L E INVESTIGAZIONI NEL CLOUD. PROFILI TECNICO - INVESTIGATIVI ED ASPETTI DI DIRITTO PROCESSUALE INTERNO : DAL TRANSBORDER ACCESS TO DATA AL NUOVO ART BIS C. P. P. Cesare Parodi Procura della Repubblica di Torino

Niccolò Machiavelli Discorsi sopra la prima deca di Tito Livio Gli uomini prudenti si fanno grado delle cose sempre e in ogni loro azione, ancora che la necessità gli constringesse a farle in ogni modo. Questa prudenza fu usata bene dal Senato romano, quando ei diliberò, che si desse il soldo del publico agli uomini che militavano, essendo consueti militare del loro proprio. Ma veggendo il Senato come in quel modo non si poteva fare lungamente guerra, e per questo non potendo né assediare terre né condurre gli eserciti discosto; e giudicando essere necessario potere fare l'uno e l'altro, deliberò che si dessono detti stipendi: ma lo feciono in modo che si fecero grado di quello a che la necessità gli constringeva.

NULLA E’ PIU LEGITTIMO DELLA NECESSITA’ (L. Caracciolo) COSA E’ LA NECESSITA’? COSA E’ NORMALE E COSA E’ ECCEZIONALE ? COSA E’ «GENERALE» E COSA E’ «SPECIALE» ?

NELLA NORMALITA e GENERALITA’ DEI CASI, PER ESEGUIRE UN ATTO DI INDAGINE ALL’ESTERO: -si procede con una richiesta di assistenza internazionale (rogatoria) -in specifici contesti ( es. unione europea) si utilizzano procedure semplificate e dirette -si sta lavorando per l’Ordine di Indagine Europeo (direttiva 2014) -IN OGNI MODO NON SI POSSONO COMPIERE ATTI DI INDAGINE DIRETTAMENTE ALL’ESTERO

QUALE TUTELA DEI DIRITTI CI POSSIAMO ANCORA PERMETTERE ? Le specificità della ricerca e conservazione della prova informatica e il contesto internazionale ( che sia terrorismo o guerra) rendono necessarie «risposte» differenti del sistema ? E quanto e come queste risposte possono essere «eccentriche» rispetto al sistema di tutela dei diritti che in condizioni generali e normali si riteneva definitivamente acquisito ?

Cosa è il cloud e dove si trova ???

Ciberspazio/spazio virtuale/delocalizzazione Detemporalizzazione Dissimulazione dell’identità telematica. Il secondo ed il terzo sono problemi gravi e seri, ma diversi dal primo. Il punto dolente è il primo: lo spazio virtuale. NON ESISTE

Non esiste un mondo virtuale e parallelo e i problemi sulla competenza in relazione al «cloud» devono essere correttamente impostati in chiave teorica. I Ogni cloud sta su un server ed ogni server ha un indirizzo, come il «Panino giusto» o casa mia. Se NON lo conosco, è un problema diverso. Se lo conosco, perquisisco il luogo ( se è in Italia) o se estero chiedo a qualcuno di perquisirlo. Inefficace, non semplice e non rapido.

II Ovunque sia il server, il gestore lo sa. Il gestore può essere anche in un altro stato. Il gestore è- spesso, spessissimo- identificabile, contattabile, legittimente « aggredibille». Potrebbe avere- non necessariamente- un interesse a collaborare. Possiamo usare tutti gli strumenti del sistema, nazionali o internazionali.

Il punto è allora non dove sono i dati, ma quali strumenti di acquisizione posso usare su dati telematicamente accessibili anche da territorio nazionale. Nel caso in cui ovviamente: -il gestore dei dati non possa/voglia collaborare all’acquisizione -ci si debba confrontare con un estensione del concetto di domicilio informatico che includa anche le aree a disposizione sul "cloud" ( rectius su un server estero non direttamente raggiungibile) Quali strumenti giuridici sono legittimamente, concretamente ed efficacemente utilizzabili in questi casi?

