Cass. pen., Sez. VI, sentenza 28 febbraio 2023, n. 8714
Abstract
Nella sentenza in esame si pone la questione dell’utilizzabilità dei risultati delle intercettazioni di comunicazioni su apparecchi cellulari Blackberry che sono particolari perché, per la captazione, richiedono la c.d. tecnica dell’instradamento e, per la decriptazione dei messaggi, necessitano dell’intervento all’estero del produttore del device, acquisendo quindi il contenuto dei messaggi come documento informatico.
The sentence in question raises the question of the usability of the results of the interception of communications on Blackberry mobile devices which are particular because, for the uptake, they require the so-called routing technique and, for the decryption of the messages, the intervention abroad of the device manufacturer is required, thus acquiring the content of the messages as an digital document.
Massima
Va esclusa l’inutilizzabilità dei risultati delle intercettazioni di comunicazioni su apparecchi Blackberry quando l’attività di captazione e quella di registrazione avvengono con la tecnica di intercettazione mediante instradamento su ponti telefonici italiani, che non richiede alcuna procedura rogatoriale, essendo irrilevante che la decriptazione dei dati identificativi associati ai codici pin avvenga all’estero e acquisendo quindi il contenuto dei messaggi come documento informatico.
1 – Le questioni.
La pronuncia ribadisce un orientamento, ormai consolidato in giurisprudenza (sono precedenti conformi: Cass., Sez. VI, 20.4.2021, n. 18907; Cass., Sez. III, 9.5.2019, n. 36381;Cass., Sez. III, 26.9.2019, n. 47557; Cass., Sez. IV, 8.4.2016, n. 16670;Cass., Sez. III, 10.11.2015, n. 5818/ 2016), ma piuttosto discutibile sotto diversi profili.
Si afferma comunemente infatti che deve essere esclusal’inutilizzabilità dei risultati delle intercettazioni di comunicazioni su apparecchi Blackberry, dal momento che l’attività di captazione e quella di registrazione avvengono con la tecnica di intercettazione mediante “instradamento” su ponti telefonici italiani, che non richiede alcuna procedura rogatoriale. In altre parole, la giurisprudenza dominante ritiene che il sistema di intercettazione della messaggistica scambiata mediante il sistema BlackBerry non necessiti di rogatoria internazionale quando le comunicazioni siano avvenute in Italia, a nulla rilevando che per la decriptazione dei dati identificativi associati ai codici p.i.n. sia necessario ricorrere alla collaborazione del produttore del sistema operativo avente sede all’estero e acquisendo quindi il contenuto dei messaggi come documento informatico.
Secondoil sistema Blackberry le operazioni di captazione e di registrazione del messaggio cifrato avvengono mentre lo stesso è in transito, dall’apparecchio del mittente a quello del destinatario, attraverso reti internet messe a disposizione in ogni paese da gestori di servizi telematici e che, lungo tale tragitto si sposta di regola da un server che non è necessariamente collocato nel paese o in uno dei paesi nei quali si trovano fisicamente i soggetti che stanno comunicando tra loro. Successivamente si svolgono le operazioni di decriptazione del contenuto del messaggio, necessarie per trasformare mere stringhe informatiche in dati comunicativi intellegibili(in questo senso v. Cass., Sez. VI, 20.4.2021, n. 18907, C., CED Cass. 281819).
Tale tipo di intercettazione è disciplinata dall’art. 266-bis c.p.p., che riguarda soltanto le comunicazioni attraverso reti internet, estendendo l’applicabilità delle disposizioni del codice di rito relative alle intercettazioni di conversazioni o comunicazioni tra soggetti a distanza, alle intercettazioni di flussi di comunicazioni relativi a sistemi telematici ovvero intercorrenti tra più sistemi telematici: flussi che non avvengono in via diretta tra apparecchi informatici, ma che sfruttano la trasmissione dei dati in via telematica, dunque via cavo o ponti radio, ovvero per mezzo di altra analoga strumentazione tecnica (nel senso della qualificazione come intercettazione ai sensi dell’art. 266-bis c.p.p. dell’acquisizione dei contenuti di messaggistica in atto effettuata con sistema Blackberry (cfr. Cass., Sez. IV, 15.10.2019, n. 49896, B., CED Cass. 277949-01; Cass., Sez. III, 26.9.2019, n. 47557, S., CED Cass. 277990-02; Cass., Sez. III, 10.11.2015, n. 50452, G., CED Cass. 265615).
