La vicenda dei criptotelefonini in attesa della decisione della Cassazione

In via di premessa, è bene fornire qualche notazione di stampo prettamente tecnico, così da rendere intellegibili gli sviluppi della intera vicenda, connessa all'hackeraggio della piattaforma di messaggistica crittografata Sky ECC. Vicenda questa, da cui hanno preso le mosse molteplici inchieste nella maggior parte degli Stati europei.

Da quando si è affermata la tecnologia Voice Over IP, il traffico di chiamate e di messaggi non deve più necessariamente correre sulla rete telefonica tradizionale, ben potendo transitare su Internet. Di qui, la nascita di tutte le maggiori applicazioni di Instant Messaging o Voice Call, come Whatsapp, Telegram o Skype.

Le conversazioni al cellulare e i messaggi che viaggiano su Internet, a propria volta, come possono passare su una rete in chiaro, possono pure correre su una rete che si avvale di un protocollo crittografico.

Al pari delle chat e delle chiamate che transitano sulla rete telefonica tradizionale, i messaggi e le conversazioni telefoniche che passano per Internet possono essere intercettate.

Nondimeno, la medesima attività captativa, che si rivela utile a conoscere il tenore delle chiamate e dei messaggi che viaggiano sulla rete telefonica tradizionale o su una rete Internet non crittografata, risulta in sé inconcludente, ogniqualvolta consenta solo la registrazione di dati cifrati.

In tale eventualità, per poter ascrivere ai dati criptati un significato umanamente comprensibile, bisogna entrare in possesso delle chiavi di cifratura, ad essi abbinate, altrimenti, risulta necessario eludere il sistema di crittografia, sotteso alla piattaforma di messaggistica criptata, attraverso l'installazione di un Trojan sul dispositivo mobile del singolo indagato: avuto l'accesso al microfono e alla fotocamera dell'apparecchio elettronico di interesse investigativo, tale malware può infatti registrare le conversazioni telefoniche e, all'un tempo, fotografare i messaggi in entrata, quando sono già stati decifrati, e i messaggi in uscita, quando non sono stati ancora cifrati.

Onde evitare l'aggiramento dei propri protocolli di sicurezza, talune imprese di telecomunicazioni hanno inteso rendere fruibili le proprie applicazioni di messaggistica crittografata solo su appositi cellulari, di loro produzione.

Sono così venuti alla luce i criptofonini: quei dispositivi mobili, in seno ai quali risulta tecnicamente impossibile installare un Trojan, per essere stati all'uopo modificati sia nella componente software sia nella componente hardware, attraverso specifici accorgimenti tecnici come la disattivazione delle funzioni microfono, telecamera e GPS.

Sempre in via di premessa, è bene rilevare che, in tema rogatoriale, la giurisprudenza ha affermato il costante principio di diritto, secondo il quale l'atto di indagine compiuto all'estero sulla base della lex loci deve, per presunzione, considerarsi legittimo. Ciò, senza mancare di precisare che tale presunzione (di legittimità del mezzo istruttorio assunto in territorio straniero) ha natura soltanto relativa, dal momento che ogni emergenza probatoria, che dovesse essere stata acquisita in violazione di un principio fondamentale o di una norma inderogabile dell'ordinamento interno al Paese d'emissione, deve essere considerata inutilizzabile.

Tali insegnamenti sono stati mutuati in modo radicale in relazione agli O.E.I.

Il materiale probatorio, rifluito dalla Francia in vari procedimenti penali interni, può dunque essere validamente utilizzato, a condizione che l'autorità giudiziaria francese abbia assunto le chat scambiate su Sky ECC nel rispetto dei principi fondamentali e delle norme inderogabili del sistema normativo italiano.

È pacifico che il diritto di difesa, garantito dall'art. 24 Cost., assuma giuridica consistenza, a patto che il prevenuto sia posto nella condizione di contrapporre alle tesi accusatorie le proprie istanze.

È altresì chiaro che il confronto serrato tra le ragioni del rappresentante della pubblica accusa e le controdeduzioni difensive può esplicarsi appieno, in conformità all'art. 111 Cost., nella misura in cui la dialettica procedimentale investa non solo le risultanze probatorie raccolte, ma pure il relativo procedimento acquisitivo.

