Il parere del CSM sulle infrastrutture digitali per le intercettazioni

Il primo parere reso dal CSM il 20 settembre 2023

Con un primo parere reso il 20 settembre 2023, il CSM ha valutato con favore l'intervento in esame, sottolineando come il legislatore si sia effettivamente dato carico di una problematica avvertita da tempo dagli uffici requirenti; segnalando soltanto nel prosieguo alcuni dubbi interpretativi, non chiariti dalla relazione illustrativa.

Dalla lettura complessiva delle norme si evince che le strutture digitali centralizzate sono destinate ad assolvere più compiti: esse saranno infatti utilizzate per svolgere le operazioni di intercettazione per i procedimenti iscritti successivamente alla data del 28.2.25, così da risolvere le problematiche segnalate da numerosi uffici requirenti relativamente ai diversi costi sostenuti, all'incapienza dei server locali e ai difformi standard di sicurezza garantiti dai vari uffici; successivamente all'adozione di un decreto del Ministro della giustizia entro l'1.3.24, presso le infrastrutture in questione confluiranno inoltre anche gli archivi digitali di cui agli articoli 269, comma 1, c.p.p. e 89-bis disp. att. c.p.p.

Sotto il primo profilo, deve rammentarsi che attualmente ogni Procura della Repubblica effettua le operazioni di intercettazione avvalendosi di aziende specializzate, a costi di conseguenza diversi e comunque consistenti, nonché confrontandosi con standard di sicurezza non uniformi e con dimensioni variabili dei server utilizzati da ciascun ufficio. In questo senso, l'istituzione di infrastrutture digitali interdistrettuali potrà ridurre considerevolmente, almeno a lungo termine, i relativi oneri economici e soprattutto garantire standard tecnologici e di sicurezza uniformi su tutto il territorio nazionale.

Sotto il secondo profilo, le infrastrutture in esame sostituiranno anche gli archivi digitali attualmente localizzati presso ogni Procura e introdotti nell'ordinamento dal d.l. n. 161/2019, convertito in l. n. 7/2020, che ha modificato la disciplina dell'archivio delle intercettazioni introdotta agli artt. 269 c.p.p. e 89-bis disp. att. c.p.p. dal d.lgs. n. 216/2017.

L'istituzione di tale archivio, infatti, era stata prevista dall'art. 1, comma 84, lett. a), n. 2, della legge delega n. 103/2017, ove si indicava al legislatore delegato la necessità che gli atti “non allegati a sostegno della richiesta di misura cautelare siano custoditi in apposito archivio riservato, con facoltà di esame e ascolto ma non di copia, da parte dei difensori delle parti e del giudice, fino al momento di conclusione della procedura di cui all'articolo.

Detti archivi, quali spazi digitali in cui sono raccolti gli atti relativi alle intercettazioni, sono gestiti e controllati, come previsto dal d.l. n. 161/19, dal Procuratore della Repubblica dell'ufficio che ha richiesto ed eseguito le intercettazioni (artt. 269, comma 1, e 268, comma 5, codice di rito), essendovi custoditi atti coperti dal segreto; vi fanno eccezione i verbali e le registrazioni di comunicazioni e conversazioni già acquisiti al fascicolo delle indagini o comunque utilizzati nel corso delle indagini preliminari.

Gli accessi, da parte dei soggetti che vi sono legittimati, agli atti delle intercettazioni, incluso l'ascolto delle conversazioni già intercettate e confluite nell'archivio digitale di cui si è detto, continueranno, invece, a essere espletati presso le Procure, come si desume dal richiamo espresso operato nel corpo dell'art. 2 alla sopravvivenza delle attività di cui all'art. 89-bis disp. att. c.p.p. (“le attività di cui all'articolo 89-bis delle disposizioni di attuazione del codice di procedura penale sono effettuate presso la procura della Repubblica che ha disposto le operazioni di intercettazione).

Anche le attività di ascolto continueranno a essere condotte presso le singole Procure, come sembra desumersi dal comma 3 dell'art. 2, laddove si afferma, tra l'altro, che con ulteriore decreto del Ministro della Giustizia è disciplinato il collegamento telematico tra le infrastrutture di cui al comma 1 e i luoghi di ascolto presso le Procure della Repubblica, garantendo il massimo livello di sicurezza e riservatezza.

Deve poi osservarsi che l'art. 2, comma 3, stabilisce il principio generale secondo il quale, con decreto del Ministro della Giustizia, sono definiti i requisiti tecnici specifici per la gestione dei dati, che assicurano l'autenticità, l'integrità e la riservatezza dei dati medesimi anche in relazione al conferimento e ai sistemi di ripristino, ed è disciplinato il collegamento telematico tra le infrastrutture di cui al comma 1 e i luoghi di ascolto presso le Procure della Repubblica. Per quanto non sia espressamente affermato, può ritenersi, anche alla luce del tenore letterale del comma 4, che i dati delle intercettazioni conferiti nelle infrastrutture comuni di cui si è detto confluiranno in una sorta di sub archivio di pertinenza della sola Procura che ha disposto le intercettazioni, con l'ovvia preclusione per gli altri uffici dei distretti che si avvalgono delle infrastrutture comuni di leggere i dati altrui.

