SOMMARIO. 1. Premessa. 2. La delega in materia di intercettazioni tradizionali e tramite captatori informatici. 3. L’incontrastata attualità della sentenza delle Sezioni Unite. 4. Considerazioni conclusive
1.Premessa
Come noto, in data 4 luglio 2017 è stata pubblicata in Gazzetta Ufficiale la legge 23 giugno 2017, n. 103, recante modifiche al codice penale, di procedura penale e all’ordinamento penitenziario, in vigore dal 3 agosto 2017. Si tratta di un provvedimento di non poco conto, in considerazione non solo delle novità intervenute sul versante sostanziale e processuale, ma anche delle numerose deleghe al Governo, tra cui quella in materia di intercettazioni sia tradizionali, sia svolte attraverso i c.d. captatori informatici.
Con la riforma Orlando il trojan o captatore informatico è stato sostanzialmente equiparato alle intercettazioni ed è quindi divenuto a tutti gli effetti uno strumento di indagine.
Per comprendere la portata dirompente che il predetto strumento potrà assumere nei procedimenti penali, vale la pena rammentare che il trojan è un malware (malicius software) “occultamente installato dall’inquirente su un apparecchio elettronico dotato di connessione internet attiva […], il quale consente in ogni momento all’attaccante […] di captare tutto il traffico dati (sia in entrata che in uscita), di attivare da remoto il microfono e la telecamera registrandone le attività, di perquisire gli hard disk e di fare copia integrale del loro contenuto, di intercettare […] tutto quanto digitato sulla tastiera, di fotografare le immagini e i documenti visualizzati”[1].
L’intervento legislativo volto a codificare l’utilizzo del predetto strumento risponde all’accorato appello che, all’indomani della nota sentenza Scurato delle Sezioni Unite[2], molti studiosi di diritto processuale penale in primis avevano rivolto al Legislatore affinchè quest’ultimo intervenisse a regolamentare una materia altamente insidiosa e fortemente invasiva dei diritti fondamentali delle libertà dei cittadini, di cui agli artt. 14, 15 Cost. e 8 CEDU[3].
Si rammenta infatti che l’utilizzo del captatore informatico era stato ammesso per la prima volta nell’ordinamento italiano dai Giudici di Piazza Cavour con la sentenza sopra citata nei luoghi privati non necessariamente con un’attività delittuosa in corso, limitatamente a procedimenti relativi a delitti di criminalità organizzata, per tali intendendosi “quelli elencati nell’art. 51, commi 3-bis e 3-quater, c.p.p. nonché quelli comunque facenti capo a un’associazione per delinquere”[4].
- La delega in materia di intercettazioni tradizionali e tramite captatori informatici
Al di là delle evidenti e manifeste criticità e dei numerosi interrogativi, anche sul piano della legittimità costituzionale, che uno strumento di indagine così invasivo dei diritti fondamentali ha suscitato e potrà suscitare, merita innanzitutto soffermarsi sulla peculiarità della delega conferita all’Esecutivo.
Risultano infatti di immediata evidenza l’ampiezza e la genericità dei principi e dei criteri direttivi ivi contenuti, che non conferiscono al Governo i necessari parametri per poter esplicare la sua funzione di Legislatore secondario; non è infatti mancato chi si è già espresso nel senso di una delega in bianco[5].
A ciò si aggiunga che il termine conferito per la disciplina di una materia così delicata e dibattuta è di soli tre mesi dall’entrata di vigore della legge; non si comprende davvero come mai il Legislatore abbia avuto tanta “fretta” per regolamentare uno degli ambiti più insidiosi e problematici del diritto processuale penale quando invece per altri settori ha concesso tempi più agevoli e comunque rispondenti all’attività da esplicarsi[6].
Del resto, basta la mera lettera della lettera a) del comma 84 dell’art. 1 del d.d.l. Orlando, relativo ai principi e criteri direttivi cui il Governo dovrà attenersi, per comprendere l’ampio spazio di manovra che è stato lasciato all’Esecutivo.
Si tratta infatti dei principi basilari del nostro ordinamento, che, forse, non era neppure il caso di ribadire, essendo gli stessi a fondamento del diritto di difesa in uno Stato di diritto; non sono invece stati specificati aspetti forieri di sicure problematiche interpretative, quale, a titolo esemplificativo, quello attinente alla nozione di rilevanza o irrilevanza processuale.
