INVESTIGATION / Commenti

Sky ECC: l’azzardo della terza sezione, a carte (ancora) coperte

Marco Tullio Morcella - 09/02/2024

Scarica l’ORDINE EUROPEO DI INDAGINE in PDF

Sommario: 1. Le questioni di diritto devolute alla cognizione del Supremo Consesso. – 2. Le pronunce precedenti e la costante indisponibilità dei provvedimenti francesi, nel loro insieme. – 2.1. La prima fase: insieme alle istanze cautelari figurano i soli OEI. – 2.2. La seconda fase: affiorano i provvedimenti parigini, ma restano coperte le ordinanze di Lille. – 3. Le questioni giuridiche derivate. – 3.1. Sulla legittima emissione degli OEI. – 3.2. Sulla osservanza dell’art 6 par. 1 della Direttiva 2014/41/UE. – 4. La mancata ostensione del dossier inerente la inchiesta base francese, nella sua globalità: le cause. – 5. La inchiesta francese a monte: la sua storia e gli atti d’indagine ivi praticati. – 6. Le previsioni interne, nel cui alveo sono sussumibili gli atti d’indagine previamente esperiti in Francia. – 6.1. L’oggetto degli OEI, emessi dagli Uffici di Procura italiani. – 7. La questioni, intorno alle quali la ordinanza di rimessione della III sezione si sarebbe dovuta incentrare. – 7.1. Rispetto alle intercettazioni praticate, su disposizione del Tribunale di Lille. – 7.2. Quanto ai Trojan installati, dietro i provvedimenti autorizzatori del Tribunale di Parigi. – 7.3. Sulla impugnazione dell’OEI dinanzi al giudice italiano. – 7.4. Sulla indisponibilità delle chiavi di cifratura. – 8. Conclusioni.

L’ordinanza di rimessione della III sezione penale costituisce l’ultima perla di una lunga collana di pronunce che, non potendosi confrontare con il dossier inerente il procedimento base transalpino, nella sua globalità, hanno finito col travisare in termini non virtuali l’attività investigativa precedentemente svolta dall’AG francese. Il risultato è stato che la giurisprudenza di legittimità interna non ha ancora inquadrato né tantomeno risolto le questioni di diritto, effettivamente conferenti rispetto alla specificità della vicenda in esame.

The order of reference of the III Criminal Section is the last pearl of a long series of judgments which, not being able to be based on the dossier concerning the basic transalpine procedure, have ended up misrepresenting in non-virtual terms the investigative activity previously carried out by the French AG. The result has been that the jurisprudence of domestic legitimacy has not yet framed or even resolved the questions of law that are actually relevant with respect to the specificity of the case in question.

Le questioni di diritto devolute alla cognizione del Supremo Consesso

Con la ordinanza di rimessione n. 47798, emessa il 03.11.2023 e depositata il 30.11.2023, la III Sezione Penale ha devoluto alla cognizione del Supremo Consesso i seguenti quesiti:

-se in tema di mezzi di prova la acquisizione di messaggi su chat di gruppo scambiati con sistema cifrato, mediante OEI, presso AG straniera che ne ha eseguito la decrittazione costituisca acquisizione di documenti e di dati informatici ai sensi dell’art 234 bis c.p.p. o di documenti ex art 234 c.p.p. o sia riconducibile in altra disciplina relativa all’acquisizione di prova;

-se inoltre tale acquisizione debba essere oggetto, ai fini della utilizzabilità dei dati in tal modo versati in atti, di preventiva o successiva verifica giurisdizionale della sua legittimità da parte della Autorità Giurisdizionale nazionale.

Le pronunce precedenti e la costante indisponibilità dei provvedimenti francesi, nel loro insieme

Per poter meglio definire i termini del contrasto interpretativo, rimesso al vaglio delle Sezioni Unite, in via di premessa sembra opportuno ricostruire la giurisprudenza di legittimità che negli ultimi diciotto mesi si è interessata della delicata questione processualpenalistica, inerente la utilizzabilità delle chat intercorse su Sky ECC.

Nel ripercorrere gli arresti più significativi che si sono susseguiti in materia, una notazione a margine appare però sin da ora obbligata.

I messaggi scambiati sulla piattaforma della Sky Global, rifluiti tramite lo strumento dell’ordine europeo d’indagine -d’ora in avanti OEI- in molteplici procedimenti penali interni, il più delle volte concernenti reati in materia di stupefacenti, erano stati acquisiti e decifrati nel quadro di una precedente inchiesta transalpina. Nonostante l’AG francese abbia evaso gli OEI ricevuti, inviando insieme alle chat richieste pure i provvedimenti giudiziari relativi al proprio procedimento base, per quel che è dato sapere, la Cassazione ancora ad oggi non è stata posta in condizione di conoscere nella sua globalità il dossier inerente il giudizio straniero a monte. Le singole pronunce di legittimità, succedutesi in sede cautelare fino alla emissione della ordinanza di rimessione della III sezione penale, debbono dunque considerarsi il portato estemporaneo delle poche e lacunose informazioni, attinenti alla inchiesta base francese, di volta in volta rese disponibili.

2.1.La prima fase: insieme alle istanze cautelari figurano i soli OEI

Inizialmente i fascicoli, correlati ai singoli incidenti de libertate, non contenevano alcun provvedimento adottato nell’ambito del procedimento transalpino a monte

Al contrario, le difese avevano la possibilità di consultare solo e soltanto gli OEI tratti dagli organi inquirenti italiani, da cui erano stati interessati i loro assistiti.

Domande di cooperazione giudiziaria in materia di giustizia penale queste, la cui analisi consentiva di apprendere un’unica informazione, e cioé che le prove richieste erano già in possesso dello Stato d’esecuzione (All. 1 – fac-simile di OEI compilato). . In simile contesto, nonostante la mancanza integrale del carteggio inerente il giudizio a quo francese, la pronuncia Molisso della I sezione penale[1] concludeva nel senso che l’atto d’indagine previamente esperito in Francia, alla luce delle categorie del diritto processuale interno, doveva ricondursi sotto l’alveo dell’art 234 bis c.p.p.

I server sottesi al funzionamento della piattaforma di messaggistica crittografata della Sky Global avrebbero infatti serbato in memoria ogni chat, già intercorsa tra gli abbonati alla applicazione Sky ECC. Ed inoltre, la società canadese, gestore del servizio di telecomunicazioni, avrebbe prestato il consenso, ai fini della materiale apprensione dei messaggi conservati sui propri server.

Negli stessi giorni in cui la pronuncia Molisso veniva pubblicata, la IV sezione penale, con il celebre arresto Lori[2], ricordava però che la dialettica procedimentale non si può esplicare solamente sulla emergenza istruttoria raccolta, ma si deve pure interessare del procedimento acquisitivo ad essa sottostante. Altrimenti, ogni controllo in ordine alla validità del processo di formazione della prova risulterebbe nei fatti precluso e diverrebbe dunque impossibile verificare la eventuale integrazione di un divieto probatorio, sanzionato dall’art 191 c.p.p.

La seconda fase: affiorano i provvedimenti parigini, ma restano coperte le ordinanze di Lille

Gli insegnamenti giurisprudenziali, tanto illuminanti per quanto elementari, che erano a fondamento della pronuncia Lori, suonavano al dir poco rivoluzionari.

Per poter affermare che il diritto di difesa ed il principio al contraddittorio fossero stati effettivamente rispettati, non bastava più produrre gli OEI e una qualche annotazione della PG italiana, che avesse rappresentato, de relato e sibillinamente, l’attività investigativa condotta a monte in Francia. Ed infatti, sarà forse un caso, ma dopo questo pronunciamento, iniziavano ad affiorare i primi provvedimenti giudiziari attinenti alla inchiesta base transalpina, e segnatamente, le ordinanze del 17.12.2020 e del 24.02.2021, con cui il Giudice Istruttore presso il Tribunale di Parigi aveva autorizzato, a norma dell’art 706-102-1 del Code de Procedure Penale, la messa in funzione di un primo Trojan sul “server 2 o server di back-up” e la attivazione di un secondo captatore informatico sul “server 1”: apparecchi elettronici, sottesi al funzionamento della intera infrastruttura Sky ECC, che la impresa canadese Sky Global aveva noleggiato presso l’hosting server provider OVH, con sede a Roubaix, in Francia (All. 6).

Nel mutato scenario appena rappresentato, si inscrivono le innumerevoli ulteriori pronunce della IV sezione penale, che sarebbero state emesse dal marzo al luglio dello scorso anno[3].

La emersione dei soli “provvedimenti parigini” aveva già posto in seria criticità la tenuta dell’orientamento giurisprudenziale, inaugurato dalla ordinanza Molisso, per il quale l’atto d’indagine previamente assunto in Francia era inquadrabile, alla luce della lex fori, sotto l’art 234 bis c.p.p.

Laddove l’azione dei captatori informatici fosse davvero consistita nella acquisizione delle chat memorizzate nei server di Roubaix, il Giudice Istruttore presso il Tribunale di Parigi non ne avrebbe infatti autorizzato la messa in funzione per ben quattro mesi.

Ed ancora.