È egualmente noto che il diritto di difesa e il principio al contraddittorio sono funzionali ad assicurare l'osservanza di un ulteriore principio fondamentale dell'ordinamento italiano: quello di legalità probatoria, ricavabile dall'art. 191 c.p.p.; non foss'altro perché, secondo costanti insegnamenti giurisprudenziali, come sono inutilizzabili le prove oggettivamente vietate, non sono neppure spendibili in giudizio le prove formate o acquisite, in spregio dei diritti soggettivi tutelati dalla legge o meglio ancora dalla Costituzione.

È allora di palmare evidenza che, specie quando non siano state poste in condizione di assistere fisicamente all'assunzione del mezzo istruttorio, le difese debbano quantomeno poter verificare ex post la correttezza del procedimento acquisitivo degli elementi probatori raccolti. Pena, la loro inutilizzabilità.

Sensibile al rispetto di questa ineludibile esigenza difensiva, la IV Sezione Penale della Corte di cassazione, con la pronuncia n. 34059/2022, Lori, ha imposto alle Procure italiane di rendere conoscibili: il carteggio afferente al procedimento base francese, da cui erano rifluiti le emergenze poi spese nell'ambito di numerosi procedimenti penali interni; i dati criptati originali che sostanziavano le chat di interesse investigativo, intercorse su Sky ECC; e le chiavi di cifratura ad esse abbinate.

A fronte di questo illuminato arresto della Corte di legittimità, gli organi inquirenti italiani, se hanno depositato presso le proprie cancellerie parte della documentazione relativa al procedimento base francese, nell'ambito del quale la gendarmerie aveva provveduto all'hackeraggio dell'applicazione di messaggistica crittografata Sky ECC, d'altro lato, si sono sistematicamente astenuti dal mettere a disposizione tanto i dati criptati originali, che sostanziavano i messaggi acquisiti, quanto le correlate chiavi di cifratura.

Le difese non sono state così poste in condizione di appurare la correttezza del procedimento acquisitivo delle emergenze probatorie, che era stato condotto dalla polizia giudiziaria francese; non avendo potuto riscontrare la corrispondenza tra i dati originali criptati e il testo delle chat decifrate.

Ciò nonostante, buona parte dei giudici italiani, che si sono sino ad ora pronunciati in materia, hanno affermato la piena utilizzabilità delle chat scambiate su Sky ECC, nel quadro dei procedimenti penali interni, in cui erano state riversate.

Vuoi perché le chat criptate, all'esito delle operazioni di decodifica, mai avrebbero potuto assumere un significato umanamente comprensibile, laddove la gendarmerie non avesse fatto ricorso alle chiavi di cifratura corrette.

Vuoi perché, con la pronuncia n. 14935/2018, la Cassazione, chiamata a decidere su un precedente caso analogo, afferente alla utilizzabilità delle intercettazioni delle conversazioni criptate intercorse sui Blackberry, aveva già affermato che l'indisponibilità dell'algoritmo per la decriptazione dei dati informatici non determina alcuna lesione del diritto di difesa, atteso che l'interessato non può pretendere un controllo diretto mediante l'utilizzo esclusivo e non mediato del programma di decriptazione.

Non sfugge che la giurisprudenza successiva abbia superato la pronuncia Lori, laddove affermava che le difese avrebbero dovuto conoscere le chiavi di cifratura, utili a decriptare la messaggistica criptata intercorsa su Sky ECC; sia pure al costo, insostenibile, di disattendere due principi fondamentali dell'ordinamento giuridico italiano, quali il diritto di difesa e il principio al contraddittorio.

È, del resto, lapalissiano sottolineare che, in difetto dei dati criptati originali e soprattutto delle relative chiavi di cifratura, le difese altro non hanno potuto fare che dare per buono, con atteggiamento fideistico, il contenuto delle chat, per come emerso all'esito dell'attività di decriptazione assolta dalla polizia giudiziaria francese, in assoluta autonomia.

Nondimeno, tale sentenza della IV sezione Penale, nel riconoscere alle difese il diritto di poter prendere cognizione del carteggio afferente al procedimento base francese, ha consentito di poter rilevare tutta una serie di criticità ulteriori, sottese al procedimento acquisitivo delle chat scambiate su Sky ECC, che era stato condotto in Francia, in esecuzione dei plurimi OEI tratti dai vari uffici di Procura italiani.

Nell'ambito del procedimento base francese, il 2019/91, l'OCLCTIC, ovvero il nucleo speciale della gendarmerie, equivalente alla polizia postale italiana, scopriva che le chat scambiate su Sky ECC transitavano su tre differenti server che la impresa canadese proprietaria della piattaforma di messaggistica crittografata, Sky Global, aveva noleggiato presso l'hosting server provider OVHCLOUD, avente sede a Roubaix.