Legge 17 aprile 2015, n. 43, art. 2: “Integrazione delle misure di prevenzione e contrasto delle attività terroristiche“ Nuova fattispecie autonoma di mezzo di prova. Inserita dalle modificazioni apportate in sede di conversione al decreto-legge 18 febbraio 2015, n. 7 «Art. 234-bis. – (Acquisizione di documenti e dati informatici). È sempre consentita l’acquisizione di documenti e dati informatici conservati all’estero, anche diversi da quelli disponibili al pubblico, previo consenso, in quest’ultimo caso, del legittimo titolare».

Art. 234 c.p.p. –. Prova documentale “È consentita l’acquisizione di scritti o di altri documenti che rappresentano fatti, persone o cose mediante la fotografia, la cinematografia, la fonografia o qualsiasi altro mezzo.”

SEMPRE C’è una unica spiegazione: un « documento» anche informatico poteva già essere acquisito in base al 234 c.p.p.; il «sempre» si riferisce quindi non all’oggetto ma alla «collocazione» dello stesso e soprattutto allo strumento di acquisizione. Non più e non solo lo « strumento» dell’assistenza internazionale nelle sue varie forme.

Dobbiamo immaginare che la nuova norma abbia un signficato e non si limiti a ribadire un principio già espresso - Stiamo parlando della stessa « acquisizione» ? - L’oggetto è diverso ? Il 234 cpp non menziona il consenso

Art. 32 della Convenzione del Consiglio d’Europa sulla Criminalità Informatica: “ Trans-border access to stored computer data with consent or where publicly available …. “Accesso transfrontaliero a dati informatici immagazzinati con il consenso o quando pubblicamente disponibili Una parte può, senza l’autorizzazione di un’altra Parte: a. accedere ai dati informatici immagazzinati disponibili al pubblico (fonti aperte), senza avere riguardo al luogo geografico in cui si trovano tali dati; o b. accedere o ricevere, attraverso un sistema informatico nel proprio territorio, dati informatici immagazzinati situati in un altro Stato, se la Parte ottiene il consenso legale e volontario della persona legalmente autorizzata a divulgare i dati allo Stato attraverso tale sistema informatico.“

Perché questa disposizione non è «entrata» nella legge 48/2008 ? Eravamo relativamente lontani da urgenze/necessità ? Il legislatore del 2015 ha inserito il 234 bis cpp tra i « mezzi di prova» Avrebbe avuto un senso disciplinare il « mezzo di ricerca della prova» tipizzando l’atto di ricerca più che l’esito della ricerca stessa ?

I dati e documenti informatici « pubblici»: d.Lgs 82/2005- CAD - art. 1 lett. : o) disponibilità: la possibilità di accedere ai dati senza restrizioni non riconducibili a esplicite norme di legge; n) dato pubblico: il dato conoscibile da chiunque. -dati informatici (informazioni, documenti, foto, e messaggi in chiaro dei social network, ovunque allocati) disponibili e fruibili on line ogni qual volta il proprietario o l’interessato abbia ritenuto di condividerli con un numero indeterminato di soggetti Es. -dati relativi ai profili pubblici sui social network -messaggi nei gruppi di discussione -contenuto di un sito web o di un blog -immagini pubblicate su piattaforme di condivisione

Per questi dati si pongono due problemi: -La riferibilità soggettiva ( non affrontato, neppure indirettamente dall’art 234 bis cpp, ma comune a TUTTI gli accertamenti informatici/telematici). -Le modalità di acquisizione e le garanzie connesse a tale acquisizione; nondimeno, la norma NON ha indicato o richiamato standard tecnici espressi.

L’acquisizione deve comunque avvenire con modalità forensi, utilizzando sistemi software in grado di garantire l’integrità e la genuinità del dato informatico acquisito da remoto. Indispensabile rispetto delle norme codicistiche introdotte dalla L. 18 marzo 2008, n. 48 (art. 247, 248, 352 e 354 c.p.p.). Il punto è: si tratta di attività ripetibile o irripetibile ? E che natura ha tale attività ?