Nella ipotesi in cui la Sky Global avesse effettivamente collaborato alle indagini, i Trojan certo non sarebbero stati azionati sui suoi server.

Nonostante questa duplice seria incongruenza, la IV sezione Penale cercava in ogni caso di tenere il punto, pur di preservare la utilizzabilità delle chat di valenza colpevolista.

Quanto al primo rilievo critico, veniva opposto che il riferimento al periodo di quattro mesi, contenuto nelle “ordinanze parigine”, era indicativo non già di un’acquisizione di dati dinamici, ma della validità dell’autorizzazione con riferimento ai singoli accessi per l’acquisizione dei dati conservati nel server.

Né diversamente sarebbe potuto essere, considerato che il Trojan, di cui era stata disposta la messa in funzione ai sensi dell’art 706-102-1 del Code de Procedure Penale -stando alla interpretazione “tutta italiana” di simile disposizione francese-, altra mansione avrebbe potuto espletare, se non quella di recuperare i soli dati freddi, già immagazzinati nell’apparecchio digitale, in cui era stato installato.

Rispetto alla seconda censura, si replicava, invece, che il Tribunale di Parigi, essendo entrato in possesso dei dati conservati nei server di Roubaix nel corso di una regolare inchiesta penale, ne era divenuto pure il legittimo titolare.

E dunque, il consenso alla apprensione di simili dati informatici, richiesto dall’art 234 bis c.p.p., ben poteva essere prestato dall’Ufficio Giudiziario transalpino.

Dopo la sosta estiva, in ragione del tabellare interno alla Corte di Cassazione, i ricorsi attinenti ai reati in materia di stupefacenti venivano assegnati alla VI sezione penale. In questo arco temporale, si sarebbe così potuti assistere ad una vera e propria svolta, che avrebbe posto le basi per il deposito della ordinanza di rimessione della III sezione penale. Le due pronunce gemelle della VI, la 44154 e la 44155[4], prendevano l’abbrivio, col disconoscere che l’atto d’indagine previamente assunto nel giudizio a quo straniero fosse riconducibile, sulla base della lex fori, nel perimetro dell’art 234 bis c.p.p. Il Tribunale di Parigi, d’altro canto, poteva rappresentare il detentore qualificato ai fini di giustizia delle chat immagazzinate nei server di Roubaix, ma non certo il loro legittimo titolare.

Con la conseguenza che il consenso reso dall’Ufficio Giudiziario francese, ai fini della loro materiale apprensione, sarebbe in ogni caso risultato invalido[5].

Rilevata inoltre la totale assenza, o comunque, la significativa incompletezza del dossier inerente il procedimento a quo transalpino, i due arresti in questione imponevano ai giudici del rinvio di ricostruire l’attività investigativa condotta in Francia, nei suoi profili materiali, sì da poter qualificare in maniera giuridicamente apprezzabile i mezzi istruttori previamente esperiti nel quadro del giudizio straniero a monte.

Operazione indubbiamente delicata, da condurre tenendo in debito conto simili indicazioni.

Nell’ipotesi in cui l’AG transalpina avesse captato in tempo reale i messaggi corsi sulla piattaforma di messaggistica crittografata Sky ECC, l’atto d’indagine compiuto in Francia sarebbe stato da inquadrare, alla luce della lex fori, nell’art 266 bis c.p.p.

Laddove viceversa le chat, già avvenute, fossero state effettivamente apprese a mezzo Trojan dalla memoria dei server di Roubaix, per l’ordinamento interno, il mezzo istruttorio a venire in rilievo sarebbe stato l’art 254 bis c.p.p.

Le questioni giuridiche derivate

L’esatto inquadramento giuridico del mezzo di ricerca della prova previamente esperito nel quadro del giudizio a quo transalpino era indispensabile, per poter affrontare due delicate questioni processualpenalistiche, e più esattamente, per poter verificare se nella fattispecie in esame gli OEI fossero stati emessi in maniera formalisticamente corretta e nel rispetto delle guarentigie di cui all’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE[6].

3.1. Sulla legittima emissione degli OEI

Il D. Lgs. n. 108/2017 si risolve nell’atto di recepimento interno della Direttiva 2014/41/UE: fonte unionale che regolamenta l’ordine europeo d’indagine.

L’art 27 di tale decreto legislativo stabilisce che, nella fase delle indagini preliminari, l’autorità nazionale competente ad emettere gli OEI, indipendentemente dal mezzo istruttorio richiesto, è sempre e comunque il pubblico ministero.

L’art 43 c. 2 lettera a) dello stesso articolato normativo sancisce però che l’esecuzione di qualunque attività captativa può essere demandata all’AG dello Stato richiesto, a condizione che l’emissione dell’OEI sia preceduta da un’autorizzazione del Giudice per le Indagini Preliminari.

Ne discende che un OEI può essere emesso senza il vaglio preventivo del GIP, purché l’atto d’indagine richiesto, in un caso interno analogo, possa essere disposto, con un semplice provvedimento del PM procedente.

Il tema è che, nella specificità della vicenda in esame, i titolari dell’azione penale interni avevano fatto ricorso allo strumento di cooperazione internazionale disciplinato dalla Direttiva 2014/41/UE, in difetto di alcuna autorizzazione preventiva ad opera del Giudice per le Indagini Preliminari.

Per l’orientamento giurisprudenziale maggioritario, secondo cui l’atto d’indagine compiuto in Francia era riconducibile nell’alveo dell’art 234 bis c.p.p., gli OEI erano stati in ogni caso emessi in maniera legittima.

Stando agli insegnamenti delle due pronunce gemelle della VI sezione Penale, tale assunto non era invece sostenibile.

Né per la ipotesi in cui l’AG francese avesse intercettato, come è effettivamente accaduto.

Né per il differente caso -in realtà smentito dalla emersione del carteggio afferente il procedimento base transalpino- in cui le chat scambiate su Sky ECC non avessero formato oggetto di alcuna attività captativa, ma, al contrario, fossero state ripescate, a mezzo Trojan, dalla memoria dei server di Roubaix, come dati freddi, cioè, come semplici documenti.

Rispetto a questo secondo sub-scenario, d’altra parte, due ragionamenti, tra loro distinti, convergevano sulla medesima conclusione.

In maggiore dettaglio.

La Corte Costituzionale, con la sentenza n. 170/2023, aveva stabilito che la corrispondenza conserva la propria natura, pure dopo aver raggiunto il recapito del destinatario, non scadendo più in comune documentazione[7].

Com’è noto, l’art 15 Cost fissa una riserva di legge e una riserva di giurisdizione[8].

Il sequestro di dati presso il fornitore di servizi, in un caso interno analogo, sarebbe stato dunque possibile, solo e soltanto dietro un’apposita autorizzazione del Giudice per le Indagini Preliminari.

Ed inoltre.

L’apprensione dei tabulati, per come regolata dall’art 132 D. Lgs. n. 196/2003, postula l’intervento di un organo giurisdizionale.

L’acquisizione dei dati intrinseci ad una comunicazione sostanzia una intrusione nella sfera privata del cittadino ancor più incisiva.

Sulla scorta di questo duplice rilievo, sarebbe irragionevole il necessario intervento del Giudice, per l’apprensione dei dati estrinseci di una conversazione, e non anche per l’acquisizione dei contenuti ad essa intrinseci.

Ad onor del vero, nessuno dei due differenti indirizzi interpretativi passati in rassegna appare degno di condivisione.

Si è già avuto modo di rilevare che gli organi inquirenti italiani, con l’emissione degli OEI, avevano richiesto la trasmissione di una prova -rectius, di più prove (v. infra)- già nella disponibilità dello Stato d’esecuzione.

Allorquando si intenda acquisire nel procedimento ad quem una emergenza istruttoria previamente assunta nel quadro del giudizio a quo, a seconda che la prova richiesta si sostanzi o meno nel prodotto di una precedente campagna intercettativa, a venire in rilievo può essere l’atto d’indagine disciplinato dall’art 270 c.p.p. o quello diverso, regolamentato dall’art 238 c.p.p.

Come rilevato da una recente ordinanza della Corte di Cassazione[9], nell’uno e nell’altro caso, è però pacifico che sia il PM l’autorità giudiziaria competente a ordinare la traslazione delle prove tra due differenti procedimenti interni.

Con la conseguenza che l’OEI, volto ad ottenere una emergenza istruttoria già in possesso dello Stato d’esecuzione, ben può essere tratto dal rappresentante dell’Ufficio di Procura, senza alcuna preventiva autorizzazione ad opera del Giudice per le Indagini Preliminari.

Ad un’analisi più approfondita, simile conclusione sembra trovare conforto pure nell’intervento, che l’Avvocato Generale presso la Corte di Giustizia dell’Unione Europea ha tenuto nell’ambito della Causa C 670-22[10].

Nel quadro di questo secondo procedimento, con il proprio rinvio pregiudiziale, il Tribunale del Land di Berlino, fra le altre questioni, aveva infatti rimesso alla cognizione del massimo organo giurisdizionale unionale ogni valutazione in ordine alla esatta identificazione dell’autorità giudiziaria tedesca legittimata a trarre gli OEI, utili ad ottenere prove già confezionate nel quadro di un precedente giudizio transalpino, e segnatamente, gli esiti dell’attività captativa che aveva riguardato le chat corse sulla differente ma affine piattaforma di messaggistica crittografata Encrochat.

