Il tuo telefono è una fotocamera, una suite di montaggio - e un informatore: il costo nascosto del MoJo

La seconda storia sotto lo schermo

Sono le 6.42 del mattino. Una reporter scende dall’autobus due strade prima di un incontro, registra alcune immagini d’ambiente, controlla un messaggio di una fonte riservata e apre una mappa perché l’ingresso si trova in un cortile interno. Poi fotografa un documento, monta un trailer di trenta secondi, lo invia in redazione e prenota un’auto. Un solo dispositivo fa tutto.

Sullo schermo sta prendendo forma una storia sugli abusi in un’istituzione locale. Sotto lo schermo se ne scrive un’altra: luogo, ora, contatti, identificativi del dispositivo, file, copie nel cloud, applicazioni e regolarità del percorso.

La scena è ipotetica; la sua architettura è del tutto ordinaria. Nella versione visibile, lo smartphone è il coltellino svizzero del reporter. In quella invisibile, è un segretario meticoloso che non lavora sempre e soltanto per noi. Non si tratta della fantasiosa tesi secondo cui il telefono ascolterebbe di nascosto ogni parola. Il punto, più prosaico, è che i servizi digitali producono ed elaborano tracce e che, messe insieme, queste tracce possono rivelare molto più di un singolo messaggio.

La formazione MoJo insegna a controllare che la batteria sia carica, l’obiettivo pulito e il microfono funzionante. Ora alla lista va aggiunta una domanda meno fotogenica: che cosa registrerà questo dispositivo a proposito della storia prima ancora che la storia venga pubblicata?

Due produzioni in una tasca

Oscar Westlund descrive lo smartphone come uno strumento che riunisce ricerca, contatto con le fonti, registrazione e pubblicazione, ampliando radicalmente ciò che i giornalisti possono fare sul campo (2013, pp. 16 - 17). In uno studio da lui citato, «i giornalisti accettavano di essere localizzati durante il servizio» (Westlund, 2013, p. 17). La frase suona quasi amministrativa: la redazione vede chi si trova più vicino a un incendio e lo invia rapidamente sul posto. Eppure la localizzazione è insieme coordinamento e sorveglianza. La medesima capacità può aiutare, disciplinare o esporre.

Uno smartphone produce dunque due tipi di materiale. Il primo è intenzionale: video, audio, testi e fotografie. Il secondo nasce dall’uso dell’infrastruttura. Comprende dati sui dati e sui comportamenti: quando è stato creato un file, dove si è connesso un dispositivo, quali account hanno partecipato al suo trasferimento, quali autorizzazioni avevano le applicazioni e chi ha ottenuto accesso. Un singolo elemento può essere banale. Una serie diventa un modello.

José van Dijck usa datafication per indicare la trasformazione di aspetti della vita in dati elaborabili e dataveillance per la sorveglianza fondata sulla raccolta sistematica di dati (2014). Questo cambio di prospettiva è importante. Non serve immaginare una persona in una stanza buia che segue un punto su una mappa. Un’infrastruttura può generare tracce automaticamente e renderle disponibili a organizzazioni con interessi, garanzie e modelli economici differenti.

È il patto nascosto dietro la comodità. Una funzione risolve un problema concreto del lavoro giornalistico e, nello stesso tempo, crea informazioni su come quel problema è stato risolto. La redazione vede un video finito. L’ecosistema circostante può vedere un viaggio, un grafo sociale, un luogo ricorrente e l’ora in cui un account diventa attivo.

Il reporter come oggetto di dati

Salzmann et al. (2021) mostrano come un mobile journalist possa diventare un oggetto di dati tracciabile. Uno smartphone non è una scatola neutrale piena di applicazioni; opera dentro un ecosistema progettato anche per raccogliere, combinare e monetizzare dati comportamentali. Per i giornalisti il rischio è particolare, perché le tracce possono rivelare non soltanto le loro abitudini, ma anche le fonti e la direzione di un’inchiesta.

L’effetto mosaico è decisivo. Il nome di una fonte può non comparire da nessuna parte. Eppure visite ripetute a una piccola istituzione, l’ora del contatto,

un gruppo di numeri e il tipo di documento possono restringere il campo. Anonimizzare un file non elimina il contesto dall’intero ambiente. È come coprire il numero civico in una fotografia nella quale restano visibili il nome della strada, un murale inconfondibile e il cartello di una fermata dell’autobus.

