World-Check monitora aziende e criminali, ma potrebbe già avere informazioni su di te

 Tra i nomi inseriti nella sua rete ci sono anche Maria e Luigi, pseudonimi scelti per proteggere l’identità di questa coppia di imprenditori genovesi.   Ignari di essere finiti in un database internazionale, i due non sospettano nulla. Nessuno li ha avvisati, nessuno ha chiesto il loro consenso. Ma per World-Check non è necessario: si limita a raccogliere dati pubblici, informazioni reperibili online attraverso fonti come giornali e documenti ufficiali. La doccia fredda arriva in banca, quando un funzionario dell’istituto svizzero di cui sono clienti li informa della decisione di chiudere il loro conto. Il motivo? Una condanna penale risalente all’anno precedente.

Un’informazione che sarebbe dovuta restare riservata. Maria e Luigi si ritrovano coinvolti in un’indagine per bancarotta fraudolenta e false fatturazioni, che con il tempo si ridimensiona. Maria viene condannata solo per il secondo reato, ma la Cassazione lo considera di lieve entità, permettendole di ottenere la sospensione condizionale e la non menzione della condanna nel casellario giudiziario. In altre parole, questa condanna non dovrebbe essere resa pubblica.  

Eppure, World-Check la scopre. E la inserisce nel dossier che la banca consulta. In base a queste informazioni, l’istituto decide che Maria e Luigi non sono più clienti desiderabili. Li invita a chiudere il rapporto e liquida il pacchetto di azioni che i due possiedono nel dossier titoli, al valore corrente, causandogli una perdita economica. È in quel momento che la coppia scopre l’esistenza di World-Check e decide di intraprendere un’azione legale per ottenere la cancellazione dei dati e un risarcimento per il danno subito. Una battaglia ancora aperta. E non solo per loro.

Cristian Nardi, specializzato in diritto penale e reati informatici, assiste un altro imprenditore che accusa la piattaforma inglese di trattamento illecito dei dati. In una memoria depositata presso il tribunale di Milano nel 2023, visionata da Wired, esprime la preoccupazione che l’azienda continui a "schedare" e trattare illecitamente i dati di milioni di privati cittadini. Ma come ha fatto World-Check ad acquisire quelle informazioni? È qui che la vicenda si complica.

Dossier per la finanza

Prima di approfondire la storia, è utile fare un passo indietro e spiegare cosa fa esattamente World-Check. Fondata nel 2000, la società gestisce una piattaforma che raccoglie dati su persone politicamente esposte, ossia individui con incarichi pubblici per cui esiste un interesse a conoscere la loro situazione patrimoniale, il casellario giudiziario e le partecipazioni in aziende. Inoltre, monitora soggetti considerati "ad alto rischio", ovvero persone con cui sarebbe sconsigliabile intraprendere rapporti d’affari. Le sue informazioni vengono utilizzate da grandi aziende per selezionare partner e fornitori, dalle banche per valutare la concessione di mutui e prestiti e per individuare soggetti colpiti da sanzioni internazionali.

Dal momento che la finanza è regolata da stringenti norme di identificazione della clientela per prevenire truffe e riciclaggio di denaro, strumenti di intelligence come quello di World-Check vengono impiegati per verificare l'affidabilità dei soggetti con cui si intraprendono relazioni commerciali. Nel suo materiale informativo, la società dichiara di analizzare 41 diverse tipologie di reati, che spaziano dai crimini finanziari, come il riciclaggio e l'insider trading, a reati gravi, tra cui abusi sessuali su minori, terrorismo e sfruttamento della schiavitù.

Si tratta di un database altamente sensibile, il cui accesso è teoricamente ristretto. Tuttavia, nell'aprile del 2021, un gruppo di hacker noto come Ghost R ha affermato di aver sottratto una copia dell’archivio tramite un attacco informatico a un cliente di Singapore, mettendo in discussione la sicurezza del sistema.

L’espansione e il controllo globale

Nel 2018, la piattaforma è passata sotto il controllo di Refinitiv, un colosso finanziario entrato a far parte del London Stock Exchange Group (LSEG), la società che gestisce la Borsa di Londra. World-Check copre oggi 240 paesi e territori, operando con un team di analisti che aggiornano mensilmente circa 50.000 nuove voci, attingendo informazioni da oltre 50.000 fonti, tra cui testate giornalistiche e archivi ufficiali. Attualmente, il database conta circa due milioni di schede personali.

Nel 2017, un'inchiesta giornalistica internazionale ha rivelato una copia del database risalente al 2014, finita online. Tra i nomi presenti, c’erano figure di rilievo come Papa Francesco, il leader di Italia Viva Matteo Renzi, il fondatore di WikiLeaks Julian Assange e i dirigenti di diverse organizzazioni non governative, sollevando interrogativi sul criterio di inserimento delle persone nella lista.