ERACLITO: Non si scenda mai due volte nello stesso fiume…. Ed allora, se tutto è ontologicamente irripetibile, dobbiamo cercare una concetto « accettabile» di ripetibilità. L’acquisizione di un file on line con specifiche modalità tecniche non può essere definita di per sé « irripetibile».

I DATI NON PUBBLICI dati informatici non condivisi pubblicamente con una pluralità di individui, in quanto allocati in aree accessibili on line solo a mezzo di credenziali di autenticazione o comunque protetti a mezzo di tecniche di cifratura ( es. dati gestiti tramite aree cloud ) METADATI informazioni, memorizzate sui server dei soggetti che forniscono servi informativi, con oggetto: -struttura tecnica di un file -creazione, modifica, scambio, cancellazione, diffusione di file -dati relativi alle connessioni, all’accesso, alla durata e all’attività di un utente su una piattaforma informatica. -Dati relativi a comunicazioni e corrispondenza ( es. chat ) -Caselle di posta elettronica.

METADATI Se si intendono i dati scambiati in tempo reale e relativi a contenuti di comunicazioni con riguardo al principio di cui all’art. 15 Cost., è comunque necessario il decreto dell’Autorità Giudiziaria o una richiesta con la forma della rogatoria internazionale ?

DOMANDA: Se in Italia per acquisire i file di log è necessario un decreto del pm ed esiste un preciso limite temporale, rispetto ad un soggetto estero si possono acquisire con il semplice consenso e senza limiti ? Sarebbe un principio dirompente, ma sarebbe «compatibile» con la ergonomia del sistema ?

Il « consenso» e il « titolare» Art. 32 della Convenzione di Budapest il richiedente può ottenere i dati informatici se : “..ottiene il consenso lecito e volontario del soggetto legalmente autorizzato a trasmettere tali dati attraverso detto sistema informatico”. SOLO PER I CRIMINI INFORMATICI Art. 234-bis c.p.p. consente sempre e a chiunque, di acquisire documenti e dati informatici conservati all’estero non disponibili al pubblico grazie al consenso prestato dal “legittimo titolare”. TUTTI I REATI

Chi è il titolare ? Codice della Privacy” (art. 4 let. f d.lgs 196/2003): TITOLARE. « la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”. E’ titolare il soggetto che detiene o chi genera il dato?

CRITICA Titolare quale concetto di derivazione europea ( direttiva sulla protezione dei dati personali 95/46 CE ) applicabile solo ad contesto europeo ( dal 2018 entrerà in vigore il Regolamento europeo sulla privacy che modificherà il termine da titolare a “responsabile”.) Non applicabile alle società non propriamente “titolari del trattamento” ( es. dati informatici associati ad account non riconducibili direttamente a persone fisiche individuate o individuabili, come tali anonimi: si tratta al contrario spesso dei dati di maggiore interesse investigativo) Non è stato indicato espressamente il “titolare del trattamento” ma solo il semplice “titolare”.

ALTERNATIVA Identificazione del titolare sulla base degli accordi contrattuali tra società e «cliente», ossia individuato tra i soggetti titolari di diritti soggettivi presente negli accordi e nei contratti stipulati in rete tra utenti e società in occasione dell’attivazione del servizio. Condizioni presenti negli accordi e nelle policy dei grandi player internazionali e dei grandi ISP mondiali (internet service provider) indicative di un potere e di un diritto (ma anche di un divieto) di disporre di tali dati informatici.

Indipendentemente dal soggetto materialmente "inserisce dati", se il contratto prevede che il Provider sia autorizzato a divulgare dati in determinate occasioni, il legittimo titolare, ai sensi dell’art. 234 bis c.p.p., deve essere individuato nel Provider stessa, in quanto gestore dei dati. E' il soggetto al quale competono le decisioni in ordine al trattamento dei dati. Se il consenso potesse essere prestato dal soggetto sul quale vertono le indagini, quando potrebbe esserci in concreto il consenso e che significato assumerebbe la norma ???