Una guida polacca pubblicata da NASK osserva che le organizzazioni giornalistiche custodiscono contatti, corrispondenza, materiali d’inchiesta e altri beni appetibili per chi attacca, mentre le testate più piccole possono essere particolarmente esposte perché dispongono di meno risorse (Adamczyk et al., 2025). La guida raccomanda di separare la sfera professionale da quella privata e di usare canali di comunicazione protetti. Non è gusto per la paranoia. È l’equivalente digitale di chiudere a chiave la porta della redazione - con la differenza che le porte sono molte di più e alcune sono accompagnate da condizioni d’uso più lunghe di un fine settimana.

Il mosaico non è opera di un’unica applicazione malvagia. Può emergere dall’insieme di sistemi operativi, archivi cloud, app di trasporto, registri di pagamento, fotografie, calendari, reti mobili e piattaforme editoriali. Nessun singolo fornitore deve possedere tutta la storia perché l’intera storia diventi ricostruibile. La sicurezza, quindi, non può ridursi alla scelta dell’app di messaggistica cifrata più alla moda, seguita dalle nostre congratulazioni.

La fonte paga la comodità di qualcun altro

Le discussioni sulla cybersicurezza presentano spesso il reporter come proprietario del telefono e potenziale vittima. L’etica giornalistica deve girare la fotocamera. Il prezzo più alto può ricadere su chi non ha scelto né il dispositivo, né l’applicazione, né la politica del cloud. Un whistle-blower ha accettato di fidarsi di un giornalista. Non ha per questo acconsentito automaticamente a una catena di intermediari tecnologici.

Le ricerche sulla sorveglianza di massa e sulle fonti riservate indicano che la consapevolezza di essere monitorati può modificare le pratiche comunicative dei giornalisti e scoraggiare i contatti (Waters, 2018). Il danno può prodursi anche senza una violazione accertata. Se una possibile fonte ritiene che parlare lascerà troppe tracce, può scegliere il silenzio. È il chilling effect nella sua forma più limpida: la democrazia perde informazioni prima ancora che qualcuno abbia la possibilità di registrarle.

Immaginiamo un’impiegata di un piccolo ufficio pubblico, una delle tre persone che possono accedere a un determinato gruppo di documenti. Dopo la pubblicazione, ai dirigenti potrebbe non servire il contenuto di una conversazione

cifrata. Potrebbero bastare l’ora, il luogo e la cerchia pertinente del personale. Sono in gioco il suo lavoro, la sicurezza della famiglia o la reputazione professionale. Il reporter rischia di perdere una fonte. La società recapita alla prossima possibile whistle-blower un messaggio molto chiaro: meglio non parlare.

Proteggere le fonti non è una cortesia. È una condizione della libertà di stampa. Una promessa di riservatezza comprende i percorsi di identificazione ragionevolmente prevedibili, non soltanto l’omissione del nome dall’articolo. Comprende anche l’umiltà di riconoscere ciò che una redazione non può garantire. «Completamente anonimo» non è una promessa etica se nessuno ha mai mappato il sistema sottostante.

Un freelance non può essere un intero dipartimento di sicurezza

La risposta più allettante è dire che i giornalisti devono fare attenzione. Certo che devono. Ma questa frase spesso trasferisce la responsabilità dall’organizzazione alla persona che ha meno potere. Un freelance deve comprare il dispositivo, trovare la storia, filmare, montare, pubblicare, gestire i social, inviare la fattura, leggere le condizioni dei servizi, modellare le minacce e ricordarsi dove ha messo l’adattatore del microfono. A un certo punto, il multitasking smette di essere innovazione e diventa un nome elegante per la solitudine istituzionale.

Le ricerche sulle culture della sicurezza informatica nel giornalismo mostrano che le pratiche di protezione dipendono non soltanto dalle conoscenze individuali, ma anche da norme, risorse, relazioni tecniche e sostegno organizzativo (Crete-Nishihata et al., 2020). La minimizzazione individuale dei dati e la scelta degli strumenti contano, ma hanno limiti; una redazione ha bisogno di una cultura della sicurezza, formazione e procedure che portino giornalisti, consulenti legali e specialisti tecnici dentro lo stesso processo (Salzmann et al., 2021).

L’innovazione responsabile non chiede soltanto se un telefono consenta di pubblicare più in fretta. Chiede quali interessi siano stati considerati, quali effetti siano stati previsti e chi abbia l’autorità di fermare il flusso di lavoro. Un telefono può costare poco all’acquisto e moltissimo nelle conseguenze. La fattura non arriva sempre in redazione.

