Sistemi informatici di controllo e riservatezza. Una proposta di regolamentazione del captatore informatico

È indubbia l'utilità pratica che rivestono i sistemi informatici di controllo remoto nell'ambito delle indagini preliminari: «[...] essi consentono più che un potenziamento, un recupero dell''efficacia perduta o compromessa delle tecniche tradizionali» (NELLO ROSSI - BALSAMO).

Se, da un lato, «è legittimo nutrire preoccupazioni per le accresciute potenzialità scrutatrici ed acquisitive dei virus informatici, suscettibili di ledere riservatezza, dignità e libertà delle persone», dall'altro lato «è del pari legittimo ricordare che solo siffatti strumenti sono oggi in grado di penetrare canali “criminali” di comunicazione o di scambio di informazioni utilizzati per la commissione di gravissimi reati contro le persone» (NELLO ROSSI - BALSAMO).

D'altronde, il progresso tecnico-scientifico e, purtroppo, il suo utilizzo per fini illeciti esigono una adeguata risposta da parte degli inquirenti che, per rimanere al passo con i tempi, devono agire con strumenti idonei al mutato contesto sociale.

In questo settore, tuttavia, è particolarmente sentita l'esigenza di una sinergia tra informatica e diritto: compito del diritto è quello di aggiornare, attraverso l'evoluzione legislativa e giurisprudenziale, le tradizionali categorie concettuali in modo da non lasciare i singoli sprovvisti di tutela.

Ebbene, a fronte della ineluttabile esigenza della prassi di ricorrere, sempre più frequentemente, all'uso di strumenti di indagine ad alto contenuto tecnologico, si possono ipotizzare le seguenti,

alternative, risposte dell'ordinamento:

1. silenzio-inerzia del Legislatore e contestuale supplenza pretoria, sia favorevole che contraria all'utilizzo dello strumento;
2. intervento normativo in chiave preventiva o repressiva.

La prima soluzione è tutt'altro che originale nel nostro sistema. Due esempi su tutti: l'acquisizione dei tabulati di traffico telefonico, prima dell'entrata in vigore del codice della privacy; il tema delle videoriprese, ancora oggi disciplinato dal diritto vivente.

La seconda soluzione merita accoglimento: le innovazioni tecnologiche sono uno strumento importante per la lotta alla criminalità, uno strumento che tuttavia appare essere particolarmente invasivo dei diritti fondamentali della persona; pur nel rispetto del loro nucleo essenziale, tali diritti sono limitabili in un'ottica di bilanciamento con le altrettanto fondamentali esigenze di contrasto alla criminalità. Ebbene, noi siamo persuasi che, in un processo penale di stampo accusatorio, lontano da quella onnivora fame di conoscenza che caratterizzava il precedente sistema inquisitorio e che purtroppo a volte riemerge in talune pronunce della giurisprudenza, il bilanciamento tra tutela dei diritti fondamentali ed esigenze investigative di accertamento del fatto criminoso deve realizzato dal Legislatore quale autentico interprete del rapporto, difficile ma non per questo procrastinabile, tra tutela individuale e difesa sociale.

In questo quadro è evidente che l'aggiornamento normativo dovrebbe essere tecnologicamente neutro, perché le riforme legislative non possono stare al passo con l'evoluzione tecnologica. Il rischio, evidente, è che normative troppo di dettaglio sfocino in una facile quanto scontata obsolescenza.

In una prospettiva de iure condendo, le soluzioni prospettabili sono sostanzialmente due: una muove da una logica di prevenzione, l'altra ha una ratio repressiva.

Attribuire al captatore informatico un ruolo di strumento di prevenzione significa individuarne la sede di tipizzazione nelle disposizioni di attuazione del codice di rito, così come avviene oggi

per le intercettazioni preventive previste dall'art. 226 disp. att. (MARINELLI, 56; GARUTI, 1457).

Coerentemente con tale scelta, la disciplina dovrebbe essere simile a quella prevista per queste ultime, così come modificata dall'art. 5, comma 1, del d.l. 18 ottobre 2001, n. 374, convertito nella legge 15dicembre 2001, n. 438. In particolare, la richiesta di autorizzare captazioni preventive dovrebbe spettare ad organi dell'esecutivo: Ministero dell'Interno e, su sua delega, questore e comandanti provinciali dei Carabinieri e della Guardia di Finanza (art. 12 d.l. 13 maggio 1991, n. 152, conv. con modif. l. 12 luglio 1991, n. 203), ma anche Presidente del Consiglio dei Ministri, con facoltà di delega ai direttori delle Agenzie facenti capo al Sistema di informazione per la sicurezza della Repubblica. L'autorizzazione dovrebbe essere di competenza del Procuratore della Repubblica presso il tribunale del distretto in cui si trova il soggetto da sottoporre a controllo o, nell'ipotesi in cui questi non sia localizzabile, del distretto in cui sono emerse le esigenze di prevenzione. Le operazioni autorizzate dovrebbero consistere nel monitoraggio e nell'acquisizione a distanza dei dati digitali immagazzinati sui dispositivi in uso ai soggetti per i quali si rende necessaria l'attività preventiva.