Per meglio comprendere quanto appena affermato vale la pena riportare il contenuto della lettera a) del comma 84 dell’art. 1 del d.d.l. Orlando in materia di intercettazioni tradizionali, il quale stabilisce che il Legislatore delegato dovrà “prevedere disposizioni dirette a garantire la riservatezza delle comunicazioni, in particolare dei difensori nei colloqui con l’assistito, e delle conversazioni telefoniche e telematiche oggetto di intercettazione, in conformità all’articolo 15 della Costituzione, attraverso prescrizioni che incidano anche sulle modalità di utilizzazione cautelare dei risultati delle captazioni e che diano una precisa scansione procedimentale per la selezione di materiale intercettativo nel rispetto del contraddittorio tra le parti e fatte salve le esigenze di indagine, avendo speciale riguardo alla tutela della riservatezza delle comunicazioni e delle conversazioni delle persone occasionalmente coinvolte nel procedimento, e delle comunicazioni comunque non rilevanti a fini di giustizia penale”.
Oggigiorno fa rabbrividire il solo pensiero che ci sia ancora bisogno di sottolineare che occorre garantire la riservatezza delle comunicazioni tra il difensore e il proprio assistito o che le intercettazioni debbano rispettare l’art. 15 della Carta Costituzionale.
Per vero, l’ampia prescrizione della delega è stata poi articolata in cinque punti ovviamente in materia cautelare che, come già affermato, non sono idonei a conferire all’Esecutivo le necessarie linee guida entro cui agire.
Quanto al primo punto, lo stesso si limita a precisare che spetta al Pubblico Ministero assicurare “la riservatezza anche degli atti contenenti registrazioni di conversazioni o comunicazioni informatiche o telematiche inutilizzabili a qualunque titolo ovvero contenenti dati sensibili […], che non siano pertinenti all’accertamento delle responsabilità per i reati per cui si procede o per altri reati emersi nello stesso procedimento o nel corso delle indagini, ovvero irrilevanti ai fini delle indagini in quanto riguardanti esclusivamente fatti o circostanze ad esse estranei”.
Il secondo punto precisa che il materiale non selezionato dal Pubblico Ministero a sostegno della richiesta di misura cautelare deve essere custodito “in apposito archivio riservato, con facoltà di esame e ascolto ma non di copia, da parte dei difensori delle parti e del giudice, fino al momento di conclusione della procedura di cui all’articolo 268, commi 6 e 7, del codice di procedura penale, con il quale soltanto viene meno il divieto di cui al comma 1 dell’articolo 114 del medesimo codice relativamente agli atti acquisiti”.
Al punto successivo si stabilisce che, una volta che sia conclusa la procedura di cui al paragrafo precedente, i “difensori delle parti poss[o]no ottenere copia degli atti e trascrizione in forma peritale delle intercettazioni, ritenuti rilevanti dal giudice ovvero il cui rilascio sia stato autorizzato dal giudice nella fase successiva alla conclusione delle indagini preliminari”.
Il quarto punto attribuisce al Pubblico Ministero, in vista della richiesta di giudizio immediato ovvero del deposito dell’avviso di conclusione delle indagini preliminari, il potere di controllare che non vi siano “conversazioni o comunicazioni informatiche o telematiche inutilizzabili a qualunque titolo ovvero contenenti dati sensibili [….]che non siano pertinenti all’accertamento delle responsabilità per i reati per cui si procede ovvero irrilevanti ai fini delle indagini in quanto riguardanti esclusivamente fatti o circostanze ad esse estranei”.
Da ultimo, il quinto punto precisa che le intercettazioni inutilizzabili oppure contenenti dati sensibili o comunque irrilevanti non dovranno essere oggetto di trascrizione sommaria, essendo le stesse archiviate soltanto con l’indicazione della data, dell’ora e dell’apparato su cui la registrazione è avvenuta. A tal riguardo, però, alla Pubblica Accusa spetta il compito di verificarne la rilevanza e di disporne eventualmente la trascrizione[7].
Neppure gli altri criteri direttivi in materia di intercettazioni tradizionali contenuti alle lettere b), c) e d) offrono apprezzabili protocolli per una positiva previsione del lavoro dell’Esecutivo.