La responsabilità centrata sulla persona opera dunque su due livelli. Il reporter compie scelte operative prudenti. L’organizzazione fornisce strumenti, competenze, tempo e un percorso di escalation. Se un editor pretende velocità

ma nega le risorse necessarie alla sicurezza, il rischio è una decisione editoriale, non un fallimento personale di chi tiene in mano il dispositivo.

IL PROTOCOLLO DELLA TRACCIA MINIMA

Non esiste una configurazione adatta a ogni storia. Un cronista allo stadio, un giornalista che indaga sulla corruzione e un reporter che lavora sotto la repressione statale abitano ambienti di minaccia differenti. Il PROTOCOLLO DELLA TRACCIA MINIMA non è una lista della spesa di applicazioni miracolose. È una conversazione strutturata prima, durante e dopo una storia.

1. Dare un nome alle persone e ai beni. Elencare ciò che richiede protezione: l’identità di una fonte, una conversazione, il luogo di un incontro, un documento inedito, un viaggio, una registrazione originale o un account della redazione. Per ogni elemento, annotare chi subirebbe un danno dalla divulgazione e quanto sarebbe grave. «Sensibile» è troppo vago; la protezione comincia dai particolari.

2. Definire una minaccia realistica. Chi potrebbe volere quei dati e di quali poteri legali, organizzativi o tecnici dispone? Non ogni intervista sul calcio richiede i controlli più rigorosi. Una storia su un’istituzione potente, la violenza, il crimine organizzato o la repressione esige la consulenza di uno specialista. Non improvvisare un modello di minaccia il giorno della pubblicazione.

3. Raccogliere meno. Eliminare applicazioni e autorizzazioni non necessarie; limitare backup automatici e conservazione «nel caso servisse». Ogni copia e destinatario aggiuntivi aumentano l’esposizione. Minimizzare non significa cancellare prove con leggerezza. Significa decidere deliberatamente che cosa deve esistere, dove e per quanto tempo.

4. Separare i ruoli. Tenere distinti account e profili di lavoro e privati e - quando il rischio lo giustifica - anche i dispositivi. La separazione rende più difficile il collegamento automatico e limita l’impatto della compromissione di un account. Deve essere autentica: un secondo telefono sincronizzato con lo stesso cloud personale è un secondo schermo, non una seconda zona di sicurezza.

5. Progettare il contatto con la fonte. Concordare un canale, regole di contatto, copie, tempi di cancellazione e un piano per un silenzio inatteso. Usare metodi proporzionati alla minaccia e sostenuti dalla redazione. Non promettere anonimato perfetto se non se ne sanno definire i confini. Una conversazione onesta sul rischio rispetta l’autonomia della fonte più di un’eroica rassicurazione priva di basi.

6. Controllare posizione e metadati. Prima di un incontro, decidere se i servizi di localizzazione siano necessari e quali tracce possano creare trasporti, pagamenti, fotografie e sincronizzazione. Dopo la registrazione, esaminare le informazioni allegate al file prima che raggiunga un editor o il pubblico. Togliere un segnaposto visibile da una mappa non basta; occorre considerare l’intero flusso.

7. Mappare il percorso del materiale. Disegnare una catena semplice: dispositivo → applicazione → cloud o server → montaggio → pubblicazione → archivio. Accanto a ogni freccia indicare proprietario, regole di accesso e periodo di conservazione. È un dossier sul flusso dei dati. Se nessuno sa dove finisce un file dopo aver premuto «invia», la redazione ha una speranza, non un processo.

8. Prepararsi a un incidente. Un reporter deve sapere chi contattare se un telefono scompare, un account si comporta in modo anomalo o una fonte segnala un pericolo. La procedura deve coprire conservazione delle prove, contenimento, consulenza legale e comunicazione con la fonte. La prima risposta non può essere un messaggio nella chat generale per chiedere se qualcuno «se ne intende di cyber».

9. Assegnare il rischio a un responsabile. Ogni storia ad alto rischio ha bisogno di una persona identificata, con l’autorità di allocare risorse, ritardare il lavoro e fermare la pubblicazione. Tale responsabile non può essere automaticamente il reporter soltanto perché tiene il telefono in mano. Una scelta gestionale sulla velocità di produzione è anche una scelta di sicurezza.

Il protocollo è superato soltanto quando la fonte comprende i limiti materiali della protezione, il reporter sa spiegare il percorso dei dati e una persona dotata di autorità istituzionale ha accettato il rischio residuo. Un modulo compilato senza queste tre condizioni è cancelleria che mette in scena il teatro della sicurezza.