Ovviamente, tale attività di intelligence dovrebbe essere giustificata solo per la prevenzione di delitti di grave allarme sociale e di criminalità organizzata, rispettivamente elencati negli artt. 407, comma 2, lett. a) e 51, commi 3-bis e 3-quater, c.p.p. Lo standard probatorio utile ai fini di una corretta motivazione del provvedimento autorizzativo dell'autorità giudiziaria non sembrerebbe comunque poter fare a meno di sufficienti elementi investigativi che consentano di qualificare come “necessaria”, in concreto, l'attività di prevenzione. Ultimo, ma non certo per importanza, aspetto da considerare è quello relativo ai risultati di questi invasivi strumenti di prevenzione, i quali non dovrebbero mai avere valenza probatoria ma solo funzione investigativa (al fine di orientare le indagini).

Sennonché, fare del captatore uno strumento di pubblica sicurezza volto a impedire, in una prospettiva ex ante, la perpetrazione di illeciti penali non sembra essere la soluzione migliore per risolvere il problema del vuoto di disciplina positiva che attualmente esiste con riferimento a questo tipo di strumento investigativo. Ed infatti, si ripresenterebbero anche per le “captazioni itineranti” gli stessi dubbi, peraltro mai sopiti, di legittimità costituzionale che caratterizzano le intercettazioni e i controlli preventivi sulle comunicazioni di cui all'art. 226-bis disp. att. c.p.p. (MARINELLI, 56). Inoltre, nell'ambito di un eventuale processo penale avviato all'esito di tali invasive attività diventerebbe difficile nella prassi applicativa escludere l'effettivo utilizzo delle informazioni acquisite per fini di prevenzione.

Per questi motivi, l'opzione più convincente, sempre in una prospettiva de iure condendo, sembra essere quella di inserire i sistemi informatici di controllo remoto tra i mezzi di ricerca della prova, con una funzione repressiva, dunque, di reati già commessi o il cui iter criminis sia in corso di svolgimento.

Nel fare ciò, tuttavia, a livello di tecnica normativa appare opportuno distinguere tra e intercettazioni (tramite captatore) e perquisizioni (da remoto).

Nel codice di rito esiste già una dettagliata previsione dei casi e dei modi che devono essere rispettati al fine di conferire legittimità alle intercettazioni di conversazioni o comunicazioni. Quindi, un eventuale intervento di modifica avrebbe solo il compito di interpolare il diritto esistente al fine di realizzare un più equo bilanciamento dei beni giuridici tutelati quando viene impiegato, per fini intercettativi, uno strumento ad alto contenuto tecnologico dalla inedita potenzialità intrusiva qual è il captatore informatico.

Ciononostante, un intervento di modifica in questo ambito appare quanto mai opportuno alla luce del recente arresto giurisprudenziale delle Sezioni unite della Cassazione, mediante il quale ancora una volta la Suprema Corte ha dimostrato di voler interpretare con estrema e forse troppa disinvoltura uno dei concetti chiave della c.d. procedura penale differenziata, ossia la nozione di criminalità organizzata.

Con riferimento alle c.d. intercettazioni ambientali, il binario processuale “preferenziale” che caratterizza i delitti di criminalità organizzata deve essere necessariamente ristretto: quando vengono in gioco diritti fondamentali dell'individuo, uno dei canoni imprescindibili nella interpretazione delle norme positive che in qualche modo comprimono tali diritti dovrebbe essere quello della interpretazione restrittiva.

Nel tentare di aggiornare il diritto positivo, si è tenuto conto dei principi direttivi contenuti nella c.d. Riforma Orlando (legge 103/2017), cercando di realizzare un articolato normativo coerente con le scelte fatte in quella sede.

In particolare, a mente dell'art. 1, commi 82 e 84, della legge 103/2017, «Il Governo è delegato ad adottare decreti legislativi per la riforma della disciplina in materia di intercettazione di conversazioni o comunicazioni […]. Nell'esercizio della delega […] i decreti legislativi recanti modifiche alla disciplina del processo penale, per i profili di seguito indicati, sono adottati nel rispetto dei seguenti princìpi e criteri direttivi: [omissis] e) disciplinare le intercettazioni di comunicazioni o conversazioni tra presenti mediante immissione di captatori informatici in dispositivi elettronici portatili, prevedendo che:

