Captatore informatico: utilizzabili anche le conversazioni intercettate all'estero

L'intercettazione di comunicazioni tra presenti eseguita in parte anche all'estero tramite captatore informatico installato nel territorio nazionale su utenze mobili collegate a gestori di telefonia italiana non richiede l'attivazione di una rogatoria internazionale.

Il Tribunale, in sede di riesame, confermava l'ordinanza con la quale il giudice per le indagini preliminari del Tribunale di Reggio Calabria aveva applicato all'indagato la misura della custodia cautelare in carcere per il reato di associazione per delinquere di tipo mafioso con l'aggravante del reato transnazionale. Il Tribunale, in particolare, disattesa l'eccezione di inutilizzabilità dei risultati delle intercettazioni compiute tramite captatore informatico installato in due telefoni cellullari, riteneva che fosse emersa una solida piattaforma indiziaria idonea a dimostrare che il predetto facesse parte di una cosca di ‘ndrangheta, operante in Calabria e in Canada, e che fosse legato ad uno dei vertici del sodalizio, in seguito assassinato.

Avverso questa sentenza, l'indagato ha proposto ricorso per Cassazione.

Egli ha dedotto, tra l'altro, l'inutilizzabilità degli esiti delle captazioni ambientaliperché sarebbero stati acquisiti in Canada in violazione degli obblighi di assistenza giudiziaria internazionale. Si tratterebbe, infatti, di dati registrati, immagazzinati, custoditi ed archiviati in territorio canadese a mezzo degli impianti di gestori canadesi con ausilio di "ponti telefonici" di quella nazione.

Più specificamente, secondo la prospettazione del ricorrente, i dialoghi, che riguardavano anche cittadini canadesi, erano stati registrati dal captatore informatico e, poi, scaricati e archiviati sul server per la memorizzazione tramite una rete wi-fi che si trovava su territorio straniero. I dispositivi mobili in cui si trovavano i trojan si collegavano ad una rete wi-fi a sua volta connessa alla rete internet su linea fissa esistente su suolo canadese. Le intercettazioni ambientali, registrate in territorio canadese, quindi, erano transitate per il territorio italiano solo dopo la captazione e la registrazione, sicché, in ossequio all'art. 727 c.p.p., l'Autorità giudiziaria italiana procedente avrebbe dovuto fare ricorso alla rogatoria internazionale.

Con un altro motivo, il ricorrente ha dedotto che i risultati delle intercettazioni erano inutilizzabili anche perché la registrazione delle conversazioni non era avvenuta nei locali della Procura della Repubblica ma in un cloud facente capo ad una società appaltatrice della strumentazione necessaria ai fini delle operazioni, in assenza di un effettivo controllo da parte della Procura.

Sono utilizzabili le conversazioni o le comunicazioni intercettate su territorio straniero tramite captatore informatico?

Una simile attività di ricerca della prova presuppone necessariamente il ricorso agli istituti di assistenza giudiziaria tra Stati?

1. La Corte di Cassazione ha rigettato entrambi i motivi di ricorso.

Il captatore informatico è stato inoculato in Italia sugli apparecchi telefonici in uso a due persone. Le utenze mobili, collegate ad un gestore telefonico italiano, sono state utilizzate nel periodo in esame sia in territorio italiano, sia in Canada.

Tanto premesso, la Corte ha osservato che il sistema di captazione non è costituito solamente dal captatore, cioè dal software (rectius, malware), che viene inserito nell'apparecchio, ma anche dalle piattaforme necessarie per il loro funzionamento, che ne consentono il controllo e la gestione da remoto e che ricevono i dati inviati dal captatore in relazione alle funzioni investigative attivate.

I dati raccolti, infatti, sono trasmessi, per mezzo della rete internet, in tempo reale o ad intervalli prestabiliti, ad altro sistema informatico in uso agli investigatori.

Nella specie, «i dati provenienti dal captatore informatico devono essere cifrati e devono transitare su un canale protetto sino al server della Procura che è il primo ed unico luogo di memorizzazione del dato. Ogni file è dunque cifrato e reca una password diversa rispetto a quella utilizzata per la memorizzazione sul server; ne consegue che ogni file per essere ascoltato deve essere decriptato».

Pertanto, la registrazione delle conversazioni tramite wi-fi sito in Canada ha costituito solo una fase intermedia di una più ampia attività di captazione iniziata sul territorio italiano ed oggetto registrazione, nella sua fase finale e conclusiva, sempre in Italia.