Uno di questi tre server era contrassegnato con il nome di host “server 2 o server di Back-up”.
Al riguardo, è opportuno sin da ora specificare che con l'espressione server di back-up, in informatica, si fa riferimento a quel server che conserva al proprio interno file, dati, applicazioni.

Nel medesimo contesto, gli uomini della polizia giudiziaria francese avevano modo di constatare che la messaggistica scambiata su Sky ECC era crittografata con quattro differenti chiavi di cifratura, delle quali talune erano memorizzate nei server di Roubaix, mentre talaltre erano in seno ai singoli criptofonini.

In proposito, è bene chiarire che, in difetto di tutte e quattro le chiavi, la decodifica della messaggistica sarebbe risultata un'impresa tecnicamente impossibile.

In data 14 giugno 2019, il Giudice Istruttore presso il Tribunale di Lille, in accoglimento della richiesta formulata dal pubblico ministero, autorizzava l'OCLCTIC a porre sotto intercettazione con la “strumentazione tecnologica tradizionale” tutti e tre i server di Roubaix.

Da quel momento, la polizia giudiziaria francese riusciva a recuperare sia il contenuto criptato delle chat che gli Sky ECC users si scambiavano quotidianamente, sia le chiavi di cifratura conservate nei server.

Per entrare nella disponibilità delle rimanenti chiavi di cifratura, memorizzate nei singoli criptofonini, la polizia olandese aveva suggerito ai colleghi francesi di installare sui server di Roubaix un captatore informatico che avesse inviato ai singoli dispositivi mobili una specifica notifica push; ricevuta la quale, i criptofonini avrebbero comunicato le chiavi crittografiche serbate al loro interno.

Dietro un apposito provvedimento autorizzativo emesso solo il 17.12.2020 dal Giudice Istruttore presso il Tribunale di Parigi, l'OCLCTIC installava il Trojan sul “server 2 o server di back-up”.

Una volta che erano state conseguite tutte e quattro le chiavi di cifratura, la gendarmerie procedeva lungo una duplice direzione.

Per un verso, decriptava ex post i messaggi criptati, che erano stati intercettati, e dunque, registrati, tra l'agosto o settembre 2019 e il dicembre 2020.

Mentre, per altro verso, decodificava in tempo reale le chat che dal dicembre 2020 sarebbero continuate a correre su Sky ECC.

Intorno al 19.02.2021, la Sky Global, nella assoluta certezza che il proprio “server 2 o server di back-up” fosse stato hackerato, decideva di deviare il traffico di messaggi sul “server 1”.

Come si è già avuto modo di rilevare, anche questo apparecchio elettronico era sotto intercettazione dal lontano 2019.

Nondimeno, a fronte di tale accorgimento adottato dalla impresa di telecomunicazioni canadese, la gendarmerie non era più in condizione di poter recuperare le chiavi di cifratura conservate nei singoli criptofonini.

Per questa ragione, il 24 febbraio 2021, il Giudice Istruttore presso il Tribunale di Parigi con un secondo provvedimento autorizzativo, acconsentiva all'OCLCTIC l'installazione di un secondo Trojan, stavolta sul “server 1”.

Da quel momento, le operazioni di intercettazione, condotte attraverso la strumentazione tecnologica tradizionale, proseguivano senza intoppi di sorta, in combinazione con l'attività di decifratura, assolta dai Trojan.

Ciò si verificava sino al marzo 2021, quando diveniva di pubblico dominio la notizia per la quale Sky ECC era stata violata dalle forze dell'ordine d'oltralpe.

L'Ordine europeo d'indagine costituisce uno strumento di cooperazione internazionale in materia di giustizia penale, che il legislatore europeo ha introdotto con la Direttiva 2014/41/UE. In linea di principio, con il ricorso all'OEI, l'autorità giudiziaria del Paese d'emissione può delegare all'autorità giudiziaria dello Stato d'esecuzione l'assunzione di una fonte di prova, sita nel suo territorio nazionale; oppure può richiederle la trasmissione di prove che siano già in suo possesso.

A norma dell'art. 9 paragrafo 1 di tale atto comunitario, l'autorità d'esecuzione deve assumere la fonte di prova richiesta dall'autorità d'emissione, nella stretta osservanza della propria normativa processualpenalistica.

Ai sensi dell'art. 6 paragrafo 1 lettera b) della direttiva, l'autorità del Paese d'emissione non può delegare all'autorità giudiziaria dello Stato d'esecuzione il compimento di un atto di indagine che non avrebbe potuto compiere in un caso interno analogo.