La scelta operata dal legislatore dell'urgenza di rimettere a decreti ministeriali l'individuazione delle infrastrutture e “dei requisiti tecnici essenziali al fine di assicurare la migliore capacità tecnologica, il più elevato livello di sicurezza e l'interoperabilità dei sistemi” (comma 2) nonché dei “requisiti tecnici specifici per la gestione dei dati, che assicurano l'autenticità, l'integrità e la riservatezza dei dati medesimi anche in relazione al conferimento e ai sistemi di ripristino”, e la disciplina “del collegamento telematico tra le infrastrutture e i luoghi di ascolto presso le procure della Repubblica” (comma 3) implica dunque una disciplina demandata a una fonte secondaria. Va però evidenziato come la normativa primaria abbia in ogni caso delineato la cornice entro la quale attuare l'intervento di dettaglio, così da salvaguardare le prerogative attribuite al Procuratore della Repubblica e la segretezza delle indagini e dei dati acquisiti. Sotto altro profilo, va valutato positivamente il coinvolgimento del Consiglio Superiore, richiesto di esprimere un parere su ogni aspetto della fase attuativa del sistema delineato dall'art. 2.

A questo proposito, deve tuttavia rilevarsi l'eccessiva brevità del termine (20 giorni) entro il quale il Consiglio deve esprimere i propri pareri, se si considerano la complessità anche tecnica della materia, che potrebbe eventualmente richiedere una interlocuzione preliminare presso gli uffici giudiziaria o lo svolgimento di altre attività istruttorie.

Anche sotto un diverso profilo la fase attuativa presenta aspetti di rilevante delicatezza, potendo solo allora valutarsi se le misure tecniche in concreto adottate siano conformi ai principi generali enunciati nell'art. 2 e idonee a garantire “l'autonomia delle funzioni del Procuratore della Repubblica di direzione, organizzazione e sorveglianza sulle attività di intercettazione e sui relativi dati, non sugli accessi e sulle operazioni compiute sui dati stessi”.

Di rilievo risulta anche la previsione conclusiva del comma 4, laddove si precisa che, fermi il segreto investigativo e le garanzie di riservatezza e sicurezza dei dati, il Ministero della Giustizia assicura l'allestimento e la manutenzione delle infrastrutture nel rispetto delle predette funzioni e, in ogni caso, con esclusione dell'accesso ai dati in chiaro. In sostanza i dati in questione non solo saranno coperti dal segreto investigativo, ma dovranno altresì essere crittografati in modo da impedirne la lettura da parte di soggetti non autorizzati. Da ultimo, deve rilevarsi come, a regime (dopo il 28.2.25), s'imporrà un coordinamento tra la novella e il vigente art. 268 codice di rito, che prevede, al comma 3, una regola – secondo la quale le operazioni d'intercettazione possono essere compiute esclusivamente per mezzo degli impianti installati nella Procura della Repubblica e solo quando tali impianti risultano insufficienti o inidonei ed esistono eccezionali ragioni di urgenza, il pubblico ministero può disporre, con provvedimento motivato, il compimento delle operazioni mediante impianti di pubblico servizio o in dotazione alla polizia giudiziaria – che a tale data dovrà ritenersi superata.

La delibera consiliare del 4 ottobre 2023

Nella delibera del 4 ottobre 2023 si evidenzia che l’art. 2, comma 2, del d.l. n. 105/2023 ha rimesso a un decreto del Ministro della Giustizia, da adottarsi entro sessanta giorni dalla data di entrata in vigore del decreto- legge, la definizione dei requisiti tecnici essenziali per assicurare il raggiungimento degli obiettivi individuati nel primo comma.

Lo schema di decreto in commento è stato adottato in attuazione di tale ultima previsione.

L’art. 1 dello schema di decreto ministeriale ha contenuti meramente definitori, specificando la nozione di “dato” e di “infrastrutture digitali interdistrettuali”. Per “dato” si intende “il contenuto delle intercettazioni di conversazioni e comunicazioni, anche telematiche, nonché i verbali e ogni altra informazione digitale ad esse relativa”; per “infrastrutture digitali interdistrettuali” si intende “l’insieme di risorse hardware e software e relativi sistemi di comunicazione, costituenti l’infrastruttura unica nazionale, che assicurano la registrazione e memorizzazione dei dati relativi alle conversazioni e comunicazioni, anche telematiche, eseguite nell’ambito di un procedimento penale, nonché la conservazione nell’archivio digitale di cui agli articoli 269, comma 1, del codice di procedura penale e 89-bis del decreto legislativo 28 luglio 1989, n. 271, l’accessibilità ai medesimi dati e l’interoperabilità con i punti di rete allocati presso le procure della Repubblica”.

