Intercettazioni telematiche e captatore informatico: quali limiti?

L'utilizzo del captatore informatico non può ritenersi escluso per le intercettazioni tra presenti che trovano luogo nei luoghi di privata dimora dove si stia svolgendo l'attività criminosa e deve ritenersi consentito per l'esecuzione di intercettazioni telematiche, ex art. 266-bis, c.p.p.

È onere del ricorrente precisare, in ossequio al principio di specificità delle impugnazioni, quali dei dati captati tramite un trojan possano ritenersi eventualmente colpiti dalla sanzione dell'inutilizzabilità e chiarirne l'incidenza sul complessivo compendio indiziario già valutato, sì da potersene inferire la decisività in riferimento al provvedimento impugnato.

La Suprema Corte ha rigettato i ricorsi avverso la conferma dell'applicazione della custodia cautelare in carcere nei confronti di due soggetti indagati per i reati di cui agli artt. 494, 615-ter, 617-quater e 617-quinquies c.p., accusato di avere posto in essere accessi abusivi alla casella di posta elettronica in uso ad uno studio legale dalla quale, inviando un messaggio di posta contenente in allegato un virus informatico, venivano realizzati atti idonei all'accesso abusivo ad sistema informatico contenente dati relativi alla sicurezza pubblica nel settore dell'aviazione civile e all'intercettazione delle comunicazioni telematiche al suo interno. Agli stessi venivano altresì contestati i reati di cui agli artt. 615-ter, 615-quatere 617-quinquies c.p., con riguardo a accesi abusivi a caselle di posta elettronica appartenenti a professionisti del settore giuridico ed economico, ad autorità politiche e militari di importanza strategica, nonché utilizzati dallo Stato e da altri enti pubblici, da cui, mediante installazione del predetto virus informatico, acquisivano notizie riservate o dati personali e sensibili.

La decisione indicata in epigrafe – pure inserita in una vicenda già oggetto di un particolare clamore mediatico – è destinata a assumere un particolare rilievo anche sul piano ermeneutico, essendo intervenuta immediatamente prima del provvedimento con il quale dovrà essere data attuazione alla delega in materia di intercettazioni (e di utilizzo dei captatori informatici, in particolare) contenuta nella l. 103/2017. Tra le questioni affrontate dalla Suprema Corte, spicca quello sull'inutilizzabilità dei risultati delle intercettazioni telematiche effettuate mediante captatore informatico (c.d. trojan). Secondo la difesa l'inutilizzabilità discenderebbe sia dai principi stabiliti delle Sezioni unite 26889/2016 che vietano, al di fuori dei procedimenti relativi a criminalità organizzata, tutte le intercettazioni mediante trojan se effettuate in luogo di privata dimora, quale nella specie l'uso del trojan nel computer fisso dell'indagato collocato nella sua abitazione, sia dal rilievo che nella specie non si sarebbe trattato di intercettazioni di flussi telematici ai sensi dell'art. 266-bis c.p.p. (e cioè di dati che in transito dal PC alla rete) ma di captazione in tempo reale di un flusso di dati intercorso su un determinato schermo o all'interno di un supporto; ciò avrebbe integrato non un'attività di intercettazione, ma di perquisizione/ispezione – e non una forma di prova atipica – con acquisizione (sequestro) della copia, o meglio della fotografia, di un documento statico (screenshot) che compare a video o è prelevato dal supporto.

