Si chiamano “trojan horse“. E hanno cambiato per sempre le nostre vite. Installati sui nostri telefonini e computer, a nostra insaputa, sono in grado di monitorare qualsiasi conversazione, chat, pagina web visitata. E di violare così la nostra privacy. In teoria i magistrati dovrebbero utilizzarli soltanto in presenza di reati gravi, come mafia o terrorismo. Ma nella pratica le spie informatiche sono diventate le chiavi d’accesso per controllare le nostre vite.

Il costo delle intercettazioni è la voce più rilevante delle spese degli uffici giudiziari: 169 milioni su 193,6 milioni destinati dal bilancio dello Stato alle spese di giustizia. Più delle metà dei costi è concentrata in cinque distretti: Palermo, Reggio Calabria, Napoli, Milano e Roma. Il numero totale delle intercettazioni telefoniche, ambientali e telematiche è di 180.000.

LEGGI ANCHE: Ecco tutte le accuse a Romeo, un giro di affari di quasi 1.000 euro

Leggi anche

1. Nel mese di maggio scorso, la Procura di Perugia trasmette al Consiglio Superiore della Magistratura i verbali di conversazioni intercettate tra magistrati, componenti del Csm e politici aventi a oggetto il futuro assetto delle nomine dei principali uffici giudiziari. Nonostante la loro segretezza, le conversazioni intercettate con il virus informatico denominato trojan horse vengono interamente pubblicate dagli organi di stampa che parlano di “suk delle nomine“. Come immediata conseguenza i consiglieri coinvolti si dimettono e l’originario assetto del Csm viene totalmente stravolto. Terminata l’eruzione vulcanica della vicenda in questione, rimangono aperte alcune questioni nodali che prescindono dall’inchiesta di Perugia e riguardano la vita delle persone, la sicurezza dello Stato, la garanzia delle istituzioni nonché l’individuazione della normativa applicabile.

2. Il progresso delle tecnologie di captazione delle conversazioni permette di sottoporre l’individuo a un penetrante controllo sulla sua vita che si estende ai luoghi di privata dimora e ai soggetti che stanno vicino alla persona intercettata, senza escludere la possibilità che questi ultimi a loro volta possano essere titolari di immunità e di garanzie costituzionali.
Il trojan si sta dimostrando un formidabile strumento per combattere mafia, terrorismo e corruzione ma come tutti gli strumenti innovativi deve essere maneggiato con cura soprattutto quando incide su diritti costituzionalmente tutelati. Vale la pena ricordare che per la compressione di diritti considerati inviolabili, quale deve essere considerata la possibilità di comunicare liberamente, le moderne costituzioni esigono una riserva di legge e una autorizzazione giudiziale nel rispetto del principio di proporzionalità. La mancata osservanza di queste garanzie procedurali va, pertanto, considerata come violazione di un divieto (implicito) di acquisizione del dato probatorio. Il rischio, ragionando diversamente, è quello di lasciare alla polizia ampi spazi di iniziativa informale e atipica, con l’uso di strumenti invasivi della sfera intima della persona.

3. Telefono cellulare, tablet e anche notebook sono diventati oggetti che accompagnano ogni nostro movimento e ci seguono in ogni luogo. Ma come si infetta realmente uno di questi oggetti? Sono gli stessi giudici della Cassazione, nella importantissima sentenza Scurato del 2016, a descrivere le caratteristiche tecniche e informatiche del trojan horse precisando che si tratta di un programma informatico installato in un dispositivo del tipo target (un computer, un tablet o uno smartphone) di norma a distanza e in modo occulto, per mezzo del suo invio con una mail, un sms o un’applicazione di aggiornamento (nel caso dell’inchiesta perugina notizie di stampa parlano addirittura di un blocco di funzionamento del telefono da parte del gestore). Il software è costituito da due moduli principali: il primo (server) è un programma di piccole dimensioni che infetta il dispositivo bersaglio; il secondo (client) è l’applicativo che il virus usa per controllare detto dispositivo.
L’utilizzo di questo programma informatico consente in via principale di attivare il microfono e, dunque, di poter apprendere per tale via i colloqui che si svolgono nello spazio che circonda il soggetto che ha la disponibilità materiale del dispositivo.
Oltre alla attivazione del microfono sono possibili numerose e diverse attività tra cui:
– captare tutto il traffico dati in arrivo o in partenza dal dispositivo «infettato» (navigazione e posta elettronica, sia web mail che outlook);
– mettere in funzione la web camera, permettendo di carpire immagini;
– perquisire l’hard disk e di fare copia, totale o parziale, delle unità di memoria del sistema informatico preso di mira;
– decifrare tutto ciò che viene digitato sulla tastiera collegata al sistema (keylogger) e visualizzare ciò che appare sullo schermo del dispositivo bersaglio (screenshot);
– sfuggire agli antivirus in commercio.
Si tratta di attività che però nel nostro ordinamento non possono essere effettuate perché la legge di riforma in materia (c.d. legge Orlando) si è imposta una sorta di self restraint limitandosi a “disciplinare le intercettazioni di comunicazioni fra presenti mediante immissione di captatori informatici”, come testualmente recita la direttiva delegante contenuta nell’art. 1, comma 84, lett. e) legge 23 giugno 2017 n.103.