Al di là dei dettagli tecnici, comunque, «ciò che rileva è che, in ultima analisi, l'ascolto delle conversazioni avvenga in Italia su apparecchi collegati ad un gestore italiano e la cui captazione ha avuto origine sul territorio italiano». L'atto investigativo risulta, dunque, compiuto sul territorio italiano.

La procedura di cui all'art. 727 e ss. c.p.p. riguarda esclusivamente gli interventi da compiersi all'estero e che, quindi, richiedono l'esercizio della sovranità propria dello Stato estero.

Al contrario, non è ipotizzabile alcuna rogatoria per un'attività svolta in Italia, luogo nel quale il captatore è stato installato e le conversazioni sono state registrate. «La sola circostanza che le conversazioni siano state eseguite, in parte, all'estero e ivi "temporaneamente" registrate tramite wi-fi locale a causa dello spostamento del cellulare sul quale è stato inoculato il trojan non può implicare l'inutilizzabilità della intercettazione per difetto di rogatoria».

Appare applicabile alla fattispecie in esame il principio di diritto secondo cui l'intercettazione di comunicazioni tra presenti eseguita a bordo di una autovettura per mezzo di una microspia installata nel territorio nazionale, non richiede l'attivazione di una rogatoria per il solo fatto che il suddetto veicolo si sposti anche in territorio straniero ed ivi si svolgano alcune delle conversazioni intercettate (Cass. pen., Sez. II, 4 novembre 2016,n. 51034).

2. Secondo la Corte, poi, i giudici di merito hanno chiarito che, per l'esecuzione delle intercettazioni, sono stati utilizzate apparecchiature installate presso la Procura della Repubblica competente, con facoltà di ascolto da remoto presso gli uffici della polizia giudiziaria.

L'ausilio di soggetti privati, invece, trova il proprio fondamento nell'art. 268, comma 3, c.p.p., disposizione che richiede che le operazioni si svolgano sotto il diretto controllo degli inquirenti, ma non vieta l'utilizzazione di impianti e mezzi appartenenti a privati, né il ricorso all'eventuale ausilio tecnico ad opera di soggetti esterni che siano richiesti di intervenire per fronteggiare esigenze legate al corretto funzionamento delle apparecchiature noleggiate e che si trovano ad agire, in tale evenienza, come "longa manus" o ausiliari del pubblico ministero o della polizia giudiziaria (Cass. pen., Sez. I, 19 dicembre 2014,n. 3137).

1. La sentenza illustrata si segnala per la peculiare fattispecie, che pone in luce le enormi potenzialità del captatore informatico nelle indagini, piuttosto che per i principi applicati, che appaiono una estensione alle intercettazioni compiute tramite trojan di quanto già affermato dalla Suprema Corte in tema di captazioni tra presenti realizzate con le tradizionali microspie.

Sotto il primo profilo, va rilevato che, una volta inoculato il virus in uno smartphone, la capacità di registrare i dialoghi tra i presenti segue gli spostamenti dell'apparecchio. Di conseguenza non trova i limiti rappresentati dal territorio nazionale, ma si estende dovunque l'apparecchio sia portato.

Sul punto, nella decisione è stato evidenziato che il captatore informatico è per sua stessa natura uno strumento itinerante e lo spostamento in uno Stato estero è una sorta di naturale conseguenza del mezzo impiegato per realizzare le intercettazioni.

Del resto, il legislatore ha disciplinato nell'art. 266, comma 2, c.p.p. l'intercettazione di comunicazioni tra presenti «mediante l'inserimento di un captatore informatico su un dispositivo elettronico portatile».

È stato anche opportunamente evidenziato come l'intercettazione tramite captatore informatico sia una operazione complessa nella quale sono utilizzati software, installati tanto nello smartphone, quanto nel computer che riceve i dati, e hardware, rappresentati dallo stesso apparecchio cellullare, ma anche dal server che registra i dati trasmessi, per mezzo della rete internet.

Con molta enfasi, invero, nel ricorso e nella sentenza, è precisato che sarebbe intervenuta «la registrazione della conversazione tramite wi-fi sito in Canada».