La sentenza in oggetto in effetti prende espressamente in considerazione le indicazioni fornite dalla menzionata decisione delle Sezioni unite, che aveva escluso la possibilità di compiere intercettazioni nei luoghi indicati dall'art. 614 c.p., a mezzo di captatori informatici, al di fuori della disciplina derogatoria per la criminalità organizzata di cui all'art. 13 d.l. 152/1991, conv. in l. 203/1991. Per le Sez. unite non sarebbe possibile prevedere, all'atto dell'autorizzazione, i luoghi di privata dimora nei quali il dispositivo elettronico deve essere introdotto, con conseguente impossibilità di effettuare un adeguato controllo circa l'effettivo rispetto del presupposto, previsto dall'art. 266, comma 2, c.p.p., che in detto luogo si stia svolgendo l'attività criminosa. Un presupposto, quest'ultimo, non richiesto dall'art. 13 del d.l. 152/1991 (Cass.pen.Sez. unite,28 aprile 2016, n. 26889).

Sulla base delle indicazioni delle Sezioni unite della Suprema Corte si poteva pertanto ritenere che:

1. di regola, il decreto autorizzativo delle intercettazioni tra presenti deve contenere la specifica indicazione dell'ambiente nel quale la captazione deve avvenire solo quando si tratti di luoghi di privata dimora (in cui tali intercettazioni ambientali possono essere effettuate, in base alla disciplina codicistica, soltanto se vi è fondato motivo di ritenere che in essi si stia svolgendo l'attività criminosa);
2. per le intercettazioni tra presenti da espletare in luoghi diversi da quelli indicati dall'art. 614 c.p. (quali carceri, capanni adibiti alla custodia di attrezzi agricoli, luoghi pubblici e simili) è sufficiente che il decreto autorizzativo indichi il destinatario della captazione e la tipologia di ambienti dove la stessa va eseguita; l'intercettazione resta utilizzabile anche qualora venga effettuata in un altro luogo rientrante nella medesima categoria.

L'indicazione della delega contenuta nel l. 103/2017, tuttavia, non è sintonica rispetto a quella della Sezioni unite; il Legislatore ha stabilito che l'attivazione del dispositivo potrà sempre essere ammessa nel caso in cui si proceda per i delitti di cui all'articolo 51, commi 3-bis e 3-quater, c.p.p. e, fuori da tali casi, nei luoghi di cui all'articolo 614 del codice penale soltanto qualora ivi si stia svolgendo l'attività criminosa, nel rispetto dei requisiti di cui all'articolo 266, comma 1, c.p.p.

È stata così esclusa un'interpretazione “estensiva” del concetto di associazione per delinquere.

La decisione in commento assume una portata fortemente innovativa laddove, dopo aver precisato che l'arresto delle Sez. unite si riferisce, in via esclusiva, alle intercettazioni tra presenti, desuma da tale principio una nuova e interessante prospettiva; con riferimento al trojan, la Suprema Corte, afferma che «il supremo organo nomofilattico non solo non ha escluso la legittimità dell'uso di tale strumento captativo per le intercettazioni tra presenti nei luoghi di privata dimora dove si stia svolgendo l'attività criminosa ma, soprattutto, ed è ciò che qui rileva, non l'ha esclusa per le ulteriori forme di intercettazione, tra cui quelle telematiche ex art. 266-bis, cod. proc. pen.»

A supporto di tale argomento la Cassazione sottolinea il fatto che proprio la riforma in corso di attuazione ha a oggetto «soltanto la disciplina delle intercettazioni di comunicazioni o conversazioni 'tra presenti' mediante immissione di captatori informatici in dispositivi elettronici portatili, modalità all'evidenza ritenuta la più invasiva dal momento che tali ultimi dispositivi seguono gli spostamenti dell'utilizzatore con conseguente necessità di specifica tutela dei luoghi di privata dimora».

In questo senso, pertanto, il limite all'utilizzo del trojan horse posto dalle Sez. unite per le intercettazione tra presenti non potrebbe essere applicato alle captazioni effettuate nell'indagine oggetto del ricorso, ne, inoltre «sarebbe lecito trarre da quell'approdo giurisprudenziale un principio generale estensibile alle intercettazioni telematiche, che, a tacer d'altro, non sono intercettazioni caratterizzate dal doppio requisito di essere sia comunicative che tra presenti».