Per quanto qui di maggiore interesse, i captatori informatici sono trattati nella lettera e), la quale prevede testualmente che il Governo debba “disciplinare le intercettazioni di comunicazioni o conversazioni tra presenti mediante immissione di captatori informatici in dispositivi elettronici portatili”, dettando previsioni che sostanzialmente ricalcano quanto già fino ad oggi affermato dalla giurisprudenza[8].
In particolare, il Legislatore ha tenuto in debita considerazione le decisioni più recenti in materia e le perplessità manifestate dalla dottrina, soprattutto con riferimento alla infelice affermazione contenuta nella nota sentenza delle Sezioni Unite secondo cui il trojan può essere utilizzato quale strumento di captazione di informazioni anche in luoghi privati e in assenza del presupposto della commissione del reato.
Il delegante ha quindi voluto precisare che l’attivazione del microfono potrà avvenire “solo in conseguenza di apposito comando inviato da remoto e non con il solo inserimento del captatore informatico, nel rispetto dei limiti stabiliti nel decreto autorizzativo del giudice” e che la registrazione audio deve essere “avviata dalla polizia giudiziaria o dal personale incaricato ai sensi dell’articolo 348, comma 4, del codice di procedura penale, su indicazione della polizia giudiziaria operante che è tenuta a indicare l’ora di inizio e fine della registrazione, secondo circostanze da attestare nel verbale descrittivo delle modalità di effettuazione delle operazioni di cui all’articolo 268” del c.p.p.
Un’attività che necessita quindi un controllo costante da parte della polizia giudiziaria, con la ovvia conseguenza di un dispendio finanziario di straordinario rilievo che non sarà certo esente da critiche da parte delle forze politiche che già si sono espresse in maniera negativa sui costi dell’attività intercettativa attualmente vigente.
Il delegante ha poi anche soggiunto che l’attivazione del dispositivo è sempre “ammessa nel caso in cui si proceda per i delitti di cui all’articolo 51, commi 3-bis e 3-quater, del codice di procedura penale e, fuori da tali casi, nei luoghi di cui all’articolo 614 del codice penale soltanto qualora ivi si stia svolgendo l’attività criminosa, nel rispetto dei requisiti di cui all’articolo 266, comma 1, del codice di procedura penale”.
Si è dunque voluto “riparare” all’infelice affermazione delle Sezioni Unite che acconsentiva ad una captazione indiscriminata delle informazioni nei luoghi di privata dimora, limitando l’utilizzando del trojan ai soli casi in cui in tali luoghi si stia svolgendo un’attività criminosa.
Apprezzabile poi è l’aggravio di motivazione imposto al Giudice per le Indagini Preliminari nel decreto autorizzativo, atteso che per la prima volta si prevede che siffatto decreto debba “indicare le ragioni per le quali tale specifica modalità di intercettazione sia necessaria per lo svolgimento delle indagini”.
È appena il caso di osservare che, prima dell’entrata in vigore di questo decreto, il captatore informatico non era considerato una specie di intercettazione autonoma, ma era ricondotto nel novero delle intercettazioni ambientali.
Vi è inoltre l’intenzione da parte del Legislatore delegante di codificare il trasferimento delle registrazioni, prevedendo che lo stesso debba essere “effettuato soltanto verso il server della procura così da garantire originalità e integrità delle registrazioni”. Si tratta nella realtà di una prassi pressoché consolidata. Costituisce invece una novità il fatto che “al termine della registrazione il captatore informatico [debba essere]disattivato e reso definitivamente inutilizzabile su indicazione del personale di polizia giudiziaria operante”. Potranno poi essere utilizzati soltanto degli specifici programmi informatici conformi a dei requisiti tecnici stabiliti con decreto ministeriale.
Si è poi limitato il potere del Pubblico Ministero di utilizzare siffatto strumento nei casi di urgenza, perché si è espressamente previsto che lo stesso possa essere disposto soltanto per “i delitti di cui all’articolo 51, commi 3-bis e 3-quater, del codice di procedura penale, con successiva convalida del giudice entro il termine massimo di quarantotto ore, sempre che il decreto d’urgenza dia conto delle specifiche situazioni di fatto che rendono impossibile la richiesta al giudice e delle ragioni per le quali tale specifica modalità di intercettazione sia necessaria per lo svolgimento delle indagini”.
