Doxing, GPS e microspie: i reati contro la privacy

L’angolo: non serve una norma ad hoc per il doxing

Sebbene non esista in Italia una fattispecie denominata doxing, la condotta di pubblicazione sistematica di dati personali altrui con il fine di recare danno integra il reato di trattamento illecito di dati personali ex art. 167 del Codice Privacy, e può concorrere con la diffamazione aggravata, la minaccia, lo stalking e l’estorsione.

Il doxing è un termine anglosassone che descrive la pratica di ricercare, aggregare e pubblicare online informazioni personali su qualcuno — indirizzo, numero di telefono, luogo di lavoro, dati familiari — tipicamente per esporre la persona a ritorsioni da parte di terzi.

Il 167 del Codice Privacy: elemento soggettivo e nocumento

La norma richiede:

1. Finalità di danno o profitto: il trattamento illecito deve essere compiuto con l’intenzione di danneggiare la vittima o di trarne profitto. La pubblicazione accidentale di dati altrui non integra il reato.

2. Nocumento: il nocumento è il pregiudizio giuridicamente rilevante di qualsiasi natura, patrimoniale o non patrimoniale, subito dal soggetto cui si riferiscono i dati protetti quale conseguenza dell’illecito trattamento. Non occorre un danno patrimoniale: è sufficiente il danno all’immagine o alla reputazione.

3. Coordinamento con il Garante: quando il PM apre un procedimento penale per violazione del Codice Privacy, lo informa senza ritardo. Se il Garante ha già applicato una sanzione amministrativa per lo stesso fatto, la pena è diminuita — meccanismo di coordinamento tra le due sedi.

GPS e tracciamento: i limiti della prova

La questione del tracciamento GPS nei procedimenti penali coinvolge due profili distinti:

Come prova dell’accusa: le celle telefoniche e i dati GPS forniti dagli operatori telefonici sono dati acquisibili dal PM. Ma la Corte di Giustizia UE — sentenza La Quadrature du Net e successivi sviluppi 2023-2025 — ha imposto che l’accesso ai dati di traffico sia:

• limitato ai casi di criminalità grave;
• soggetto a controllo giurisdizionale preventivo o rapida supervisione giurisdizionale;
• proporzionato alla gravità del reato.

In Italia l’art. 132 del Codice Privacy, riformato dal d.lgs. 123/2021, disciplina la conservazione e l’acquisizione dei dati di traffico. La difesa può eccepire l’inutilizzabilità dei dati acquisiti senza i presupposti.

Come condotta illecita: l’installazione di un GPS su un veicolo altrui per monitorarne la posizione — senza autorizzazione del PM e senza partecipazione del proprietario — integra l’art. 615-bis (interferenze illecite nella vita privata) o il 617-bis (installazione di apparecchiature intercettanti).

Le microspie: art. 617-quinquies

L’art. 617-quinquies punisce chiunque installi apparecchiature atte a intercettare, impedire o interrompere comunicazioni o conversazioni senza autorizzazione. La pena è la reclusione da uno a quattro anni.

Non serve che la microspia abbia registrato: basta l’installazione. La norma è di pericolo, non di evento.

La difesa per il reato di installazione di microspie lavora su:

1. Autorizzazione: esisteva un’autorizzazione del PM? Anche le intercettazioni preventive (sicurezza pubblica) richiedono autorizzazione.
2. Partecipazione alla conversazione: chi registra le proprie conversazioni non viola il 617-quinquies.
3. Luogo: l’art. 615-bis protegge i luoghi di privata dimora; le registrazioni in luoghi pubblici o aperti al pubblico hanno un regime diverso.
4. Finalità: la microspia installata per proteggere la propria abitazione da intrusi ha una giustificazione diversa da quella installata per spiare un’altra persona.

Le intercettazioni private: quando sono lecite

Le registrazioni effettuate da un soggetto che partecipa direttamente alla conversazione non costituiscono intercettazione ai sensi dell’art. 266 c.p.p. e sono utilizzabili come documenti ex art. 234 c.p.p. nel processo penale, anche se effettuate con un dispositivo nascosto.