Ciò, al chiaro fine di evitare che, attraverso il ricorso all'OEI, l'autorità d'emissione possa legittimamente spendere in giudizio, sol perché europea, una prova altrimenti inutilizzabile secondo la lex fori.

Gli uffici di Procura italiani, utilizzando questo strumento di cooperazione internazionale in materia di giustizia penale, hanno richiesto all'autorità giudiziaria francese di trasmettere le chat di possibile interesse investigativo.

Nel trarre i propri OEI, i rappresentanti della pubblica accusa si sono, però, ben visti dall'indicare espressamente quale fosse l'atto d'indagine interno analogo a quello richiesto all'autorità giudiziaria francese.

Dal canto loro, buona parte dei giudici italiani che si sono sino ad ora pronunciati sulla utilizzabilità delle chat scambiate su Sky ECC, che sono rifluite dalla Francia, si sono risolti nel senso che il mezzo istruttorio, di cui era stata richiesta l'assunzione, dovesse essere ricondotto nell'alveo dell'art. 234-bis c.p.p.

Ciò, sulla scorta di un articolato ragionamento che può essere così sintetizzato: il server contrassegnato con il nome di “host server 2 o server di back-up”, al pari di ogni altro server di back-up, conserva al proprio interno dati, file o applicazioni.

L'art. 706-102-1 del codice di procedura penale francese, la disposizione sulla base della quale il Giudice Istruttore presso il Tribunale di Parigi aveva autorizzato l'installazione del Trojan sul “server 2 o server di back-up”, disciplina l'utilizzo del solo Trojan che sia stato sviluppato per estrarre copia dei dati informatici conservati in un dispositivo elettronico. Questo almeno, stando alla interpretazione fatta dai giudici italiani di tale disposizione codicistica francese.

Secondo costanti insegnamenti giurisprudenziali interni, la corrispondenza scade a documentazione, non appena il destinatario ne abbia preso visione.

Di talché, il captatore informatico che è stato impiantato sul “server 2 o server di back-up” non poteva aver assolto ad una funzione diversa, da quella di acquisire semplici documenti, archiviati nella memoria di un server ubicato all'estero.

Svariate sono le ragioni sia in fatto che in diritto che depongono per la insostenibilità della tesi degli organi giudicanti italiani, per la quale l'atto d'indagine richiesto dai rappresentanti degli uffici di Procura sarebbe da ricondurre sotto la cornice dell'art. 234-bis c.p.p.

Nondimeno, per esigenze di brevità, nel presente contributo ci si limiterà a evidenziarne solo alcune.

In via preliminare e assorbente, è bene ricordare che l'art. 234-bis costituisce un mezzo di prova che il legislatore italiano ha introdotto per dare concreta attuazione all'art. 32 della Convenzione di Budapest, meglio conosciuta come Convenzione sul Cybercrime del Consiglio d'Europa (n. 185/2001).

Questa disposizione convenzionale prevede che il singolo organo inquirente nazionale possa recuperare i dati conservati in un server ubicato nel territorio di un altro Stato aderente al Consiglio d'Europa, senza dover passare per l'attivazione di alcuna procedura di cooperazione internazionale.

In precedenza, si è avuto modo di rilevare che l'OEI costituisce, insieme alla rogatoria, lo strumento di cooperazione internazionale in materia di giustizia penale per eccellenza.

Appare allora evidente che non possa essere richiesto, a mezzo di OEI, il compimento di un atto di indagine riconducibile sotto la cornice normativa dell'art. 234-bis del codice di procedura penale italiano.

In questa sede, è opportuno sottolineare che problemi di compatibilità con lo strumento di cooperazione internazionale regolato dalla Direttiva 2014/41/UE non si sarebbero certo palesati, laddove gli uffici avessero richiesto all'autorità giudiziaria francese il compimento di un atto d'indagine analogo a quello disciplinato dall'art. 234. D'altra parte, ammesso che il server contrassegnato con il nome di host server 2 o server di back-up fosse effettivamente un server di back-up, tale dato non assumerebbe in ogni caso alcuna rilevanza, se sol si considera che questo apparecchio elettronico, al pari del “server 1”, già dall'autunno del 2019 era posto sotto intercettazione.

Vi è di più.

È già stato rilevato che solo uno dei tre server di Roubaix aveva come nome di host “server 2 o server di back-up”.