Se il messaggio telematico è in chiaro – cioè non criptato mediante l’impiego di un algoritmo o una chiave di cifratura, e trasformato in un mero dato informatico – la sua captazione e la sua registrazione ne rendono immediatamente intellegibile il contenuto e, perciò, direttamente utilizzabile a fini di prova il relativo risultato conoscitivo.
Se, invece, il messaggio telematico (che può essere anche vocale, si pensi al meccanismo Voip che funziona secondo la medesima logica) è stato criptato, gli inquirenti ne possono valorizzare il contenuto a fini dimostrativi solo laddove abbiano la disponibilità dell’algoritmo che consente di decriptarne il tenore ovvero se tale chiave venga altrimenti messa a disposizione degli investigatori dalla società che ne è proprietaria (e che la sfrutta dal punto di vista commerciale). In sostanza, quando gli utilizzatori dei dispositivi BlackBerry si trovino in Italia, la captazione e la registrazione del flusso telematico dei messaggi avviene nel territorio dello Stato e dunque si ritiene del tutto irrilevante che, nel passaggio dal mittente al destinatario, quel flusso venga elaborato da un server collocato in Canada.
Il tema è stato numerose volte sottoposto all’esame della Corte di cassazione, proprio con riferimento all’utilizzabilità di intercettazioni telefoniche eseguite su telefoni cellulari Blackberry cioè apparecchi accessibili tramite un numero p.i.n. (personal identification number) che, impiegando un particolare programma informatico creato da una società canadese, la RIM (Research In motion), consentono di trasmettere messaggi cifrati che, ricevuti da apparecchi dotati di uguale programma, vengono decriptati e resi intellegibili nel loro contenuto, attraverso il sistema c.d. pin to pin.
La giurisprudenza di legittimità ha ripetutamente affermato che il sistema di intercettazione della messaggistica scambiata mediante il sistema BlackBerry non richiede la rogatoria internazionale quando le comunicazioni siano avvenute in Italia (Cass., Sez. IV, 21.4.2022, n. 30395 C., CED Cass. 283454; Cass., Sez. VI, 20.4.2021, n. 18907, C., CED Cass. 281819; Cass., Sez. IV, 15.10.2019, n. 49896, B., CED Cass. 277949). Si afferma, infatti,chei servizi di messaggistica BlackBerry scambiati su territorio italiano avvengono tramite la connettività ad internet fornita dai gestori nazionali e, indipendentemente dall’intelligibilità del messaggio, la comunicazione parte o è ricevuta da un terminale italiano, sono convogliate in un nodo di collegamento italiano, messo a disposizione, insieme alla connessione ad Internet, da operatori telefonici nazionali con i quali la società RIM, che gestisce il sistema comunicativo BlackBerry, ha concluso accordi (Cass., Sez. III, 9.5.2019, n. 36381, Z., CED Cass. 276701).
2 – La “truffa delle etichette”.
La sentenza in esame ribadisce un principio giurisprudenziale pacifico e tuttavia opinabile perché basato su una serie di equivoci, quasi una “truffa delle etichette”.
Da una parte, la giurisprudenza ritiene avvenuta in Italia la captazione soltanto perché la comunicazione si appoggia su ripetitori italiani anche solo per la fatturazione (roaming); dall’altra ammette la decriptazione delle comunicazioni, che avviene all’estero senza giurisdizione italiana e senza contraddittorio; inoltre considera i risultati dell’intercettazione quale documento informatico; infine qualifica i risultati dell’intercettazione quale documento informatico acquisibile all’estero sempre con il consenso del gestore del servizio, che considera unico “legittimo titolare”.
L’intercettazione del sistema di comunicazione Blackberry pone, quindi, una serie di questioni e consente una varietà di soluzioni giuridiche in riferimento ai diversi aspetti che vengono in rilievo.