Come è noto, recita l'art. 266-bis c.p.p.: «Nei procedimenti relativi ai reati indicati nell'articolo 266, nonché a quelli commessi mediante l'impiego di tecnologie informatiche o telematiche, è consentita l'intercettazione del flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi».

Ora, siccome la delega di cui alla l. 103/2017 interviene in tema di utilizzo di captatori sulla sola disciplina dell'art. 266 c.p.p., a prescindere dai limiti che il Legislatore delegato dovrà porre in relazione alle intercettazioni tra presenti di cui all'art. 266 c.p.p., il principio della decisione in commento potrà costituire un'apertura di grande interesse investigativo sull'uso di tale strumento sotto un duplice profilo.

Da un lato, l'art. 266-bis c.p.p. non pone un limite alla possibilità di intercettare correlato a una tipologia di reato o alla pena edittale, quanto solo all'«l'impiego di tecnologie informatiche o telematiche»per commettere il reato. Se tale impiego si sostanzia in una modalità di comunicazione, la norma potrebbe assumere un ambito di applicazione eccezionalmente ampio: basti pensare, ad . es. alle truffe o alle diffamazioni online. Non solo, l'art. 266-bis c.p.p. parla di «flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi». Dunque non solo i flussi aventi a oggetto “scambi” comunicativi, ma anche quelli interni a un sistema telematico e informatico. Un sistema informatico senza connessioni telematiche non può comunicare con altri: se ne deve dedurre, sul piano logico, prima che tecnico, che si tratta dei flussi interni anche a un singolo p.c.

Sul tema occorre richiamare l'art. 1 della Convenzione europea di Budapest del 2001 – recepita con la l. 48/2008– che ha definito un sistema informatico come «qualsiasi apparecchiatura o gruppo di apparecchiature interconnesse o collegate, una o più delle quali, in base ad un programma, compiono l'elaborazione automatica dei dati».

Una prospettiva indubbiamente di grande impatto e non priva di criticità, laddove si consideri che è altamente verosimile che in molti casi l'utilizzo di un singolo PC potrebbe avvenire (anzi normalmente avviene) in luoghi di privata dimora. Potrebbe così determinarsi un pericoloso contrasto tra il dato letterale della norma, che non richiama per il 266-bis c.p.p. i limiti dall'art. 266, comma 2, c.p.p., e la tutela del domicilio di matrice costituzionale.

In realtà, la tesi proposta dalla decisione in commento si rifletta anche su un ulteriore e rilevante aspetto. Nei motivi di ricorso si afferma che l'attività di intercettazione non avrebbe avuto a oggetto flussi telematici ai sensi dell'art. 266-bis c.p.p. quanto la «captazione 'in tempo reale' di un 'flusso di dati intercorso su un determinato schermo o all'interno di un supporto', con la conseguenza che sarebbero state applicabili le norme sulla perquisizione e sul sequestro».

Si tratta di uno delle tematiche maggiormente discusse, nel settore, degli ultimi anni: con quali forme se sia possibile “acquisire” dati e informazioni presenti su un sistema a mazzo di un captatore con un atto “atipico” di ricerca della prova, ex art. 189 c.p.p. La Suprema Corte nel caso di specie non affronta direttamente la questione ma si limita a osservare che, come precisato dal provvedimento del tribunale della libertà oggetto di impugnazione si ricava che l'agente intrusore impiegato avrebbe captato, comunque, «anche un flusso di comunicazioni, richiedente un dialogo con altri soggetti, oltre a documentazione relativa ad un flusso unidirezionale di dati confinati all'interno dei circuiti del computer». Un presupposto che renderebbe inutile ricondurre l'attività di acquisizione dei dati presenti nell'hard disk del computer:

- alla categoria “intercettazione”, come ritenuto per i messaggi di posta elettronica, anche se già ricevuti o spediti dall'indagato e conservati nelle rispettive caselle di posta in entrata e in uscita, indipendentemente dal sistema intrusivo adottato dagli inquirenti, cioè tramite accesso diretto al computer o inserimento di un programma spia (Cass. pen., Sez. IV, 28 giugno 2016, n. 40903)

-alla categoria della prova atipica, allorché attraverso l'installazione di un captatore informatico, si proceda all'estrapolazione di dati, non aventi ad oggetto un flusso di comunicazioni, già formati e contenuti nella memoria del personal computer o che in futuro sarebbero stati memorizzati (come precisato da Cass. pen., Sez. V, 14 ottobre 2009, n. 16556)

- all'ambito operativo dei provvedimenti di perquisizione e sequestro.

La decisione non prende posizione sulla base di rilievo strettamente formale, sottolineando che sarebbe stato onere del ricorrente precisare, in ossequio al principio di specificità delle impugnazioni, quali dei dati captati tramite trojan fossero eventualmente colpiti dalla sanzione dell'inutilizzabilità, chiarendone altresì l'incidenza sul complessivo compendio indiziario già valutato, sì da potersene inferire la decisività in riferimento al provvedimento impugnato, applicando un principio generale già espresso dalle Sezioni unite (Cass.pen., Sez. unite, 23 aprile 2009, n. 23868).

Le soluzioni adottate dalla Suprema Cassazione sono tra quelle destinate a suscitare vivaci discussioni, a prescindere dalle scelte che il Legislatore ha posto in essere in essere in attuazione della delega di cui alla l. 103/2017. Non solo, come abbiamo già visto, per l'indicazione sul rapporto tra intercettazioni tra presenti e le intercettazioni informatiche e telematiche e sulla possibilità di riconoscere un'amplissima portata all'oggetto dell'ambito di queste ultime.

Il fatto di non aver chiaramente ricondotto l'utilizzo dei captatori a una delle tre possibilità sopra richiamate non consente di escludere che la questione dovrà essere riproposta e verosimilmente a breve; ciò in quanto difficilmente la nuova legge, visto l'oggetto della delega, interverrà su questo aspetto che, al contrario, verrà evidenziato quale momento di confronto per verificare la “tenuto” anche sul piano costituzionale dell'attività in oggetto.

Di certo sul punto la Suprema Corte non si è “ sbilanciata”, limitandosi, per così dire, a una ricognizione delle possibilità astratte. Resta, tuttavia, una notazione finale.

Esiste, fuori di ogni dubbio, una precisa gerarchia – sul piano della qualità delle garanzie – tra i mezzi di prova e/o di ricerca della prova. Garanzia che – almeno in astratti – inequivocabilmente, deve ritenersi ravvisabile nella sua massima estensione laddove la formazione della prova avvenga sotto il controllo e la supervisione, sin dalla fase delle indagini, di un organo giurisdizionale terzo.

Rispetto alla categoria della prova atipica o al richiamo ai decreti di perquisizione (o ispezione ) e del conseguente sequestro, rispetto ai quali la verifica di legittimità non può che essere rimessa, al più, alla verifica ex post avanti al tribunale della libertà, le intercettazioni ex art. 266-bis c.p.p. presentano l'indubitabile vantaggio di essere subordinate (fatti salvi i limitati casi di urgenza, comunque destinati ad essere valutati in sede di convalida) all'autorizzazione preventiva del Gip. Non è chiaro, pertanto, sotto quale profilo la scelta di procedere con intercettazione possa essere considerata in termini critici rispetto alle esigenze della difesa, atteso che si tratta dell'unico attività di ricerca della prova la cui esecuzione passa attraverso un preventivo vaglio giurisdizionale. Una garanzia che parrebbe ben compensare il “rinvio” temporale della conoscenza da parte della difesa (e dello stesso indagato) rispetto agli avvisi stabiliti dal codice di procedura a fronte delle attività di perquisizione, ispezione e sequestro.