1. l'attivazione del microfono avvenga solo in conseguenza di apposito comando inviato da remoto e non con il solo inserimento del captatore informatico, nel rispetto dei limiti stabiliti nel decreto autorizzativo del giudice;
2. la registrazione audio venga avviata dalla polizia giudiziaria o dal personale incaricato ai sensi dell'articolo 348, comma 4, delcodice di procedura penale, su indicazione della polizia giudiziaria operante tenuta che è tenuta a indicare l'ora di inizio e fine della registrazione, secondo circostanze da attestare nel verbale descrittivo delle modalità di effettuazione delle operazioni di cui all'articolo 268 del medesimo codice;
3. l'attivazione del dispositivo sia sempre ammessa nel caso in cui si proceda per i delitti di cui all'articolo 51, commi 3-bis e 3-quater, del codice di procedura penale e, fuori da tali casi, nei luoghi di cui all'articolo 614 del codice penale soltanto qualora ivi si stia svolgendo l'attività criminosa, nel rispetto dei requisiti di cui all'articolo 266, comma 1, del codice di procedura penale; in ogni caso il decreto autorizzativo del giudice deve indicare le ragioni per le quali tale specifica modalità di intercettazione sia necessaria per lo svolgimento delle indagini;
4. il trasferimento delle registrazioni sia effettuato soltanto verso il server della procura così da garantire originalità ed integrità delle registrazioni; al termine della registrazione il captatore informatico venga disattivato e reso definitivamente inutilizzabile su indicazione del personale di polizia giudiziaria operante;
5. siano utilizzati soltanto programmi informatici conformi a requisiti tecnici stabiliti con decreto ministeriale da emanarsi entro 30 giorni dalla data di entrata in vigore dei decreti legislativi di cui al comma 1, che tenga costantemente conto dell'evoluzione tecnica al fine di garantire che tale programma si limiti ad effettuare le operazioni espressamente disposte secondo standard idonei di affidabilità tecnica, di sicurezza e di efficacia;
6. fermi restando i poteri del giudice nei casi ordinari, ove ricorrano concreti casi di urgenza, il pubblico ministero possa disporre le intercettazioni di cui alla presente lettera, limitatamente ai delitti di cui all'articolo 51, commi 3-bis e 3-quater del codice diprocedura penale, con successiva convalida del giudice entro il termine massimo di quarantotto ore, sempre che il decreto d'urgenza dia conto delle specifiche situazioni di fatto che rendano impossibile la richiesta al giudice e delle ragioni per le quali tale specifica modalità di intercettazione sia necessaria per lo svolgimento delle indagini;
7. i risultati intercettativi così ottenuti possano essere utilizzati a fini di prova soltanto dei reati oggetto del provvedimento autorizzativo e possano essere utilizzati in procedimenti diversi a condizione che siano indispensabili non possano essere in alcun modo conoscibili, divulgabili e pubblicabili i risultati di intercettazioni che abbiano coinvolto occasionalmente soggetti estranei ai fatti per cui si procede; [omissis] ».

Innanzitutto, occorre precisare l'ambito di ammissibilità delle intercettazioni di conversazioni tra presenti realizzabili mediante captatore informatico, nel rispetto di quel fondamentale principio di proporzionalità che sempre deve sussistere tra esigenze di difesa sociale (e connesse necessità investigative) e libertà fondamentali dei singoli (fra le quali, evidentemente, la libertà e la segretezza delle comunicazioni).
Nel farlo, tuttavia, onde evitare contraddizioni, è necessario partire dal quadro normativo esistente. Di regola (quando si procede per uno dei reati di cui all'art. 266, comma 1, c.p.p.) le intercettazioni di conversazioni tra presenti nel domicilio privato (art. 614 c.p.) sono consentite soltanto laddove vi sia il fondato motivo di ritenere che nel domicilio medesimo si stia svolgendo l'attività criminosa (art. 266, comma 2, c.p.p.). La fondamentale eccezione a questa regola probatoria è prevista nei procedimenti relativi a delitti di criminalità organizzata o ad essa equiparati (che, secondo l'ampia accezione di tale concetto fatta propria dalla giurisprudenza di legittimità, sono non solo quelli elencati nell'art. 51, commi 3-bis e 3-quater, c.p.p. ma anche quelli comunque facenti capo a un'associazione per delinquere, con la sola esclusione del mero concorso di persone nel reato. Si veda, da ultimo, Cass. pen., Sez. un., 28 aprile 2016, n. 26889, Scurato): in tal caso, le intercettazioni c.d. ambientali nel domicilio privato sono consentite anche se non vi è motivo di ritenere che ivi si stia svolgendo l'attività criminosa (art. 13 del d.l. 152 del 1991).

Ebbene, il criterio direttivo indicato sub 3) aggiungerebbe a tale ricostruzione una eccezione nell'eccezione, che si verifica quando l'autorità giudiziaria procedente realizza le intercettazioni ambientali mediante captatore informatico: in questo caso, infatti, la deroga all'art. 266, comma 2, c.p.p. non riguarda più l'insieme relativamente ampio dei reati di criminalità organizzata, bensì il sottoinsieme assai più ristretto dei delitti di cui all'art. 51, comma 3-bise comma 3-quater, c.p.p.

In altre parole, secondo quanto previsto dalla legge delega, la maggiore o minore ampiezza d'uso dell'intercettazione ambientale nei luoghi domiciliari dipenderebbe dal tipo di tecnica utilizzata: a nprescindere dal fondato motivo di ritenere che in tali luoghi si stia svolgendo l'attività criminosa, l'intercettazione mediante captatore informatico è consentita solo ed esclusivamente laddove si proceda per i più gravi reati di criminalità organizzata di tipo mafioso o terroristico; viceversa, l'intercettazione mediante altri strumenti rimane possibile sol che si proceda per un qualsiasi reato di criminalità organizzata. La motivazione di tale distinzione, molto probabilmente, è da ricercare nella preoccupante capacità invasiva dello strumento di indagine in argomento, finalmente avvertita anche a livello legislativo.

