Nel 2024 il Garante per la protezione dei dati personali ha ricevuto 2.204 notifiche di violazioni di dati, provenienti sia dal settore pubblico sia da quello privato. Dietro ogni numero c’è un incidente concreto: dati esposti, e-mail inviate al destinatario sbagliato, sistemi bloccati da ransomware, informazioni sensibili finite nelle mani sbagliate. Nella maggior parte dei casi, a saltare è proprio la riservatezza o la disponibilità delle informazioni, cioè quei requisiti per la sicurezza dei dati personali che il GDPR cerca di proteggere a tutela dei diritti e delle libertà delle persone.
Se allarghiamo lo sguardo, i 17,7 miliardi di account compromessi nel mondo dalla fine del 2013 fotografano un decennio di vulnerabilità quasi continua. Non si tratta solo di “incidenti tecnici”: ogni account violato è una vita digitale esposta, con possibili ricadute sull’identità, sulla reputazione, sulle possibilità di partecipare, in sicurezza, alla società connessa.
Di solito, quando parliamo di cybersecurity pensiamo agli attacchi attivi: exploit, malware, phishing, intrusioni nei sistemi. È la parte più visibile, anche mediaticamente. Ma questi numeri nascondono un altro livello di rischio, più silenzioso: la progressiva riduzione delle nostre difese che avviene un clic dopo l’altro, quando accettiamo condizioni d’uso senza leggerle, quando autorizziamo app e servizi a raccogliere dati perché “altrimenti non funziona”, quando cediamo informazioni in cambio di un servizio gratuito o di una piccola comodità.
Un esempio emblematico è il modello “Consent or Pay” che si è diffuso in Europa. In teoria offre una scelta: o accetti di essere tracciato per scopi pubblicitari, oppure paghi un abbonamento per non esserlo. In pratica, come mostra il rapporto di NOYB, le percentuali di consenso sfiorano il 100%, mentre studi indipendenti indicano che solo una minoranza delle persone desidera realmente essere tracciata. Il diritto alla privacy viene trasformato in un lusso: chi non può permettersi la versione a pagamento o non vuole rinunciare al servizio si ritrova a “pagare” con i propri dati. La libertà di scegliere diventa un lusso e il requisito del consenso “libero”, previsto dal GDPR, rischia di diventare una formula vuota. Chi non può permettersi di pagare, il rischio è accettare una profilazione molto invasiva, con potenziali conseguenze sulla propria autonomia decisionale, sulla possibilità di informarsi in modo pluralista, sulla fruizione di servizi in modo non discriminatorio.
La questione è ancora più delicata quando riguarda i minori. Il rapporto del Future of Privacy Forum sulla personalizzazione nelle esperienze digitali dei giovani mostra che quasi ogni servizio rivolto a bambini e adolescenti utilizza dati personali per scegliere cosa mostrare, cosa suggerire, cosa nascondere. La stessa personalizzazione che può avere effetti positivi (percorsi di studio coerenti con gli interessi, filtri sui contenuti inappropriati, strumenti pensati per fascia d’età) può essere anche un grande rischio per le libertà: algoritmi che imparano dai comportamenti dei minori possono rinforzare dipendenze, creare “bolle” e distorsioni informative, amplificare insicurezze e vulnerabilità, nascondere informazioni e scelte potenzialmente interessanti, spesso senza che i ragazzi capiscano davvero come funziona ciò che hanno davanti. Si crea così un trade-off difficile da analizzare e misurare.
In questo contesto si inserisce la scelta del governo britannico di introdurre un divieto generalizzato di accesso ai principali social media per gli under 16, con l’obiettivo di entrare in vigore nel 2027. La consultazione “Growing up in the online world” ha raccolto oltre centomila contributi e ha riscosso grande interesse in una cittadinanza preoccupata per l’impatto delle piattaforme sulla salute mentale, sulla sicurezza e sulla qualità della vita dei figli.
Le regole delle autorità possono poco se le scelte quotidiane vanno in altra direzione. Il primo password manager nasce nel 1997 e, da allora, i gestori di password e l’autenticazione multi fattore (MFA) si sono diffusi, al punto da diventare uno standard in quasi tutte le linee guida di sicurezza. Eppure, moltissimi utenti continuano a riutilizzare la stessa password su più account, a evitare l’MFA perché scomoda, a memorizzare password negli strumenti incorporati in smartphone o computer spesso “protetti” da PIN triviali. In molti casi sono proprio i minori a ricevere in eredità queste abitudini “pigre” dagli adulti: account condivisi in famiglia, credenziali annotate su fogli, nessuna protezione aggiuntiva.
Alla fine, le due minacce – attacchi esterni e abbassamento interno delle difese – finiscono per rafforzarsi a vicenda. Le piattaforme costruiscono modelli di business fondati sulla raccolta di dati e sulla profilazione; gli utenti, spesso minori, accettano di cedere sempre più informazioni pur di non rinunciare alla comodità.
La cybersecurity non è solo un tema tecnico, ma una questione di libertà: ogni clic su “Accetta”, ogni permesso concesso senza pensarci, ogni servizio considerato “inevitabile” contribuisce a definire il livello di protezione collettivo. Su questo piano, quello delle pratiche quotidiane e delle regole che le accompagnano, si gioca oggi la difesa dei diritti digitali di tutti, e in particolare delle generazioni più giovani.