L’acquisizione di dati informatici da server esteri

Cass. pen., Sez. I, 01 luglio 2022, n. 34059 – Pres. Tardio, Rel. Aliffi (non massimata)

Nella sentenza in esame, la Suprema Corte si esprime circa la particolare questione relativa all’acquisizione di dati telematici fisicamente conservati all’interno di un server, frutto di un ordine europeo di indagine.

Il caso di specie prende le mosse da un tentato omicidio, di cui l’imputato è indiziato di aver partecipato come mandante. La Corte è chiamata a pronunciarsi sulla validità dell’ordinanza con cui il Tribunale di Roma ha confermato la misura cautelare della custodia in carcere applicata dal G.I.P.

Ricorre, quindi, per Cassazione il difensore dell’imputato lamentando una violazione della legge processuale e un vizio di motivazione, con riferimento all’acquisizione di messaggistica “Encrochat” e “Sky Ecc” contenuta all’interno di un server ubicato in Francia.

I giudici di legittimità si trovano di fronte all’esigenza di qualificare giuridicamente la natura dei dati appresi, la validità delle operazioni svolte e del conseguente scambio con l’autorità italiana.

Per quanto attiene la prima quaestio, la Corte chiarisce che i dati non sono assimilabili alla captazione di flussi di comunicazione – e quindi al genus delle intercettazioni – ma al novero della c.d. prova documentale.

Il punto centrale del motivo di ricorso è però rappresentato dalle attività esperite sul suolo francese per acquisire i dati oggetto del procedimento.

Occorre innanzitutto sottolineare che le attività svolte nel caso di specie rientrano in una più vasta azione di Europol che vede coinvolte le forze di polizia di Francia, Olanda e Belgio – nota come Operazione Argus – in cui vengono monitorati circa 70.000 utenti di Sky Ecc.

L’autorità giudiziaria d’oltralpe, con precipuo riguardo alle attività svolte nel territorio francofono, garantisce il rispetto della normativa interna. Quest’ultima –  rientrante nelle c.d. “altre tecniche speciali d’indagine”[1] e prevista dagli artt. 706-102-1 e ss. c.p.p. –  permette di accedere, registrare, conservare e trasmettere i dati contenuti all’interno di un sistema informatico. Ciò è possibile mediante la richiesta del procuratore della Repubblica o del giudice istruttore e, conseguentemente, con l’autorizzazione motivata del giudice delle libertà e della detenzione[2]. All’autorità giudiziaria, inoltre, viene permesso di avvalersi di un esperto per il compimento di suddette operazioni tecniche.

Risolto il nodo circa la validità delle operazioni svolte in conformità con la normativa francese, bisogna comprendere i risvolti nel contesto italiano.

In particolare, la messaggistica – rientrante come documento – viene trasmessa all’Italia mediante un ordine europeo d’indagine, applicando l’art. 234-bis c.p.p.

La disposizione, nell’ottica della Corte, viene rispettata in quanto dagli atti investigativi emerge un consenso del titolare del server, considerando la natura documentale della messaggistica e il consenso del legittimo titolare di quei dati conservati all’estero.  

I giudici di legittimità arrivano quindi ad affermare che “[…] tale attività tecnica non rientra propriamente nella nozione di operazioni di intercettazioni, perché non riguardante la captazione e la registrazione di dati comunicativi in itinere dal mittente al destinatario. Peraltro, nel codice di rito sono presenti numerose norme che permettono ad ausiliari dell’autorità giudiziaria di disporre materialmente di beni già acquisiti (e persino sottoposti a sequestro) per effettuare su di essi operazioni di verifica”, cercando di salvare un’attività difficilmente inquadrabile nell’ordinamento italiano.

Bibliografia essenziale

2021. R. MARCHETTI, Ricerca e acquisizione probatoria all’estero: l’ordine europeo di indagine, in Arch. Pen., 2018, 1S, p. 827 ss.; W. NOCERINO, Le intercettazioni e i controlli preventivi. Riflessi sul procedimento probatorio, Milano, 2019; W. NOCERINO, Il captatore informatico nelle indagini penali interne e transfrontaliere, Milano, 2021; G. ROUSSEL – F. X. ROUX-DEMARE, Procédure pénale, XIII ed., Parigi, 2022; G. M. RUOTOLO, Il ruolo del consenso del sovrano territoriale nel transborder data access tra obblighi internazionali e norme interne di adattamento, in La comunità internazionale, 2016, f. 2, p. 183 ss.; P. TONINI – C. CONTI, Il diritto delle prove penali, II ed., Torino, 2014; P. TONINI – C. CONTI, Manuale di procedura penale, XXIII ed., Torino, 2022; H. VLAMYNCK, Droit de la police, VII ed., Parigi, 2021.

[1] Trattasi della denominazione della sezione VI del titolo XXV “De la procédure applicable à la criminalité et à la délinquance organisées et aux crimes” del c.p.p. francese.

[2] In particolare, l’autorizzazione del giudice delle libertà e della detenzione deve contenere – a pena di nullità – l’indicazione del reato per cui si richiede il ricorso a suddetti strumenti, la localizzazione esatta del sistema informatico, la descrizione dettagliata delle attività poste in essere e la durata delle operazioni.