Il codice di rito tedesco, per il trasferimento di qualunque tipo di prova tra procedimenti interni, e dunque pure per la trasmigrazione dei risultati delle intercettazioni da un giudizio all’altro, conosce un apposito atto d’indagine, che è disciplinato dall’art 477 c. 2.

Per la lex fori, l’atto in questione può essere compiuto, sulla scorta di un semplice provvedimento autorizzatorio del pubblico ministero.

L’Avvocato Generale, Capeta, si è dunque risolto nel senso che i rappresentanti degli Uffici di Procura tedeschi ben potessero trarre gli OEI, volti ad ottenere i messaggi scambiati su Encrochat, che erano stati previamente intercettati nel quadro del giudizio a quo transalpino

3.2. Sulla osservanza dell’art 6 par. 1 della Direttiva 2014/41/UE

Prima di entrare nel vivo della questione, è bene confrontarsi con la tesi sostenuta nella giurisprudenza interna e non solo[11], per la quale le guarentigie previste dall’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE atterrebbero ai soli OEI, utili a demandare il compimento di un atto d’indagine, e non anche agli OEI, volti a ottenere una prova già in possesso dello Stato richiesto.

Per la verità, tale assunto non può in alcun modo essere condiviso.

Come correttamente rilevato dall’Avvocato Generale Capeta, nel caso differente, ma affine, che concerne Encrochat[12], il testo della Direttiva in nessuna parte diversifica il trattamento da riservare ai vari OEI, sulla base del loro specifico contenuto[13].

Ma soprattutto.

L’OEI è lo strumento di cooperazione unionale in materia di giustizia penale che ha assorbito in sé il diverso istituto, ormai abrogato, rappresentato dal mandato europeo di ricerca della prova (MER)[14]: l’atto di assistenza giudiziaria disciplinato dalla Decisione Quadro 2008/978/GAI, che era stato concepito, per domandare solo e soltanto il trasferimento di prove già nella disponibilità dello Stato partner richiesto[15].

Alla luce di questo dato, è evidente che l’ambito applicativo dell’art 6 paragrafo 1 della Direttiva 2014/41/UE[16], ora vigente, non possa essere definito, se non muovendo dalla lettura dell’art 7 della Decisione Quadro 2008/978/GAI: disposizione, a mente della quale l’AG dello Stato d’emissione poteva richiedere la trasmissione di un’emergenza istruttoria già raccolta dal Paese d’esecuzione, purché fossero state rispettate le condizioni di proporzionalità e di analogia[17].

Quanto alla guarentigia di cui all’art 6 paragrafo 1 lettera a), un atto d’indagine può dirsi proporzionato, in tanto in quanto il suo compimento possa assicurare il risultato probatorio agognato, senza però inficiare oltremodo i diritti dell’inquisito e senza intaccare minimamente gli interessi tutelati dall’ordinamento di terzi estranei al reato[18].

Rispetto alla condizione dell’equivalenza, l’AG dello Stato d’emissione può invece demandare all’AG dello Stato d’esecuzione l’assunzione di un mezzo istruttorio, nella misura in cui l’atto d’indagine richiesto sia esperibile, secondo la lex fori[19]. Altrimenti, una prova vietata dall’ordinamento interno diverrebbe paradossalmente spendibile in giudizio, sol perché europea[20].

Nel mutuare simili principi di diritto alla differente ipotesi in cui l’OEI tenda al trasferimento di una prova già disponibile nello Stato d’esecuzione, la disciplina unionale lascia dunque intendere che l’AG del Paese d’emissione possa richiedere la trasmissione di un’emergenza istruttoria già raccolta all’estero, solo dopo però aver verificato che l’atto d’indagine ad essa sottostante, per la lex fori, fosse ammissibile e proporzionato.

Rispetto alla specificità del caso in esame, la giurisprudenza interna, traendo spunto da una erronea ricostruzione dell’attività investigativa condotta in Francia, sino ad ora ha ricondotto i mezzi istruttori assunti in terra d’Oltralpe, sotto l’art 234 bis, prima, e sotto l’art 254 bis, poi.

E così, particolari problemi circa la osservanza delle guarentigie di cui all’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE non si sono posti.

Ora che il dossier afferente il giudizio a quo straniero è ormai affiorato, il quadro non può però che essere destinato a mutare -v. infra-.

La mancata ostensione del dossier inerente la inchiesta base francese, nella sua globalità: le cause

Dopo aver ripercorso i più significativi arresti della giurisprudenza di legittimità, che si sono interessati dei plurimi aspetti critici, sottesi alla macro-questione che attiene alla utilizzabilità delle chat scambiate su Sky ECC, è bene ancora una volta ribadire che, sino alla ordinanza di rimessione della III sezione penale, la Corte di Cassazione sembra non abbia potuto disporre del carteggio inerente il giudizio a quo transalpino nella sua globalità, e più esattamente, delle ordinanze con cui il Tribunale di Lille aveva autorizzato, a norma degli artt. 100 ss. del Code de Procedure Penale, la intercettazione di tutti i server di Roubaix, a far data dal 14 giugno 2019 (All. 4 e 5).

Grave lacuna, di ordine materiale, che inficia in premessa la validità di qualunque pronuncia interna, finora intervenuta in materia, e che importa a cascata la inadeguatezza della ordinanza di rimessione della III sezione penale, nella formulazione dei quesiti devoluti alla cognizione del Supremo Consesso.

Prima di ricostruire in maniera storicamente e giuridicamente apprezzabile la attività investigativa condotta nel quadro del procedimento base transalpino, preme però analizzare in dettaglio la patogenesi del fenomeno, che si è sostanziato nella mancata ostensione del dossier afferente il giudizio straniero a monte.

Per tenere a lungo oscurati i provvedimenti francesi tutti, e specificamente, le ordinanze autorizzative alla espletata attività captativa, che erano state emesse dai magistrati di Lille a norma degli artt. 100 ss. del Code de Procedure Penale, gli Uffici di Procura interni si sono schermati, dietro gli insegnamenti giurisprudenziali dettati in materia rogatoriale, per i quali l’atto d’indagine assunto all’estero deve per presunzione considerarsi legittimo[21].

Le criticità sottese ad un una simile impostazione erano e rimangono però molteplici.

Per la verità, la stessa disciplina rogatoriale, che negli anni è stata plasmata da plurimi arresti della Corte di cassazione, prevede che la presunzione di legittimità del mezzo istruttorio assunto all’estero non sia data iuris et de iure ma sia soltanto relativa, dovendosi poter verificare se la emergenza istruttoria sopraggiunta in Italia sia stata o meno raccolta dall’AG straniera in violazione di un principio fondamentale o di una norma inderogabile della lex fori[22].

Ma soprattutto, nella specificità del caso in esame, le chat scambiate su Sky ECC erano tracimate in molteplici procedimenti penali interni, in esecuzione di uno strumento di cooperazione internazionale in materia di giustizia penale, diverso dalla rogatoria, che si identifica nell’ordine europeo d’indagine.

Strumento di cooperazione quest’ultimo, che trova la propria fonte regolamentare nella Direttiva 2014/41/UE e che subordina la validità dell’emergenza probatoria sopraggiunta da un altro Stato UE al rispetto delle condizioni di proporzionalità e di analogia previste dall’art 6 par 1 della Direttiva 2014/41/UE.

Come giustamente rilevato dalla pronuncia Lori[23], disconoscere la possibilità di aver contezza del procedimento ammissivo della prova, nel quadro del giudizio a quo straniero, sostanziava dunque una forzatura giuridica di non poco momento.

La inchiesta francese a monte: la sua storia e gli atti d’indagine ivi praticati

Ad ogni modo, considerato che l’evoluzione dei procedimenti penali interni, e segnatamente, il perfezionamento delle notifiche degli avvisi ex art 415 bis c.p.p. aveva importato la disclosure integrale dei fascicoli dei PP.MM., i provvedimenti francesi, tutti, sono finalmente affiorati. E pertanto, risulta ormai possibile ripercorrere l’attività d’indagine, condotta nel quadro del procedimento base transalpino.

L’inchiesta francese prendeva le mosse il 13 febbraio 2019, quando il Pubblico Ministero presso il Tribunale di Lille apriva un fascicolo per il reato di partecipazione a un’associazione criminale per la preparazione di un crimine o di un reato punibile con 10 anni di reclusione e per una serie di illeciti penali, previsti dalla legislazione francese in materia di crittografia.

Nel corso di due precedenti filoni investigativi, l’uno condotto dall’AG belga, l’altro istruito dagli organi inquirenti olandesi, era infatti emerso un duplice dato.

I membri di diversi sodalizi criminali, dediti alla commercializzazione delle sostanze stupefacenti, erano soliti comunicare, attraverso la piattaforma di messaggistica cifrata Sky ECC.

I server, sottesi al funzionamento della applicazione in parola, erano stati noleggiati dalla impresa canadese Sky Global presso l’hosting server provider, OVH, con sede a Roubaix: località francese ricompresa nel circondario del Tribunale di Lille.