4. L’utilizzo del trojan impone allo Stato di mettere in sicurezza i sistemi informatici onde evitare che la rilevante mole di informazioni acquisite possa poi essere utilizzata per finalità estranee alle indagini. Infatti, i dati raccolti sono trasmessi, per mezzo della rete internet, in tempo reale o a intervalli prestabiliti, ad altro sistema informatico in uso agli investigatori. Lo Stato ha deciso di affidare questa attività ad aziende private, proprietarie dei software oppure solo locatarie, con azionisti noti o addirittura in alcuni casi con dei prestanome (in un caso figurava essere titolare dell’azienda la moglie di un poliziotto). Milena Gabanelli sul Corriere della Sera del 14 luglio del 2019 ha lucidamente fotografato la situazione evidenziando che le imprese del settore sono 148, dotate in alcuni casi di management di livello, ma in altri casi anche senza dipendenti. Alcune delle più attrezzate aziende del comparto hanno un fatturato che oscilla tra i 20 ed i 30 milioni come la Rcs (che si legge nel sito opera dal 1993 nel mercato mondiale dei servizi a supporto dell’attività investigativa) la Innova, la Ips, la Loquendo. Negli altri casi si tratta di piccole imprese che fatturano centinaia di migliaia di euro e a sostanziale conduzione familiare.
È incredibile apprendere che tali aziende possano operare senza che sia richiesta alcuna specializzazione, certificazione o selezione da parte del ministero della Giustizia e non siano sottoposte ad alcun controllo. La loro scelta è rimessa a una libera valutazione degli uffici di Procura che a loro volta ricevono “suggerimenti” da parte della polizia giudiziaria.
Recenti casi giudiziari, tra tutti il caso Exodus, hanno riproposto l’enorme numero di problematiche. Come noto nel caso delle intercettazioni disposte dall’autorità giudiziaria devono essere selezionati solamente le conversazioni rilevanti per provare che un reato è stato commesso (questo almeno in teoria perché nella pratica non accade questo; ci sono stati addirittura casi in cui i giornali hanno pubblicato il numero di telefono di persone estranee al delitto). Nel caso del trojan non è dato sapere se una volta trasmessi agli uffici inquirenti i dati continuano a rimanere sulla rete informatica, sovente oggetto di hackeraggio, dell’azienda privata. Nessuna disciplina è dettata al riguardo.
Giustamente i più importanti Procuratori d’Italia invocano che il ministero della Giustizia assuma un ruolo guida nella materia in questione.

5. Il costo delle intercettazioni è la voce più rilevante delle spese degli uffici giudiziari: 169 milioni su 193,6 milioni destinati dal bilancio dello Stato alle spese di giustizia. Più delle metà delle spese è concentrata in cinque distretti: Palermo, Reggio Calabria, Napoli, Milano e Roma. Il numero totale delle intercettazioni telefoniche, ambientali e telematiche è di 180.000. Le intercettazioni telefoniche rappresentano per numero dei bersagli l’80% del totale (130 mila).