DUNQUE ? L’art 234 bis cpp è non solo una alternativa istituzionalizzata allo strumento della rogatoria internazionale, ma anche una deroga al sistema di cooperazione in ambito europeo e internazionale che già consente una rapida circolazione di prove documentali di questo genere ( v art. 32 Convenzione di Budapest). L’art. 234-bis c.p.p. prescinde da ogni accordo/ coordinamento tra stati, ma ha una base “privatistica” tra l’autorità giudiziaria che svolge le indagini e la società privata o l’ente che detiene i dati all’estero.

La società che detiene legittimamente – ovunque fisicamente si trovino- dati o documenti potrà decidere di consentirne l’acquisizione. In quest’ottica il concetto di « titolare» di cui al d.lgs. 196/2003 ha una valenza limitata. E’ un problema di scelte aziendali: il « detentore» dei dati dovrà decidere aprioristicamente se collaborare con le a.g.,e in base a tale scelta ( formalizzata negli accordi con i clienti) potrà avere/ non avere fruitori di servizi.

In questa prospettiva la collocazione fisica del server ( la nuvola NON esiste, non dimentichiamolo mai…..) è irrilevante, perché ciò che conta è l’interlocutore dell’a.g. che a quel server può accedere. Patologia del sistema: quid iuris se una società ha dati/documenti che NON potrebbe avere e per i quali presta il consenso alla consegna, o lo presta in termini diversi dagli accordi contrattuali ? In Italia, si applica il d.lgs 196/2003; per l’estero non potrà che essere il singolo paese a decidere.

FORMA E NATURA DELLA ACQUISIZIONE E OGGETTO DELL'ATTIVITA' Quali attività può essere compiuta dalla p.g. ? Si tratta di rilievi o accertamenti ? L’acquisizione prende o può prendere le forme del sequestro ?

OGGETTO DELL’ATTIVITA’ Art. 1 lett. b. Convenzione del Consiglio d’Europa sulla Criminalità Informatica – DATI INFORMATICI” qualunque presentazione di fatti, informazioni o concetti in forma suscettibile di essere utilizzata in un sistema computerizzato, incluso un programma in grado di consentire ad un sistema computerizzato di svolgere una funzione» DOCUMENTO INFORMATICO art. 1 lett. p D.Lgs. 7 marzo 2005, n. 82) «la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti“ CONSERVATI deve intendersi « MEMORIZZATI»

Se il dato/documento viene acquisito ( e quindi NON sequestrato) si può ipotizzare che l’attività possa essere svolta, oltre dalla a.g., anche -dalla p.g. di iniziativa -dal difensore nell’ambito delle indagini difensive. OVVIAMENTE p.g. e difensore dovranno garantire l’autenticità dei dati e la provenienza dei medesimi, assicurando la « catena di custodia.

Per il documento “ tradizionale” la fase acquisitiva era fondamentalmente irrilevante, di modo che esso, a differenza degli altri mezzi di prova si caratterizzava per una sostanziale staticità Per il documento informatico l’aspetto tecnico dell’acquisizione e le garanzie che deve assicurare appaiono come temi assolutamente nuovi e significativi.

ACQUISIZIONE Deve intendersi COPIA o DUPLICATO del documento ? – D.Lgs. 7 marzo 2005, n. 82), -art. 1 : lett:i-quater) copia informatica di documento informatico: il documento informatico avente contenuto identico a quello del documento da cui e’ tratto su supporto informatico con diversa sequenza di valori binari; i-quinquies) duplicato informatico: il documento informatico ottenuto mediante la memorizzazione, sullo stesso dispositivo o su dispositivi diversi, della medesima sequenza di valori binari del documento originario.

Ancora sulla ACQUISIZIONE Che natura ha: rilievo tecnico o accertamento? Rilievo: osservazione, misurazione e descrizione di dati luoghi, persone ed oggetti non implica né lo studio, né soprattutto un’elaborazione critica dei dati. Accertamento: attività di osservazione e descrizione di elementi oggettivi che comporta valutazioni ed elaborazioni critiche.