In data 12 giugno 2019, l’OCLCTIC[24], con una propria annotazione, sollecitava il rappresentante dell’Ufficio di Procura presso il il Tribunale territorialmente competente a richiedere il monitoraggio dei server di Roubaix, sì da poter intercettare l’intero traffico telematico, in cui si sostanziavano le chat scambiate su Sky ECC (All. 2).

Simile iniziativa della PG transalpina poggiava su un ragionamento di tipo inferenziale ai limiti del logicamente improvvido: posto che l’AG belga aveva potuto constatare che 1.000, tra gli oltre 68.000 abbonati al servizio di messaggistica della Sky Global, erano coinvolti nel mondo del malaffare, la intera utenza della applicazione Sky ECC doveva necessariamente essere espressione della criminalità organizzata.

Nonostante la prospettazione in esame fosse tutt’altro che irresistibile, il PM procedente ne condivideva i contenuti, al punto da richiedere al Giudice per la Libertà e la Detenzione presso il Tribunale di Lille di avviare le intercettazioni dei server di Roubaix[25] (All. 3).

L’organo giurisdizionale adito, in data 14 giugno 2019, accoglieva dunque la richiesta interposta dal titolare dell’azione penale, disponendo che tutti gli apparecchi elettronici ubicati presso la sede di OVH venissero posti sotto monitoraggio ai sensi degli artt. 100 ss. del Code de Procedure Penale (All. 4).

In proposito, sia sufficiente rilevare che tale provvedimento autorizzatorio sarebbe stato a più riprese prorogato dai magistrati istituiti presso il Tribunale di Lille: una prima ed unica volta dallo stesso Giudice della Libertà e della Detenzione; a partire dal 20 giugno 2019 e fino al 9 marzo 2021, dal Giudice Istruttore[26].

Ad ogni buon conto, tornando agli albori della inchiesta, la PG, nel dare esecuzione alla ordinanza del 14 giugno 2019, disponeva sui server di Roubaix una sonda fornita dalla società Elektron (All. 5).

Tale congegno elettronico consentiva di acquisire le chat scambiate sulla piattaforma di messaggistica crittografata della Sky Global, ma solo e soltanto in formato criptato.

Ogni messaggio corso sui criptofonini, in uso agli abbonati a Sky ECC, era infatti criptato da ben quattro chiavi di cifratura: alcune giacenti nei server di Roubaix, altre memorizzate nei dispositivi criptati, nella disponibilità degli Sky ECC users.

Le intercettazioni, assentite dal Giudice della Libertà e della Detenzione e prorogate dal Giudice Istruttore presso il Tribunale di Lille, si rivelavano utili ad apprendere, oltre alle chat in formato criptato, pure gli algoritmi di decodifica custoditi nei server.

Senza tutte e quattro le chiavi di cifratura, la messa in chiaro dei risultati dell’attività captativa non era però tecnicamente possibile.

Occorreva allora carpire gli algoritmi di decodifica, memorizzati nei criptofonini.

Gli organi inquirenti olandesi, che nel frattempo avevano costituito una squadra investigativa comune insieme agli omologhi belgi e francesi, suggerivano di installare sui server di Roubaix un Trojan, posto che il captatore informatico ivi impiantato, con l’invio di una speciale notifica push, avrebbe indotto ogni dispositivo criptato, associato alla piattaforma, a comunicare la chiave di cifratura in esso conservata.

Il procedimento penale avviato dalla Procura presso il Tribunale di Lille, nel mentre, aveva assunto una valenza investigativa inaspettata, tanto che il fascicolo era stato trasmesso alla giurisdizione nazionale per la lotta alla criminalità organizzata (JUNALCO): una sezione speciale dell’Ufficio di Procura presso il Tribunale di Parigi nata per centralizzare a livello nazionale le “cause che sono o sembrerebbero essere di grande complessità, in particolare in ragione dell’area geografica su cui si estendono”[27].

Nel quadro così mutato, il Giudice Istruttore presso il Tribunale di Parigi autorizzava, ai sensi dell’art 706-102-1 del codice rito transalpino, la messa in funzione di un primo Trojan sul “server 2 o server di back-up il 17.12.2020 e l’attivazione di un secondo captatore informatico sul “server 1” in data 24.02.2021 (All. 6)[28]. E pertanto, con l’acquisizione delle chiavi di cifratura memorizzate nei criptofonini, alcun ostacolo si frapponeva più alla messa in chiaro delle chat intercettate, su disposizione del Tribunale di Lille, a far data dal 14 giugno 2019.

Le previsioni interne, nel cui alveo sono sussumibili gli atti d’indagine previamente esperiti in Francia

Ripercorsa, nella sua interezza, l’attività investigativa espletata nell’ambito del giudizio base transalpino, è di tutta evidenza che, a dispetto di quanto sostenuto fino ad oggi dalla giurisprudenza interna, l’AG francese ha dovuto esperire non uno, ma ben due distinti mezzi di ricerca della prova, per poter acquisire in formato decriptato le chat scambiate su Sky ECC.

Quanto all’inquadramento giuridico dell’atto di indagine assentito dal Giudice per la Libertà e la Detenzione e prorogato dal Giudice Istruttore presso il Tribunale di Lille, è sufficiente rilevare che gli artt. 100 ss. del codice di rito transalpino conoscono il proprio esatto corrispettivo nell’art 266 bis del nostro codice di procedura penale. Rispetto alla riqualificazione, alla luce della lex fori, dei mezzi istruttori autorizzati dal Giudice Istruttore presso il Tribunale di Parigi, la questione è invece più complessa.

A differenza di quel che è stato affermato dalle pronunce cautelari emesse dalla IV sezione penale[29], il riferimento normativo all’art 706-102-1 del Code de Procedure Penale, contenuto nelle ordinanze di autorizzazione alla messa in funzione dei Trojan, non fornisce alcuna indicazione utile. Simile disposizione francese, che sembra coprire normativamente qualunque possibile azione del captatore informatico, non trova infatti nell’ordinamento italiano una previsione corrispondente.

Per poter individuare l’istituto processualpenalistico interno, sotto cui sia possibile ricondurre l’operato dei Trojan, sembra dunque necessario soffermarsi sull’attività investigativa in concreto svolta dai malware.

I captatori informatici installati sul “server 2 o server di back-up” e sul “server 1” di Roubiax, con l’invio di una speciale notifica push, hanno indotto i dispositivi criptati, in uso ai singoli abbonati alla piattaforma Sky ECC, a comunicare le chiavi di cifratura in essi memorizzate, così provocando un flusso di dati, che altrimenti non si sarebbe avuto.

Sulla scorta di questo rilievo, certo non si può affermare che l’atto d’indagine autorizzato dall’Ufficio Giudiziario parigino sia qualificabile come un sequestro.

Simile misura ablatoria postula invero che il materiale probatorio da raccogliere trovi sede nell’apparecchio elettronico, in cui il Trojan viene installato.

Nella specificità del caso in esame, di contro, i captatori informatici sono stati azionati sui server centrali di Roubaix sottesi al funzionamento di Sky ECC, ma le chiavi di cifratura da acquisire erano conservate nei dispositivi criptati nella disponibilità degli abbonati alla piattaforma, sparsi per il mondo.

Alla stessa stregua, muovendo da una puntuale ricostruzione del fatto, non si può neppure sostenere che a venire in rilievo sia il mezzo di ricerca della prova disciplinato dall’art 266 bis c.p.p.

Le intercettazioni, d’altro canto, suppongono la pre-esistenza di un flusso di dati in corso tra due o più terminali, da apprendere furtivamente[30].

Nella fattispecie de qua, invece, senza l’invio della speciale notifica push ad opera dei captatori informatici, i criptofonini mai avrebbero comunicato alcunché.

L’azione dei “Trojan francesi”, che è consistita nello stimolare i dispositivi criptati a trasmettere le chiavi di cifratura in essi conservate, non essendo sussumibile sotto alcun mezzo di ricerca della prova tipico[31], a tutto concedere può dunque essere ricondotta nel perimetro dell’art 189 c.p.p.[32].

6.1. L’oggetto degli OEI emessi dagli Uffici di Procura italiani

Quanto alla esatta definizione giuridica dell’oggetto sotteso agli ordini europei d’indagine, nel tempo inoltrati dagli organi inquirenti italiani, un unico riferimento temporale va tenuto in debito conto.

Nonostante gli uomini del ROS dei Carabinieri avessero partecipato alle riunioni presso EUROPOL da fine gennaio 2021[33], gli Uffici di Procura interni avevano inviato le proprie prime richieste istruttorie dopo il 9 marzo 2021, quando la piattaforma di messaggistica crittografata della società canadese Sky Global era già stata dismessa. Sulla scorta di questo dato, è di palmare evidenza che gli OEI erano stati emessi, con il chiaro intento di acquisire:

-a norma dell’art 270 c.p.p., i risultati dell’attività captativa, disposta dall’autorità giudiziaria di Lille ed eseguita con le sonde fornite dalla società Elektron;

-ai sensi del combinato disposto di cui agli artt. 238 e 189 c.p.p., le emergenze istruttorie apprese a mezzo Trojan, e cioè le chiavi di cifratura giacenti nei singoli dispositivi criptati, abilitati ad accedere a Sky ECC.

