Se la pubblica amministrazione operasse con la stessa trasparenza con cui permette l’accesso ai documenti di identità scansionati e ad alta risoluzione di ignari cittadini, potremmo davvero pensare che sia diventata la casa di vetro che sognava Filippo Turati nel lontano 1908.

Il Fatto

Come segnalato da Michele Pinassi sul suo profilo Twitter, ripreso dal blog di Paolo Attivissimo, il Ministero delle Infrastrutture e dei Trasporti, ignorando le tecniche di indicizzazione di Google, ha permesso di ricercare documenti in pdf relativi a liquidazioni di prestazioni professionali, lettere per l’affidamento di incarichi professionali, e ulteriori documenti, tutti corredati dalla scansione ad alta risoluzione del documento di identità dell’interessato.

Come è possibile? Google Dorks. Si tratta di query di ricerca composte da diverse keywords, che vengono immesse in un motore di ricerca per avere dei risultati più specifici.

Ovviamente, attraverso le Dorks è possibile anche risalire alle username e password salvati nei file di log o ad altre informazioni, come l’elenco degli indirizzi e-mail di studenti o operatori del turismo, compiendo vere e proprie operazioni di hacking.

Come fa Google a rintracciare queste informazioni?

Come tutti i motori di ricerca, Google utilizza i crawler per analizzare i contenuti dei siti web e, attraverso specifici algoritmi, li indicizza, a meno che il creatore o il gestore del sito non prenda gli opportuni accorgimenti. Basterebbe inserire un file robots.txt nella directory del sito stesso, che possa permettere di dare delle precise direttive in merito all’utilizzo delle cartelle e dei rispettivi file.

Da qualche tempo, inoltre, è possibile ricercare immagini simili utilizzando la funzione di ricerca per immagini di Google: basta, ad esempio, inserire l’immagine di una carta di identità e Google restituirà tutte le immagini contenenti una carta di identità.

Il Ministero delle Infrastrutture e dei Trasporti non è il solo a esporre i dati personali degli interessati in violazione delle norme sulla privacy, ma certo è indicativo della scarsa attenzione al corretto trattamento dei dati personali e alla sicurezza delle infrastrutture e delle informazioni che molte, troppe pubbliche amministrazioni hanno.

Conclusioni

Recentemente si sono rilevate numerose le violazioni di trattamento dei dati personali da parte delle PA che, si ricorda,  sono tenute al pieno rispetto delle disposizioni del GDPR.

Il PNRR è, forse, l’occasione per rafforzare le competenze delle Pubbliche amministrazioni in tema di privacy e sicurezza, formando adeguatamente il personale e programmando le nuove assunzioni in modo che il settore pubblico abbia al suo interno figure in grado di operare nel rispetto dei diritti e delle libertà fondamentali degli interessati e a tutela della riservatezza delle informazioni trattate.

Troppe, ancora oggi, le criticità irrisolte che pervadono le Pubbliche amministrazioni e in un mondo, ormai, digitalizzato appare impensabile.