Il wi-fi (acronimo che starebbe per Wireless Fidelity, anche se viene indicato talvolta come privo di senso compiuto) è solo la tecnologia che permette di connettere in rete uno o più dispositivi, come computer, smartphone, tablet, smart TV, console, senza utilizzare i cavi, sfruttando dunque le onde radio che vengono da un apparecchio in grado di generarle (il modem/router).

Per essere più precisi, il dispositivo di riferimento si collega ad internet grazie al segnale radio erogato dal modem/router che a sua volta è collegato tramite cavo alla rete fornita dal gestore telefonico di riferimento.

Nel caso di specie, dunque, il wi-fi ha verosimilmente costituito solo la tecnologia che ha permesso allo smartphone di collegarsi alla rete internet; non sembra che si possa sostenere che le conversazioni siano state «temporaneamente registrate tramite wi-fi locale». Pare piuttosto che i dialoghi intercettati dal captatore, tramite il wi-fi, prima, e la rete fornita dai gestori telefonici, poi, sono giunti al server della Procura, dove sono stati registrati.

Sul piano concreto, allora, la sentenza ha correttamente precisato che l'attività di captazione è iniziata in Italia (con l'installazione del malaware) e si è conclusa in Italia (con la registrazione dei dati nel server).

Le conversazioni registrate, inoltre, pur se avvenute all'estero, sono transitate anche su impalcature informatiche dei gestori telefonici site nel territorio italiano.

2. Sul piano giuridico, come è stato già rilevato, la sentenza ha esteso alle intercettazioni compiute tramite trojan principi elaborati in tema di intercettazione tra presenti realizzate con strumenti tradizionali.

È stato fatto riferimento, in particolare, all'indirizzo secondo cui l'intercettazione di comunicazioni tra presenti eseguita a bordo di una autovettura attraverso una microspia installata nel territorio nazionale, non richiede l'attivazione di una rogatoria per il solo fatto che il suddetto veicolo si sposti anche in territorio straniero ed ivi si svolgano alcune delle conversazioni intercettate (Cass.pen., Sez. II, 4 novembre 2016, n. 51034). L'alternativa, non potendosi, nel caso di intercettazione ambientale su mezzo mobile, conoscere tutti gli spostamenti della persona, sarebbe quella di vanificare le finalità del mezzo di ricerca della prova (Cass. pen., Sez. IV, 6 novembre 2007, n. 8588).

3. Più in generale, occorre rilevare che è frequente che, nel corso delle indagini vengano intercettate conversazioni o comunicazioni in cui uno degli interlocutori si trova all'estero ovvero ivi si trovi il dispositivo informatico captato.

Capita anche che siano intercettate conversazioni che si svolgono integralmente all'estero, ma che coinvolgono un dispositivo mobile italiano.

In questi casi, secondo l'indirizzo consolidato della Corte di Cassazione, per utilizzare i risultati delle captazioni non è necessario attivare un meccanismo di cooperazione giudiziaria internazionale.

L'intercettazione può legittimamente essere realizzata mediante la procedura dell'instradamento che permette di compiere la captazione nel momento in cui per la conversazione è impegnato un “nodo tecnologico” o una “centrale telefonica” che si trova in Italia. Detta procedura (ma, forse, sul piano tecnico sarebbe meglio utilizzare il termine roaming), quindi, non determina la violazione delle norme sulle rogatorie internazionali, perché la captazione e la registrazione delle conversazioni è interamente realizzata sul territorio italiano e non si verifica alcuna intrusione nella giurisdizione dello Stato estero, ove si trova uno degli interlocutori ovvero entrambi o il dispositivo captato ovvero ove si trova l'impalcatura informatica su cui sono transitati i dati registrati.

Il ricorso alla rogatoria, invece, è necessario solo per gli interventi da compiere integralmente all'estero ed anzi esclusivamente per l'intercettazione di conversazioni captate soltanto da una compagnia telefonica straniera che, di conseguenza, non sono “instradati” su nodi di comunicazione nazionali (Cass. pen., n. 7634/2014; Cass. pen., n. 9161/2015; Cass. pen., n. 10788/2016).

4. L'instradamento, anche sul piano strettamente descrittivo, rende manifesto come non si verifichi alcuna lesione della sovranità di altro Stato: il flusso comunicativo, ancorché avvenga in parte all'estero, viene carpito nel momento in cui entra nel nostro Stato.

