Acquisizione all’estero della messaggistica criptata sulla piattaforma SKY-ECC

Massima

In tema di ordine europeo di indagine, l'oggetto dell'acquisizione all'estero della messaggistica criptata sulla piattaforma SKY-ECC non costituisce dato informatico utilizzabile ai sensi dell'art. 234-bis c.p.p., sicché, in tale ipotesi, l'attività acquisitiva, se riguardante comunicazioni avvenute nella fase “statica”, dev'essere inquadrata nelle disposizioni dettate in materia di perquisizione e sequestro e, in particolare, in quella prevista dall'art. 254-bis c.p.p., mentre se, avente ad oggetto comunicazioni avvenute nella fase “dinamica”, dev'essere inquadrata nella disciplina degli artt. 266 e ss. c.p.p., in materia di intercettazioni telematiche.

Il caso

Nell'ambito di un procedimento penale nei confronti di una associazione finalizzata al narcotraffico, a seguito della istanza di riesame proposta dall'indagato – destinatario della misura della custodia cautelare in carcere – il Tribunale confermava il titolo custodiale, ritenendo che i messaggi scambiati attraverso la piattaforma di messaggistica criptata Sky-Ecc, acquisiti attraverso ordine di indagine europeo, doveva ritenersi utilizzabile ai sensi dell'art. 234-bis c.p.p., in quanto relativo al contenuto di comunicazioni non in corso ma effettuate in precedenza, memorizzate come messaggi.

L'indagato proponeva ricorso in Cassazione lamentando, tra gli altri, la inapplicabilità dell'art. 234-bis c.p.p., dal momento che i messaggi dovevano essere acquisiti ai sensi dell'art. 254-bis c.p.p. ovvero mediante intercettazione telematica ex art. 266-bis c.p.p.

La Corte di cassazione accoglie il ricorso, ritenendo non applicabile la disciplina prevista dall'art. 234-bis c.p.p., dal momento che tale disciplina è applicabile solo nei confronti di elementi informativi dematerializzati, preesistenti all'avvio dell'attività di indagine, mentre nel caso di specie si è trattato in parte di documentazione di attività di indagine e in parte documentazione di attività di indagine preesistente che però ha formato oggetto di ulteriori attività istruttoria da parte dell'autorità giudiziaria straniera.

Pertanto, i giudici di legittimità hanno ritenuto non applicabile l'art. 234-bis c.p.p. ai risultati di una attività acquisitiva che abbia comportato l'acquisizione occulta del contenuto archiviato in un server, con conseguente applicazione dell'art. 254-bis ovvero 266-bis c.p.p.

La questione

La questione in esame è la seguente: in tema di ordine europeo di indagine, l'oggetto dell'acquisizione all'estero della messaggistica criptata sulla piattaforma SKY-ECC costituisce dato informatico utilizzabile ai sensi dell'art. 234-bis c.p.p.?

Le soluzioni giuridiche

Nel caso di specie, il pubblico ministero ha agito nell'ambito dei poteri previsti nel Capo I del Titolo III (Procedura attiva) del d.lgs. 21 giugno 2017, n. 108, contenente le norme di attuazione della direttiva 2014/41/UE del Parlamento Europeo e del Consiglio, del 3 aprile 2014, relativa all'ordine Europeo d'indagine penale. Il pubblico ministero non ha richiesto all'autorità giudiziaria dell'altro Stato membro UE di procedere a un atto d'indagine, ma ha agito ai sensi dell'art. 45 del decreto citato (Richiesta di documentazione inerente alle telecomunicazioni), ai limitati fini di chiedere la trasmissione di documentazione acquisita, non già d'iniziativa dell'autorità richiedente, bensì in possesso di quella richiesta con l'O.E.I. che l'aveva ottenuta in forza di una propria autonoma iniziativa, nel corso di un diverso procedimento pendente in quel Paese.

Nel caso in cui venga eccepita l'acquisizione di dati informatici già decriptati, conservati in un server e riferibili a scambi di comunicazioni (messaggi, video, foto) già avvenuti e non, dunque, di un flusso di comunicazioni in atto al momento della acquisizione autorizzata dal Tribunale, la Corte di cassazione ha ritenuto che il mezzo di prova in argomento debba essere ricondotto nell'alveo dell'art. 234-bis, c.p.p., secondo cui “è sempre consentita l'acquisizione di documenti e dati informatici conservati all'estero, anche diversi da quelli disponibili al pubblico, previo consenso, in quest'ultimo caso, del legittimo titolare”, identificato nell'Autorità giudiziaria francese trasmittente che li deteneva legittimamente e che ne poteva disporre in maniera autonoma (Cass. pen., n. 38001/2023).

Si tratterebbe di messaggistica che non è acquisita mediante operazioni di intercettazioni di comunicazioni telematiche ma attraverso la richiesta ad uno Stato estero, con ordine di indagine europeo di trasmettere, previa decriptazione, messaggi di comunicazioni già avvenute e conservati presso il server della società che gestisce il servizio di messaggistica ed acquisiti nell'osservanza dell'ordinamento francese.