Dati pubblici e sentenze online

Ma come può finire in una banca dati globale una coppia di imprenditori condannata per un reato minore di false fatture, che per legge non doveva neppure essere menzionato?

Nel 2021, il giudice per le indagini preliminari del Tribunale di Milano, Giuseppina Barbara, ha ricevuto il fascicolo del caso, dopo che un primo procedimento a Genova si era concluso senza conseguenze. Nella sua ordinanza, il magistrato evidenzia che World-Check aveva costruito un dossier sui due imprenditori partendo da informazioni reperite sul portale Italgiure.

Qui entra in gioco un altro elemento del puzzle: Italgiure, insieme a Sentenze Web, costituisce una delle principali banche dati giuridiche gestite dal Centro Elettronico di Documentazione della Corte di Cassazione. Questi strumenti nascono con l'obiettivo di diffondere la conoscenza della giurisprudenza di legittimità, rafforzando principi fondamentali come la stabilità e la certezza del diritto.

In pratica, le sentenze della Cassazione fanno giurisprudenza, ossia orientano i giudici nelle future decisioni. La loro pubblicazione serve a garantire la trasparenza del sistema giudiziario e a fornire informazioni di pubblica utilità. Tuttavia, in alcuni casi, come la tutela della dignità delle persone, delle vittime di reati sessuali o di minori, è previsto l'oscuramento dei dati sensibili.

Un equilibrio delicato tra privacy e trasparenza

Il caso solleva una questione cruciale: fino a che punto è lecito raccogliere e diffondere dati personali basandosi su fonti pubbliche? E quali garanzie esistono per impedire che informazioni obsolete o fuori contesto vengano utilizzate per determinare il futuro economico e professionale di una persona?

Mentre Maria e Luigi continuano la loro battaglia legale contro World-Check, il dibattito sulla protezione dei dati personali e sulla trasparenza dei processi di profilazione finanziaria resta aperto, coinvolgendo giuristi, autorità di regolamentazione e difensori della privacy a livello internazionale.

Questo non basta, però, a spiegare come World-Check sia arrivata alla sentenza. Primo: Italgiure è accessibile su abbonamento, da parte di enti pubblici o privati, ma, scrive la Cassazione a Wired, “World-Check non è tra gli utenti privati ai quali è stato concesso l’accesso”. E comunque, dice la Suprema Corte, “le informazioni possono essere utilizzate solo per uso proprio ed è vietata la commercializzazione”. Insomma, anche se la piattaforma inglese fosse stata iscritta alla banca dati italiana, non avrebbe potuto usare i risultati delle sue ricerche per rivendere informazioni a terzi.

Nel caso di Sentenze Web, invece, i provvedimenti degli ultimi cinque anni sono accessibili a chiunque, senza bisogno di abbonamento, “per rendere effettivo il diritto all’oblio”, precisa la Cassazione. Dopo un certo periodo, non c’è più ragione che quell’informazione sia diffusa senza limitazioni. Inoltre, i tecnici del Palazzaccio sottolineano che “gli accorgimenti adottati nella progettazione della banca dati escludono i contenuti dall'indicizzazione dei motori di ricerca e impediscono il download massivo, riducendo il rischio di raccolta indiscriminata di dati su larga scala”. Tuttavia, il sito dispone di un motore di ricerca interno che consente di rintracciare sentenze utilizzando qualsiasi parola chiave, come un nome, un cognome o persino una patologia menzionata in un verdetto.

Chi paga per leggere le sentenze?

Per capire chi abbia accesso a Italgiure, Wired ha presentato un'istanza di accesso agli atti presso il Ministero della Giustizia, che gestisce la piattaforma. La richiesta è stata accolta solo parzialmente. Il ministero ha confermato che attualmente Italgiure conta 647 enti abbonati, tra pubblici e privati. La maggior parte sono privati (357), ma i loro nomi non sono stati divulgati, in quanto la loro pubblicazione avrebbe potuto “interferire in modo sproporzionato con i diritti e le libertà delle persone fisiche interessate”.

La redazione ha ricevuto solo l’elenco dei 90 enti pubblici accreditati dal 2014, tra cui università, enti di ricerca come il CNR e l’ENEA, Comuni come Roma e Milano, il Poligrafico dello Stato, l’Agenzia Spaziale Italiana, l’ISTAT e la Banca d’Italia. Nell'elenco compariva anche l’Agenzia delle Entrate, che però ha cessato l’abbonamento nel 2017 per “morosità”, come indicato nella documentazione.