Anzi, è stato affermato dalla Suprema Corte che, ritenendo necessario utilizzare meccanismi di cooperazione giudiziaria per realizzare questo genere di intercettazioni, si stravolgerebbe «il concetto stesso di rogatoria internazionale, in relazione al suo oggetto, non essendo concepibile una richiesta di assistenza giudiziaria ad uno Stato estero per un'attività interamente espletata nel territorio nazionale e senza che sia stata compiuta alcuna attività materiale invasiva della territorialità e, dunque, della sovranità di uno Stato estero, con la conseguenza che laddove una tale attività debba invece essere espletata in territorio straniero, solo allora sarà necessario ricorrere alla cooperazione giudiziaria. Ciò che dunque rileva non è la nazionalità dell'utenza da intercettare quanto se l'intercettazione sia compiuta o meno nel territorio italiano (Cass. pen., n. 9161/2015).

5. Alla figura dell'instradamento è stato fatto riferimento, di recente, dalla giurisprudenza per la captazione di messaggi tra apparecchi del tipo Blackberry. Al riguardo, è stata esclusa la necessità di esperire una rogatoria internazionale per carpire le conversazioni che utilizzano questi dispositivi allorquando l'attività di captazione del flusso comunicativo avviene in Italia, perché i telefoni sono localizzati nella nostra nazione o almeno uno di essi impiega un nodo interno per le comunicazioni (Cass. pen., Sez. VI,22 settembre 2015, n. 39925).

È stato affermato che, a nulla rileva, sul piano del rispetto della giurisdizione, il fatto che per decriptare i dati identificativi associati ai codici identificativi dell'apparecchio Blackberry (che si chiamano “pin”) sia indispensabile ricorrere alla collaborazione del produttore del sistema operativo avente sede all'estero per l'impiego dell'algoritmo necessario per la decifrazione dei flussi informatici (Cass. pen., Sez. IV, 15 ottobre 2019, n. 49896; Cass. pen., Sez. IV, 8 aprile 2016, n. 16670).

6. Secondo un indirizzo giurisprudenziale, inoltre, ai fini dell'individuazione della giurisdizione competente, non rileva il luogo dove sia in uso il relativo apparecchio e, dunque, dove si trova la persona che lo impiega, ma esclusivamente la nazionalità dell'utenza, essendo tali apparecchi soggetti alla regolamentazione tecnica e giuridica dello Stato cui appartiene l'ente gestore del servizio (Cass. pen.,Sez. I, 16 ottobre 2002, n. 37774; Cass. pen., Sez. IV, 07 giugno 2005, n. 35229). «Ciò significa che, se un apparecchio cellulare italiano si trova in territorio estero, ma il flusso comunicativo si registri in Italia e non all'estero, non rileva il luogo dove sia in uso il relativo apparecchio, bensì esclusivamente la nazionalità dell'utenza» (Cass. pen., n. 9161/2015).

Quest'impostazione giurisprudenziale ha suscitato perplessità in dottrina, perché ha condotto la Corte a ritenere legittima la captazione di conversazioni “estero su estero” nelle quali sia impegnata almeno un'utenza telefonica italiana. Si tratta di casi in cui la registrazione è possibile, come è stato evidenziato, senza attivare meccanismi di collaborazione internazionale solo perché, per una qualche ragione tecnica (per esempio per la contabilizzazione ed il pagamento dei servizi resi), le compagnie estere interessate procedono all'instradamento della comunicazione su una centrale tecnologica di comunicazione italiana.

Comunque, nella sentenza in commento è stato precisato che il captatore è stato inoculato in Italia, in un dispositivo collegato ad un gestore telefonico italiano.

7. Da quanto illustrato, emerge come la giurisprudenza abbia esteso, già prima dell'avvento del captatore, l'instradamento alla captazione dei flussi informatici,come per esempio quelli relativi ad una casella di posta elettronica allocata su un server estero.

La necessità di una rogatoria internazionale è esclusa perché il flusso informatico in entrata ed in uscita è captato, mediante il meccanismo descritto, sulle linee telefoniche in uso ad internet point ubicati in Italia (Cass.pen.,Sez. IV, 28 giugno 2016, n. 40903).

Si tratta di un'applicazione del principio in esame molto utile per le investigazioni, perché permette di superare gli eventuali ostacoli posti dai grandi gestori di servizi informatici, non sempre collaborativi con le forze dell'ordine, in quanto reputano la salvaguardia della riservatezza degli utenti un valore intrinseco ai servizi offerti.

