Compatibilità fra intercettazioni registrate con server di società esterne e la nuova disciplina dell'archivio riservato

Sono utilizzabili le intercettazioni registrate con server gestiti da società esterna di servizi? Tale sistema è compatibile con la nuova disciplina dell'archivio riservato del P.M. introdotta dal d.lgs. 29 dicembre 2017, n. 216?

La questione della legittimità delle captazioni operate attraverso il sistema M.C.R. o altro, con server forniti in locazione da società di servizi esterna, ricorre frequentemente nella prassi giudiziaria.

Tale sistema prevede, tra l'altro, la fornitura di un server, installato presso la procura della Repubblica, nel quale confluiscono i flussi di ascolto delle captazioni - istradati mediante remotizzazione presso la polizia giudiziaria delegata per l'esecuzione delle intercettazioni - al fine di assicurare il controllo sulla registrazione e conservazione delle captazioni. Al soggetto fornitore, tenuto alla manutenzione del sistema e degli apparati concessi in locazione, il sistema consente lo svolgimento dei servizi di assistenza a distanza, su richiesta dalle Procure sui propri server per la manutenzione ordinaria o per specifici guasti.

Il sistema M.C.R. prevede, in particolare, che il server della procura della Repubblica sia in permanente collegamento con il server base della società fornitrice nel corso delle attività di intercettazione, al fine di assicurare il tempestivo intervento in caso di guasto e la necessaria continuità delle operazioni, così evitando il pericolo di perdita dei dati del sistema.

Tale possibilità, sia pur remota, concessa dal sistema ha portato a prospettare la violazione degli artt. 267 e 268 c.p.p., in quanto si è sostenuto che tutta l'attività di registrazione mediante il sistema M.C.R. avvenga in contemporanea anche presso il server della sede della società fornitrice, e perciò ineluttabilmente prima della registrazione presso gli impianti della procura della Repubblica.

Nella specie, la paventata illegittimità delle intercettazioni, nelle frequenti eccezioni delle difese, è ancor più ineludibile atteso che il sistema digitale di Area s.p.a., per come strutturato, non consente di ritenere che la primaria e unica attività di registrazione delle captazioni fosse stata effettuata presso la Procura della Repubblica, circostanza decisiva per la ritualità dell'attività di ascolto.

La questione si incentra sull'utilizzo non esclusivo degli impianti (server) di registrazione della Procura, ritenendosi illecita la possibilità di duplicazione della registrazione sugli impianti della ditta fornitrice del servizio.

Secondo un recente indirizzo giurisprudenziale, privo di voci dissenzienti «la (eventuale) duplicazione della registrazione (una presso il server della Procura e un'altra sugli impianti della ditta Area s.p.a.) non comporta per ciò solo l'illiceità dell'attività di intercettazione, poiché quello che rileva è la registrazione incontrovertibile presso il server della Procura» (Cass. pen., n. 5782/2018).

Si osserva, in particolare, che «In tema di captazione di flussi comunicativi, la condizione necessaria per l'utilizzabilità delle intercettazioni è che l'attività di registrazione sia avvenuta nei locali della Procura della Repubblica mediante l'utilizzo di impianti ivi esistenti, mentre l'ascolto può avvenire "in remoto" presso gli uffici della polizia giudiziaria, senza che, in questo caso, sia necessaria l'autorizzazione prevista dall'art. 268, comma 3, c.p.p., in quanto le intercettazioni non possono essere considerate come eseguite per mezzo di impianti esterni all'ufficio requirente» (Cass. pen., n. 6846/2015; Cass. pen., Sez. unite, n. 36359/2008).

Ciò che risulta essenziale è la garanzia di controllo sull'accesso alle registrazioni originali nel server della Procura, in quanto la previsione dell'art. 267 c.p.p. secondo cui «il pubblico ministero procede alle operazioni personalmente ovvero avvalendosi di un ufficiale di polizia giudiziaria", si riferisce unicamente alle operazioni previste dal precedente art. 266; ne consegue che la cosiddetta "masterizzazione" dei dati delle conversazioni registrate può legittimamente essere svolta da soggetti diversi dagli ufficiali di polizia giudiziaria, trattandosi di operazione estranea a quella letterale di "registrazione", la cui esecuzione da parte di personale civile non pregiudica le garanzie della difesa, alla quale è sempre consentito l'accesso alle registrazioni originali» (Cass. pen., n. 3307/2017).

In realtà, l'utilizzo del server e degli impianti per la registrazione delle captazioni forniti dalla Area s.p.a. investe la più attuale e spinosa questione della compatibilità delle attuali modalità operative del sistema di archiviazione e back up dei dati inerenti lo svolgimento dell'attività di intercettazione mediante impianti oggetto di fornitura esterna, con la nuova disciplina dell'archivio riservato, istituto introdotto dal d.lgs. 29 dicembre 2017, n. 216. L'art. 269, comma 1, c.p.p., nel testo rinnovato dal d.lgs. 216/2017 e l'art. 89-bis disp. att. c.p.p. disciplinano, in particolare, la funzionalità dell'archivio riservato del P.M. e il potere di vigilanza sulla conservazione dei dati, informazioni e registrazioni in esso depositate, in ragione della riconosciuta facoltà di accesso delle difese alle stesse.