Le questioni, intorno alle quali la ordinanza di rimessione della III sezione si sarebbe dovuta incentrare

Dopo aver ricostruito in maniera corretta l’attività investigativa condotta nel quadro del procedimento base transalpino e dopo aver inquadrato, alla luce delle categorie processualpenalistiche interne, i due distinti atti d’indagine che erano stati esperiti dall’autorità giudiziaria francese, è ben possibile individuare gli aspetti problematici, intorno ai quali sarebbe stato opportuno che l’ordinanza di rimessione alle SS. UU. si fosse incentrata.

7.1. Rispetto alle intercettazioni praticate, su disposizione del Tribunale di Lille

Quanto alla utilizzabilità delle chat criptate, prodotto delle intercettazioni assentite da Lille, molteplici sono i nodi da sciogliere.

In maggiore dettaglio.

È già stato rilevato che gli organi inquirenti italiani avevano tratto gli OEI, richiedendo ai sensi dell’art 270 c.p.p., gli esiti dell’attività captativa, disposta dal Tribunale di Lille a norma degli artt. 100 ss. del Code de Procedure Penale.

Come è stato magistralmente sottolineato dalle pronunce gemelle della VI sezione penale, il giudice del procedimento ad quem, secondo gli insegnamenti dell’arresto a Sezioni Unite Esposito[34], può sempre valutare la legittimità del procedimento di ammissione delle intercettazioni, disposte nel quadro del giudizio a quo.

Ed anzi, il rispetto dell’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE impone che i risultati delle intercettazioni, validamente autorizzate all’estero, possano essere utilmente spesi nel quadro di un diverso procedimento penale interno, nella misura in cui il giudice del Paese d’emissione possa vagliare, alla luce della lex fori e in stretta osservanza al principio di proporzionalità, il procedimento ammissivo dell’attività captativa, assentita nel quadro del giudizio straniero a monte[35].

Il tema è che l’AG francese, nel quadro del proprio procedimento base, ha posto sotto intercettazione una intera piattaforma di messaggistica crittografata, pur versando nella impossibilità di stabilire se tutti i suoi abbonati fossero effettivamente espressione della criminalità organizzata. La lettura della annotazione di PG del 12 giugno 2019 al riguardo è illuminante: due giorni prima che il Giudice per la Libertà e la Detenzione presso il Tribunale di Lille assentisse l’avvio delle captazioni sui server di Roubaix, gli organi inquirenti transalpini in tutto avevano contezza del fatto che, tra gli oltre 68.000 utenti della piattaforma Sky ECC, solo e soltanto 1000 erano indubbiamente criminali[36] (All. 2).

Simile situazione di incertezza, peraltro, sarebbe di fondo rimasta immutata, anche col passare del tempo.

La disamina delle ordinanze autorizzative alla installazione dei Trojan, emesse dal Giudice Istruttore presso il Tribunale di Parigi in data 17.12.2020 e 24.02.2021, consente infatti di apprezzare che, neppure a 15 giorni dalla dismissione di Sky ECC, era chiaro quanti, tra gli abbonati al servizio di messaggistica della Sky Global, fossero quelli che avevano fatto ricorso alla applicazione crittografata per curare i propri affari illeciti[37] (All. 6).

Tale quadro, indubbiamente opaco, solo in minima parte si sarebbe successivamente diradato.

È d’altra parte evidente che Europol, nel definire in un proprio report del 2021 Encrochat e Sky ECC “grey platforms”[38], abbia finito con il riconoscere implicitamente ma inequivocabilmente che la utenza della Sky Global non era da ricondurre, nella sua globalità, al mondo del crimine organizzato.

Alla luce di questa pluralità di emergenze fattuali, documentalmente riscontrate, un interrogativo sembra sorgere spontaneo, e cioè se l’osservanza dell’art 267 c.p.p. avrebbe mai consentito di intercettare 68.000 persone, al 14 giugno 2019, quando solo 1000 erano state raggiunte da gravi indizi di reità[39].

Non basta.

Si è già detto che i rappresentanti degli Uffici di Procura italiani, nel richiedere i risultati delle intercettazioni assentite dal Tribunale di Lille, avevano formulato una istanza istruttoria ai sensi dell’art 270 c.p.p.

Com’è noto, l’ordinamento francese non conosce, però, un atto d’indagine analogo.

Allorquando una simile situazione si viene a delineare, allorquando cioè un atto d’acquisizione probatoria, previsto dalla lex fori, sia sconosciuto alla lex loci, l’art 10 paragrafo 5 della Direttiva 2014/41/UE prescrive che l’autorità giudiziaria del Paese d’esecuzione deve astenersi dal prestare l’assistenza giudiziaria richiesta[40].

Considerato che l’AG francese ha in ogni caso dato pratica attuazione agli OEI tratti dall’Italia, a questo punto, rimane da domandarsi quali siano le conseguenze da ricondurre alla violazione di una previsione della Direttiva 2014/41/UE, quale l’art 10 par. 5. Ed ancora.

È vero che la giurisprudenza di legittimità d’Oltralpe ha supplito alla mancanza di una disposizione corrispondente all’art 270 c.p.p., stabilendo in via interpretativa che i risultati delle intercettazioni validamente disposte nel quadro del procedimento A ben possono confluire nel diverso giudizio B. Come opportunamente rilevato dalla pronuncia della Corte Europea dei Diritti dell’Uomo Matheron contro Francia[41], l’art 8 paragrafo 2 della CEDU è però chiaro, nello stabilire che l’intrusione nella sfera di libertà del singolo cittadino è ammissibile, nella misura in cui esista una disposizione di legge che lo consenta.

Considerato che l’art 6 par. 2 TUE stabilisce che l’Unione Europea aderisce alla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, è fuor di dubbio l’AG francese, in ossequio all’art 11 paragrafo 1 lettera f) della Direttiva 2014/41/UE si sarebbe dovuta rifiutare di evadere le richieste istruttorie, che erano state inoltrate dagli organi inquirenti italiani ai sensi dell’art 270 c.p.p.

Posto che ciò non è si però verificato, anche muovendo da questa diversa prospettiva, oramai sembra obbligato chiedersi se il giudice del Paese d’emissione possa rimanere inerme dinanzi alla violazione reiterata di plurime disposizioni, unionali e convenzionali.

L’ultimo tema da affrontare, e certamente uno dei più delicati, concerne poi la sicura inottemperanza dell’art 31 della Direttiva 2014/41/UE.

Secondo simile previsione, lo Stato membro d’intercettazione, non appena si rende conto di aver posto sotto monitoraggio una utenza localizzata fuori del proprio territorio nazionale, deve informare dell’occorso il Paese partner (lo Stato notificato), in cui insiste il dispositivo elettronico intercettato.

Tale previsione, come correttamente rilevato dall’Avvocato Generale presso la Corte di Giustizia dell’Unione Europea, Capeta, nel caso differente, ma affine, relativo alla piattaforma di messaggistica crittografata Encrochat, persegue una duplice finalità.

Per un verso, tende a salvaguardare il principio di sovranità territoriale.

Per altro verso, pone l’autorità giudiziaria dello Stato membro notificato nella condizione di poter tutelare i diritti fondamentali dei propri cittadini[42].

Ed in effetti, allorché l’ordinamento dello Stato membro notificato non avrebbe consentito l’avvio delle intercettazioni in un caso interno analogo, ai sensi dell’art 31 par. 2 della Direttiva 2014/41/UE, lo Stato membro d’intercettazione deve porre fine alla attività captativa, se ancora in essere, ed inoltre deve ritenere inutilizzabili le emergenze probatorie sino a quel momento raccolte.

Il punto è che, nella fattispecie concreta ora al vaglio, alcuna notifica era stata perfezionata, nonostante più di 12.000 utenze italiane fossero state intercettate[43] e nonostante gli uomini dei ROS avessero iniziato a prender parte alle riunioni di EUROPOL, da fine gennaio 2021[44].

Criticità di non poco momento, specie considerando che, se l’art 31 della Direttiva 2014/41/UE non commina alcuna sanzione per la trasgressione dell’obbligo di notifica, l’art 100-8 del Code de Procedure Penale, che sostanzia la norma francese di recepimento dell’art 31 della Direttiva 2014/41/UE, per la inosservanza di tale adempimento, prevede la nullità del materiale probatorio raccolto[45].

7.2. Quanto ai Trojan installati, dietro i provvedimenti autorizzatori del Tribunale di Parigi

Rispetto alla spendibilità in giudizio degli algoritmi di decodifica contenuti nei criptofonini, due sembrano essere le principali questioni aperte.

Quanto al primo aspetto, è stato rilevato che, per la lex fori, l’atto d’indagine condotto nel quadro del procedimento base transalpino è sussumibile sotto l’art 189 c.p.p.

Stando al tenore letterale dell’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE, è pacifico che una prova può tracimare dal giudizio straniero a quo nel procedimento italiano ad quem, in tanto in quanto sia legittima, secondo l’ordinamento dello Stato d’emissione.