Pur apprezzando il tentativo del Legislatore di limitare l'impiego dei captatori informatici ai fenomeni di criminalità organizzata più pericolosi, quali quelli di tipo mafioso o terroristico, tale opzione appare fin troppo restrittiva. Beninteso, si condivide la scelta di escludere la possibilità del ricorso a tali strumenti qualora si proceda nei confronti di una qualunque associazione criminale riconducibile alla fattispecie delineata dall'art. 416 c.p. Tuttavia, bisogna ammettere che esistono delitti, non necessariamente realizzabili in forma associativa o in contesti di criminalità organizzata, che, a causa della loro gravità, non dovrebbero rimanere fuori dall'ambito applicativo di questo straordinario strumento di indagine.

Il riferimento, qui, è ai reati previsti dall'art. 407, comma 2, lett. a).

Di seguito la novella normativa proposta:

All'art. 266 del codice di procedura penale, dopo il comma 2 è aggiunto il seguente:

comma 2-bis:

« L'intercettazione di comunicazioni o conversazioni tra presenti mediante programmi o strumenti informatici è sempre consentita nei procedimenti relativi ai delitti indicati negli articoli 407, comma 2, lett. a) e 51, commi 3-bis e 3-quater ».

I criteri direttivi sub 1) e sub 2) impongono che l'attivazione del microfono avvenga solo in conseguenza di apposito comando inviato da remoto (si prevede che tale comando, il quale comporta la registrazione audio delle conversazioni tra presenti, possa essere dato sia dalla

polizia giudiziaria sia dal personale incaricato ai sensi dell'art. 348, comma 4, c.p.p.) e non con il solo inserimento del captatore informatico. Inoltre, si prevede che la polizia giudiziaria sia tenuta a indicare l'ora di inizio e fine della registrazione nel verbale descrittivo delle modalità esecutive di cui all'art. 268 c.p.p. Non è ammesso, dunque, un monitoraggio continuo ed indiscriminato del soggetto che ha la disponibilità del dispositivo digitale “infettato”, ma solo un controllo mirato, giustificato ed opportunamente documentato.

Inoltre (criterio direttivo sub 4), a tutela della originalità e dell'integrità delle registrazioni si indica la necessità che il trasferimento delle stesse avvenga soltanto verso il server della Procura e che, al termine della registrazione, il captatore venga disattivato su indicazione della polizia giudiziaria operante.

Per essere definiti legali i captatori devono obbligatoriamente rispettare i requisiti tecnici previsti in apposito decreto ministeriale, da emanarsi nel termine di trenta giorni dall'entrata in vigore del decreto delegato (principio sub 5). Questa precisazione è finalizzata a garantire affidabilità tecnica, sicurezza ed efficacia degli strumenti ad alto contenuto tecnologico utilizzati nel corso delle indagini. L'unica perplessità deriva dal rischio di precoce obsolescenza del decreto ministeriale “tecnico”, con la conseguenza che si mostra necessario un tempestivo e continuo aggiornamento delle regole, onde evitare uno svuotamento di tutela.

Di seguito, alla luce della legge delega, l'interpolazione normativa ipotizzata.

Nell'art. 268 del codice di procedura penale, alla fine del comma 3-bis sono inserite le seguenti parole:

« Quando si procede a intercettazione di comunicazioni o conversazioni tra presenti mediante immissione di captatori informatici in dispositivi elettronici portatili, sono sempre utilizzati programmi informatici conformi ai requisiti tecnici stabiliti con decreto del Ministro della Giustizia, di concerto con il Ministro dell'Interno, che tenga costantemente conto dell'evoluzione tecnica al fine di garantire che tali programmi si limitino ad effettuare le operazioni espressamente disposte secondo standard idonei di affidabilità tecnica, di sicurezza e di efficacia ».

All'art. 268 del codice di procedura penale è aggiunto il seguente: comma 3-ter:

« Nei casi previsti dal comma 3 dell'art. 266, l'intercettazione è avviata dalla polizia giudiziaria o dal personale incaricato ai sensi dell'articolo 348, comma 4, del codice di procedura penale, su indicazione della polizia giudiziaria operante tenuta a indicare l'ora di inizio e fine della registrazione. In tali casi, il trasferimento delle registrazioni è effettuato verso il server della Procura in modo tale da garantire originalità ed integrità delle registrazioni Al termine della registrazione il captatore informatico è disattivato e reso definitivamente inutilizzabile su indicazione del personale di polizia giudiziaria operante ».

Infine, a tutela della riservatezza di soggetti estranei ai fatti per cui si procede, è posto il divieto di divulgazione e pubblicazione dei risultati delle intercettazioni effettuate mediante captatore.

All'art. 269 del codice di procedura penale è aggiunto il seguente:

comma 4:

«Non possano in alcun modo essere resi conoscibili, divulgati o pubblicati i risultati di intercettazioni che abbiano coinvolto occasionalmente soggetti estranei ai fatti per i quali si procede».

Quanto, invece, alla regolamentazione delle perquisizioni online realizzabili mediante captatore informatico, il discorso cambia nettamente.