L'attività di acquisizione di dati in giacenza (definiti freddi) o l'intercettazione di dati telematici in transito permette l'acquisizione, qualora il messaggio telematico sia criptato mediante un impiego di un algoritmo o di una chiave di cifratura e trasformato in un mero dato informatico, di una stringa informatica composta da un codice binario. In questo caso - come si è già detto - l'intelligibilità del messaggio è subordinata all'attività di decriptazione che presuppone la disponibilità dell'algoritmo che consente di trasformare il codice binario in un contenuto dimostrativo, ma ogni messaggio cifrato è inscindibilmente accoppiato alla sua chiave di cifratura, sicché la sola chiave esatta produrrà una decifratura corretta, dovendosi escludere che possa decifrarne una parte corretta e una non corretta; né vi sono possibilità che una chiave errata possa decrittare il contenuto, anche parziale, del codice umano contenuto (Cass. pen., n. 6364/2023).

Con riferimento alle intercettazioni di flussi comunicativi è stato chiarito, sia pur con riferimento alla decriptazione della messaggistica con sistema Blackberry (quindi, "pin to pin" e non "end to end", come nella specie) che l'uso dell'algoritmo esclude la possibilità di alterazioni o manipolazioni dei testi captati, in quanto, secondo la scienza informatica, ne consente la fedele riproduzione, salvo l'allegazione di specifici e concreti elementi di segno contrario (Cass. pen., n. 30395/2022). Trattasi di principi che, senza alcuna contraddittorietà del ragionamento giustificativo che su di essi si fondi, possono applicarsi al caso in esame, restando indifferente la distinzione tra messaggistica già acquisita e captazione di flussi di comunicazione.

Del resto, proprio in tema di messaggistica scambiata con sistema cifrato "sky ecc" e "ENCROCHAT", si è pure affermato che la decriptazione delle conversazioni e delle comunicazioni è attività distinta dalla captazione, tali dati costituendo rappresentazioni comunicative incorporate in una base materiale con un metodo digitale, ovvero dati informatici che hanno consentito la intelligibilità del contenuto di stringhe redatte secondo il sistema binario (Cass. pen., 18907/2021).

Osservazioni

Lascia qualche dubbio ritenere che l'oggetto dell'acquisizione all'estero della messaggistica criptata sulla piattaforma SKY-ECC non costituisce dato informatico utilizzabile ai sensi dell'art. 234-bis c.p.p., sicché, in tale ipotesi, l'attività acquisitiva, se riguardante comunicazioni avvenute nella fase “statica”, dev'essere inquadrata nelle disposizioni dettate in materia di perquisizione e sequestro e, in particolare, in quella prevista dall'art. 254-bis c.p.p. ovvero si tratti di attività di intercettazione del flusso di comunicazioni, la cui utilizzabilità deriverebbe dalla procedura descritta dagli artt. 266 e ss., c.p.p.

La Corte costituzionale nella sentenza n. 261/2022 si è occupata del conflitto di attribuzione tra poteri dello Stato nei confronti della Procura della Repubblica presso il Tribunale ordinario di Firenze, per avere quest'ultima acquisito agli atti di un procedimento penale instaurato nei confronti di un senatore e di altri soggetti, corrispondenza scritta riguardante il medesimo senatore senza previa autorizzazione del Senato della Repubblica (in quanto mai richiesta), ledendo con ciò l'attribuzione garantita al ricorrente dall'art. 68, c. 3 della Cost.), concludendo con ordinanza per l'ammissibilità, ai sensi dell'art. 37 della l. 11 marzo 1953, n. 87 (Norme sulla costituzione e sul funzionamento della Corte costituzionale), del conflitto di attribuzione tra poteri dello Stato, promosso dal Senato della Repubblica nei confronti della Procura della Repubblica presso il Tribunale ordinario di Firenze.

Nessun principio, però, è stato formulato dal giudice delle leggi in ordine al superamento dell'orientamento della giurisprudenza di legittimità sulla natura della messaggistica (in quel caso Whatsapp e posta elettronica) oggetto dell'iniziativa del pubblico ministero che si assumeva coperta dalle prerogative parlamentari da parte ricorrente.

La messaggistica acquisita tramite ordine europeo di indagine non costituisce esito di captazione di conversazioni durante il flusso dinamico delle stesse, bensì acquisizione di dati informatici direttamente utilizzabili a fini di prova (Cass. pen., n. 34059/2022).

