Prove reati: utilizzabili le chat intercettate e decriptate nel WEB

Intercettazioni telefoniche: utilizzabili le conversazioni su chat poi decriptate all'estero

1. Inquadramento normativo 

L'art. 266 c.p.p. prevede, tra i mezzi di ricerca della prova, la ammissibilità delle "intercettazioni telefoniche" per procedimenti relativi a reati ritenuti più gravi.

Di recente la legge 15 ottobre 2013 n. 119 ha previsto la possibilità di effettuare intercettazioni telefoniche anche per il reato di cui all'art. 612 bis c.p., ossia il reato di atti persecutori.

La successiva norma dell'art. 266 bis c.p.p. (introdotto dalla legge n. 547del 1993 in tema di criminalità informatica), ha previsto la intercettazione del flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi.

La procedura prevista dal codice per effettuare le intercettazioni prevede la richiesta di autorizzazione del PM indirizzata al GIP.

Il Giudice delle Indagini Preliminari, autorizza con decreto motivato, quando ricorrono gravi indizi di colpevolezza e l'intercettazione è assolutamente indispensabile ai fini della prosecuzione delle indagini.

Il Pubblico Ministero procede alle operazioni personalmente ovvero avvalendosi di un ufficiale di polizia giudiziaria.

Le operazioni possono essere compiute esclusivamente per mezzo degli impianti installati nella Procura della Repubblica.

Tuttavia, quando tali impianti risultano insufficienti o inidonei ed esistono eccezionali ragioni di urgenza il pubblico ministero può disporre con provvedimento motivato, il compimento delle operazioni mediante impianti di pubblico servizio o qualora non siano state osservate le disposizioni previste dagli articoli 267 e 268 commi 1 e 3.

2. Il caso particolare: intercettazioni di chat su sistemi che prevedono la decriptazione dei dati su un server estero

Le chat dei dispositivi telefonici BalckBerry applicano un particolare dispositivo di decriptazione della messaggistica.

Il sistema BlackBerry, infatti, prevede che il meccanismo di decriptazione dei dati trasmessi via cellulare si svolga all'estero presso uno dei server della RIM BlackBerry Canada cui il messaggio proveniente dall'utente viene inoltrato via internet dall'operatore telefonico italiano.

Nel corso di un procedimento penale il GIP aveva, con decreto, autorizzato le intercettazioni dei flussi di comunicazioni svolte su una chat con il sistema BlackBerry.

Tale meccanismo ha indotto le difese degli imputati intercettati, ad eccepire la utilizzabilità di tali dati che in pratica vengono decriptati e quindi resi accessibili dopo l'invio, in automatico, ad un server estero.

Pertanto si eccepiva la extra giudizialità italiana e, quindi, la necessità di una preventiva rogatoria estera ai sensi dell'art. 727 c.p.p., nonché l'illegittimo utilizzo, senza la necessaria specifica autorizzazione, di locali esterni a quelli della Procura della Repubblica procedente.

L'assunto, quindi, della modificazione del dato contenuto nel flusso di comunicazioni, mediante la decriptazione eseguita all'estero è stato posto all'attenzione della Suprema Corte di Cassazione.

3. La Giurisprudenza della Cassazione sulla intercettazione di "chat" anche non contestuali

La Cassazione ha, innanzitutto, chiarito che la captazione di un flusso di comunicazioni in corso è cosa diversa dall'acquisizione "ex post" del dato conservato nella memoria degli apparecchi telefonici che documenta flussi già avvenuti, come avviene per i messaggi "whats app" e gli "SMS".

Nel primo caso si applica la normativa degli artt. 266 e seguenti c.p.p., nel secondo caso quella prevista dall'art. 254 c.p.p. che prevede il sequestro di dati informatici.

La Cassazione SS.UU (n. 36359/2008) ha poi chiarito che l'attività di intercettazione si compone di 4 fasi aventi ognuna autonoma e diversa rilevanza sul piano giuridico e cioè: captazione, registrazione, ascolto e verbalizzazione.

E pertanto, la captazione viene effettuata presso l'operatore telefonico che devia il dato, per la registrazione e l'ascolto, presso gli uffici della Procura.

La registrazione prevede la immissione dei dati captati in una memoria informatica centralizzata (server) e tale operazione deve, a pena di nullità, essere eseguita nei locali della Procura della Repubblica.