L’art. 2 dello schema di decreto è specificamente dedicato alla “individuazione e requisiti delle infrastrutture digitali interdistrettuali” e precisa che tali infrastrutture sono collocate in quattro data center del Ministero della Giustizia, ubicati nei capoluoghi dei distretti di Corte d’Appello di Milano, Napoli, Roma e Palermo (comma 1) e che l’archivio digitale delle intercettazioni, realizzato attraverso le infrastrutture digitali interdistrettuali, garantisce il rispetto dei requisiti di autenticità, integrità, sicurezza, riservatezza e accessibilità dei dati (comma 2). La titolarità dei data center in capo al Ministero della Giustizia, prevista dallo schema di decreto in disamina, al pari della relativa collocazione geografica, ovviamente non incide sulle competenze della singola Autorità giudiziaria, come da disposizioni di rango primario. Il comma 3 individua le misure necessarie ad assicurare i requisiti suindicati, disponendo che tutti i dati siano “cifrati e memorizzati in aree logiche distinte e segregate per ciascun ufficio, accessibili unicamente ai soggetti legittimati”.

L’art. 3 dispone: che i dati sono trasmessi dalla Procura della Repubblica che ha disposto le operazioni di intercettazione alle infrastrutture digitali interdistrettuali con modalità esclusivamente telematiche (comma 1); che i “file contenenti i dati relativi alle conversazioni e comunicazioni registrate sono cifrati e trasmessi tramite canale di comunicazione criptato” (comma 2); che i sistemi delle infrastrutture digitali interdistrettuali “frammentano i file ricevuti in blocchi distinti,

cifrati singolarmente per garantire la sicurezza dei dati e la resilienza, e li distribuiscono nei diversi apparati presenti in ciascuno dei data center” (comma 3).

L’art. 4 (fruizione dell’archivio digitale) prevede che il transito, la fruizione e l’eventuale copia temporanea dei dati conservati nell’archivio digitale sono assicurati dai sistemi informatici allocati presso le Procure della Repubblica (comma 1) e che la consultazione dei dati da parte dei soggetti indicati nell’articolo 89-bis, commi 3 e 4, d.lgs. n. 271/89, debba avvenire con modalità esclusivamente telematiche.

Tanto premesso, lo schema di decreto ministeriale costituisce la prima tappa del cammino verso la costruzione di un archivio digitale unico, la cui attivazione è prevista per il 1° marzo 2024.

In questo primo step, in vista della realizzazione dell’archivio unico, è stato previsto che i dati che in esso confluiranno siano “cifrati” – ovverosia “criptati”, in modo da non consentirne la leggibilità a prima vista – e “memorizzati in aree logiche distinte e segregate per ciascun ufficio”. Tali dati saranno quindi accessibili solo da parte dei soggetti legittimati secondo le regole ordinarie del codice di procedura penale e delle relative disposizioni attuative.

Con particolare riferimento alla fase della trasmissione dei dati da parte delle singole Procure, è stato previsto che detti dati siano contenuti in file anch’essi “cifrati” e inviati tramite canale di comunicazione criptato. Gli accorgimenti tecnici previsti sopra illustrati appaiono adeguati a soddisfare le esigenze di tutela della riservatezza e della sicurezza previste dal d.l. n. 105/23.

Gli accorgimenti tecnici previsti sopra illustrati appaiono adeguati a soddisfare le esigenze di tutela della riservatezza e della sicurezza previste dal d.l. n. 105/2023. Anche le modalità di archiviazione all’interno delle istituende infrastrutture digitali (cifratura del dato, memorizzazione in aree logiche distinte e segregate per ciascun ufficio e prefigurano meccanismi di conservazione e di accesso che sembrano parimenti idonee a garantire gli ulteriori requisiti indicati nel comma 2 dell’art. 2, schema di decreto.

Conclusivamente, lo schema di decreto ministeriale prospetta, in astratto, misure atte ad avviare la realizzazione del nuovo sistema di registrazione, memorizzazione e conservazione dei dati intercettati in linea con le previsioni dell’art. 2, d.l. n. 105/2023.

La concreta idoneità delle soluzioni prefigurate a raggiungere gli obiettivi perseguiti potrà essere meglio verificata nelle successive fasi d’implementazione del nuovo sistema, attraverso gli ulteriori decreti ministeriali sui quali il Consiglio sarà chiamato a rendere il proprio parere.