Il Tirreno

FIRENZE. Hackerati e bastonati. Nel 2018 Anonymous attacca il sito del Pd di Firenze e mette in rete la lista degli iscritti, completa di numeri di telefono, compreso il cellulare (vecchio) di Matteo Renzi e quello del sindaco di Firenze Dario Nardella. Ora il Garante della Privacy censura il partito. Lo bacchetta: ha trattato e conservato male i dati. E minaccia anche di notificargli una multa fino a 50 mila euro.

Per arrivare a questa conclusione, il Garante della Privacy ha impiegato 11 mesi. Da febbraio 2018 a gennaio 2019. In questi mesi ci sono state indagini, accertamenti, chiarimenti per capire come sia stato possibile per un gruppo di hacker penetrare nel sito del Pd fiorentino e pubblicare le liste degli iscritti al partito, complete di tutti i dati, dagli indirizzi ai numeri di telefono. La vicenda è nota: fra il 4 e il 5 febbraio va in tilt il sito fiorentino del Pd (www.partitodemocratico.fi.it) gestito da Ap Software Informatica sas. Il 6 su Twitter vengono diffuse le liste degli iscritti e il 7 il Garante della Privacy chiede spiegazioni dell’accaduto.

Il Pd di Firenze «contitolare del trattamento dei dati personali, come articolazione del Pd nazionale, titolare del trattamento» precisa che i dati violati riguardano «600 nominativi di iscritti al Pd di Firenze negli anni 2014 e 2015; che i primi attacchi sono avvenuti il 4 febbraio da indirizzi IP appartenenti ad aree geografiche diverse (Bangkok, Svezia e Le Seychelles) e che i dati erano presenti nella parte riservata alla gestione degli iscritti da parte dei circoli territoriali per il rinnovo delle iscrizioni». Invece non sarebbero andati a buon fine attacchi più in profondità, perché non sarebbero state violate le password. A ulteriori richieste del Garante, a luglio e settembre, il Pd precisa ancora che non ha mai indicato la Ap Informatica (che pure gestisce il sito e i dati) «quale responsabile del trattamento e che il rapporto è intercorso solo con un dirigente in qualità di iscritto e responsabile della comunicazione del coordinamento cittadino si è avvalso dei server della società di cui è procuratore». Ma la Ap Informatica «non ha accesso diretto ai dati degli iscritti». Il Pd precisa anche che il consenso al trattamento dei dati «è stata reso oralmente da ciascun iscritto al momento dell’iscrizione e prima della sottoscrizione del modulo relativo».

In queste condotte, il Garante della Privacy rileva «l’illiceità del trattamento dei dati» da parte del Pd fiorentino. E si riserva di verificare l’eventuale contestazione delle sanzioni amministrative per la non corretta conservazione dei dati di traffico (da 10 mila a 50 mila euro, appunto). L’Autorità evidenzia, infatti, che «il titolare del trattamento avrebbe dovuto provvedere a individuare Ap software sas quale responsabile del trattamento dei dati personali degli iscritti al Pd e che la mancata designazione ha configurato l’illiceità del trattamento per l’avvenuta comunicazione di questi dati a un soggetto terzo, in mancanza del consenso degli interessati». Questa designazione - aggiunge l’Autorità - «appare tuttora necessaria se l’attività della società comporti un trattamento di dati personali». Se il Pd non è d’accordo può sempre presentare ricorso contro il provvedimento del Garante al tribunale ordinario.