze tecniche — quelle erano modeste — ma perché qualcuno si era fidato dell’istituzione, le aveva consegnato un’identità digitale, e l’istituzione non era riuscita a custodirla bene abbastanza. Il problema non era l’autore della bravata. Il problema era che la fiducia di B era stata tradita, e a tradirla, in ultima analisi, non era stato A: era stato il sistema che mi aveva dato la responsabilità di proteggere B.

Avrei potuto archiviare la pratica con un richiamo disciplinare. Era nelle mie facoltà. Era anche, formalmente, conforme. Ho preferito istruire un procedimento serio, documentare ogni passaggio, scrivere una relazione che potesse essere riletta a freddo da chiunque, perché B — anche se non lo sapeva — meritava la mia diligenza. Non perché lo prevedesse una norma. Perché si era fidato.

Racconto questo episodio non per autocelebrarmi: è la versione più sobria di una cosa che dovremmo fare tutti. Lo racconto perché illustra l’unica cosa che secondo me conta davvero: la privacy non è un campo da compilare, è un atteggiamento mentale che ti fa lavorare in un certo modo anche quando nessuno guarda.

Tre scelte concrete che facevo prima e oggi non farei più

Filosofia bella, dirà qualcuno, ma in pratica? In pratica significa che certe scelte tecniche e organizzative diventano automatiche, perché derivano da quella cornice morale senza bisogno di tornarci sopra a ragionarci. Tre esempi presi dal mio lavoro.

Una mailing list autoospitata invece che su un servizio cloud

Quando ho dovuto attivare una mailing list per i miei progetti ho impiegato qualche settimana a scriverne una da zero, con doppio opt-in, dashboard di trasparenza per l’iscritto, esportazione completa dei dati su richiesta, cancellazione che cancella davvero. Avrei impiegato due ore a registrarmi a Mailchimp o Brevo. Ho scelto la strada lunga non per masochismo, ma perché ogni indirizzo che mi viene affidato è una promessa che faccio a chi me lo dà: nessun altro lo vedrà. Spedire quegli indirizzi a un fornitore americano in cambio di interfacce comode è una scorciatoia che non mi sento di prendere. Mi sento solo io a rispondere di quei dati. È più scomodo. È anche più onesto.

Trattare lo spam come un atto di igiene, non come un fastidio

Su un sito che gestisco ho ricevuto, qualche mese fa, una submission falsa attraverso il form di contatto. Spam ordinario. La prima reazione di molti è cancellarla e dimenticarsene. Quella corretta è chiedersi: come è entrata? Perché ogni messaggio falso che entra in un database di contatti è rumore che inquina i dati veri, e ogni dato vero inquinato è una persona di cui non potrò più rispondere con la stessa precisione. Difendere da spam non è una questione di fastidio personale: è cura della qualità di quello che custodisco. Honeypot, hCaptcha, rate limiting, validazione lato server: non sono tecnicismi, sono manutenzione.

Scrivere policy che si possano davvero leggere

La privacy policy media in Italia è scritta perché non venga letta. Lo so io, lo sai tu, lo sa l’avvocato che l’ha redatta. È un atto di sfiducia preventivo: ti consegniamo un muro di testo nella speranza che tu rinunci. Quando scrivo la policy di un sito o di un servizio mio cerco di fare l’esatto contrario — frasi corte, vocabolario quotidiano, dichiarazioni di cosa faccio e di cosa non faccio, senza il velo del legalese. Se davvero non ho nulla da nascondere, non dovrebbe costarmi farlo. Se mi costa, è il segnale che qualcosa nella mia gestione dei dati andrebbe ripensato.

Il patrimonio invisibile

Le aziende che capiscono questa cosa hanno un vantaggio competitivo silenzioso che si vede solo nel lungo periodo. Una base di contatti curata, pulita, costruita con consenso esplicito vale molto più di una base dieci volte più grande raccolta a strascico. I dati ben tenuti sono un asset. I dati maltrattati sono una passività latente che esplode al primo data breach, alla prima sanzione, al primo articolo di giornale.

Ma vorrei dire qualcosa di più forte: oltre al valore economico c’è un valore reputazionale che non si quantifica facilmente in bilancio e che però è quello che alla lunga decide la differenza tra un professionista che dura e uno che evapora. Quando un cliente capisce che ti prendi sul serio i suoi dati — non perché glielo hai detto, ma perché lo dimostri con le scelte che vede — quel cliente ti consiglia. Lo dice ad altri. Si fida abbastanza da affidarti pratiche più importanti. La fiducia è capitale circolante; se la spendi bene rende interessi composti, se la sperperi non la ricostruisci con un comunicato stampa.

Il GDPR come pavimento, non come soffitto

Tutto questo non significa che il GDPR non serva. Serve eccome: è il pavimento sotto il quale non si scende, la garanzia minima che chiunque tratti dati in Europa rispetti almeno quel livello di decenza. Ma è il pavimento, non il soffitto. Limitarsi a stare sopra al pavimento significa lavorare al minimo sindacale della professionalità, e francamente non è una posizione di cui andare fieri.

Mi capita di sentire colleghi dire “ma è conforme al GDPR” come se fosse un complimento. Non lo è. È come dire di un piatto che non avvelena. Vero, certo, necessario — ma davvero quello è il livello di ambizione che vogliamo? Il GDPR ci protegge dai casi peggiori. La diligenza nei confronti di chi si fida di noi è una cosa diversa, e nasce molto prima della legge.

Una domanda finale

Se domani mattina dovessi spiegare a una delle persone i cui dati hai in qualche tuo database, in chiaro, senza filtri, cosa ne stai facendo — dove sono, chi vi accede, per quanto tempo li terrai, a chi li hai eventualmente girati, come li proteggi — ti sentiresti tranquillo nel farlo? Non chiedo se è legale. Chiedo se ti sentiresti tranquillo.

Se la risposta è sì, stai facendo bene il tuo mestiere. Se la risposta è no, non è il GDPR il tuo problema: il GDPR è solo il messaggero. Il problema è il rapporto che hai con la fiducia che ti è stata data.