Nella realtà non si tratta di una limitazione, perché il Pubblico Ministero non ha il potere di attivare in via autonoma le intercettazioni ordinarie, neppure nei casi in cui si presume si stia svolgendo un’attività criminosa. Sarebbe allora più corretto affermare che siamo di fronte ad una lacuna che, sotto il profilo sistematico della normativa processualpenalistica, già fa intravedere non poche criticità.
Il settimo punto impone correttamente una specifica disciplina in tema di utilizzabilità dei risultati delle intercettazioni acquisite tramite trojan, stabilendo che tali risultati “possano essere utilizzati a fini di prova soltanto dei reati oggetto del provvedimento autorizzativo e possano essere utilizzati in procedimenti diversi a condizione che siano indispensabili per l’accertamento dei delitti di cui all’articolo 380 del codice di procedura penale”.
Si è voluto anche rimarcare quanto già affermato dall’art. 270 c.p.p., e cioè a dire che non possono “essere in alcun modo conoscibili, divulgabili e pubblicabili i risultati di intercettazioni che abbiano coinvolto occasionalmente soggetti estranei ai fatti per cui si procede”. Il che sta più semplicemente a significare che i soggetti non dovranno solo essere estranei ai fatti, ma anche occasionalmente coinvolti.
- L’incontrastata attualità della sentenza delle Sezioni Unite
Come già si è avuto modo di accennare, le Sezioni Unite con la nota sentenza n. 26889/2016 hanno ufficialmente aperto la strada ai captatori informatici come strumento di indagine penale.
Con questa decisione i Giudici di legittimità hanno mostrato una particolare attenzione all’evolversi della società perché con grande lungimiranza hanno capito l’importanza della tecnologia anche in un settore come quello del diritto e il fatto che non si potesse prescindere dall’utilizzo della stessa anche ai fini della comprensione dei risultati giuridici[9].
La Suprema Corte ha motivato l’inserimento del trojan tra le modalità di captazione di informazioni sulla base del fatto che l’avanzamento della tecnologica ha fatto sì che un considerevole numero di comunicazioni venissero criptate rendendo vano l’utilizzo dei metodi tradizionali[10].
L’uso dell’agente incursore permette, a differenza dei sistemi classici, di monitorare sia il flusso di comunicazioni riguardanti sistemi informatici o telematici, sia il contenuto di dati presenti o futuri all’interno delle memorie di un dispositivo informatico; tale monitoraggio costituisce senza ombra di dubbio un supporto decisivo alle indagini[11].
Non è un caso che la Procura Generale abbia osservato che il ricorso all’utilizzo dei virus informatici non costituisce un potenziamento delle tecniche tradizionali, bensì un “recupero dell’efficacia perduta o compromessa” dalle stesse.
Il sommo collegio ha infatti provveduto, prima di motivare il provvedimento, a fornire una definizione di captatore informatico[12] per una maggiore chiarezza delle attività che con il medesimo si possono svolgere, atteso che fino a quel momento tale strumento era pressochè sconosciuto nell’ordinamento italiano.
Per vero, vale la pena di rappresentare che nel nostro ordinamento giuridico non esiste neppure una nozione unitaria di intercettazione «tradizionale» di comunicazioni[13], perché siffatta espressione è presente in numerose norme del codice di procedura penale tra loro eterogenee[14].
Tanto è vero che sono state per la prima volta le Sezioni Unite nel 2003[15] a precisare che le intercettazioni consistono “nella captazione occulta e contestuale di una comunicazione o conversazione tra o più soggetti che agiscano con l’intenzione di escludere gli altri e con modalità oggettivamente idonee allo scopo, attuata da un soggetto estraneo alla stessa mediante strumenti tecnici di percezione tali da verificare le cautele ordinariamente poste a protezione del suo carattere riservato”.
Stante l’ampiezza e la genericità della delega del Legislatore, non sembra scorretto ipotizzare che la sentenza delle Sezioni Unite n. 26889/2016 continuerà a svolgere una funzione importante nella risoluzione delle criticità insite nella nuova disciplina dei captatori informatici che già si è avuto modo di poter anticipare.