Il privato che registra la propria conversazione con un’altra persona non commette reato, anche se lo fa di nascosto. La registrazione è ammissibile come prova documentale, non come intercettazione.

Il limite è la divulgazione: pubblicare la registrazione senza consenso può integrare il trattamento illecito di dati personali (art. 167) se la registrazione contiene dati personali altrui, o la violazione della corrispondenza (art. 616) per le comunicazioni riservate.

Casi pratici

Caso 1 — doxing con richiesta di rimozione

Situazione. Soggetto che pubblica dati personali della vittima con richiesta di pagamento per la rimozione.

Attività svolta. Verifica della qualificazione come doxing + estorsione, documentazione del nocumento, identificazione della piattaforma usata e richiesta di rimozione urgente ai sensi del DSA.

Esito. Contestazioni cumulative (167 Privacy + 629 estorsione) esaminate sulla struttura della condotta.

Caso 2 — GPS su autovettura ex-partner

Situazione. GPS installato su auto di ex-coniuge senza autorizzazione; dati usati per contestare le frequentazioni.

Attività svolta. Eccepita la violazione del 615-bis e del 617-bis per l’installazione; richiesta di inutilizzabilità dei dati acquisiti tramite il GPS nel giudizio civile parallelo.

Esito. Inutilizzabilità delle prove esaminata sulla legittimità dell’acquisizione.

Caso 3 — celle telefoniche e alibi

Situazione. Accusa fondata sulla presenza del telefono dell’imputato nella cella dell’area del reato.

Attività svolta. Perizia tecnica sulla copertura effettiva della cella all’ora del fatto, analisi dei dati di handover, contestazione della granularità della localizzazione.

Esito. Valore probatorio delle celle esaminato sulla copertura reale dell’antenna nel momento rilevante.

Dove si costruisce la difesa

1. Doxing — elemento soggettivo: finalità di danno o profitto richiesta dall’art. 167.
2. Doxing — nocumento: anche non patrimoniale; danno all’immagine è sufficiente.
3. GPS — autorizzazione: chi lo ha installato aveva l’autorizzazione del PM?
4. Celle — copertura: la perizia tecnica sulla copertura reale dell’antenna è indispensabile.
5. Celle — normativa UE: la direttiva e-Privacy limita l’uso dei dati di traffico nei casi lievi.
6. Microspie — partecipazione: chi registra le proprie conversazioni non viola il 617-quinquies.
7. Registrazioni private — divulgazione: lecita la registrazione, illecita la diffusione senza consenso.

Il Garante Privacy e il processo penale: il doppio binario

Il trattamento illecito di dati personali (art. 167 Codice Privacy) apre due procedimenti paralleli: quello penale davanti al Tribunale ordinario, e quello amministrativo davanti al Garante per la protezione dei dati personali.

Il Garante può irrogare sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato globale. Se il Garante interviene per primo e applica la sanzione amministrativa, la pena nel procedimento penale è diminuita — meccanismo di coordinamento introdotto per evitare la duplicazione punitiva.

Per la difesa: se il Garante sta già procedendo, è opportuno monitorare anche quel procedimento e valutare se una collaborazione proattiva con il Garante (presentazione di memorie, misure correttive adottate volontariamente) possa ridurre l’esposizione nel parallelo procedimento penale.

Dati biometrici e dati genetici: la soglia più alta

I dati biometrici (impronta digitale, riconoscimento facciale, scan dell’iride) e i dati genetici sono dati particolari ai sensi del GDPR. Il loro trattamento illecito integra l’art. 167 comma 2 del Codice Privacy — con pena aumentata — e può integrare anche l’art. 167-bis se il trattamento avviene su larga scala.

Nei casi di deepfake facciale — utilizzo del volto di una persona per creare immagini o video falsi — si aggiungono i profili dell’art. 612-ter (diffusione illecita di immagini sessualmente esplicite, se il contenuto è di quel tipo) e dell’art. 167-bis se la diffusione è su larga scala.

La perizia tecnica per identificare il creatore di un deepfake è complessa ma possibile: i modelli AI lasciano tracce nelle immagini generate che possono essere analizzate con software forensi specializzati.