In tema di mezzi di prova, la messaggistica su "chat" di gruppo su sistema "sky ecc", acquisita mediante ordine europeo di indagine da autorità giudiziaria straniera che ne ha eseguito la decriptazione, costituisce dato informativo documentale conservato all'estero, utilizzabile ai sensi dell'art. 234-bis c.p.p., e non flusso comunicativo, non trovando applicazione la disciplina delle intercettazioni di cui agli artt. 266 e 266-bis c.p.p. (Cass. pen., n. 16347/2023, in motivazione, la Corte ha chiarito che non rileva se i messaggi siano stati acquisiti dall'autorità giudiziaria straniera ex post o in tempo reale, poiché al momento della richiesta i flussi di comunicazione non erano in atto).

In tema di intercettazioni della messaggistica scambiata con sistema cifrato "sky ecc" e "Encrochat", la decriptazione delle conversazioni e delle comunicazioni è attività distinta dalla captazione, tale che il dato informatico in chiaro, ottenuto dalla trasformazione delle "stringhe" in contenuti intellegibili tramite l'apposito algoritmo messo a disposizione dalla società titolare del sistema operativo, è acquisibile a sensi dell'art. 234-bis c.p.p. (Cass. pen., n. 6364/2023, inerente a fattispecie in cui la Corte ha ritenuto legittima, a fini cautelari, l'utilizzazione di "chat" su sistema "sky ecc", acquisite mediante ordine Europeo di indagine da autorità estera che ne aveva eseguito la decriptazione, quali rappresentazioni comunicative incorporate in una base materiale con un metodo digitale).

È irrilevante, pertanto, stabilire se quei dati siano stati acquisiti dalla magistratura francese ex post o in tempo reale (quindi come "dati freddi" o come "flussi di comunicazioni"). Infatti, quando la magistratura italiana chiede di ottenere quei dati e (a maggior ragione) quando quei dati le sono stati trasmessi, i flussi di comunicazione non erano più in corso. La situazione non è dissimile, dunque, da quella che si verifica quando viene acquisito ex post un flusso di comunicazioni, scritte o per immagini, memorizzato sulla memoria di un apparecchio telefonico. In questi casi, la giurisprudenza ha costantemente ritenuto che la disciplina dell'art. 266 c.p.p., e s.s. non possa trovare applicazione essendo destinata ad operare solo con riferimento a flussi di comunicazioni in atto (Cass. pen., n. 22417/2022; Cass. pen., n. 29426/2019; Cass. pen., n. 1822/2017).

Inoltre, deve richiamarsi il principio generale di presunzione di legittimità delle prove acquisite dall'Autorità giudiziaria di un altro Stato membro dell'Unione Europea: l'utilizzazione degli atti trasmessi, infatti, non è condizionata ad un accertamento da parte del giudice italiano concernente la regolarità delle modalità di acquisizione esperite dall'autorità straniera, in quanto vige la presunzione di legittimità dell'attività svolta e spetta al giudice straniero la verifica della correttezza della procedura e l'eventuale risoluzione di ogni questione relativa alle irregolarità lamentate nella fase delle indagini preliminari (Cass. pen., n. 1396/2022; Cass. pen., n. 45002/2016, in cui si è ritenuta la utilizzabilità della documentazione di atti compiuti autonomamente da autorità straniere in un diverso procedimento penale all'estero - anche al di fuori dei limiti stabiliti dall' art. 238 c.p.p. e art. 78 disp. att. c.p.p., con l'unico limite che tale attività non sia in contrasto con norme inderogabili e principi fondamentali, i quali, però, non si identificano necessariamente con il complesso delle regole dettate dal nostro codice di rito, spettando inoltre a chi eccepisca tale incompatibilità l'onere di dare la prova di tale incompatibilità, proprio in un caso in cui la richiesta aveva riguardato l'acquisizione di documentazione, come nella specie, e non l'esecuzione, da parte dell'autorità straniera, di un atto di acquisizione probatoria).

Pertanto, deve essere ribadito che il diritto straniero è un fatto e spetta a chi eccepisce il difetto di compatibilità delle norme di quell'ordinamento con quelle interne dimostrarne il contenuto, e ciò tanto più laddove si tratti, come nel caso di specie, del diritto di un Paese membro dell'Unione Europea (Cass. pen., n. 19216/2020, principio affermato in materia di intercettazioni, ma ancor più valido nel caso di acquisizione di documentazione).

Pertanto, le regole di acquisizione probatoria sono quelle del Paese membro dell'Unione Europea e non quelle del Paese richiedente, sicché in merito alle attività d'indagine intraprese dallo Stato estero, il limite invalicabile è rappresentato dalla non violazione di norme inderogabili e dei principi fondamentali del nostro ordinamento, precisando che essi non coincidono, tuttavia, con il complesso delle regole dettate dal nostro codice di rito, spettando a chi eccepisce una incompatibilità l'onere di dimostrarla, essendo precluso all'autorità richiedente un vaglio sulla legittimità delle modalità esecutive dell'atto, ove non sia indicata una specifica modalità nella richiesta, a maggior ragione allorquando l'atto d'indagine sia stato già compiuto nel corso di autonome iniziative dell'autorità straniera.