Cass., n “Qualora… si tratti semplicemente di apprendere o conservare cose pertinenti al reato che non sono di proprietà altrui ovvero si tratti di conservare cose spontaneamente consegnate da altri, che non ne pretenda la restituzione, non è necessario procedere al sequestro, non occorrendo porre su di esse un vincolo di indisponibilità in contrasto con l’altrui proprietà o possesso: in tali ipotesi la polizia giudiziaria, nell’ esercizio dei poteri conferiti della legge, procede all’apprensione e conservazione delle cose pertinenti al reato in piena libertà di forme purché idonee allo scopo e previa verbalizzazione delle relative attività. Ne consegue che i reperti così appresi e conservati sono utilizzabili in giudizio come fonti di prove“.

Comunicazioni, conversazioni, messaggi: quale disciplina ?

E possibile utilizzare l’art 234 bis c.p.p. per « acquisire « anche da una società estera i dati e le informazioni oggetto di comunicazione o di corrispondenza scambiate in tempo reale tra due o più soggetti, ovunque gli stessi si trovino ? Il problema si pone in quanto vi è la possibilità- in molto casi la certezza- che le comunicazioni ed i messaggi on line restino « memorizzati» sui server delle società di gestione dei servizi prima della lettura da parte dei destinatari ed a volte anche in seguito. Quando in tali casi è necessario acquisire i dati con lo strumento della intercettazione telematica ex art 266 bis cpp? Ed è possibile utilizzare, al contrario, l’art 234 bis cpp? E l’art 354 bis cpp ?

INTERCETTAZIONE TELEMATICA/SEQUESTRO DELLA POSTA ELETTRONICA Criterio temporale: disciplina delle intercettazioni solo quando la captazione dell’ avviene in tempo reale o in maniera contestuale alla sua trasmissione. Criterio della natura dell’attività: intercettazione attività occulta; sequestro atto a sorpresa, ma evidente e garantito. Nel caso di duplicazione della casella di posta elettronica da parte del gestore del relativo servizio, con l’inoltro di tutte l’ direttamente sul server della Procura della Repubblica, ( reindirizzamento): intercettazione

Cass. pen., sez. III, 23 dicembre 2015: In materia di utilizzazione di messaggistica con il sistema BlackBarry PIN to PIN, sarebbe corretto acquisire i contenuti mediante intercettazione ex art. 266 bis c.p.p. delle chat anche se non contestuali. Le stesse «costituiscono un flusso di comunicazioni»; viene meno il requisito della "contestualità del colloquio ". La chat dovrebbe essere assimilata ad un flusso di comunicazioni e non potrebbe essere considerata alla stregua di una corrispondenza privata.

Dubbi se la posta sia stata letta o non letta Diverse caratteristiche dei programmi di posta Con la Convenzione di Budapest nel 2001, è stato inserito un nuovo inciso nell’art. 254 c.p.p. che estende l’applicabilità del sequestro di corrispondenza alle missive inviate anche “per via telematica” : la posta elettronica ed i suoi surrogati rientrano nel concetto di “corrispondenza” tradizionalmente intesa. In senso critico: Cass., Sez. I., n /04/2014 : cio’ che è già ricevuto non costituisce corrispondenza, quindi non godrebbe di particolare tutela. Chi scrive una mail sa benissimo che rimane memorizzata sul server del gestore.

Per «risolvere» il dubbio sul fatto che un decreto di intercettazione «copra» anche la corrispondenza depositata presso il server : Sequestro di corrispondenza telematica di un soggetto presso un terzo che la detiene ai sensi dell'art. 254 bis cpp; sottoposto al regime di cui all’art.365 c.p.p.; avviso di deposito del verbale ex art.366 al difensore. Può considerarsi “presso terzi” un sequestro che avviene sul server del provider ma in relazione a documenti informatici di pertinenza della persona indagata o di un terzo?

Ciò che pare ( parrebbe ) certo è che non può ritenersi possibile acquisire la posta elettronica in « giacenza» a mezzo dell’art. 234 bis cpp.

Grazie a tutti !