Anzitutto, occorre accertare se le comunicazioni o conversazioni si svolgano o meno in Italia e, se avvengano all’estero, si può discutere se possano ritenersi svolte in Italia, anche se gestite da un server collocato in territorio estero, solo perché transitano su ripetitori o ponti telefonici collocati in Italia.
Inoltre, si deve risolvere la questione della legittimità dell’attività di decriptazione del contenuto dei messaggi, che avviene all’estero da parte del produttore del device, senza intervento del giudice italiano, né delle parti.
Ancora resta da accertare se i risultati dell’intercettazione possano essere considerati come un documento informatico.
Infine, occorre individuare chi sia il soggetto che, quale “legittimo titolare”, è legittimato a prestare il consenso all’acquisizione del contenuto del messaggio.
a) La procedura cd. di instradamento.
Il primo aspetto problematico attiene alla c.d. tecnica di istradamento.
La Corte di cassazione afferma l’utilizzabilità, senza necessità di rogatoria, degli esiti di intercettazioni di comunicazioni, sia telefoniche sia attraverso chat protette o servizi di messaggistica (c.d. sistema pin to pin, tipico del Blackberry), anche gestiti tramite server collocato in territorio estero, i cui dati siano stati registrati nel territorio nazionale per mezzo di impianti installati presso la Procura della Repubblica mediante la c.d. tecnica dell’istradamento (Cass., Sez. IV 28.6.2016, Grassi e altri, n.40903; Cass., Sez. III, 29.1.2016, Rao, n. 10788; Cass., Sez. VI, 4.11.2015, Brandimarte, n. 1342). Nel momento in cui si opera il monitoraggio di una determinata utenza estera vi è la possibilità di captare tutte le comunicazioni in uscita dal territorio nazionale che sono in contatto con la stessa, sia pur individuate solo successivamente, all’esito o nel corso delle operazioni di intercettazione. La Suprema Corte ha sempre escluso che il ricorso a tale tecnica comporti la violazione delle norme sulle rogatorie internazionali e, dunque, l’inutilizzabilità delle intercettazioni in quanto si ritiene che, attraverso la deviazione del flusso comunicativo in un nodo situato in Italia (servizio di roaming internazionale ovvero “ponti telefonici” appositamente attivati), tutta l’attività d’intercettazione venga interamente compiuta nel territorio nazionale. La giurisprudenza è consolidata nel ribadire che l’acquisizione della messaggistica scambiata mediante sistema Blackberry, cd. pin to pin, offerto da una società canadese, non necessiti di rogatoria internazionale quando le comunicazioni sono avvenute in Italia o attraverso un terminale presente sul suolo nazionale, a nulla rilevando che per “decriptare” i dati identificativi associati ai codici PIN occorra ricorrere alla collaborazione del produttore del sistema operativo avente sede all’estero, collaborazione che, se spontaneamente prestata, rende non necessario il ricorso alla rogatoria internazionale per l’acquisizione dei dati telematici, e ciò anche ai sensi e per gli effetti dell’art. 234-bis (Cass., Sez. IV, 5.4.2017 (dep. 12.10.2017), n. 46968).
Pertanto, in diverse pronunce la Corte di cassazione ha ritenuto l’utilizzabilità degli esiti delle intercettazioni di comunicazione avvenute in chat protette tramite servizio pin to pin, gestito da server collocato in territorio estero, i cui dati sono stati registrati nel territorio nazionale, per mezzo di impianti installati presso la Procura della Repubblica (Cass., sez. IV, 8.4.2016, n. 16670, F., CED Cass. 266983). In conclusione, la necessità della rogatoria internazionale è richiesta solo quando le conversazioni captate transitino esclusivamente all’estero.
Ma è irrealistico ritenere le conversazioni o comunicazioni come avvenute sempre in Italia, anche quando si svolgono all’estero, solo perché “rimbalzano” su un ponte o ripetitore che si trova in Italia, magari solo a fini di fatturazione presso il gestore italiano (roaming): questa è una fictio inammissibile quando si incide su un diritto fondamentale come la libertà e la segretezza delle comunicazioni, dichiarate “inviolabili” dall’art. 15 Cost.
b) La decriptazione all’estero senza giurisdizione e senza contraddittorio.