6. Ultimo nodo è quello di individuare la normativa realmente applicabile ai trojan horse soprattutto se le conversazioni intercettate avvengono in un bar, in un ristorante in una casa e i reati per cui si procede non sono di mafia o di criminalità organizzata.
Fino al 2017, l’utilizzo del trojan non era normativamente previsto e la giurisprudenza aveva inquadrato l’impiego dello strumento in questione nell’art. 266, comma 2, c.p.p. come mezzo di «intercettazione ambientale», la cui «natura itinerante» induceva a escludere «la possibilità di compiere intercettazioni nei luoghi indicati dall’art. 614 c.p., […] non potendosi prevedere, all’atto dell’autorizzazione, i luoghi di privata dimora nei quali il dispositivo elettronico verrà introdotto, con conseguente impossibilità di effettuare un adeguato controllo circa l’effettivo rispetto del presupposto, previsto dall’art. 266, comma 2, c.p.p. che in detto luogo si stia svolgendo l’attività criminosa» (Sez. Un., 28 aprile 2016, n. 26889, cit.).
Tale regola subiva la sola eccezione, prevista dall’art. 13 d.l. n. 152 del 1991, con riferimento alle indagini per i «delitti di criminalità organizzata» (oltre che per il delitto «di minaccia col mezzo del telefono»), in relazione ai quali è già stato da tempo previsto che, in presenza di indizi sufficienti (e, quindi, non gravi, come ora prescritto dall’art. 267 c.p.p.), si possa procedere alle necessarie (e quindi non assolutamente indispensabili) intercettazioni di scambi comunicativi intrattenuti tra presenti anche nei luoghi di cui all’art. 614 c.p. pur in assenza di una attività criminosa ivi in corso.
È intervenuto successivamente il d.lgs. n.216 del 2017 (meglio noto come riforma Orlando) che:
• ha codificato per la prima volta l’utilizzabilità del captatore informatico per l’intercettazione tra presenti (art. 266, comma 2, primo periodo) mantenendo ferma la regola (sancita per tutte le forme di intercettazione ambientale) per cui la captazione nei luoghi di cui all’art. 614 c.p. è consentita soltanto se vi è fondato motivo di ritenere che ivi sia in corso l’attività criminosa;
• ha reso «sempre possibile» l’intercettazione ambientale mediante captatore informatico nei «procedimenti per i delitti di cui all’articolo 51, comma 3 bis e 3 quater» c.p.p. (art. 266, comma 2 bis);
• ha esteso il regime delle intercettazioni cd. “antimafia”, previste dal citato art. 13 d. 1. n. 152 del 1991, ai delitti dei pubblici ufficiali contro la pubblica amministrazione puniti con la pena della reclusione non inferiore nel massimo a cinque anni (art. 6, comma 1) specificando però che in caso di utilizzo del captatore informatico, è vietato effettuarle nei luoghi di privata dimora e assimilati in assenza di motivi per ritenere in corso di svolgimento l’attività criminosa (art. 6, comma 2);
• ha introdotto una disposizione transitoria che differisce l’entrata in vigore delle disposizioni di cui all’art. 266 comma 2 bis al 1 gennaio 2020 (art.9) mosso dalla condivisibile preoccupazione che all’interno degli uffici di Procura venissero introdotti i requisiti minimi di sicurezze per gestire il materiale intercettato.
In questo complesso quadro normativo è infine intervenuta la cd. “Spazzacorrotti“, che ha abrogato il secondo comma del citato art. 6 d. lgs. n. 216 del 2017 e ha integrato l’art.266 comma 2 bis stabilendo che l’impiego del captatore nei luoghi di privata dimora e assimilati è «sempre possibile» pur in assenza di motivi per ritenere che vi sia in atto lo svolgimento dell’attività criminosa, anche per i delitti dei pubblici ufficiali contro la pubblica amministrazione puniti con la pena della reclusione non inferiore nel massimo a cinque anni.
Tuttavia la novità qui descritta (pur essendo la legge in esame in vigore dal 31 gennaio 2019) opererà solo in relazione «alle operazioni di intercettazione relative a provvedimenti autorizzativi emessi dopo il 1° gennaio 2020, visto che non risulta abrogata la normativa transitoria del d.l.vo 216/17 in quanto nel frattempo gli ammodernamenti degli uffici di Procura per la gestione del materiale intercettato non sono stati realizzati.

LEGGI ANCHE: Caso Consip, procura chiede nuovamente archiviazione per dieci indagati

Quale dunque la normativa applicabile? Dal quadro delineato emerge che la disciplina dell’uso del captatore informatico per i delitti di criminalità organizzata e dei delitti dei pubblici ufficiali contro la P.A. sembrerebbe non ancora in vigore.
Allo stato attuale il ricorso al trojan è dunque possibile operando una sorta di mix tra giurisprudenza creativa (i termini della sentenza Scurato che nel 2016 ha inteso «anticipare» una riforma in itinere; riforma che oggi prefigura contenuti, almeno in parte, diversi) e una fonte normativa che ha sì già abrogato l’art. 6, 2° comma, d. lgs. n. 216 del 2017, ma che ancora attende l’entrata in vigore degli artt. 266 e 267 cpp —disposizioni, per così dire, portanti— che dovranno disciplinare il processo autorizzativo della medesima «pratica investigativa”.
Conclusivamente il tema della specifica tutela delle conversazioni che avvengono in luoghi di privata dimora è ancora quanto mai attuale, quando si procede per i reati che non sono di criminalità organizzata.

Voltaire

© Riproduzione riservata