Sempre in precedenza, è stato altresì sottolineato che l'OCLCTIC aveva installato un primo captatore informatico sul “server 2 o server di back-up” in data 17.12.2020; quindi aveva attivato un secondo Trojan sul “server 1” il 21.02.2021.

Per stessa ammissione del Giudice Istruttore presso il Tribunale di Parigi i due Trojan sarebbero stati piazzati per assolvere alla medesima funzione.

Ne discende che tanto il primo quanto il secondo captatore informatico altro compito non hanno potuto eseguire, se non quello di stimolare, attraverso speciali notifiche push, i singoli criptofonini a trasmettere le chiavi di cifratura che conservavano al proprio interno.

Dopo tutto, il Trojan non avrebbe potuto recuperare nessun dato all'interno del “server 1”, non essendo tale apparecchio elettronico un server di back-up.

Non basta.

L'interpretazione giurisprudenziale, per come compiuta dagli organi giudicanti italiani, secondo la quale l'art. 706-102-1 del codice di procedura penale francese si limiterebbe a disciplinare l'utilizzo del Trojan, sviluppato per recuperare i dati conservati all'interno di un server è manifestamente erronea.

Con la pronuncia n. 21-85.148 dell'11 ottobre 2022, la Corte di Legittimità francese ha affermato che il captatore informatico, che dovesse essere attivato ex art. 706-102-1, può benissimo intercettare il flusso telematico che dovesse transitare sul dispositivo mobile, in cui è installato.

La specificità del caso ora in esame, va ripetuto, ha messo in evidenza che i Trojan attivati sul “server 2 o server di back-up” e sul “server 1”, ambedue installati dietro provvedimenti autorizzativi emessi dal Giudice Istruttore presso il Tribunale di Parigi ai sensi dell'art. 706-102-1, si sono limitati a inviare ai singoli criptofonini una speciale notifica push, così da indurli a trasmettere le chiavi di cifratura conservate al loro interno.

Con la conseguenza che tale disposizione del codice di procedura francese sembra disciplinare l'utilizzo di qualsivoglia tipologia di Trojan; sia esso programmato per intercettare, per carpire i dati conservati in un dispositivo elettronico o per decifrare le chat criptate che corrono sulle applicazioni di Instant Messaging con protocollo crittografato.

Da ultimo.

È vero che, in conformità ai principi di elaborazione giurisprudenziale, la corrispondenza telematica scade a documentazione, non appena il destinatario ne abbia preso visione; in piena analogia con la corrispondenza cartacea che, dopo essere stata aperta, dovesse essere ritrovata dagli uomini di polizia giudiziaria nel domicilio del singolo indagato.

Nondimeno, corre l'obbligo di rimarcare che la Corte costituzionale, in tempi recentissimi, con la ordinanza 23 novembre 2022, n. 261, ha statuito che la messaggistica non può degradare a documentazione, neppur allorquando il ricevente ne abbia letto i contenuti.

Ciò, al chiaro scopo di porre fine alla prassi per la quale i pubblici ministeri procedono al sequestro del dispositivo elettronico del singolo indagato, così da poterne apprendere la corrispondenza, senza dover ottenere alcuna autorizzazione da parte del Giudice per le Indagini Preliminari.

Il tutto, in chiaro spregio della disciplina codicistica dettata in tema di intercettazioni: l'unico baluardo che il legislatore ordinario ha posto a tutela della guarentigia di cui all'art. 15 Cost.

È stato già evidenziato che le chat scambiate sulla piattaforma di messaggistica crittografata Sky ECC, nell'ambito del procedimento base francese 2019/91, non sono state recuperate dalla memoria dei server di Roubaix, attraverso Trojan all'uopo sviluppati, a distanza di tempo dal loro inoltro. Al contrario, la corrispondenza scambiata sulla applicazione di Instant Messaging della Sky Global è stata intercettata, nel suo dinamico fluire, con la strumentazione tecnologica tradizionale, sin dal 2019; dovendosi ribadire che il primo Trojan, installato sul “server 2 o server di back-up” il 17.12.2020, e il secondo captatore informatico, impiantato sul “server 1” il 21.2.2021, sono stati attivati, con l'esclusivo dichiarato fine di poter entrare in possesso delle chiavi di cifratura che erano conservate all'interno dei singoli criptofonini.

È noto che i primi OEI emessi dagli uffici di Procura italiani siano stati tratti, dopo il marzo 2021, quando veniva diffusa la notizia per la quale la piattaforma di messaggistica crittografata Sky ECC era stata violata dalle forze dell'ordine d'oltralpe.

