Dopo il controllo dell'identità: che fine fa il documento e chi risponde se trapela

Una volta che i controlli d'identità funzionano davvero sulla vostra directory, sembra che la parte difficile sia finita. Il modulo di caricamento funziona, le percentuali di superamento e rifiuto sembrano ragionevoli, gli inserzionisti che contano sono passati. Quello che nessuno vi consegna a quel punto è un piano per la pila di documenti che il controllo ha appena prodotto, perché un sistema di verifica non si limita a consumare un documento d'identità e farlo sparire. Produce una fotografia di un volto e una fotografia di un documento d'identità rilasciato dallo Stato, ed entrambe ora esistono da qualche parte, sui server di qualcun altro, per un periodo di tempo che nessuno ha davvero deciso di proposito.

Questo non è un argomento contro la verifica. La legge ha già chiuso quella questione, e saltare il controllo è di gran lunga l'errore più costoso. È un discorso su ciò che accade subito dopo il segno di spunta verde, la parte che ha danneggiato duramente diverse aziende nel 2025 e nel 2026, nessuna delle quali aveva saltato la verifica. L'avevano fatta correttamente, per poi lasciare il file risultante da qualche parte dove, prima o poi, la persona sbagliata lo ha trovato.

Il documento non scompare quando il controllo va a buon fine

Dal punto di vista dell'inserzionista, il flusso di verifica sembra semplice: fare un selfie, fotografare un documento, aspettare qualche secondo, ricevere l'approvazione. Sotto la superficie, quella transazione crea un artefatto, cioè le immagini vere e proprie, che viaggia da un modulo di caricamento a un motore di confronto e torna indietro con un esito. Che quell'artefatto venga cancellato nel momento in cui il confronto finisce, oppure conservato per un giorno, un mese o a tempo indeterminato, è una scelta di progettazione, e la maggior parte dei sistemi tende di default a conservare tutto, perché cancellare secondo un calendario è una funzionalità che qualcuno deve costruire e mantenere, mentre non fare nulla non costa nulla.

Il costo di quella scelta predefinita è diventato pubblico nel luglio 2025, quando una violazione ai danni dell'app di sicurezza per appuntamenti Tea ha esposto circa 72.000 immagini, tra cui circa 13.000 fotografie di documenti d'identità e selfie di verifica inviati prima di febbraio 2024. La stessa informativa sulla privacy di Tea dichiarava che le foto di verifica venivano cancellate subito dopo l'uso. Non era così: le immagini erano rimaste in un archivio cloud non protetto, un sistema legacy che nessuno era tornato a svuotare dopo che il prodotto era passato a uno più recente.

La lezione non riguarda specificamente le app di appuntamenti, ma il meccanismo, che è comune a qualsiasi attività che affida un controllo a un fornitore esterno dietro un widget. Un'informativa sulla privacy è una promessa, non un dato di fatto sulla vostra infrastruttura. Se non riuscite a indicare il numero esatto di giorni che intercorre tra il caricamento di un documento da parte di un inserzionista e la sua eliminazione da ogni sistema che lo ha toccato, backup compresi, in realtà non sapete qual è la vostra politica, sapete solo cosa dichiara di essere.

Un secondo episodio, nello stesso anno, ha mostrato l'altro modo tipico in cui le cose vanno storte: far passare qualcosa di sensibile attraverso un sistema generico invece che uno dedicato. La violazione subita da Discord nell'ottobre 2025 è stata ricondotta a un fornitore esterno di assistenza clienti compromesso, perché i ricorsi sulla verifica dell'età, comprese le foto dei documenti d'identità caricate, venivano incanalati nello stesso sistema di ticket usato per i reclami ordinari. Discord ha confermato l'esposizione di circa 70.000 immagini di documenti e selfie, insieme a nomi, nomi utente, email e alcuni dettagli di fatturazione, e da allora ha smesso del tutto di instradare i documenti attraverso l'assistenza generica.

Perché perdere un documento collegato alla vostra directory costa più caro del documento da solo

Un documento d'identità trapelato da solo è già un problema serio per la persona ritratta, ma un documento che un set di dati etichetta anche come appartenente a un inserzionista verificato su un sito di annunci per adulti è un problema di tutt'altro ordine, perché è proprio l'etichetta a fare il danno. L'etichetta associa alla persona un fatto della sua vita che non ha scelto di rendere pubblico, e questa combinazione è ciò che trasforma una normale notifica di violazione in una causa legale, o in alcuni casi documentati, in un'estorsione rivolta alla persona i cui dati sono trapelati, non all'azienda che li ha persi.