Si crede che la soluzione migliore per disciplinare le perquisizioni da remoto consista nell'introdurre nel codice di rito un nuovo mezzo di ricerca della prova ad hoc, distinto e separato da quelli già tipizzati. Ciò consentirebbe di valorizzare appieno le differenze tra nuovi e vecchi strumenti di indagine, realizzando un più equo (e attualizzato) bilanciamento tra i beni giuridici oggetto di tutela.

Nel dettaglio, una ipotetica regolamentazione dovrebbe contenere i seguenti indefettibili elementi:

a) definizione dell'istituto e delimitazione del “perimetro d'uso”, ossia specificazione tassativa dei delitti per i quali è ammissibile il ricorso allo strumento investigativo con conseguente esclusione del suo utilizzo in tutti gli altri casi;

b) individuazione dei requisiti probatori che devono essere soddisfatti per innescare il potere investigativo e precisazione dell'obiettivo degli investigatori;

c) disciplina dell'esecuzione materiale e tracciamento dell'attività di monitoraggio;

d) disciplina delle modalità tecniche di acquisizione e di conservazione dei dati, eliminazione del rischio di opacità che caratterizza i sistemi informatici di controllo remoto e previsione di un divieto espresso di “persistenza” del virus;

e) regime di utilizzabilità.

Un elementare principio di proporzionalità, di matrice costituzionale (CARTABIA), la cui valenza è trasversale all'interno del codice di procedura penale, impone la seguente riflessione: non è più tollerabile uno scenario, come quello attuale, in cui l'utilizzo dei sistemi informatici di controllo remoto prescinde dalla esigenza investigativa di accertare reati particolarmente gravi, idonei a mettere a rischio beni giuridici costituzionalmente rilevanti di una certa importanza.

Ed allora, risolvere il problema del perimetro d'uso significa innanzitutto circoscrivere, attraverso criteri qualitativi più che quantitativi, le tipologie di delitti per la repressione dei quali è utilizzabile il virus di Stato, in ossequio al fondamentale canone di legalità processuale desumibile, per il nostro ordinamento, dall'art. 111, comma 1, Cost. (MAZZA).

Come abbiamo già avuto modo di vedere, il captatore informatico consente di ottenerne una vera e propria “profilazione” dell'utente. La sua capacità intrusiva nella sfera privata e personale dell'individuo è tale, per certi versi, da superare la stessa invasività delle intercettazioni (telefoniche, telematiche o ambientali che siano). Infatti, attraverso queste ultime gli investigatori sono in grado di carpire informazioni sì riservate, ma non tali da non essere condivise con qualcuno, visto che esse sono fuoriuscite dalla sfera personale del soggetto per sua libera scelta (nel senso che questi, comunque, ha deciso volontariamente di condividere l'informazione con una o più persone mediante un qualsiasi mezzo di comunicazione). Viceversa, nel caso del captatore perquirente l'informazione viene appresa quando ancora si trova nella esclusiva disponibilità del soggetto, a prescindere dal fatto che questi intenda o meno comunicare con altri.

Per tale motivo, con riferimento alle c.d. perquisizioni on line è necessario restringere l'ambito di ammissibilità che deve essere quindi diverso rispetto a quello che legittima il ricorso al captatore per fini di intercettazione.

Di seguito, l'articolato normativo proposto:

Dopo il Capo IV del Titolo III del Libro III del codice di procedura penale è inserito il seguente:

« Capo IV-bis Programmi informatici per l'osservazione e l'acquisizione da remoto di sistemi informatici o telematici e dei dati e delle informazioni in essi contenuti

Art. 271-bis (Limiti di ammissibilità)

1. La captazione telematica occulta di dati e di informazioni digitali di carattere non comunicativo è consentita esclusivamente nei procedimenti relativi ai delitti indicati negli articoli 51, comma 3-bis e 3-quater.

2. Per captazione telematica occulta si intende la ricerca e l'acquisizione, totale o parziale, da remoto, del contenuto digitale di un sistema informatico o telematico connesso alla rete Internet, nonché l'osservazione, a distanza, delle operazioni svolte dall'utente attraverso tale sistema».

I requisiti probatori sono rappresentati dai presupposti al sussistere dei quali l'autorità inquirente è legittimata a ricorrere al captatore informatico: gravità indiziaria o sufficienti indizi? Di reato o di reità? Assoluta indispensabilità del mezzo o mera necessità ai fini della prosecuzione delle indagini? Tali opzioni, ovviamente, non sono indifferenti e rappresentano vere e proprie scelte di politica criminale.

Con specifico riferimento al mezzo di ricerca della prova “captatore informatico”, noi siamo convinti che si debba far ricorso ai più garantisti gravi indizi, riferiti tuttavia alla sussistenza di uno dei reati previsti tassativamente dalla legge e non alla colpevolezza di una determinata persona. Ciò consente, infatti, di sfruttare l'enorme potenzialità investigativa dello strumento anche quando mancano elementi tali da far ipotizzare la responsabilità penale di qualcuno e proprio allo scopo di individuare e confermare tale responsabilità.

Nell'apprezzamento dei gravi indizi di reato, appare opportuno un rinvio espresso alle regole in materia di valutazione della prova e di segreto d'ufficio ed a quelle che disciplinano l'utilizzabilità processuale delle testimonianze indirette e delle dichiarazioni confidenziali degli informatori di polizia.