Nella specie, il rinnovato art. 269, comma 1, c.p.p. prevede che tutti i verbali delle operazioni di intercettazione, le registrazioni e ogni altro atto ad esse relativo, ivi compresi i decreti e le annotazioni di polizia giudiziaria, ai sensi dell'art. 268, comma 4, c.p.p., sono conservati integralmente nell'archivio riservato istituito presso l'ufficio del pubblico ministero che ha richiesto la captazione. Tali atti devono, infatti, essere trasmessi al pubblico ministero, immediatamente dopo la scadenza del termine delle operazioni, il quale ne cura la conservazione nell'archivio riservato. Si tratta di atti per definizione coperti da segreto, di cui è vietata, ex art. 114, comma 1, c.p.p., la pubblicazione, anche parziale o per riassunto (del suo contenuto), con il mezzo della stampa o con altro mezzo di diffusione.

La ratio della nuova disciplina è quella di assicurare la corretta conservazione delle intercettazioni in uno spazio “riservato” di archivio per tutta la durata delle operazioni, onde impedire una indebita diffusione. A fine sono state previste specifiche limitazioni di accesso delle parti e delle difese a tale spazio di archivio.

Deve evidenziarsi che appare più corretto parlare di “spazio di archivio riservato” poiché, al di là degli atti autorizza tori, dei verbali e delle annotazioni della polizia giudiziaria, i dati delle captazioni e le registrazioni sono processati in formato digitale e destinati ad un server, la cui memoria costituisce il vero spazio di archivio riservato.

Allo stato, come riportano autorevoli organi di stampa, nessuno dei 140 uffici di procura ha provveduto ad allestire l'archivio riservato dove destinare e custodire le registrazioni.

In attesa delle necessarie ed opportune indicazioni ministeriali circa le prassi operative per la creazione di tale spazio riservato di archivio (strutture, impianti, server, postazioni da destinare al servizio di archiviazione dei dati segreti ed a quello funzionale all'accesso dei soggetti legittimati) nonché delle conseguenti disposizioni organizzative delle procure della Repubblica, occorre evidenziare che l'attuale sistema, che consente, se non la eventuale parallela destinazione della captazione al server della azienda fornitrice del servizio, l'accesso da remoto ai dati ed informazioni custoditi nell'archivio riservato, sia pure a soli fini di eseguire i servizi di manutenzione e riparazione, pone fondati dubbi sulla sua compatibilità con il disposto affidamento in esclusiva alla suddetta autorità giudiziaria della vigilanza sull'archivio riservato e sulla gestione delle attività che involgono il trattamento dei dati ivi conservati.

A tacer delle segnalate carenze di dotazione di strutture ed ambienti per la riproduzione e l'ascolto “sorvegliato” delle registrazioni, è stato osservato che la possibilità della creazione di un archivio parallelo presso il soggetto fornitore, tecnicamente consentita dall'attuale sistema M.C.R., sia pure al solo fine di garantire il funzionamento degli impianti e la continuità dell'attività, non è in grado di impedire un potenziale illecito trattamento dei dati delle intercettazioni e, per tale via, un sostanziale aggiramento delle garanzie di verifica degli accessi ai dati custoditi nell'archivio riservato.

Tale criticità potrebbe essere superata solo attraverso la (estremamente onerosa) dotazione degli uffici di procura di server dedicati in via esclusiva ad archivio riservato delle intercettazioni. In alternativa, la registrazione dei dati delle captazioni in via esclusiva sui server installati presso l'ufficio giudiziario procedente, con conseguente esclusione in radice della possibilità, sia pur remota di destinazione del flusso delle captazioni nel server centralizzato della ditta fornitrice, può essere salvaguardata attraverso la creazione di un limitato livello di accesso (una sorta di “maschera superficiale”) alle sole funzioni del sistema – e non al dato custodito - per la gestione delle operazioni di manutenzione, anche da remoto, che competono al fornitore del servizio.

Da ultimo, giova evidenziare che la scelta del Legislatore delegato di istituire un archivio riservato in ambito giudiziario, con le evidenziate difficoltà organizzative che tale opzione comporta, non è condivisa dalle prassi instaurate dalle autorità giudiziarie di altri Paesi europei.

Fatto salvo il generale affidamento al procuratore della Repubblica del potere di vigilanza sul trattamento e conservazione (oltre che distruzione) delle informazioni e le registrazioni delle captazioni, ad esempio, nell'ordinamento tedesco, la conservazione di tali dati riservati è ordinariamente rimessa al fornitore dei servizi di telecomunicazione. Analogamente nell'ordinamento spagnolo, ove le decisioni del Tribunal Constituciónal o del Tribunal Supremo individuano in capo ai fornitori dei servizi di telecomunicazioni uno specifico obbligo di conservazione dei dati del traffico telefonico monitorato, per un periodo di sei mesi.