Messaggistica decrittata all’estero: quali regole? (di Vincenzo Giglio)

Informazioni preliminari

Si anticipano in questo paragrafo alcune definizioni che saranno poi date per scontate in quelli successivi.

Si intende per crittografia l’insieme dei metodi che rendono un messaggio non comprensibile per coloro che non sono autorizzati a leggerlo. I messaggi criptati sono denominati crittogrammi e i metodi usati per criptarli sono denominati tecniche di cifratura.

Uno di questi metodi è la crittografia asimmetrica (o a chiave pubblica) che si fonda su due chiavi, una pubblica utilizzabile da chiunque e una privata nota solo al destinatario del messaggio. In questo sistema la chiave pubblica viene usata per cifrare un messaggio, la chiave privata viene usata per decifrarlo. È quindi ovvio che la segretezza del messaggio dipende interamente dalla segretezza della chiave privata.

Un particolare tipo di crittografia asimmetrica è quella a curva ellittica (identificata dall’acronimo ECC che sta per Elliptic Curve Cryptography). L’evoluzione tecnologica rende possibile complicare di molto il problema matematico impiegato per la creazione della chiave pubblica. Tra i sistemi più avanzati c’è quello fondato su un’equazione che richiede l’uso di un logaritmo e di essi fa parte appunto la curva ellittica.

L’azienda canadese SKY GLOBAL, fondata nel 2008 da J.-F. E., ha creato una piattaforma di messaggeria elettronica protetta da un programma di crittografia denominato SKY ECC (in quanto fondato sull’impiego della curva ellittica).

In sostanza, SKY forniva ai suoi clienti dispositivi telefonici nei quali erano disabilitati GPS, microfoni e fotocamere e che permettevano di inviare e ricevere messaggi crittografati, eliminati in automatico trenta secondi dopo la ricezione o 48 ore dopo l’invio in caso di dispositivo non raggiungibile. Era inoltre disponibile una funzione “panico” che, ove attivata previo inserimento di una password, consentiva la cancellazione del contenuto del dispositivo.

A marzo del 2021 (a questo link per un resoconto dettagliato) una maxi-operazione condotta da Europol ha portato allo smantellamento di una rete di narcotraffico operativa tra Belgio, Francia e Paesi Bassi attraverso l’intercettazione e la decrittazione dei messaggi inviati e spediti da decine di migliaia di sospetti che si avvalevano di SKY ECC.

Carlo Bonini, per La Repubblica, ha raccontato in modo assai ampio e documentato la storia delle reti di comunicazione protetta dei narcos e dei capi internazionali del crimine, nell’articolo Storia della guerra digitale dichiarata dalle polizie di Usa ed Europa alle reti di comunicazione protetta dei narcos e dei boss del crimine internazionale pubblicato il 16 dicembre 2021 sull’edizione digitale del quotidiano romano (a questo link).

Questo il passaggio dedicato a SKY ECC: “C’è in quel frangente un altro dispositivo di criptazione che va a gonfie vele. Si chiama “Sky ECC”. È stato sviluppato dalla compagnia canadese Sky Global che lo reclamizza come il sistema più sicuro al mondo per comunicare e restare anonimi. Al punto tale da offrire cinque milioni di dollari a chiunque riesca a violare il codice. Il Dipartimento di Giustizia statunitense li affronta aggredendo il vertice societario: incrimina l’amministratore delegato e il responsabile della distribuzione “per aver consapevolmente e intenzionalmente partecipato a un’attività criminale che ha facilitato l’importazione transnazionale e la distribuzione di narcotici”. Quando nel marzo 2021 anche Sky ECC viene colpito, le autorità scoprono che erano sin lì stati venduti 170mila dispositivi sui mercati internazionali: un quarto veniva utilizzato nei Paesi Bassi, la nuova terra promessa del commercio di cocaina”.

E questi, sempre tratti dal reportage di Bonini e per dare un’idea più concreta di come funzioni il sistema, sono un messaggio cifrato e il suo contenuto dopo la decrittazione:

“60.25.2.4.2.16.20.19.21.20.30.11.15. 7.13.11.60.6.2.13.7.6.2.13.11.7.10.5.21.12.20”

 “X sabato può venire x caricare il fumo”.