Da dove ha preso allora World-Check i dati?

Abbiamo chiesto chiarimenti direttamente alla piattaforma. Ma la risposta di World-Check a Wired è stata vaga:

“World-Check aggrega dati su individui ed entità da fonti pubbliche affidabili, tra cui liste di sanzioni ufficiali, elenchi di forze dell’ordine e regolamentari, fonti governative e pubblicazioni mediatiche di fiducia. È un servizio in abbonamento utilizzato dai nostri clienti per aiutarli a rispettare gli obblighi normativi e di prevenzione del riciclaggio di denaro.”

La società ha inoltre specificato che:

“Non forniamo opinioni o raccomandazioni sugli individui o entità menzionati nei nostri report.”

In altre parole, World-Check non dice esplicitamente ai suoi clienti cosa fare con le informazioni raccolte. Tuttavia, la profilazione della piattaforma ha avuto un impatto diretto sulla vita di Maria e Luigi, costringendoli a chiudere i loro rapporti bancari e subire perdite economiche.

Nel 2021, la giudice per le indagini preliminari del Tribunale di Milano, Giuseppina Barbara, ha ricostruito la vicenda, stabilendo che:

“La condotta di World-Check, consistita nella vendita dei dati giudiziari degli opponenti alla banca svizzera di cui erano clienti, ha arrecato loro un danno patrimoniale, consistito nella immediata chiusura del rapporto e nella vendita del loro portafoglio titoli al prezzo attualizzato, invece che concordato, con una cospicua perdita di valore dell'investimento.”

E aggiunge:

“Le persone offese sono state costrette, dopo mesi di ricerche, a rivolgersi a un altro istituto di credito per ricostituire con nuovi acquisti l’intero pacchetto azionario, a un prezzo notevolmente maggiorato rispetto a quello a cui era stato venduto in precedenza.”

Tutto questo per un’informazione che non doveva neppure essere pubblica.

Schedare è lecito?

Molti si chiedono se l'attività di queste piattaforme sia effettivamente legale. Nel Regno Unito, contro World-Check si è mosso il Palestinian Return Centre, un’organizzazione non governativa che si batte per i diritti dei palestinesi e che è stata bollata come terrorista dal database, insieme al suo fondatore Majed al-Zeer. La questione è finita in tribunale.

Cristian Nardi, esperto di diritto penale e reati informatici, ha commentato il caso su Wired:

“Sebbene l’utilità di World-Check nella gestione del rischio sia evidente, le sue pratiche di raccolta dati pongono problemi significativi dal punto di vista della privacy. Il database attinge informazioni da una vasta gamma di fonti pubbliche, tra cui rapporti giornalistici, pubblicazioni governative e liste di sanzioni. Tuttavia, spesso include dati personali sensibili, sollevando dubbi su come vengano raccolti, archiviati e utilizzati.”

Nel 2023, su Agenda Digitale, Giovanni Vaia, docente di Global Sourcing e Digital Management presso l'Università Ca' Foscari di Venezia, ha scritto:

“L’inserimento nel database World-Check avviene in maniera indiscriminata: chi viene schedato non riceve alcuna notifica, con la conseguenza che potrebbe non scoprire mai di essere nella lista e che i suoi dati personali (inclusi quelli bancari e giudiziari) vengono trattati senza il suo consenso, per scopi commerciali.”

Vaia aggiunge:

“Se alcune fonti consultate sono affidabili, altre sono tratte dalla rete senza alcun controllo, con informazioni non aggiornate o del tutto arbitrarie.”

Il ruolo delle autorità per la privacy

Alla domanda su chi possa controllare World-Check, Cristian Nardi osserva che i procedimenti legali contro la piattaforma faticano a fare passi avanti. Anche il Garante della Privacy italiano ha avviato un'istruttoria nel 2017, ma il caso è ancora aperto.

A Wired, la Suprema Corte ribadisce la sua posizione:

“L’uso da parte di World-Check di dati personali tratti da banche dati giuridiche - come quelle della Cassazione - che diffondono legittimamente informazioni per finalità pubbliche, costituisce un illecito penale se le informazioni vengono trattate per fini commerciali.”

E precisa che la condotta della piattaforma potrebbe configurare i reati di trattamento illecito di dati e diffusione non autorizzata di informazioni personali su larga scala.

Nel frattempo, l’istruttoria del Garante della Privacy prosegue. Ma resta da vedere se, in un’Europa che si pone come baluardo della protezione dei dati personali, qualcuno prenderà finalmente una decisione chiara su World-Check e sulle modalità con cui gestisce le informazioni dei cittadini.