E ciò soprattutto perché i giudici di Piazza Cavour non hanno tralasciato di considerare il bilanciamento dei delicati equilibri coinvolti, vale a dire le esigenze di accertamento delle responsabilità penali con la tutela della sfera privata[16].
Non vi è dubbio infatti che l’inviolabilità del domicilio, come anche la libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione finisce inevitabilmente con lo scontrarsi con le esigenze investigative che invece mirano alla compromissione di siffatti diritti. Manifesto che il sacrificio di tali diritti fondamentali della persona può essere giustificato soltanto se strumenti di indagine così invasivi siano utilizzati in modo corretto, tempestivo ed esaustivo e non in maniera capillare e indiscriminata[17].
Il regime particolarmente rigoroso (o così almeno dovrebbe essere) delle intercettazioni di comunicazioni e conversazioni si giustifica proprio in relazione alle gravi forme di compressione dei diritti riconosciuti dalla Carta Costituzionale.
In relazione a questo delicato profilo, le Sezioni Unite hanno sostanzialmente accolto le osservazioni della Procura Generale nella parte in cui si rappresenta che “se […] è legittimo nutrire preoccupazioni per le accresciute potenzialità scrutatrici ed acquisitive dei virus informatici, suscettibili di ledere riservatezza, dignità e libertà delle persone, è del pari legittimo ricordare che solo siffatti strumenti sono oggi in grado di penetrare canali criminali di comunicazione o di scambio di informazioni utilizzati per la commissione di gravissimi reati contro le persone”.
4.Considerazioni conclusive
Alla luce delle considerazioni sopra esposte, non vi è dubbio che la riforma concernente la materia delle intercettazioni, così ampia e generica, si sia sostanzialmente limitata a codificare la giurisprudenza della Corte di legittimità.
Risulta manifesto che, così facendo, il Legislatore abbia mostrato una certa debolezza perché ha conferito alla giurisprudenza un ruolo troppo importante per la difficile definizione di delicati equilibri processuali, come quelli oggetto della presente disamina, costantemente al centro della cronaca e dei conflitti politici.
In proposito, non si può fare a meno di osservare il ruolo attribuito alla Pubblica Accusa che sembra addirittura assurgere a guardiano e a dominus della riservatezza e della legalità delle intercettazioni[18], aderendo alle direttive già emanate in materia dal Consiglio Superiore della Magistratura e da alcune circolari delle Procure territoriali[19].
Si auspica che il Legislatore secondario provveda ad offrire maggiori garanzie alla difesa rispetto all’operato del Pubblico Ministero e dei suoi ausiliari anche sotto il profilo tecnico, assicurando, a titolo esemplificativo, che per l’acquisizione delle evidenze investigative sia stato utilizzato un determinato trojan e che lo stesso abbia agito all’interno del device autorizzato. Sarebbe infatti importante che la Procura della Repubblica possa agevolmente dimostrare la «genuinità» dei dati presenti sul malware ai fini di una trasparente e corretta dialettica tra le parti.
Non va dimenticato che l’agente incursore ha potenzialità estremamente invasive e pervasive, permettendo alla Pubblica Accusa e ai suoi ausiliari di accedere indiscriminatamente a tutti i dati contenuti nel bersaglio «infettato».
Insomma, per il corretto utilizzo di uno strumento di indagine così «infido» occorre che il Legislatore secondario appresti molta attenzione alle garanzie tipiche di uno Stato di diritto e che, nel rispetto dei limiti della sua funzione, riesca quindi a dare risalto alla necessaria proporzionalità che deve intercorrere tra i mezzi investigativi e la tutela dei diritti fondamentali della persona anche sotto indagine.
[1] L. ANNUNZIATA, Trojan di Stato: l’intervento delle Sezioni Unite non risolve le problematiche applicative connesse alla natura del captatore informatico, in Parola alla difesa, 2016, I, 189.
[2] Cassazione Penale, Sezioni Unite, 1 luglio 2016 (ud. 28 aprile 2016), n. 26889, in Cassazione Penale, 2016, X, 3546.
[3] Necessaria una disciplina legislativa in materia di captatori informatici (c.d. trojan): un appello al Legislatore da parte di numerosi docenti di diritto italiani, in penalecontemporaneo.it, 7 ottobre 2016.