La questione giuridica

AL è stato sottoposto alla misura cautelare della custodia in carcere in quanto indagato del reato di associazione a delinquere dedita al narcotraffico. Il suo ricorso al tribunale del riesame è stato respinto.

I suoi difensori ricorrono per cassazione.

Assumono che: “ La nota riepilogativa redatta dai Carabinieri in data 24 gennaio 2022, contenente l’acquisizione di chat scambiate attraverso apparati cellulari utilizzatori del sistema Sky- ECC, tra cui quello del ricorrente, estratte a seguito di decrittazione del sistema, non poteva trovare ingresso nel giudizio, in quanto la richiesta della difesa di mettere a disposizione la documentazione consegnata da Europol era stata respinta dal pubblico ministero, il quale aveva replicato che si trattava di scambi informativi tra forze di polizia di paesi diversi, non utilizzabili processualmente. Ma tanto l’attività di captazione quanto quella di decifratura dei flussi telematici si è svolta senza alcuna preventiva richiesta da parte della Procura e in assenza di un preventivo controllo diretto dell’autorità giudiziaria. Erroneamente il Tribunale del riesame ha invocato l’asserita natura di documenti ex art. 234 cod. proc. pen. dei messaggi scritti e dei file multimediali scambiati attraverso gli apparati cellulari in questione, escludendo dunque che la richiamata messaggistica potesse rientrare nella nozione di corrispondenza o in quella di intercettazione, intesa come captazione di flussi di comunicazioni in corso. Incongruamente il Tribunale del riesame ha aggiunto che, trattandosi di atti trasmessi da autorità giudiziarie straniere, l’utilizzabilità di essi non sarebbe condizionata all’accertamento, da parte del giudice italiano, della loro regolarità, vigendo una presunzione di legittimità dell’attività svolta. La Procura infatti, non mettendo a disposizione delle parti processuali la documentazione di polizia che aveva preceduto l’acquisizione del detto materiale, ha di fatto impedito una valutazione sulle modalità di acquisizione dei relativi dati. La prova non può infatti essere in contrasto con i principi fondamentali e inderogabili dell’ordinamento giuridico italiano e quindi con l’inviolabile diritto di difesa. E dunque lo scrutinio sulla compatibilità del processo di acquisizione del dato probatorio con il diritto di difesa è stato completamente frustrato dalla scelta della Procura di mettere a disposizione i soli esiti dell’attività svolta all’estero e non anche il percorso di acquisizione di quei dati, dovendosi anche sindacare l’idoneità, necessità e proporzionalità del dato probatorio nella prospettiva di garantire la minore lesione possibile dei diritti fondamentali. La difesa non è stata posta nella condizione di operare questo controllo, essenziale ai fini della valutazione in ordine alla legittimità e utilizzabilità del dato probatorio”.

La decisione della Corte di cassazione

Il ricorso è stato assegnato alla quarta sezione penale che lo ha definito con la sentenza n. 32915/2022 (udienza del 15 luglio 2022).

Dato l’interesse della questione, si riporta integralmente il passaggio motivazionale pertinente:

“L’analisi prenderà le mosse dalla doglianza di cui al paragrafo 3.2, che è fondata e riveste carattere assorbente”.