Le autorità di controllo trattano già questa categoria di associazione come sensibile di per sé, indipendentemente da qualsiasi singola foto o messaggio. Secondo il GDPR, i dati che rivelano la vita sessuale o l'orientamento sessuale di una persona rientrano nel ristretto gruppo di categorie particolari che richiedono una base giuridica molto più solida per essere trattati. L'autorità norvegese per la protezione dei dati ha multato l'app di appuntamenti Grindr per circa sei milioni e mezzo di euro nel dicembre 2021, sanzione confermata in appello nel 2025, proprio perché condividere con i partner pubblicitari il semplice fatto che qualcuno fosse un utente di Grindr è stato giudicato di per sé capace di rivelare l'orientamento sessuale. Non è servito che trapelasse alcun messaggio o foto perché la multa si applicasse; il fatto sensibile era l'appartenenza stessa.

Lo stesso ragionamento si applica quasi senza modifiche a una directory di annunci. Un documento d'identità che un set di dati violato segna anche come appartenente a un inserzionista verificato sulla vostra piattaforma è un dato personale a cui si aggiunge un fatto di vita dedotto che l'interessato non ha mai acconsentito a rendere pubblico, e ogni impianto di responsabilità costruito attorno alle violazioni di dati tratta questa combinazione come più grave di una normale fuga di numeri di carta da un rivenditore. È gran parte del motivo per cui multe e cause legali in questo angolo di internet risultano più alte di quanto la maggior parte delle aziende immagini, pensando che i titoli di cronaca sulle violazioni non le riguardino.

In pratica, questo dovrebbe cambiare cosa considerate una sicurezza adeguata da parte vostra, anche se è il fornitore a custodire il file. Un database di password e un database che abbina un documento d'identità all'iscrizione alla piattaforma non comportano lo stesso dovere di diligenza, e né un'autorità né un giornalista li tratteranno allo stesso modo dopo un incidente. Vale la pena decidere, prima che succeda qualcosa, che la seconda categoria riceva uno standard più alto rispetto a qualunque politica generale applichiate oggi ai dati dei clienti, perché non è dopo un incidente che questa decisione si prende bene.

La trappola della conservazione: multati per quello che avete tenuto, che sia trapelato o no

I casi di Tea e Discord riguardano entrambi una violazione, il che significa che un aggressore esterno ha dovuto fare qualcosa. L'autorità spagnola per la protezione dei dati ha mostrato l'altra strada che porta allo stesso risultato nel marzo 2026, quando ha multato Yoti, uno dei fornitori specializzati in verifica dell'identità e dell'età, per novecentocinquantamila euro senza che ci fosse alcuna violazione. Yoti è stata multata per quello che teneva semplicemente in archivio, in attesa che nessuno lo chiedesse.

Vale la pena leggere con attenzione la ripartizione, perché ogni voce descrive un'abitudine aziendale ordinaria e in buona fede, non un illecito palese. Cinquecentomila euro riguardavano il modo in cui i dati biometrici venivano trattati secondo le regole del GDPR sulle categorie particolari di dati. Duecentomila euro riguardavano la progettazione del consenso: gli utenti potevano superare la schermata dell'informativa sulla privacy senza mai aprirla, ed erano automaticamente iscritti al riutilizzo dei loro dati biometrici per ricerche interne, a meno che non trovassero e deselezionassero una casella. I restanti duecentocinquantamila euro riguardavano una conservazione giudicata eccessiva, tra cui dati di geolocalizzazione conservati per cinque anni dopo aver svolto il loro unico compito, cioè stabilire quale regola sull'età si applicasse al momento dell'iscrizione, e modelli biometrici conservati per tutta la durata di attività dell'account più altri tre anni dopo l'ultimo utilizzo.

Ognuna di queste scelte di conservazione aveva una motivazione che suonava difendibile: la geolocalizzazione nel caso servisse ricontrollare una regola, i modelli biometrici nel caso un inserzionista di ritorno dovesse essere riverificato, l'accesso per la ricerca per migliorare il prodotto. Una motivazione che suona difendibile non è la stessa cosa di un periodo di conservazione legato a uno scopo dichiarato e specifico, e l'autorità ha multato un'azienda costruita attorno al fare la verifica correttamente proprio per aver confuso le due cose. Yoti ha presentato ricorso, e l'esecuzione della sanzione risulterebbe sospesa da aprile 2026 in attesa di quel ricorso, quindi è meglio considerare il caso un avvertimento ancora aperto piuttosto che una vicenda chiusa, ma il principio secondo cui i tempi di conservazione devono seguire uno scopo, non una comodità, non è la parte sotto ricorso.

La lettura operativa è semplice da enunciare e facile da ignorare: il contratto con il vostro fornitore dovrebbe indicare un periodo di conservazione in giorni, legato a uno scopo dichiarato, per ogni categoria di dati che il controllo produce. Se un fornitore non riesce a darvi quel numero per iscritto, significa che non lo ha deciso nemmeno lui, e nessuno dei due potrà difenderlo in seguito, di fronte a un'autorità o a un inserzionista che chiede che fine abbia fatto il suo documento.