I Trojan, di cui il Giudice Istruttore presso il Tribunale di Parigi aveva disposto la messa in funzione sui server di Roubaix, avevano dovuto violare il domicilio informatico[46] di 170.000 persone diverse e residenti in tutti e cinque i continenti[47], per acquisire gli algoritmi di decodifica memorizzati negli innumerevoli dispositivi criptati, abilitati ad accedere alla piattaforma Sky ECC.

La riserva di legge, di cui all’art 14 Cost, non può però essere soddisfatta dall’esperimento di un mezzo di ricerca della prova atipico[48].

Sembra dunque ineluttabile che la giurisprudenza di legittimità, con questo tema, prima o poi si dovrà necessariamente confrontare.

Con riguardo alla seconda questione, è già stato riferito che i due Trojan installati sui server di Roubaix, con un particolare stratagemma tecnico, e segnatamente con una speciale notifica push, erano riusciti ad apprendere le chiavi di cifratura, giacenti in oltre 170.000 criptofonini sparsi per il mondo, dei quali 12.000 almeno erano localizzabili in Italia.

Sulla scorta di questo dato, il quesito da porsi è se il Giudice Istruttore presso il Tribunale di Parigi potesse legittimamente autorizzare il compimento di un simile atto d’indagine, senza incappare nel vizio insanabile, rappresentato dal difetto di giurisdizione, che costituisce il naturale corollario di un principio cardine del diritto internazionale, quale il principio di sovranità territoriale[49].

7.3. Sulla impugnazione dell’OEI dinanzi al giudice italiano

Quanto alla possibilità, per il soggetto interessato, di denunciare la illegittimità dell’OEI, dinanzi al giudice del Paese d’emissione, l’art 696 c. 1 c.p.p. è inequivoco, laddove stabilisce che, nei rapporti con gli Stati membri dell’Unione Europea, si osservano: le norme del Trattato sull’Unione Europea, le previsioni del Trattato sul Funzionamento dell’Unione Europea e le disposizioni delle fonti unionali, che di simili convenzioni costituiscono la pratica attuazione.

L’art 14 par. 2 della Direttiva 2014/41/UE, per parte sua, sancisce che “Le ragioni di merito dell’emissione dell’OEI possono essere impugnate soltanto mediante un’azione introdotta nello Stato di emissione, fatte salve le garanzie dei diritti fondamentali nello Stato di esecuzione”.

Ancorché il dato testuale sotteso al disposto normativo in esame non brilli in termini di chiarezza, la sua esegesi, da portare avanti tenendo in debito conto l’ormai abrogato art 18 par. 2 della Decisione Quadro MER[50], lascia intendere in maniera inequivoca che il soggetto interessato dall’OEI possa adire il proprio giudice nazionale, per denunciare la intervenuta violazione delle guarentigie di cui all’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE, da parte dell’AG del Paese d’emissione, al momento dell’inoltro della richiesta di assistenza giudiziaria.

Se questo dato appare pacifico, il tema giuridico centrale da analizzare è un altro, e cioè se l’indagato attinto dall’OEI possa lamentare dinanzi al proprio giudice nazionale la inosservanza di disposizioni normative contenute nella Direttiva 2014/41/UE, diverse da quelle dettate dall’art 6 paragrafo 1: si pensi, tra le altre, all’art 31.

Al riguardo, una utile indicazione sembra giungere dalla causa C-670/22 incardinata dinanzi alla CGUE.

Con il proprio rinvio pregiudiziale, il Tribunale del Land di Berlino ha infatti rilevato, su sollecitazione delle difese degli inquisiti tedeschi, la mancata osservanza ad opera dell’AG francese dell’art 31 della Direttiva 2014/41/UE ed il massimo organo giurisdizionale della Unione Europea non ha dichiarato la questione irricevibile; al contrario, l’Avvocato Generale Capeta, nel corso del proprio intervento, a lungo si è intrattenuto sul tema[51].

7.4. Sulla indisponibilità delle chiavi di cifratura

Rispetto alla indisponibilità dei dati grezzi, in cui si risolvono le chat intercettate in formato criptato, e alla mancata ostensione delle chiavi di cifratura ad essi associate, a lungo si è ritenuto che, nel quadro del procedimento base transalpino volto all’hackeraggio di Sky ECC, l’AG francese avesse apposto il segreto di Stato su tali emergenze istruttorie.

Simile convinzione si è però rivelata fallace, essendo ormai emerso in maniera inequivoca che il segreto di Stato nel Paese transalpino era stato apposto solo e soltanto nell’ambito del diverso procedimento penale, teso a violare la differente piattaforma di messaggistica cifrata Encrochat[52].

Rilevato dunque che alcun ostacolo di ordine normativo interno allo Stato d’esecuzione si frappone alla ostensibilità delle chat in formato criptato e degli algoritmi di decodifica ad esse abbinati, è d’obbligo domandarsi se la difesa abbia o meno diritto di accedere a tali informazioni procedimentali.

Si può tornare così indietro nel tempo, negli anni in cui la giurisprudenza di legittimità si era divisa, nell’accordare o meno al prevenuto la possibilità di accedere all’algoritmo di decodifica delle chat scambiate sui dispositivi Blackberry.

Secondo un primo indirizzo interpretativo, per la verità più che maggioritario, non era affatto configurabile in capo all’inquisito un simile diritto[53].

D’altro canto, per ogni chat criptata che esiste, una e una sola è la chiave di cifratura suscettibile di metterne in chiaro i contenuti. Con la conseguenza che la stringa di dati informatici, in cui si sostanzia ogni messaggio cifrato, mai può assumere un significato umanamente intelligibile, nella ipotesi in cui gli organi inquirenti non utilizzino la chiave di cifratura corretta.

In conformità ad un diverso orientamento giurisprudenziale, di converso, l’algoritmo di decodifica e i dati grezzi dovevano essere messi a disposizione delle difese. Per quanto, l’inosservanza di un simile obbligo, da parte della pubblica accusa, non importava la inutilizzabilità della emergenza istruttoria spesa in giudizio, per violazione del principio del contraddittorio e del diritto di difesa, ma decretava solo e soltanto l’integrazione di una causa di nullità, deducibile ai sensi dell’art 178 c. 1 lett. c) c.p.p.[54]

Come sia, la questione, seppur datata, era e rimane ancora aperta.

Conclusioni

In definitiva, la III sezione penale, nel pronunciare la propria ordinanza di rimessione nonostante la indisponibilità del carteggio inerente il procedimento base transalpino, nella sua globalità, sembra aver bruciato oltremodo i tempi.

Come è stato opportunamente rilevato, l’attenta disamina del dossier afferente la inchiesta madre francese avrebbe imposto la formulazione di ben altri quesiti, da devolvere alla cognizione dell’organo nomofilattico nella sua composizione più autorevole.

Prima del 29 febbraio 2024, data della udienza fissata dinanzi al Supremo Consesso, nulla però esclude che una diversa sezione della Corte di Cassazione possa correggere il tiro, emettendo una nuova ordinanza di rimessione, che precisi meglio i temi sottesi alla utilizzabilità delle chat scambiate sulla piattaforma di messaggistica crittografata Sky ECC.

[1] Cfr. Cass., Sez. I, 01.07.2022, n. 34059, Molisso

[2] Cass. Pen., Sez. IV, 15.07.2022, n. 32915, Lori

[3] V., ex plurimis, Cass. Pen., Sez. IV, 28.03.2023, n. 17647; Cass. Pen., Sez. IV, Cass. Pen., Sez. IV, 05.04.2023, n. 16347, Papalia, con nota di Filippi, Criptofonini e diritto di difesa, in Penale Diritto e Procedura, 23 giugno 2023

[4] Cfr., Cass. Pen., Sez. VI, 26.10.2023, n. 44154; Cass. Pen., Sez. VI, 26.10.2023, n. 44155

[5] Ad onor del vero, le due pronunce gemelle della VI Sezione Penale, nel risolversi per la inconferenza dell’art 234 bis c.p.p. rispetto alla fattispecie in esame, adducevano un ulteriore argomento, e cioè che gli OEI, tratti dagli organi inquirenti italiani, non volgevano all’acquisizione di comuni documenti informatici, ma alla apprensione di verbali di prova, assunti nel quadro di un procedimento penale straniero a monte.Qualche precedente della giurisprudenza di legittimità, eludendo la disciplina OEI, e segnatamente le guarentigie di cui all’art 6 paragrafo 1 lettere a) e b) della Direttiva 2014/41/UE, aveva infatti ritenuto che la disposizione interna a venire in rilievo fosse in ogni caso l’art 234 bis c.p.p., ma sulla scorta di un diverso ragionamento. Più esattamente, le prove raccolte, nel quadro del procedimento base francese, erano state trasfuse in “comuni documenti informatici”. Il Tribunale di Parigi aveva prestato validamente l’assenso ai fini della loro apprensione. Alcuna importanza avrebbe dunque assunto in concreto la natura dell’attività investigativa, condotta nel quadro del giudizio a quo straniero. In proposito, ex plurimis, Cass. Pen., Sez. I, 13.10.2022 (data dep. 15.02.2023, n. 6364, Calderon; Cass. Pen., Sez. I, 13.01.2023, n. 19082, Costacurta

[6] Nocerino, Ancora in tema di criptofonini: nuovi arresti giurisprudenziali in attesa delle Sezioni Unite, in Penale Diritto e Procedura, 29 novembre 2023

[7] Corte Cost., 27.07.2023, n. 170

[8] Corte Cost., sent. n. 1030 del 1988; Corte Cost., sent. n. 81 del 1993; Corte Cost., sent. n. 20 del 2017

[9] Al riguardo, Cass. Pen., Sez. VI, 27.09.2023, n. 46482

[10] V. Conclusioni dell’Avvocato Generale Tamara Capeta presentate il 26 ottobre 2023, Causa C-670/22, Staatsanwaltschaft Berlin contro M.N., punti 59 ss.