È altresì risaputo che i procedimenti penali italiani, nei quali sono rifluiti gli elementi probatori acquisiti nell'ambito del procedimento base francese, hanno ad oggetto gravi fatti di reato, con massimi edittali elevati, ben sussumibili sotto l'art. 266 comma 1 lettera a).

Ne discende che, nel trarre gli OEI, gli uffici di Procura italiani avrebbero dovuto specificare che l'atto d'indagine interno, di cui veniva chiesta l'assunzione all'autorità giudiziaria francese, era quello disciplinato dall'art. 270 c.p.p.

È già stato ricordato che l'autorità d'emissione, all'atto di inoltro dell'OEI, deve specificare quale sia l'atto d'indagine interno, al cui compimento delega l'autorità d'esecuzione. Ciò, al chiaro fine di evitare che, attraverso il ricorso a questo strumento di cooperazione internazionale in materia di giustizia penale, l'organo inquirente nazionale richiedente possa spendere in giudizio una prova altrimenti inutilizzabile, secondo l'ordinamento processualpenalistico del proprio Stato.

Alla stessa stregua, è stato prima d'ora rilevato che l'autorità d'esecuzione deve procedere all'assunzione del mezzo istruttorio richiesto dall'autorità d'emissione, nella piena osservanza della propria normativa interna.

In Francia, a ben vedere, l'ordinamento processualpenalistico non contempla espressamente un atto di indagine analogo a quello disciplinato dall'art. 270 del codice di procedura penale italiano.

Nondimeno, la giurisprudenza di legittimità d'oltralpe ormai da decenni si è risolta nel senso che i risultati delle intercettazioni possono essere utilizzati nell'ambito di un procedimento penale diverso da quello, nel quale sono state autorizzate; dal momento che il code de procedure penale, come non contempla una disposizione che regoli un atto d'indagine corrispondente al mezzo istruttorio disciplinato dall'art. 270 del codice di procedura penale, non conosce neppure una previsione che faccia espresso divieto di far rifluire i risultati delle intercettazioni, autorizzate per l'accertamento di un determinato reato, nel quadro di un differente procedimento, afferente a tutt'altro delitto. (Sul punto, ex plurimis, Crim. 16 mai 2000, Bull. Crim. n. 190; Crim., 27 juin 2001, pourvoi n. 01-82578; Crim. 15 janv. 2003, Bull. Crim. n. 10)

Tale orientamento giurisprudenziale dell'organo nomofilattico francese, praeter o meglio contra legem, già nel lontano 2005 è stato aspramente criticato dalla Corte Europea dei Diritti dell'Uomo (al riguardo, Corte Europea dei Diritti dell'Uomo, 29.03.2005, requete n. 57752/00, Matheron c. Francia).

Allora, con il ricorso n. 57725/00, il cittadino francese Matheron, che era stato condannato in via definitiva, nell'ambito di un procedimento penale, in cui erano rifluiti i risultati delle intercettazioni, validamente disposte in un differente procedimento, in seno al quale non figurava neppure tra gli indagati, aveva convenuto in giudizio la Francia, denunciando una macroscopica violazione dell'art. 8 paragrafo 2 CEDU.

Disposizione questa, a norma della quale «Non può esservi ingerenza della pubblica autorità nell'esercizio di tale diritto - il diritto al rispetto della vita privata e familiare, del domicilio e della corrispondenza (par. 1 dell'art. 8 CEDU) - se non in quanto tale ingerenza sia prevista dalla legge (…)».

In quella occasione, la Corte dava effettivamente atto che l'ordinamento francese non annovera una previsione legislativa che prenda in esame la posizione delle persone intercettate, che siano terze rispetto al procedimento penale, nel cui quadro venga disposta l'attività captativa.

Piuttosto che valorizzare questo dato, di natura assorbente, tuttavia, i giudici di Strasburgo si risolvevano per l'accoglimento del ricorso di Matheron, sulla base del diverso rilievo per cui l'ufficio di Procura francese non aveva messo a disposizione del prevenuto i provvedimenti autorizzativi all'attività captativa, che era stata condotta nell'ambito del procedimento penale base, così violando l'art. 8 CEDU.

