È passata sotto silenzio, e se ne è già persa memoria, la circolare della Procura di Milano che ha scoperchiato la pentola sul malaffare del trojan.

E’ risultato infatti che sono poche le società proprietarie dei trojan noleggiati alle Procure del nostro Paese e la maggior parte di queste fornisce programmi che nemmeno conosce esattamente (con il rischio di inquinare la prova e di  intercettare anche terzi estranei), dopo averli a propria volta noleggiati da altre società, spesso addirittura estere,  che li hanno brevettati.

L’episodio più clamoroso è il “caso Palamara”, in cui le intercettazioni disposte dalla Procura di Perugia, prima di finire nel server della Procura di Perugia, rimbalzavano su un server di transito collocato, all’ insaputa di tutti e persino della stessa Procura, dalla società privata RCS presso la Procura di Napoli.

Ma tale sistema non si è verificato soltanto nel caso Palamara, ma è seguito da anni da molti fornitori di trojan alle Procure di tutta Italia.

Questo sistema, ancora misterioso persino per le Procure che se ne avvalgono, lascia aperta una miriade di problemi che riguardano la segretezza delle nostre comunicazioni e la privacy di tutti.

Occorre conoscere come funzioni il meccanismo del trojan, visto che la maggior parte dei fornitori l’ha noleggiato a sua volta e non ne conosce nemmeno l’esatto funzionamento.

Occorre sapere come operino i sistemi che consentono di infettare un telefono e trasformarlo in una microspia ambulante, col rischio di intercettare anche ignari cittadini estranei alle indagini.

Soprattutto serve trasparenza su chi e dove mette mano ai dati acquisiti, visto che i server si trovano al di fuori della Procura che ha disposto le intercettazioni, talvolta addirittura all’estero, e quindi senza il necessario controllo del P.M. Infine è fondamentale accertare se in tutti questi anni  possano essersi verificate manomissioni, anche involontarie., dei dati utilizzati come prova nei processi penali.

Di fronte a tante incognite, emerge  una plateale violazione di legge, la quale, com’è noto, impone che la registrazione avvenga mediante gli impianti installati presso la Procura della Repubblica, e quindi sotto il controllo del P.M.

Ora la Procura di Milano per prima, ma non è difficile prevedere che sarà seguita da tutti gli uffici giudiziari, spinta dalla “necessità ed urgenza di ridefinire il tracciamento di accessi e interventi” sui server delle società private che forniscono alle Procure i software delle intercettazioni con captatore informatico, prescrive anzitutto alle società fornitrici che i server di transito (che  sono necessari per non far capire al “bersaglio” che lo si sta intercettando) debbono stare in Italia, dal momento che  talvolta sono situati all’estero.

Si prescrive altresì che le finte “App” per far abboccare il “bersaglio” al clic che installa il virus sul suo cellulare, debbano essere visibili, sui negozi virtuali di applicazioni, solo al “bersaglio” e non anche a ignari utenti che altrimenti potrebbero restare vittime di quella App.

Infine, di fronte alla prassi generalizzata del noleggio, la circolare avvisa che d’ora in poi la Procura di Milano accetterà “esclusivamente captatori di proprietà dei fornitori, non noleggiati da società terze” e di cui i fornitori “conoscano nel dettaglio il funzionamento”.

Tutto giusto, tutto corretto, ma tutto troppo tardi.

Meglio tardi che mai, certamente, anche se solo ora si cerca di chiudere la stalla dopo che i buoi sono scappati.

Ma come mai i G.I.P., che dovrebbero essere i garanti della legittimità delle intercettazioni e tutti i giudici d’Italia, che in questi anni le hanno utilizzate, spesso come unica prova, non si sono mai nemmeno posto il problema?

E ancora sui “casi” e soprattutto sul “modo” in cui il trojan intercetta le nostre comunicazioni non c’era nell’art. 15 Cost. una riserva assoluta di legge?