Sempre sotto un profilo probatorio, si ritiene opportuno che la captazione a distanza debba essere assolutamente indispensabile ai fini della prosecuzione delle indagini, circostanza che si verifica quando la prova non possa essere acquisita con mezzi diversi.

Ovviamente, l'obiettivo dell'intrusione investigativa deve essere il più possibile precisato, perché una cosa è sottoporre a monitoraggio il dispositivo in uso all'indagato, ben altra cosa è controllare i dispositivi digitali di terzi: si deve spiegare qual è il collegamento tra il terzo, apparentemente estraneo al reato, e la fattispecie di reato per cui si procede.

Ulteriore tema da affrontare attiene alla necessità di poter limitare tecnicamente le potenziali utilizzazioni dello strumento de quo, al fine di consentirne un utilizzo mirato allo scopo dichiarato dagli inquirenti ed autorizzato dall'autorità giudiziaria che procede.

Ciò renderebbe coerente la motivazione del provvedimento autorizzativo con i risultati attraverso esso ottenibili.

Di seguito, la proposta normativa:

« Art. 271-ter (Presupposti e forme del provvedimento) 1. Il pubblico ministero richiede al giudice che procede l'autorizzazione a disporre le operazioni previste dal comma 2 dell'art. 271-bis. A pena di inammissibilità, tale richiesta deve contenere l'individuazione del dispositivo oggetto di captazione e l'identità della persona che ne ha la disponibilità, a condizione che tali dati

siano noti, nonché l'esposizione dettagliata delle ragioni che giustificano la assoluta indispensabilità della misura ai fini della prosecuzione delle indagini. La richiesta deve altresì specificare la concreta

relazione tra la persona sottoposta alle indagini ed eventuali terzi lesi dal provvedimento.

2. Il giudice autorizza la misura con decreto motivato quando vi sono gravi indizi di reato e la captazione è assolutamente indispensabile ai fini della prosecuzione delle indagini. Nella valutazione dei gravi indizi di reato si applicano le disposizioni degli articoli 192, commi 2, 3 e 4, 195, comma 7, 203 e 201, comma 1. Le operazioni previste dal comma 1 possono essere autorizzate soltanto quando ogni altro mezzo di ricerca della prova risulti inadeguato [...] ».

Così come avviene per le intercettazioni, anche per la captazione occulta a distanza di dati in formato digitale occorre, dopo l'autorizzazione del giudice, un decreto esecutivo del pubblico ministero mediante il quale regolare in dettaglio le modalità esecutive e la durata delle operazioni.

Il tracciamento delle attività, invece, è indispensabile per stabilire i ruoli e responsabilizzare, di conseguenza, tutti gli operatori coinvolti nel monitoraggio, siano essi ufficiali o agenti di polizia giudiziaria, piuttosto che ausiliari o consulenti del pubblico ministero. A tale scopo, dovrebbe essere utilizzato un registro cronologico degli accessi al dispositivo e dovrebbe essere sempre garantita una supervisione delle attività svolte ad opera del dirigente del servizio.

« Art. 271-ter (Presupposti e forme del provvedimento)

[...]

3. Una volta ottenuta l'autorizzazione, il pubblico ministero dispone con decreto l'esecuzione della misura specificando:

a) l'identità della persona sottoposta a monitoraggio, ove nota;

b) i computer, i dispositivi mobili, gli strumenti informatici o anche parte di essi, gli strumenti di memorizzazione di massa o i database, i dati o gli altri contenuti digitali che sono oggetto del provvedimento;

c) la durata delle operazioni di captazione, che non può superare i quaranta giorni, ma che può essere prorogata dal giudice con decreto motivato, su richiesta del pubblico ministero, per periodi

successivi di venti giorni, qualora permangano i presupposti indicati nel comma 2;

d) le modalità esecutive di accesso remoto e di captazione dei dati e dei file ritenuti rilevanti ai fini delle indagini, nonché i programmi e gli strumenti informatici che saranno utilizzati, i quali dovranno limitarsi

ad effettuare le operazioni espressamente disposte secondo standard idonei di affidabilità tecnica, di sicurezza e di efficacia;

e) gli ufficiali di polizia giudiziaria delegati all'esecuzione del provvedimento;

f) l'autorizzazione per fare e conservare copie dei dati informatici acquisiti;

g) i provvedimenti richiesti per preservare l'integrità di tutti i dati acquisiti e conservati.

4. Alle operazioni di captazione procede il pubblico ministero, personalmente o delegando ufficiali di polizia giudiziaria, i quali si possono avvalere dell'ausilio di personale tecnico specializzato. Si applicano le disposizioni previste dall'art. 348, comma 4.

5. In apposito registro riservato tenuto nell'ufficio del pubblico ministero sono annotati, secondo un ordine cronologico, i decreti che autorizzano, dispongono e prorogano le operazioni di captazione e, per ciascuna captazione, l'inizio e il termine delle operazioni.