A fronte di questa pronuncia, con cui la Corte di Strasburgo si era limitata a diffidare la giurisprudenza francese dal coltivare il proprio indirizzo interpretativo, per il quale i risultati delle intercettazioni possono essere utilizzati in un procedimento diverso da quello, in cui sono state disposte, gli organi giudicanti francesi sono rimasti sulle proprie posizioni. Con il legislatore francese che, per parte sua, si è ben visto dal riformare la materia, introducendo un nuovo mezzo istruttorio, sulla falsariga dell'art. 270 previsto dal codice di procedura penale italiano.

Intervento legislativo questo che, come avrebbe dissipato ogni frizione tra la giurisprudenza francese e la giurisprudenza della Corte di Strasburgo, avrebbe avuto pure il merito di porre fine alle continue violazioni ad opera degli organi giudicanti francesi del sacrosanto principio alla legalità probatoria.

In ogni caso, resta il fatto che l'ordinamento processualpenalistico francese non conosce un atto d'indagine, disciplinato da una espressa previsione di legge, analogo a quello regolato in Italia dall'art. 270 c.p.p.

L'art. 10 paragrafo 1 lettera a) della Direttiva 2014/41/UE si interessa proprio a questo tipo di situazione, stabilendo che, allorquando la lex loci non conosca un mezzo di prova analogo a quello richiesto a mezzo di OEI, l'autorità d'esecuzione deve verificare se il proprio ordinamento interno contempli un atto d'indagine alternativo, che sia in grado di assicurare il medesimo risultato probatorio.

Quando la ricerca risulta infruttuosa, una diversa previsione del medesimo atto unionale, e segnatamente l'art. 10 paragrafo 5, dispone che l'autorità giudiziaria del Paese d'esecuzione deve rifiutarsi di prestare l'assistenza giudiziaria richiesta dal Paese d'emissione.

L'ordinamento francese, come non annovera alcuna disposizione che regoli un mezzo istruttorio corrispondente a quello disciplinato dall'art. 270 c.p.p., non conosce neppure un atto probatorio alternativo, capace di garantire i medesimi risultati.

Con la conseguenza che il Tribunale di Parigi non avrebbe potuto trasmettere agli organi inquirenti italiani le chat scambiate su Sky ECC, che sarebbero poi rifluite nei singoli procedimenti penali interni.

In questa sede, è allora giovevole chiedersi quale sia la sorte di tali elementi probatori, raccolti in piena violazione di una disposizione di primaria importanza, quale l'art. 10 paragrafo 5 della Direttiva 2014/41/UE.

A meno di non voler risolvere l'atto unionale regolatore l'ordine europeo d'indagine in una congerie di asserzioni di principio, sprovviste di alcuna effettiva vincolatività, dovrebbe concludersi nel senso che tale materiale probatorio è inutilizzabile.

Per chiosare su questa delicata questione, afferente alla legittimità degli atti di indagine che sono stati compiuti dal Tribunale di Parigi, su delega degli uffici di Procura italiani, è bene affrontare, de plano, un'ultima questione.

Gli organi inquirenti italiani, quando, a mezzo di OEI, hanno richiesto all'autorità giudiziaria francese di trasmettere le chat scambiate su Sky ECC di possibile interesse investigativo, hanno fatto espressa domanda perché il Tribunale di Parigi avesse fornito loro prove, di cui l'autorità d'esecuzione era già in possesso. Dovute alcune precisazioni sull'art. 10.

Come è noto, l'art. 10 paragrafo 2 lettera a) introduce una deroga all'art. 10 paragrafo 1, nella parte in cui stabilisce che deve essere sempre disponibile in base alla lex loci l'atto d'indagine di acquisizione di informazioni o di prove che siano già in possesso dell'autorità d'esecuzione.

E' altrettanto noto che, per poter dissertare sulla disponibilità o indisponibilità di un atto d'indagine in un caso analogo interno allo Stato d'esecuzione, la lex loci deve contemplare tale mezzo istruttorio. Tanto suggerisce la lettura del 10° Considerando alla Direttiva 2014/41/Ue, per il quale «La disponibilità dovrebbe riferirsi ai casi in cui l'atto d'indagine richiesto è previsto dallo Stato d'esecuzione, ma è legittimo solo in determinate circostanze, ad esempio quando l'atto d'indagine può essere svolto solo per reati di una certa gravità, contro persone rispetto alle quali grava già un certo sospetto o con il consenso della persona interessata».

L'art. 10 paragrafo 2 lettera a), nel prevedere che debba sempre essere disponibile secondo la lex loci l'atto di indagine di acquisizione di informazioni o prove già in possesso dell'autorità d'esecuzione, introduce dunque una deroga espressa solo e soltanto rispetto all'art. 10 paragrafo 1 lettera b); non interessandosi al differente caso regolato dell'art. 10 paragrafo 1 lettera a).

