Transborder data access da parte dell’Autorità giudiziaria nella lotta al terrorismo: tra diritto internazionale e diritto interno. Palazzo di Giustizia di Milano Aula Magna Emilio Alessandrini - Guido Galli 11 Maggio 2016 Gianpaolo Maria Ruotolo Università di Foggia - King’s College London

Il problema della competenza ad adottare provvedimenti autoritativi sui dati archiviati su servers situati all’estero ai fini della loro acquisizione forzosa nell’ambito di un procedimento penale va inquadrato come una ipotesi di conflitto tra entità statali dotate di autonoma jurisdiction, cioè come un problema di diritto penale e processuale penale internazionale (fattispecie penalmente rilevanti caratterizzate da elementi di estraneità per un qualche aspetto). Jeremy Bentham, An Introduction to the Pinciples of Moral and Legislation (Of the Limits of the Penal Branch of Jurisprudence), 1780, Cap. XVII

Jurisdiction An interventionist approach? (cfr. J. d’A SPREMONT, Cyber Operations and International Law: An Interventionist Legal Thought, 21 Journal of Conflict & Security Law, 2016, forthcoming) “The first and foremost restriction imposed by international law upon a State is that – failing a permissive rule to the contrary – it may not exercise its power in any form in the territory of another State” Lotus Case (France v Turkey) PCIJ Reports Series A, No.10. p.253 (1927) Sovereignity “demonstrates independence in regard to a portion of the globe to exercise therein, and to the exclusion of any other State, the functions of a State” Island of Palmas Case (Netherlands v USA) 1928 to prescribe to enforce to investigate

“Between independent States, respect for territorial sovereignty is an essential foundation of international relations” (Corfu Channel Case, ICJ Reports (1949) “sovereign equality of States, which, as Article 2, paragraph 1, of the Charter of the United Nations makes clear, is one of the fundamental principles of the international legal order. This principle has to be viewed together with the principle that each State possesses sovereignty over its own territory and that there flows from that sovereignty the jurisdiction of the State over events and persons within that territory” Germany v Italy (3 March 2012) ICJ

Corollario Divieto di ingerenza negli affari degli altri Stati Eccezione: norme di diritto internazionale legittimanti (consuetudinarie, pattizie, autorizzazioni ad hoc) (Es: illegittimità internazionale delle c.d. extraordinary renditions )

Il Transborder data access deroga a tali principi? UN Office on Drugs and Crime: due terzi dei Paesi del mondo concepisce l'ordine di accesso ai sistemi informatici di altri Stati o dati come inammissibile in assenza di autorizzazioni del sovrano territoriale, pur facendovi ricorso talvolta, in via di fatto (e ciò dimostra uno scollamento tra elemento soggettivo e oggettivo della prassi). Analogamente, la dottrina: cfr. K OOPS -G OODWIN, Cyberspace, the cloud, and cross-border criminal investigation The limits and possibilities of international law Tilburg University Institute for Law, Technology, and Society: english.wodc.nl/images/2326-volledige-tekst_tcm pdf) Necessità di un titolo legittimante.

Diritto consuetudinario: non ci sono eccezioni al principio di non ingerenza che consentano il TDA. Caso Gorshkov-Ivanov e reazione della Russia Caso Bredolab BOTNET. Alcuni autori sostengono che l’accesso sarebbe illegittimo solo qualora dovesse cagionare danni materiali al sistema informatico all’estero o violare forme di immunità, ma si tratta di posizioni alquanto arbitrarie, dal momento che il danno non è un elemento dell’illecito internazionale.

Norme patttizie (Mutual legal assistance treaties, MLATs). Criteri contemplati nazionalità attiva (del soggetto nei cui confronti si stanno svolgendo le indagini) nazionalità passiva (del soggetto leso dal reato nei cui confronti si sta investigando o procedendo) Criterio“della bandiera” art. 109, par. 3 CNUDM (“Trasmissioni non autorizzate dall’altro mare”): Chiunque sia responsabile di trasmissioni non autorizzate che partano dal mare internazionale può essere sottoposto a procedimento giurisdizionale penale interno, oltre che dello Stato di bandiera della nave, anche dello Stato presso cui la stazione trasmittente è registrata, dello Stato nazionale di uno dei responsabili della trasmissione, di uno qualunque degli Stati che ricevono la trasmissione stessa o ancora di uno qualunque degli Stati le cui radiocomunicazioni autorizzate subiscono interferenze a cagione della stessa. “dottrina degli effetti”: giurisprudenza relativa alla diffamazione avvenuta a mezzo Internet per tramite di server localizzato all'estero, ritenendo che il reato di diffamazione, dotato di natura di reato di evento, si consumi “nel momento e nel luogo in cui i terzi percepiscono l'espressione ingiuriosa”, ha concluso per la sussistenza della giurisdizione italiana in tutti i casi di informazioni ospitate su server all’estero, nel momento in cui il messaggio diffamatorio fosse venuto a conoscenza di persone che si trovano in Italia (Secondo Cass. pen., sez. 2, Sentenza n del 21/02/2008, infatti, “il reato di diffamazione consistente nell'immissione nella rete Internet di frasi offensive e/o immagini denigratorie, deve ritenersi commesso nel luogo in cui le offese e le denigrazioni sono percepite da più fruitori della rete, pur quando il sito "web" sia registrato all'estero”). principio di universalità della giurisdizione penale: crimini internazionali degli individui, consenso ( e art. 32, lett. b) della Convenzione del Consiglio d’Europa sulla criminalità informatica) Per una ricostruzione si veda G.M. R UOTOLO, Hey! You! Get Off Of My Cloud! Accesso autoritativo alle nuvole informatiche e diritto internazionale, in Archivio Penale, (ISBN – ISSN )