6. Nei casi di urgenza, quando sussistono specifiche ed inderogabili esigenze attinenti alle indagini relative ai fatti per i quali si procede, in relazione a situazioni di concreto ed attuale pericolo per l'acquisizione o la genuinità della prova, il pubblico ministero dispone la captazione con decreto motivato che va comunicato immediatamente e comunque non oltre le quarantotto ore al giudice indicato nel comma 2. Il giudice, entro quarantotto ore dal provvedimento, decide sulla convalida con decreto motivato. Se il decreto

del pubblico ministero non viene convalidato nel termine stabilito, la captazione non può essere proseguita e i risultati di essa non possono essere utilizzati ».

'esecuzione e la raccolta dei dati dovrebbe essere sempre effettuata adottando «le misure tecniche» e «le prescrizioni necessarie ad assicurare la conservazione e ad impedire l'alterazione e l'accesso», sollecitando, « ove possibile », la « loro immediata duplicazione su adeguati supporti, mediante una procedura che assicuri la conformità della copia all'originale e la sua immodificabilità».

L'opacità del funzionamento dei sistemi informatici di controllo remoto deriva dalla mancanza di regole in tale specifico settore. Il far west tecnologico si può e si deve evitare imponendo trasparenza,

mediante la previsione di requisiti tecnici minimi ai quali i captatori informatici devono conformarsi ed attraverso un adeguato sistema di certificazione delle aziende che producono questo tipo di strumenti,

le quali dovrebbero rispondere a prefissati standard qualitativi ed essere trasparenti dal punto di vista societario.

Infine, occorre rilevare che in genere i sistemi di controllo remoto non vengono disinstallati al termine delle operazioni di monitoraggio: questo comporta un vulnus al dispositivo monitorato in termini di sicurezza futura dei dati in esso contenuti ed è quindi da evitare con una previsione in tal senso, la cui violazione dovrebbe essere adeguatamente sanzionata.

«Art. 271-quater (Esecuzione delle operazioni)

1. I dati informatici captati ai sensi dell'art. 271-bis sono acquisiti e conservati con modalità tali da assicurare l'integrità e l'immodificabilità dei dati raccolti, nonché la loro conformità agli originali.

Delle operazioni è sempre redatto verbale dettagliato che contiene l'elenco cronologico degli accessi al sistema con la specifica indicazione dell'operatore che ha effettuato l'accesso, nonché della data e

dell'ora di inizio e di fine attività.

2. Le operazioni possono essere compiute, alternativamente o cumulativamente, per mezzo degli impianti installati nella procura della Repubblica, mediante impianti di pubblico servizio o in dotazione alla

polizia giudiziaria, ovvero mediante impianti appartenenti a privati.

3. Al termine delle operazioni i sistemi informatici di controllo remoto sono disinstallati con una procedura che garantisca un livello di sicurezza dei dispositivi monitorati almeno uguale a quello esistente

prima della esecuzione della misura.

4. Si applicano le disposizioni contenute nei commi 4, 5, 6, 7 e 8 dell'art. 268, salvo incompatibilità».

« Art. 271-quinquies (Conservazione delle informazioni)

1. I verbali e i supporti contenenti le informazioni captate sono custoditi, in apposito archivio riservato, presso l'ufficio del pubblico ministero che ha disposto le operazioni, ovvero in altro luogo idoneo a preservare la genuinità e la immodificabilità dei risultati acquisiti, individuato con decreto motivato del pubblico ministero.

2. Si applicano le disposizioni contenute nei commi 2 e 3 dell'art. 269 ».

In chiusura, vi è la necessità di prevedere ipotesi di inutilizzabilità espresse qualora le attività di on line search vengano realizzate in spregio delle garanzie previste a mente della novella normativa in commento.

«Art. 271-sexies (Divieti di utilizzazione) 1. I risultati delle operazioni di captazione non possono essere utilizzati qualora le stesse siano state eseguite fuori dei casi consentiti dalla legge o qualora non siano state osservate le disposizioni previste dal presente capo».

La vexata quaestio della prova informatica nel processo penale esige un approccio metodologico che si sottragga agli opposti estremi del rifiuto e dell'esaltazione. Tale scelta è inevitabile: quando parliamo dell'innovazione tecnologica avviata sotto i binari del progresso informatico facciamo riferimento non soltanto ad una evoluzione di tipo tecnologico, ma anche e soprattutto ad una evoluzione di tipo culturale.

L'innovazione tecnologico-informatica incide sul vivere quotidiano di tutti noi. Tale forma di progresso non innesta elementi di novità esclusivamente nell'ambito del processo penale (e, per quanto più ci riguarda, dell'accertamento giudiziario), ma muta il nostro modo di essere, il modo di relazionarci con gli altri, il vissuto quotidiano: si tratta di una innovazione che ha ampliato la proiezione individuale di ciascuno di noi.

Oggi, bisogna fare i conti con il fatto che accanto al corpo fisico vi è un corpo elettronico (RODOTÀ). Il problema è che quest'ultimo è caratterizzato da connotati totalmente differenti rispetto al primo, ossia il corpo per la tutela del quale sono state create quelle categorie giuridiche e sono stati ideati quei diritti fondamentali che probabilmente oggi non si prestano più a gestire in modo adeguato l'innovazione.