Nella fattispecie in esame, l'ordinamento processualpenalistico francese non annovera affatto un mezzo istruttorio analogo a quello previsto dall'art. 270 c.p.p.

Di talché, con il richiamo all'art. 10 paragrafo 2 lettera a), non può essere eluso l'art. 10 paragrafo 1 lettera a), e con esso non può tantomeno essere aggirato il motivo di rifiuto di riconoscimento dell'OEI, di cui all'art. 10 paragrafo 5 della Direttiva 2014/41/UE.

Ammesso che la Francia abbia trasmesso le chat richieste, senza violare la normativa unionale che regola l'OEI, corre l'obbligo di interrogarsi circa la utilizzabilità nell'ambito dei procedimenti penali italiani di tale materiale probatorio, rifluito dal procedimento base francese.

Si è già avuto modo di sottolineare che, in materia rogatoriale, l'atto di indagine compiuto all'estero sulla base della lex loci debba per presunzione considerarsi legittimo, fermo l'onere in capo al giudice interno di dover verificare che tale mezzo istruttorio sia stato assunto nel rispetto dei principi fondamentali e delle norme inderogabili della lex fori.

In precedenza è stato pure chiarito che l'orientamento giurisprudenziale francese, per il quale i risultati delle intercettazioni possono essere utilizzati in un procedimento diverso da quello, in cui sono state disposte, cozza terribilmente con l'art. 8 paragrafo 2 della CEDU. Tanto hanno affermato, purtroppo solo in via incidentale, i giudici di Strasburgo nel caso Matheron c. Francia.

L'art. 8 paragrafo 2 CEDU introduce un divieto probatorio.

Tale previsione, al pari di ogni altra disposizione della CEDU, in Italia è recepita da una norma di rango costituzionale, quale l'art. 117 Cost.

Tanto premesso, appare evidente che il materiale rifluito dalla Francia debba considerarsi inutilizzabile a norma dell'art. 191 c.p.p.; per essere stato assunto in piena violazione di un principio fondamentale, secondo la lex fori.

Sulla base di un banale giudizio controfattuale, è agevole giungere alla conclusione per la quale, senza la pronuncia del giudice di legittimità Lori, gli uffici di Procura italiani si sarebbero ben visti dal produrre il carteggio afferente al procedimento base francese, nel cui ambito la gendarmerie aveva proceduto all'hackeraggio della piattaforma di messaggistica crittografata Sky ECC.

Solo dalla lettura di questa documentazione è stato possibile smontare l'impianto motivazionale sotteso a buona parte dei provvedimenti giurisdizionali italiani sino ad ora interessatisi alla materia, per i quali i Trojan azionati in Francia si sarebbero limitati a recuperare, a distanza di tempo dal loro inoltro, tutte le chat scambiate su Sky ECC che sarebbero rimaste conservate nei server di Roubiax. Come se poi tutti i server di Roubiax fossero stati server di back.

A ben vedere, le chat acquisite ai singoli procedimenti italiani costituiscono il frutto di una mastodontica attività captativa che è stata condotta in Francia con la strumentazione tecnologica tradizionale; dovendosi ribadire ancora una volta che i Trojan in realtà non hanno né intercettato, né tantomeno ripescato dai server le chat che in essi sarebbero rimaste memorizzate. I captatori informatici sono serviti solo e soltanto a recuperare le chiavi di cifratura conservate nei singoli criptofnini; chiavi queste, in difetto delle quali sarebbe risultato tecnicamente impossibile ascrivere un qualche significato ai messaggi criptati, che erano stati registrati attraverso l'apposita attività captativa.

Di qui, tutte le questioni processualpenalistiche, sottese alla utilizzabilità di questo materiale probatorio in Italia, che sono state vagliate, sinteticamente ma scrupolosamente nel corso di questo breve elaborato.

In conclusione, la soluzione raggiunta dal collegio della IV Sezione Penale che ha pronunciato la sentenza Lori va apprezzata dal momento che ha garantito il diritto di difesa e il diritto al contraddittorio e, con essi, ha assicurato effettività al principio di legalità probatoria.

Per chiosare, è inutile ricordare che in un ordinamento che non si professi solo ma che sia autenticamente avanzato, la legalità probatoria non può certo essere sacrificata, in nome del principio di non dispersione dell'emergenza istruttoria di segno colpevolista.