L'ascolto e la verbalizzazione vengono effettuati presso gli uffici della procura e quindi valutati dal PM e, successivamente, messi a disposizione delle altre parti.

La stessa sentenza Cassazione SS.UU: n 36359 del 26.6.2008 ha stabilito che "è necessario procedere alla integrale registrazione delle conversazioni al fine di evitare il rischio di possibili manipolazioni della prova assicurando la piena corrispondenza tra quanto detto, quanto ascoltato e quanto verbalizzato".

4. Il flusso di comunicazioni in chat del sistema BlackBerry e la soluzione adottata dalla Cassazione

La messaggistica scambiata con il sistema BlackBerry è particolare.

Infatti, il messaggio partito dal dispositivo Black Berry di un utente in Italia, munito di codice identificativo (IMEI) e di codice PIN (che essendo impresso all'interno del telefono non è scambiabile né utilizzabile) viene diretto ad altro dispositivo BlackBerry attraverso il sistema pin to pin (ossia la comunicazione non può essere effettuata se non si conosce anche il PIN dell'interlocutore destinatario).

Il dato viene acquisito dall'operatore telefonico italiano che gestisce la carta SIM e lo trasmette attraverso SIM al Web utilizzando un canale cifrato end to end, dal terminale al server della RIM BlackBerry Canada che a sua volta lo trasmette alla Black Berry RIM Canada che essendo unica depositaria della chiave necessaria alla c.d. "messa in chiaro", decifra il contenuto e lo rinvia decriptato, al destinatario finale.

La Corte di Cassazione ha poi esaminato il caso specifico di un terminale intercettato sul suolo italiano e sul quale si era diretta l'attività di captazione: in tal caso il decreto di intercettazione telematica per un certo IMEI o PIN era stato emesso regolarmente e la gestrice aveva comunicato la sua disponibilità a condizione che il terminale si trovasse sul suolo italiano e che fosse dotato di una SIM italiana.

Verificata la ricorrenza di tali condizioni la BlackBerry ha, di volta in volta, estratto i contenuti relativi ai servizi del terminale di interesse e li ha inviati sul server della Procura della Repubblica richiedente.

Le istanze difensive erano volte a far ritenere  che la operazione di flusso delle comunicazioni dall'Italia al Canada, non fosse inquadrabile nella disciplina delle intercettazioni in quanto necessitava della sottoposizione al regime delle rogatorie internazionali  ed inoltre che, comunque, era stata effettuata al di fuori dei locali della Procura procedente la quale sola è deputata alla registrazione dei dati, eccezion fatta per i casi di insufficienza, inidoneità degli impianti o di eccezionali ragioni di urgenza.

La Cassazione, sezione III penale con sentenza n. 14725/2020 depositata il 13 maggio 2020 ha superato entrambe le obiezioni, asserendo:
"Nessun rilievo riveste la circostanza che il relativo server fosse ubicato in Canada, considerato che l'algoritmo attraverso il quale veniva effettuata la decodificazione fa parte di un'unica rete interconnessa elettricamente con segnali che, viaggiando alla velocità della luce, non hanno distanza fisicamente quantificabile. Il mondo…OMISSIS..., quale che sia il luogo di accesso, il Canada, come il Regno Unito o gli Stati Uniti o l'Italia, è una rete globale che non ha geografia, al cui interno viaggiano soltanto le chiavi di decodificazione, mentre i dati che ne sono oggetto (i cd. dati grezzi) restano fisicamente nel luogo in cui sono stati emessi e, dunque, nella fattispecie, in Italia. La attività di decriptazione non può conseguentemente ritenersi avvenuta all'estero, bensì all'interno del mondo...OMISSIS...che, facendo parte del Web non conosce localizzazioni".

La Corte ha rigettato a cascata le due doglianze difensive ribadendo che per tale attività captativa non è necessario procedere a rogatoria internazionale in quanto i dati partiti dal terminale presente sul suolo italiano vengono decriptati da un server presente nel mondo virtuale (WEB) e rimessi a velocità della luce al server italiano.

Pertanto la condizione necessaria per una intercettazione valida è che il terminale intercettato sia in Italia: la successiva attività di, immediata, decriptazione dei dati, effettuata dal gestore avvalendosi di un server allocato all'estero ma comunque nel mondo delocalizzato del Web, non incide sulla applicabilità delle norme in materia di intercettazioni.

Avv. Filippo Castellaneta (www.avvocatocastellaneta.it)