Ebbene, questa difficoltà di gestire l'innovazione con la tradizione non si riflette soltanto sui diritti che vengono impattati dall'evoluzione tecnologica, ma anche sui modelli attraverso i quali tale evoluzione può essere applicata al processo penale.

La tecnologia rafforza la criminalità e la sua mutevole capacità distruttiva. È pertanto inevitabile che si registri una reazione da parte dell'ordinamento. Criminalità più forte implica parallelamente indagini più penetranti e più insidiose: si tratta di una reazione inesorabile alla quale nessun sistema può sottrarsi.

Un dato, tuttavia, ci preme sottolineare: la criminalità, per quanto cruenta, non potrà mai di per sé abbattere direttamente uno Stato di diritto, ma potrà costringerlo all'autodistruzione nel momento in cui la democrazia, per combattere la criminalità, abdicherà rinunciando ai suoi pilastri fondamentali. Quindi, lotta della democrazia contro le organizzazioni criminali, ma soprattutto lotta della democrazia contro se stessa e contro le proprie pulsioni all'autodistruzione. Ebbene, non esiste lotta più difficile di quella in cui il nemico è rappresentato da noi stessi.

Nelle indagini informatiche, la tradizionale tensione tra esigenze di garanzia individuali ed esigenze di difesa sociale appare in tutta la sua intensità: la promiscuità dei dati, l'impossibilità tecnica di un accesso selettivo al sistema informatico, il rischio semprepresente che queste indagini si trasformino in attività esplorative, lo spazio informatico ontologicamente globale e refrattario a qualsiasi limitazione nazionale fanno delle investigazioni informatiche la forma di indagine più insidiosa che esista.

[…] Quella del bilanciamento è una metafora tranquillizzante che, tuttavia, rischia di rappresentare solamente una comoda via di fuga teorica senza ulteriori precisazioni. Troppo facile, infatti, sostenere la soluzione dal punto di vista astratto e generico: realizzare un giusto equilibrio tra esigenze di repressione e diritti fondamentali significa trovare il punto mediano in cui i due piatti della bilancia stanno sullo stesso livello.

Ma in concreto, dovendo intervenire, come si ottiene tale bilanciamento?

Probabilmente si può e si deve sostituire la parola bilanciamento con la parola eccezione: la limitazione ai diritti fondamentali deve rappresentare l'eccezione a favore di comprovate e rilevanti esigenze di prevenzione e di repressione dei reati.

La caratteristica fondamentale del principio di proporzionalità è la stretta necessità: ciò significa che le limitazioni dei diritti fondamentali devono essere assolutamente eccezionali, proprie di singole situazioni concrete e di singole emergenze. Il pericolo maggiore non è rinunciare al singolo diritto fondamentale in una singola situazione eccezionale e temporanea, ma dimenticare il diritto fondamentale. Compito del bilanciamento proporzionale è quello di evitare che ciò avvenga.

Quindi, al fine di acquisire dati utili all'accertamento processuale – e nei limiti in cui, anche sotto un profilo tecnico, ciò sia possibile – è necessario limitarsi ad effettuare le attività tipiche previste dall'ordinamento (VASSALLI). L'attività atipica deve invece essere in linea con i principi fondamentali del sistema, così come estrapolabili dal codice di rito e, prima ancora, dalla Costituzione.

«C'è un mondo giuridico da riadattare alle tecnologie della sicurezza. E chi ritiene che nell'era delle stragi per strada sia un lusso, forse trascura che questi strumenti di controllo delle comunicazioni, e quindi dell'identità profonda delle persone, sono un po' come gli spiriti della lampada: una volta che [...] siano usciti dalla lampada per entrare da padroni nei telefoni e computer delle persone, non si sa più se e quando i loro Aladino securitari saranno disposti a farceli rientrare» (FERRARRELLA).

Trattp da Il captatore informatico

CARTABIA, Il principio di ragionevolezza nella giurisprudenza della Corte costituzionale, contributo alla Conferenza trilaterale delle Corte costituzionali italiana, portoghese e spagnola svoltasi in Roma, Palazzo della Consulta, 24-26 ottobre 2013, consultabile a cortecostituzionale.it;

FERRARRELLA, Tecnologia per la sicurezza, ma tuteliamo anche la privacy, in Corriere della Sera, 9 dicembre 2017;

GARUTI, Le intercettazioni preventive nella lotta al terrorismo internazionale, in Dir. pen. proc., 2005;

NELLO ROSSI - BALSAMO, Memoria per la Camera di Consiglio delle Sezioni Unite del 28 aprile 2016, in questionegiustizia.it;
MARINELLI, Intercettazioni processuali e nuovi mezzi di ricerca della prova, Torino, 2007;

MAZZA, I diritti fondamentali dell'individuo come limite della prova nella fase di ricerca e in sede di assunzione, in Dir. pen. cont., n. 3, 2013, p. 4.

RODOTÀ, Una scommessa impegnativa sul terreno dei nuovi diritti, nel Discorso del presidente del garante per la protezione dei dati personali tenuto l'8 maggio 2001 alla presentazione della relazione per il 2001;

VASSALLI, La protezione della sfera della personalità nell'era della tecnica, in AA.VV. Studi in onore di Emilio Betti, vol. V, Milano, 1962, 684