Un audit sul campo in una pagina

Trasformare il protocollo in una breve scheda da compilare prima di partire. Annotare tema e data; persone esposte; dati critici; livello di rischio; dispositivi e canali approvati; impostazioni da controllare; luogo di archiviazione; persone con accesso; data di cancellazione; responsabile del rischio; contatto d’emergenza; e consenso informato della fonte dopo aver discusso i limiti della riservatezza.

Dopo la pubblicazione, riaprire la scheda. Quali tracce restano? Che cosa deve essere archiviato in sicurezza come prova o per ragioni di accountability? Che cosa va eliminato secondo la politica di conservazione? Qualche strumento ha

creato una copia inattesa? Il rischio per la fonte è cambiato perché la storia ha attirato attenzione?

Questo audit non è burocrazia fine a se stessa. È come una scheda di memoria per la fotocamera: ci si accorge soprattutto di quanto sia importante quando manca. La documentazione consente inoltre a una redazione di imparare dagli incidenti senza mettersi a caccia di un colpevole. Se la stessa debolezza compare in più storie, l’organizzazione può vedere che a richiedere una riparazione è l’infrastruttura, non che serve un’altra email per invitare il personale alla vigilanza.

In un’emergenza autentica, l’audit può essere abbreviato, ma mai soltanto immaginato. Un controllo verbale di due minuti con un editor identificato è meglio di nove caselle riempite retrospettivamente. In seguito, il verbale va ricostruito quando i ricordi sono ancora freschi.

I limiti della minimizzazione

Non lasciare alcuna traccia è, di solito, impossibile. Gli strumenti cambiano e la documentazione può essere incompleta. Limitare una categoria di dati può ostacolare il lavoro giornalistico o creare una falsa sicurezza. La cifratura protegge i contenuti in condizioni definite; non mette automaticamente al sicuro un endpoint, ogni copia, il comportamento dell’utente o il fatto stesso che un contatto sia avvenuto.

La sicurezza può anche entrare in conflitto con documentazione e accountability. Le prove non devono essere eliminate d’impulso. La conservazione deve tenere conto dell’interesse pubblico, degli obblighi legali e della sicurezza delle persone coinvolte. Le decisioni ad alto rischio richiedono consulenza competente, non un elenco universale copiato da internet.

Il protocollo non trasferisce la responsabilità alla fonte. Chiedere perché una whistle-blower abbia usato un telefono comune assomiglia a chiedere a una vittima di furto perché avesse una tasca. Reporter e fonte possono concordare un metodo più sicuro, ma la redazione resta responsabile dei propri sistemi e delle proprie promesse.

Né la «sicurezza» può diventare una ragione per negare voce alle persone vulnerabili. Alcune fonti dispongono soltanto di un dispositivo essenziale, usano un accesso condiviso a internet o non possono installare l’applicazione consigliata. Una redazione centrata sulla persona adatta il metodo, spiega il compromesso e cerca garanzie proporzionate. Non riserva la protezione delle fonti a chi possiede competenze tecniche.

Nessuno strumento può eliminare ogni rischio. L’obiettivo etico è una riduzione informata e proporzionata, accompagnata da una responsabilità identificabile. L’incertezza residua deve essere visibile a chi decide; non può essere esportata in silenzio sulla fonte.

L’inquadratura più importante può essere invisibile

Il MoJo promette giustamente leggerezza. Un reporter non ha più bisogno di un furgone per le trasmissioni, cinque valigie e una troupe simile a una piccola orchestra. Un’attrezzatura leggera non comporta responsabilità leggere. Più funzioni sono concentrate in un oggetto, più domande etiche si concentrano insieme a esse.

Prima di filmare, i giornalisti controllano l’inquadratura: che cosa entra da sinistra, che cosa sembra spuntare dalla testa dell’intervistato, se l’operatore compare in un riflesso. Il giornalismo dataficato richiede una seconda inquadratura - la mappa di tracce, destinatari e dipendenze invisibili sullo schermo.

Un bravo mobile journalist può raccontare al mondo una storia con un solo telefono. Una redazione responsabile si assicura che quel telefono non racconti al mondo la storia della fonte. La tecnologia serve la libertà umana quando amplia la capacità di testimoniare senza trasformare silenziosamente testimoni, giornalisti e informatori in materia prima per il sistema di qualcun altro.