[11] V. la sentenza 5 StR 457/21 del 2 marzo 2022 del Bundesgerichshof (la Corte Federale di Giustizia tedesca)

[12] A dispetto di quanto sostenuto dalla giurisprudenza interna sino ad ora formatasi in materia, il procedimento francese, preordinato all’hackeraggio di Encrochat, è affine, ma non sovrapponibile, alla successiva inchiesta transalpina che ha toccato Sky ECC. In maggiore dettaglio. Nel caso Encrochat, le indagini erano state condotte dalla gendarmerie, mentre, nel procedimento Sky ECC, è stato l’OCLCTIC -l’equivalente della polizia postale italiana- ad investigare. Differenza che potrebbe spiegare la ragione per la quale il segreto di Stato sia stato apposto in Francia solo nell’ambito della prima inchiesta -v. nota 48-. Ed ancora. Nel caso Sky ECC, i Trojan sono stati inseriti nei server di Roubaix, per acquisire le chiavi di cifratura giacenti nei dispositivi criptati, in uso agli abbonati alla piattaforma della Sky Global. Nella inchiesta Encrochat, i captatori informatici avevano invece assicurato la elusione del protocollo crittografico, sotteso alla applicazione, risultando ultronea l’apprensione delle chiavi di cifratura.

[13] Cfr. Conclusioni dell’Avvocato Generale Tamara Capeta presentate il 26 ottobre 2023, Causa C-670/22, Staatsanwaltschaft Berlin contro M.N., punti 38 ss.

[14] Sul punto, Considerando 6, 7 e 8 alla Direttiva 2014/41/UE

[15] In proposito, Considerando 4 alla Direttiva 2014/41/UE

[16] L’art 6 paragrafo 1 della Direttiva 2014/41/UE, rubricato “Condizioni di emissione e trasmissione di un OEI”, sancisce che: “L’autorità d’emissione può emettere un OEI solamente quando ritiene soddisfatte le sugenti condizioni: a) l’emissione dell’OEI è necessaria e proporzionata ai fini del procedimento di cui all’art 4, tenendo conto dei diritti della persona sottoposta a indagini o imputata; e b) l’atto o gli atti d’indagine richiesti nell’OEI avrebbero potuto essere emessi alle stesse condizioni in un caso interno analogo”

[17] L’ormai abrogato art 7 della Decisione Quadro 2008/978/GAI, relativa al MER, rubricato “Condizioni di emissione del MER” stabiliva che: “Ciascuno Stato membro prende le misure necessarie affinché il MER sia emesso soltanto quando l’autorità d’emissione è certa che siano soddisfatte le seguenti condizioni: a) ottenere gli oggetti, i documenti o i dati richiesti è necessario e proporzionato ai fini dei procedimenti di cui all’articolo 5; b) tali oggetti, documenti o dati possono essere acquisiti in base alla legislazione del Paese d’emissione in un caso interno analogo”

[18] In proposito, è chiarificatore l’art 7 del D. Lgs. n. 108/2017, che costituisce l’atto di recepimento interno della Direttiva 2014/41/UE. Per un primo commento in dottrina, Gatto, Il principio di proporzionalità nell’ordine europeo d’indagine penale, in Sistema Penale, 2019, 2, 73 ss.

[19] Daniele, Ordine europeo d’indagine penale e comunicazioni criptate: il caso Sky ECC/Encrochat in attesa delle Sezioni Unite, in Sistema Penale, 11.12.2020; Spagnolo, Il procedimento d’emissione dell’OEI, in L’ordine europeo di indagine penale-Il nuovo volto della raccolta transnazionale delle prove nel D. Lgs. n. 108 del 2017, Daniele, Kostoris (a cura di), Torino, 2018, 82

[20] Cfr. Amodio, Diritto di difesa e diritto alla prova nello spazio giuridico europeo, in Lanzi, Ruggieri e CARNALDO (a cura di), Il difensore e il pubblico ministero europeo, Padova, 2002, 107; Marafioti, Orizzonti investigativi europei, assistenza giudiziaria e mutuo riconoscimento, in Bene, Luparia, Marafioti (a cura di), L’ordine europeo di indagine: criticità e prospettive, Torino, 2016, 15

[21] Simile scelta degli organi inquirenti nazionali, per nulla condivisibile, a cavallo tra gli ultimi mesi del 2022 e i primi mesi del 2023, era stata fra l’altro avallata da diversi arresti della I Sezione Penale della Corte di Cassazione. Al riguardo, Cass. Pen., Sez. I, 13.10.2022 (data dep. 15.02.2023), n. 6364, Calderon; Cass. Pen., Sez. IV, 13.01.2023, n. 19082, Costacurta

[22] In proposito, v. Corte Suprema di Cassazione, Ufficio del Massimario e del Ruolo, Servizio Penale, Relazione tematica-Stato della giurisprudenza in materia di acquisizione probatoria all’estero (Rel. V/02/2012), la quale richiama Cass. Pen., Sez. I, 07.10.2005, n. 41503. L’arresto giurisprudenziale in esame, nel rifarsi a Cass. Pen., Sez. VI, 13.07.1999, P.M. in proc. Pafumi ed altri, stabilisce infatti che “dal combinato disposto degli artt. 27 e 31 Preleggi, artt. 191 e 729 c.p.p. si ricava (…) -che- la prova non può essere acquisita in contrasto coi principi fondamentali e inderogabili dell’ordinamento giuridico italiano e, quindi, con l’inviolabile diritto di difesa”

[23] Cass. Pen., Sez. IV, 15.07.2022, n. 32915, Lori

[24] Si tratta di un acronimo che sta per Office Central de Lutte contre la Criminalité liée aux Technologies de l’Information et de la Communication: l’equivalente della polizia postale italiana.

[25] D’altro lato, il codice di rito francese stabilisce che, quando il Procuratore della Repubblica desidera procedere, nell’ambito di una inchiesta preliminare, agli atti d’indagine più invasivi, quali possono essere le intercettazioni, risulta indispensabile la preventiva autorizzazione del Giudice delle Libertà e della Detenzione. A differenza del rappresentante della pubblica accusa, tale magistrato, presentando i caratteri della terzietà e della indipendenza, è infatti nella condizione di valutare la necessità e la proporzionalità della misura richiesta.

[26] Il 20 agosto 2019, l’indagine preliminare condotta dall’OCLCTIC portava all’apertura di un’informazione giudiziaria. Le investigazioni passavano dunque sotto la direzione del Giudice Istruttore. Per l’ordinamento francese, tale magistrato, al pari del Giudice delle Libertà e della Detenzione, gode dei requisiti della imparzialità e dell’indipendenza. Di riflesso, l’attività captativa in essere sui server di Roubaix, da quel momento in poi, sarebbe stata prolungata, dietro molteplici ordinanze del Giudice Istruttore presso il Tribunale di Lille.

[27] Così recita l’art 706-75 del Code de Procedure Penale

[28] Il Giudice Istruttore presso il Tribunale di Parigi, in maggiore dettaglio, autorizzava la installazione di un secondo captatore informatico sul “server 1” in data 24.02.2021, perché la Sky Global aveva tamponato l’azione del primo Trojan impiantato sul “server 2 o server di back-up”, deviando parte del traffico telematico, che correva sulla sua piattaforma, sul diverso “server 1”. In proposito, si rivela illuminante la lettura di questo passo della richiesta del commissario di polizia Omar Merchi, Capo aggiunto dell’OCLCTIC, al Giudice Istruttore presso il Tribunale di Parigi Brice Hansemann di predisposizione e di utilizzazione di un dispositivo di acquisizione di dati sul collegamento esterno del server ns624000.ip-5.135.135.eu, meglio conosciuto come “server 1”: “Il 19.02.2021 le squadre olandesi notavano una riduzione significativa e continua del numero dei messaggi criptati. Le statistiche mostravano un calo da 300 000 messaggi intercettati criptati ogni ora a 40 000 ogni ora. (…). Dopo 3 giorni di indagini tecniche sui dati intercettati si stabilì che nell’infrastruttura c’erano stati dei cambiamenti e il flusso dei messaggi criptati non passava più unicamente dal server 2 (ns6029808.ip-188_165.eu) ma ugualmente dal server 1 /ns62400.ip-5.135.135.eu). Questo server -il server 1- essendo ugualmente intercettato -da tempo, insieme agli altri server- i messaggi sono registrati ma a causa di questa modifica, la loro cifratura non è più compatibile con la catena di gestione predisposta dagli olandesi e la cui adattazione necessaria non è fattibile allo stadio attuale dell’inchiesta”.