Va aggiunto, inoltre, che sovente i sistemi informatici che gestiscono i servizi - dunque gli enormi server che servono a governare il traffico dati - sono allocati in Stati con cui è difficile instaurare relazioni rapide ed efficaci di cooperazione giudiziaria.

8. Il caso in esame non sembra molto diverso da quelli descritti.

Le conversazioni sono transitare su reti informatiche nazionali, tanto che sono state registrate dai server della Procura della Repubblica.

Il fatto che tale transito sia stato “provocato” dal programma informatico inoculato nello smartphone che si trovava all'estero e non, come avviene per le intercettazioni telefoniche, determinato dalle stesse regole di funzionamento della telefonia internazionale, non sembra in grado di mutare i termini della questione.

Ciò che conta, ai fini del rispetto delle regole di collaborazione internazionale, è solo che le operazioni di registrazione siano state realizzate in Italia.

9. L'orientamento giurisprudenziale in esame, invero, pare destinato ad evolversi, in ambito euro-unitario, per effetto del recepimento di normative europee.

Con il d.lgs. 5 aprile 2017, n. 52, infatti, sono state emanate le norme di attuazione della Convenzione relativa all'assistenza giudiziaria in materia penale tra gli Stati membri dell'Unione europea del 29 maggio 2000 (meglio nota come “Convenzione di Bruxelles del 2000”).

Poi, con il d.lgs. 21 giugno 2017, n. 108, è stata recepita la direttiva 2014/41/UE relativa all'ordine europeo d'indagine (OEI), introducendo nell'ordinamento uno strumento di assistenza giudiziaria in materia penale che mira a facilitare la procedura transnazionale di raccolta delle prove. L'ordine europeo d'indagine è un provvedimento emesso in forma scritta da un'autorità giudiziaria nazionale e diretto all'autorità giudiziaria di altro Stato membro dell'Unione al fine del compimento di uno o più atti specificamente disciplinati dalla direttiva.

Il decreto legislativo disciplina anche l'assistenza giudiziaria in materia di intercettazioni, in attuazione degli artt. 30 e 31 della direttiva 2014/41/UE del Parlamento Europeo e del Consiglio. In particolare, agli artt. 23 e 24 è regolata la procedura “passiva”, mentre agli artt. 43 e 44 quella “attiva”. In entrambi i casi, si distingue il caso in cui l'intercettazione necessita dell'assistenza tecnica dell'autorità giudiziaria di un altro Stato membro, da quello in cui il mezzo di ricerca della prova è stato disposto senza il ricorso a detta collaborazione.

Le nuove norme mettono in discussione il principio giurisprudenziale assolutamente consolidato dapprima illustrato, in quanto, in ambito europeo, sembrano prevedono l'obbligo di ricorrere all'assistenza giudiziaria internazionale non solo quando è necessario per ragioni tecniche, ma anche quando la persona intercettata o il dispositivo controllato si trova in altro Stato dell'Unione.

L'art. 43, comma 3, del d.lgs. n. 108 del 2017, in particolare, prevede che il pubblico ministero è tenuto a disporre l'immediata cessazione delle operazioni di intercettazione quando l'autorità giudiziaria dello Stato membro, ricevuta l'informazione di cui ai commi precedenti, comunica che non possono essere proseguite. «I risultati dell'intercettazione possono comunque essere utilizzati, ma alle condizioni stabilite dall'autorità giudiziaria dello Stato membro». Deve ritenersi, pertanto, che quando l'autorità giudiziaria dello Stato membro si limita a disporre che le intercettazioni non possano essere proseguite, i risultati di quelle già compiute sono inutilizzabili.

Le nuove norme, dunque, almeno in ambito euro-unitario, sembrano comportare il superamento del principio dell'instradamento (e di quello della nazionalità dell'utenza) ed il recupero della giurisdizione dello Stato nel quale si trova la persona intercettata o il dispositivo captato.

In dottrina sul tema toccato nell'ultima parte del presente contributo si veda:

R.G. Grassia, La disciplina delle intercettazioni: l'incidenza della direttiva 2014/41/UE sulla normativa italiana ed europea, in T. Bene, L. Lupària, L. Marafioti (a cura di), L'ordine europeo d'indagine, Torino, 2016, p. 199;

T. Bene, Trasnazionalità dei crimini nella società confessionale: i pericoli della tecnologia e del diritto, in Giur. it., 2016, 3, p. 717.