Cosa chiedere davvero a un fornitore di verifica prima di firmare

Nella maggior parte dei casi non siete voi a gestire il software di verifica. Lo fa un fornitore specializzato, ed è la giusta divisione dei compiti: i controlli d'identità che intercettano davvero gli annunci falsi sono una disciplina ristretta e carica di responsabilità che un piccolo team non dovrebbe costruire da zero. Ma secondo il diritto della protezione dei dati, l'operatore che ha deciso di far partire il controllo resta di solito il titolare del trattamento, mentre il fornitore è il responsabile del trattamento, e un errore del responsabile ricade comunque sulla responsabilità del titolare verso la persona il cui documento è trapelato. Questo rende il contratto con il fornitore, non un ticket di assistenza inviato dopo che qualcosa è andato storto, il luogo dove queste domande vanno poste.

Chiedete prima di tutto se il controllo restituisce solo un esito di superamento o rifiuto più un punteggio di affidabilità, oppure se l'immagine vera e propria passa e si ferma, anche solo temporaneamente, sulla vostra infrastruttura. Un fornitore costruito attorno a una logica di verifica e cancellazione immediata, che confronta il documento e lo elimina nella stessa transazione invece di conservarlo per dopo, elimina la maggior parte di questo rischio attraverso l'architettura, non con una promessa scritta in una policy che va creduta e ricontrollata.

Chiedete la finestra esatta di cancellazione in giorni, scritta nel contratto e non citata da una pagina di marketing, e chiedete cosa succede ai backup. Un sistema che cancella la copia attiva secondo il calendario previsto ma mantiene un backup di novanta giorni ha, di fatto, un periodo di conservazione di novanta giorni, qualunque sia il numero pubblicizzato, ed è esattamente in quel margine che le immagini di Tea sono sopravvissute oltre la loro presunta cancellazione.

Chiedete chi avvisa chi, ed entro quante ore, se è il fornitore stesso a subire una violazione. Potreste essere voi, non il fornitore, a dover presentare una segnalazione a un'autorità, e un termine di notifica di settantadue ore non si può rispettare su una fuga di dati di cui venite a sapere alla terza settimana. Tenete la risposta già pronta prima che serva: è quasi la stessa documentazione che un fornitore di pagamenti chiede già prima di approvare il vostro conto, quindi metterla per iscritto una volta serve a entrambi gli scopi. Fissate nel contratto con il fornitore una scadenza più breve di quella che dovete rispettare voi con la vostra autorità, così da avere il tempo di agire prima che scada la vostra.

Chiedete, infine, cosa fa il fornitore con l'immagine per scopi che vanno oltre il controllo stesso: addestramento di modelli, database antifrode condivisi con gli altri suoi clienti, ricerca interna. Pretendete un sì o un no chiaro e scritto, invece di accettare il silenzio come risposta, perché è proprio il silenzio travestito da adesione automatica predefinita ad aver permesso al meccanismo di consenso per la ricerca di Yoti di reggere così a lungo, prima che un'autorità lo esaminasse da vicino.

Cosa fare davvero in questo trimestre

Niente di tutto questo è un motivo per verificare con meno cura. È un motivo per essere altrettanto ponderati su come i dati escono dai vostri sistemi, e da quelli del vostro fornitore, quanto siete già stati costretti a diventare su come vi entrano. Gli operatori colpiti dalla prossima ondata di multe e titoli su violazioni non saranno quelli che non hanno mai controllato un documento, saranno quelli che lo hanno controllato correttamente e non si sono mai chiesti cosa succedesse dopo.

Cominciate questo mese chiedendo per iscritto al vostro attuale fornitore il piano di conservazione, in giorni, per ogni categoria di dati che il controllo produce, non espresso con aggettivi come brevemente o secondo necessità. Se non riesce a fornirvi quel numero, l'incapacità di rispondere è già di per sé il risultato dell'indagine, e vi dice sul rischio che state portando più di quanto farà mai qualunque brochure.

Chiudete qualunque flusso di lavoro in cui un operatore dell'assistenza, chi esamina i ricorsi, o voi stessi in prima persona, finite per ricevere una foto di un documento via email o tramite un sistema di ticket generico invece che tramite la pipeline di verifica dedicata. Se un flusso del genere esiste da qualche parte nella vostra attività, è quasi certamente la vostra singola esposizione più grande, e a differenza della maggior parte delle correzioni in questo settore, chiuderlo non costa nulla se non la decisione di farlo.

Inserite per iscritto, nel prossimo rinnovo del contratto, un periodo massimo di conservazione e una scadenza per la notifica delle violazioni, e mettete in agenda, ogni due trimestri, un controllo sulla pratica reale del fornitore, non solo sulla sua pagina di policy. Una promessa vera il giorno in cui avete firmato non è garantito che lo sia ancora un anno dopo, e le aziende multate o violate nel 2025 e nel 2026 lo hanno scoperto per lo più da un'autorità o da un hacker, non da una propria revisione interna.