[4] Cassazione Penale, Sezioni Unite, 1 luglio 2016 (ud. 28 aprile 2016), n. 26889, cit.
[5] Sul punto si vedano M. GIALUZ, A. CABIALE, J. DELLA TORRE, Riforma Orlando: le modifiche attinenti al processo penale, tra codificazione della giurisprudenza, riforme attese da tempo e confuse innovazioni, in penalecontemporaneo.it, 20 giugno 2017; A. CISTERNA, Intercettazioni: i rischi di una delega troppo generica, in Guida al diritto, XXXII, 65-66.
[6] L. FILIPPI, Molte perplessità e poche note positive nella legge delega di riforma delle intercettazioni, in ilpenalista.it
[7] La precisazione secondo cui del materiale che non viene inviato al Giudice per le Indagini Preliminari occorre darne “informazione al Pubblico Ministero, che ne verifica la rilevanza con decreto motivato autorizzandone, in tal caso, la trascrizione” risulta, a parere di chi scrive, poco comprensibile sol si pensi che è il Pubblico Ministero stesso a richiedere la misura cautelare e a selezionare le evidenze necessarie da fornire al Giudice per le Indagini Preliminari per l’accoglimento della stessa.
[8] C. PARODI, La riforma “Orlando”: la delega in materia di “captatori informatici”, in magistraturaindipendente.it
[9] W. NOCERINO, Le Sezioni Unite risolvono l’enigma: l’utilizzabilità del captatore informatico nel processo penale – Joint Chambers solves the riddle: the possibilità to use the captatore informatico (trojan virus) in criminal trial, in Cassazione penale, X, 2016, 3565.
[10] C. PARODI, La riforma “Orlando”: la delega in materia di “captatori informatici”, cit.
[11] F. CAJANI, Odissea del captatore informatico – Trojan’s odyssey, in Cassazione Penale, XI, 2016, 4140.
[12] Il captatore informatico o agente incursore non è nient’altro che “un software installato da remoto per il tramite di una mail, di un sms o di un’applicazione di aggiornamento […] che si compone di due moduli principali; il primo (server) è un programma che infetta la macchina bersaglio, il secondo (client) è l’applicativo che il virus usa per controllare detto dispositivo”. Nella motivazione della sentenza si precisa poi anche quali sono le attività che, grazie all’utilizzo del trojan, consentono un controllo dei bersagli.
[13] C. MARINELLI, Intercettazioni processuali e nuovi mezzi di ricerca della prova, Torino, 2007, 4.
[14] W. NOCERINO, Le Sezioni Unite risolvono l’enigma: l’utilizzabilità del captatore informatico nel processo penale – Joint Chambers solves the riddle: the possibilità to use the captatore informatico (trojan virus) in criminal trial, cit., 3565.
[15] Cassazione Penale, Sezioni Unite, 28 maggio 2003, n. 36747, in Guida al diritto, 2003, 42 e ss. La dottrina dominante definisce invece l’intercettazione come “la presa di conoscenza, operata clandestinamente da un terzo con l’impiego di mezzi meccanici o elettronici di captazione del suono, delle comunicazioni segrete attuate in forma diversa dallo scritto”.
[16] W. NOCERINO, Le Sezioni Unite risolvono l’enigma: l’utilizzabilità del captatore informatico nel processo penale – Joint Chambers solves the riddle: the possibilità to use the captatore informatico (trojan virus) in criminal trial, cit., 3565.
[17] C. PARODI, La riforma “Orlando”: la delega in materia di “captatori informatici”, cit.
[18] M. GIALUZ, A. CABIALE, J. DELLA TORRE, Riforma Orlando: le modifiche attinenti al processo penale, tra codificazione della giurisprudenza, riforme attese da tempo e confuse innovazioni, cit.
[19] Cfr. Circolare della Procura della Repubblica presso il Tribunale di Napoli (Direttiva n. 1/2016); Circolare della Procura della Repubblica presso il Tribunale ordinario di Torino (Prot. n. 513/16/S.P.); Circolari della Procura della Repubblica presso il Tribunale di Roma (n. 3389/15 Prot. Gab. Circ. 27 e n. 1757/15 Prot. Gab. Circ. 14).