Il secondo profilo discutibile attiene alla decriptazione delle comunicazioni. La sentenza annotata afferma che la decriptazione dei messaggi, svolta all’estero, è un’attività non equiparabile a quella delle intercettazioni di comunicazioni e inidonea a comprimere il diritto alla riservatezza di cui all’art. 15 Cost. In realtà, la decriptazione non è altro che una modalità della perizia trascrittiva, che dovrebbe essere svolta in Italia, con la garanzia giurisdizionale e del contraddittorio e quindi assicurando il diritto di difesa, anche mediante l’ausilio di consulenti tecnici per la difesa e per l’accusa. La giurisprudenza aggiunge che la decriptazione del dato informatico contenuto nella messaggistica scambiata con sistema Blackberry è attività distinta dalla captazione e può essere svolta, ai sensi dell’art. 234-bis c.p.p. mediante la mera richiesta alla società produttrice del sistema operativo di trasformare, tramite l’apposito algoritmo, i dati informatici in contenuti intellegibili (Cass., Sez. VI, 20.4.2021 (dep. 13.5.2021), n. 18907, C.). Si ribadisce che è legittima l’attività di decriptazione di messaggi, scambiati mediante sistema Blackberry, compiuta nel corso delle indagini per mezzo della nomina di ausiliari tecnici di polizia giudiziaria e del ricorso alla spontanea collaborazione del produttore del sistema operativo, non determinando alcuna lesione dei diritti di difesa la mancata messa a disposizione delle parti dell’algoritmo necessario per la messa in chiaro dei relativi dati informatici (Cass., Sez. VI, 27.11.2018 (dep. 2.4.2019), n. 14395). La giurisprudenza ammette la decriptazione all’estero del messaggio intercettato con un atteggiamento fideistico inammissibile nel processo penale, nel quale si deve decidere sulla responsabilità dell’imputato. Infatti, la giurisprudenza considera irrilevante che per la decriptazione dei dati identificativi associati ai codici pin sia necessario ricorrere alla collaborazione del produttore del sistema operativo avente sede all’estero, che trasforma, tramite l’apposito algoritmo, i dati informatici conservati all’estero in contenuti intellegibili cioè in un documento informatico che, ai sensi dell’art. 234-bis c.p.p., è acquisito, previo consenso del legittimo titolare, ma senza alcuna garanzia giurisdizionale e senza un contraddittorio che assicuri l’intervento della difesa e dell’accusa mediante loro consulenti tecnici.
c) I risultati dell’intercettazione contrabbandati come documento informatico.
Inoltre, è fuorviante l’interpretazione giurisprudenziale che considera il contenuto dei messaggi captati quale documento informatico quando si tratta invece del risultato dell’intercettazione di comunicazioni o conversazioni, tutelata dagli artt. 15 Cost e 266-271 c.p.p. Eppure la giurisprudenza non disconosce la natura di comunicazione della messaggistica attuata mediante il sistema Blackberry. Infatti, con specifico riferimento alle intercettazioni dei messaggi tra dispositivi Blackberry, la suprema Corte afferma che è legittima l’acquisizione di contenuti degli stessi mediante intercettazione operata ai sensi degli artt. 266 ss. c.p.p. poiché le chat, anche se non contestuali, costituiscono un flusso di comunicazioni (Cass., sez. III, 5.6.2019, Giuliani e altri, n. 14725, in Guida dir., 2020, n. 31, p.91; Cass., Sez. III, 10.11.2015, Guarnera e altri, n. 50452, Rv. 265615, in Cass. pen., 2016, p. 2941).
Com’è noto, il legislatore distingue l’ambito dei documenti da quello degli atti, nel senso che i documenti sono formati fuori del procedimento, e devono essere acquisiti al processo per poter assumere rilevanza probatoria, mentre gli atti sono formati all’interno del procedimento stesso, come le intercettazioni che sono un tipico mezzo di ricerca della prova.