[29] V., ex plurimis, Cass. Pen., Sez. IV, 28.03.2023, n. 17647; Cass. Pen., Sez. IV, Cass. Pen., Sez. IV, 05.04.2023, n. 16347, Papalia, con nota di Filippi, Criptofonini e diritto di difesa, in Penale Diritto e Procedura, 23 giugno 2023

[30] Come rilevato dal dizionario Sabatini Coletti, intercettare significa “inserirsi in una comunicazione e riceverla, all’insaputa del mittente e del destinatario”.

[31] Al riguardo, Gialuz, Premessa, in Gialuz (a cura di), Le nuove intercettazioni, Supplemento al fascicolo 3/2020 di Rivista del Diritto di Intenet, 3

[32] In proposito, Caprioli, Il captatore informatico come strumento di ricerca della prova in Italia, in Revista Brasileira de Dereito Processual Penal, 2017, 3, 483 ss.; Conti, Prova scientifica e diritti fondamentali: a proposito di captatore e non solo, in Diritto penale e processo, 2018, 1210 ss.; Agostino, Peraldo, Le intercettazioni con captatore informatico: ambito di applicazione e garanzie procedurali, in Gialuz (a cura di), Le nuove intercettazioni, Supplemento al fascicolo 3/2020 di Rivista del Diritto di Intenet, 76

[33] V. Informativa del 15.09.2022, redatta nel quadro del procedimento penale 1589/2019 R.G.N.R. RC DDA, Eureka, PREMESSA, LXIII

[34] Cass. Pen., Sez. Un., 17.11.2004, n. 45189, Esposito

[35] Spangher, Chat. Saranno le Sezioni Unite a “decriptare” le questioni giuridiche, in Giustizia Insieme, 13 novembre 2023

[36] “In particolare, sono state citate -recte: aperti- decine di fascicoli della polizia giudiziaria di Anversa relativi a organizzazioni criminali che utilizzano dispositivi Sky ECC. Più di 350 numeri SKYECC sono stati coinvolti solo per l’area di Anversa. Questa cifra è salita a 1000 numeri relativi ad attività criminali in tutto il Paese belga (…). Le autorità belghe e olandesi hanno indicato che c’erano circa 68.000 utenti dell’applicazione in tutto il mondo, la maggior parte in Europa, circa 8.000 utenti in Belgio…”, in questi termini l’annotazione di PG del brigadiere di polizia in servizio presso l’OCLCTIC, Guillaume Lamboy, del 12 giugno 2019.

[37] In proposito questo passo comune alle due ordinanze in disamina è rivelatore:”la misura di acquisizione -la messa in funzione del Trojan, utile ad apprendere le chiavi di cifratura giacenti nei singoli dispositivi criptati- appare infatti necessaria per determinare il livello di utilizzazione criminale che è fatto di questo sistema (..)”.

[38] V. Europol, Internet organised crime threat assessment 2021, 18.

[39] Al riguardo, una qualche utile indicazione sembra essere paradossalmente fornita dal Procuratore Nazionale Antimafia, Dott. Giovanni Melillo, e dall’ex Comandante ROS, il Generale Pasquale Angelosanto, Cfr., più esattamente, l’audizione al Senato del Procuratore Nazionale Antimafia Giovanni Melillo sul tema delle intercettazioni del 31 gennaio 2023, in Giustizia Insieme, 3 febbraio 2023 e l’audizione dell’ex Comandante dei ROS, Gen. Pasquale Angelosanto, tenutasi il 20 giugno 2023 dinanzi alla medesima commissione parlamentare, in httpss://www.senato.it/3497?seduta=299733. V. anche Mascali, Sulle criptochat abbiamo le mani legate, in Il Fatto Quotidiano, 08.11.2023

[40] L’art 10 paragrafo 5 della Direttiva 2014/41/UE stabilisce che: “Ove, conformemente al paragrafo 1, l’atto d’indagine richiesto nell’OEI non sia previsto dal diritto dello Stato di esecuzione o non sia disponibile in un caso interno analogo, e ove non vi siano altri atti d’indagine che consentano di ottenere lo stesso risultato dell’atto di indagine richiesto, l’autorità di esecuzione informa l’autorità di emissione che non è stato possibile fornire l’assistenza richiesta”.

[41] Sul punto, Corte Europea dei Diritti dell’Uomo, 29.03.2005, requete n. 57752/00, Matheron c. Francia

[42] V. Conclusioni dell’Avvocato Generale Tamara Capeta presentate il 26 ottobre 2023, Causa C-670/22, Staatsanwaltschaft Berlin contro M.N., punti 104 ss.

[43] Al riguardo, Informativa ROS del 15.09.2022, che è stata redatta nel quadro del procedimento penale n. 1589/2019 R.G.N.R. DDA RC, Eureka, PREMESSA, LX, laddove viene precisato che le utenze Sky ECC presenti sul territorio italiano si aggiravano tra le 12.000 e le 15.000.

[44] V. ancora, Informativa ROS del 15.09.2022, che è stata redatta nel quadro del procedimento penale n. 1589/2019 R.G.N.R. DDA RC, Eureka, PREMESSA, LXIII.

[45] L’art 100-8 del Code de Procedure Penale, in maggiore dettaglio, si compone di quattro previsioni. Il primo comma stabilisce che “Qualora un’intercettazione di corrispondenza inviata per mezzo di comunicazioni elettroniche riguardi un indirizzo di comunicazione utilizzato sul territorio di uno Stato membro dell’Unione Europea e questa non sia effettuata nell’ambito di un ordine europeo d’indagine, il giudice istruttore o l’ufficiale di polizia giudiziaria da questi designtao notifica l’intercettazione all’autorità competente di tale Stato se la persona interessata dall’intercettazione si trova sul suo territorio”. Il secondo comma recita che: “Tale notifica avviene prima dell’intercettazione, qualora dai documenti contenuti nel fascicolo del procedimento al momento dell’intercettazione risulti che l’interessato si trova o si troverà sul territorio di tale Stato, oppure durante l’intercettazione o dopo che questa è stata effettuata, non appena si sia accertato che tale persona si trova o si trovava sul territorio di tale Stato al momento dell’intercettazione. Ai sensi del terzo comma “Su richiesta dell’autorità competente dello Stato membro, formulata entro 96 ore dalla ricezione della notifica e giustificata dal fatto che tale intercettazione non poteva essere autorizzata, nell’ambito di un analogo procedimento nazionale, ai sensi della legislazione di tale Stato, l’intercettazione non può essere effettuata o deve essere interrotta, oppure i dati intercettati mentre la persona si trovava sul suo territorio non possono essere utilizzati e devono essere rimossi dal fascicolo del procedimento o possono essere utilizzati esclusivamente secondo le condizioni e per i motivi specificati da tale autorità”. Il quarto comma chiosa, stabilendo che: “La mancata notifica di cui al primo e al secondo comma costituisce motivo di nullità della procedura, soltanto se è accertato che tale intercettazione non poteva essere autorizzata, nell’ambito di un analogo procedimento nazionale, ai sensi della legge dello Stato membro sul cui territorio si trovava la persona”.

[46] Sul punto, Cass. Pen., Sez. V, 28.10.2015, (data dep. 31.03.2016), n. 13057

[47] In proposito, la Informativa del 15.09.2022, redatta nel quadro del procedimento penale 1589/2019 R.G.N.R. RC DDA, Eureka, PREMESSA, LXII

[48] Ludovici, I criptofonini: sistemi informatici criptati e server occulti, in Penale Diritto e Procedura, 14 ottobre 2023; Bronzo, L’impiego del trojan horse informatico nelle indagini penali, in Rivista italiana per le scienze giuridiche, 2017, 8, 348 ss.

[49] In proposito, Brancaccio, Metodi di cooperazione e assistenza giudiziaria, in DPI, 1979, 95

[50] L’ormai abrogato art 18 paragrafo 2 della Decisione Quadro 2008/978/UE stabiliva che: “Le ragioni di merito su cui si basa il MER, compreso il rispetto delle condizioni stabilite all’articolo 7, possono essere impugnate soltatnto mediante un’azione dinanzi a un organo giurisdizionale dello Stato di emissione. Lo Stato di emissione assicura l’applicabilità dei mezzi d’impugnazione che sono disponibili in un caso nazionale analogo”.

[51] V. Conclusioni dell’Avvocato Generale Tamara Capeta presentate il 26 ottobre 2023, Causa C-670/22, Staatsanwaltschaft Berlin contro M.N., punti 101 ss.

[52] In proposito, si consiglia l’ascolto della relazione che l’Avvocato parigino Guillaume Martine ha tenuto nel corso del convegno “Criptofonini, in attesa delle Sezioni unite”, organizzato da Unitelma Sapienza il 06.12.2023. Il video è disponibile sul canale YouTube dell’ateneo.

[53] Cfr., ex plurimis, Cass., Sez. VI, 27.11.2018, (data dep. 02.04.2019), n. 14395

[54] V. Cass. Pen., Sez. IV, 15.10.2019, n. 49896, Brandimarte