Questi criteri sono tutti applicazione di due principi più generali: 1) l’esistenza di un collegamento sostanziale tra lo Stato che esercita la giurisdizione e la fattispecie su cui essa viene esercitata; 2) l’esistenza di un interesse giuridicamente rilevante ad esercitare la giurisdizione. Teniamoli presenti..

Risoluzione 2178 (2014) Consiglio di Sicurezza Reaffirming its respect for the sovereignty, territorial integrity and political independence of all States in accordance with the Charter, Reaffirming that Member States must ensure that any measures taken to counter terrorism comply with all their obligations under international law, in particular international human rights law, international refugee law, and international humanitarian law, Expressing concern over the increased use by terrorists and their supporters of communications technology for the purpose of radicalizing to terrorism, recruiting and inciting others to commit terrorist acts, including through the internet, 12.Recallsits decision in resolution 1373 (2001)that Member States shall afford one another the greatest measure of assistance in connection with criminal investigations or proceedings relating to the financing or support of terrorist acts, including assistance in obtaining evidence in their possession necessary for the proceedings, and underlines the importance of fulfilling this obligation with respect to such investigations or proceedings involving foreign terrorist fighters;

Legittimità delle risoluzioni “legislative”del CdS ex art. 39 carta ONU? Effetti interni delle risoluzioni: adattamento primario e self executiveness. Principio di interpretazione conforme del diritto interno

Norme di adattamento secondario L. 17 aprile 2015, n. 43 (conv. decreto-legge 18 febbraio 2015, n. 7) Art. 2, comma 2: blacklisting. …l'organo del Ministero dell'interno per la sicurezza e per la regolarita' dei servizi di telecomunicazione, fatte salve le iniziative e le determinazioni dell'autorita' giudiziaria, aggiorna costantemente un elenco di siti utilizzati per le attivita' e le condotte di cui agli articoli 270-bis e 270-sexies del codice penale … Art. 3 (inibizione) I fornitori di connettivita', su richiesta dell'autorita‘ giudiziaria procedente, (( preferibilmente effettuata per il tramite degli organi di polizia giudiziaria di cui al comma 2 dell'articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, )) inibiscono l'accesso ai siti inseriti nell'elenco di cui al comma 2, secondo le modalita', i tempi e le soluzioni tecniche individuate e definite con il decreto previsto dall'articolo 14-quater, comma 1, della legge 3 agosto 1998, n. 269.

Art. 234 bis c.p.p. (Acquisizione di documenti e dati informatici). È sempre consentita l’acquisizione di documenti e dati informatici conservati all’estero, anche diversi da quelli disponibili al pubblico, previo consenso, in quest’ultimo caso, del legittimo titolare. Art. 32 Conv. Cybercrime (Trans- border access to stored computer data with consent or where publicly available ) A Party may, without the authorisation of another Party: a) access publicly available (open source) stored computer data, regardless of where the data is located geographically; or b) access or receive, through a computer system in its territory, stored computer data located in another Party, if the Party obtains the lawful and voluntary consent of the person who has the lawful authority to disclose a to the Party through that computer system. Legge 18 marzo 2008, n. 48 "Ratifica ed esecuzione della Convenzione del Consiglio d’Europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell’ordinamento interno"

L’art. 32 Conv. Cyb. consente l’accesso transfrontaliero senza alcun consenso dello Stato sul cui territorio sono allocati i dati? NO, dal momento che c ’è la previa ratifica ed esecuzione della Convenzione nel suo complesso e quindi il consenso è già stato acquisito preventivamente. “Article 32(b) can also be interpreted as including the possibility of cross-border searches with lawfully obtained credentials (i.e., the login name and password for remote accounts, if lawfully provided by the suspect or service provider, or found, for example, on a post-it note on the suspect’s desk during a lawful search” (B.J. K OOPS, M. G OODWIN, Cyberspace, the cloud, and cross-border criminal investigation. The limits and possibilities of international law, 2014 Power of disposal

Accesso con consenso L’art. 234 bis c.p.p. con riguardo ai Paesi membri della Convenzione quindi non crea problemi. Ma il consenso del privato, se lo Stato in cui sono i dati non è parte della Conv. Cyb, risolve il problema della sovranità? Chi è il titolare del diritto alla cui violazione si acconsente? (parallelo con la rinuncia del privato alla protezione diplomatica)

Internet può essere regolata mediante forze “in large part exercised by technologies (…), backed by the rule of law (or at least what’s left of the rule of law). The challenge for our generation is to reconcile these two forces” (L. L ESSIG, Code – Version 2.0, Cambridge, 2006, p. xv) sig-Codev2.pdf

unifg.academia.edu/GianpaoloMariaRuotolo ssrn.com/author=