La sentenza in commento, seguendo la giurisprudenza consolidata sul punto, acquisisce i risultati decriptati delle intercettazioni italiane come documento informatico conservato all’estero, considerando documento ciò che chiaramente è invece il risultato di un’indagine, ed eludendo così le garanzie costituzionali dell’art. 15 Cost. e quelle legislative di cui agli artt. 266-271 c.p.p. per esigere soltanto, a norma dell’art. 234-bis c.p.p., il disinteressato consenso del detentore straniero dello stesso documento informatico.
La giurisprudenza ritiene l’art. 234-bis c.p.p. disposizione applicabile in tutti i casi in cui l’acquisizione riguardi non un documento cartaceo o analogico, ma un documento inteso come “rappresentazione comunicativa incorporata in una base materiale con un metodo digitale” ovvero dati informatici che hanno consentito di rendere intellegibile il contenuto di stringhe redatte secondo il sistema binario, all’unica condizione che vi sia stato il consenso all’acquisizione da parte del “legittimo titolare” di quei documenti o dati conservati all’estero (cioè la persona giuridica che di quei documenti o di quei dati poteva disporre, se non si tratta di documento di pubblico dominio). Pertanto, è ritenuto pienamente legittimo il compimento di un’attività di acquisizione diretta di documentazione all’estero e che, invece, se assente, avrebbe reso necessaria l’attivazione di procedure di cooperazione giudiziaria internazionale (Cass., Sez. VI del 20.4.2021, n. 18907, C., CED Cass. 281819; Cass., Sez. III, del 9.5.2019, n. 36381, Z., non massimata sul punto; in senso sostanzialmente conforme, per l’esclusione in siffatte ipotesi della necessità della rogatoria internazionale: Cass., Sez. III, 26.9.2019, n. 47557, S., CED Cass. 277990; Cass., Sez. IV, 8.4.2016, n. 16670, F., CED Cass. 266983; Cass., Sez. III, 10.11.2015, n. 5818/2016 , A., CED Cass. 266267).
d) L’acquisizione con il consenso del “legittimo titolare”.
Infine, la sentenza annotata, in linea con la giurisprudenza, ritiene i risultati dell’intercettazione acquisibili all’estero con il consenso del gestore del servizio. Ma è discutibile che il “legittimo titolare” sia sempre e solo il gestore dei dati e non l’utente che ha generato il dato immettendolo in rete. Comunque non è detto che il “legittimo titolare” debba necessariamente individuarsi nel gestore dei dati (hosting service provider), come opina la giurisprudenza, perché i rapporti tra le società che forniscono i servizi on line e i loro clienti sono regolamentati da contratti, policy e regolamenti che conferiscono poteri e facoltà riguardo alla gestione dei dati informatici, per cui è necessario accertare, di volta in volta, all’interno di questi accordi, chi sia il soggetto legittimato a prestare il consenso, cioè il “legittimo titolare” abilitato a prestare il consenso all’ acquisizione. Per quanto possa apparire strano che lo stesso utente (cloud consumer) decida se consegnare o meno i propri messaggi all’autorità giudiziaria che indaga su di lui, se gli accordi che lo legano al fornitore del servizio gli riservano tale facoltà, spetterà soltanto a lui la decisione.
3 – Conclusioni.
In definitiva, l’interpretazione giurisprudenziale che ammette sempre e comunque l’intercettazione dei dispositivi Blackberry non può essere condivisa.
Non può presumersi sempre avvenuta in Italia la captazione, quando la comunicazione intercorra tra due soggetti che si trovino entrambi all’estero.
Non è ammissibile una decriptazione all’estero del contenuto del messaggio in assenza di giurisdizione italiana e senza contraddittorio.
Non è concepibile confondere i risultati dell’intercettazione con i documenti informatici, stante la ben nota differenza tra atti e documenti.
Non è possibile considerare come legittimo titolare sempre e soltanto il gestore del servizio, a prescindere dal contenuto di contratti, policy e regolamenti che legano l’utente al gestore stesso.