“Nel caso in esame risulta dalla motivazione del provvedimento impugnato (p. 5-6) che si tratta di messaggistica acquisita attraverso l’accesso ai server di Sky ECC (sistema di produzione canadese di proprietà della società Sky Global, specializzata nella fornitura di strumenti di comunicazione sicura e protetta da un sistema di codifica dei dati, secondo quanto riferito dalla polizia giudiziaria) che la conservavano in memoria, operato nel marzo 2021 da Europol, che ha coordinato l’attività delle polizie francese, belga e olandese. Le chat sono state formalmente acquisite al fascicolo tramite ordine europeo di indagine. Ma, come correttamente sottolineato dal giudice a quo, rimane ferma la necessità di valutare, nell’ambito sia del procedimento principale che del procedimento incidentale de libertate, che le modalità di acquisizione di tale messaggistica non siano in contrasto con norme inderogabili e principi fondamentali del nostro ordinamento. Ciò comporta la conoscenza delle modalità di acquisizione del detto materiale. In questa prospettiva, la Difesa, come risulta dagli atti – l’accesso ai quali è consentito al giudice di legittimità, poiché la censura si inscrive nell’ottica delineata dall’art. 606, comma 1, lett. c), cod. proc. pen. (Sez. U., 31-10-2001, Rv. 220092; Sez. U., n. 21 del 19-7-2012) – , in data 31-1-2022, chiese al pubblico ministero di mettere a disposizione dei difensori la “documentazione (comprensiva dei file) consegnata da Europol nel mese di marzo 2021, a seguito dell’accesso ai server di Sky ECC, con indicazione delle modalità di acquisizione da parte della stessa Europol dei dati in oggetto dai server, con annessi verbali; i verbali delle attività compiute dal R.O.N.I. dei Carabinieri Lazio per fini di polizia di cui alla dichiarata analisi preliminare”. Con provvedimento del 1° febbraio 2022, il pubblico ministero rigettò l’istanza, sulla base del rilievo “gli atti richiesti dalla difesa non sono contenuti nel fascicolo processuale, trattandosi di scambi informativi tra forze di polizia di paesi diversi che, in quanto tali ( proprio ai fini del principio di “legalità” nell’acquisizione delle fonti di prova citato dalla difesa), non sono processualmente utilizzabili” e considerato che, “come già comunicato con l’avviso di deposito del 24 gennaio 2022, per l’acquisizione della documentazione relativa ai server SKY ECC era stato inoltrato apposito O.I.E., avente nr. 105/21, e i relativi esiti sono pervenuti in data 20 dicembre 2021 dall’autorità giudiziaria francese e che tutti i documenti sono stati messi a disposizione delle difese””.

“Da tale risposta non è dato quindi comprendere quale sia stato il contenuto dei citati “scambi informativi tra forze di polizia di paesi diversi” e dunque attraverso quali modalità si sia esplicata l’attività investigativa svolta. Viceversa, occorre sottolineare come il principio del contraddittorio implichi che la dialettica procedimentale non si esplichi soltanto relativamente al vaglio del materiale acquisito ma si estenda alle modalità di acquisizione del predetto materiale. Ciò è funzionale al controllo della legittimità del procedimento acquisitivo, anche nell’ottica delineata dall’art. 191 cod. proc. pen., il quale stabilisce l’inutilizzabilità delle prove acquisite in violazione dei divieti stabiliti dalla legge, proiettando i propri effetti anche nello specifico contesto del procedimento incidentale de libertate, a condizione, naturalmente, che, come nel caso di specie, risulti l’effettiva incidenza dell’elemento dimostrativo in disamina sul convincimento del giudice (Cass., Sez. 4, n. 18232 del 2 -5-2016, Rv. 266644)”.

“Le modalità di acquisizione del materiale probatorio rilevano, inoltre, nell’ottica della valutazione della valenza epistemica di quest’ultimo, sotto il profilo, per quanto inerisce alla specifica problematica sub iudice, della corrispondenza della testualità di tale messaggistica al tenore letterale dei messaggi originariamente inviati e ricevuti nonché delle utenze dei mittenti e dei destinatari individuati con quelli effettivi, ragion per cui la problematica in disamina dispiega la propria rilevanza anche relativamente alla fase della captazione e della decrittazione dei flussi telematici”.

“Tutto ciò comporta imprescindibilmente la possibilità di conoscere le modalità di svolgimento dell’attività investigativa svolta e il procedimento di acquisizione di tale messaggistica, onde consentire la piena esplicazione del diritto di difesa, attraverso l’instaurazione di una proficua dialettica procedimentale in ordine ad ogni profilo di ritualità, rilevanza, attendibilità e valenza dimostrativa che possa venire in rilievo, nell’ottica dell’imputazione. Ciò che nel caso in esame non è stato consentito ai difensori”.

“Si impone pertanto, nel caso di specie, un pronunciamento rescindente volto a consentire al giudice del rinvio di chiarire, nel contraddittorio delle parti, tutti i segmenti dell’iter di acquisizione della messaggistica, onde procedere alle valutazioni di competenza in ordine ai profili appena evidenziati.  L’ordinanza impugnata va dunque annullata, con rinvio, per nuovo giudizio, al tribunale del riesame di Roma”.

In conclusione

La sentenza qui commentata è ineccepibile. Lo è in particolar modo nella valorizzazione del ruolo difensivo le cui garanzie conoscitive e partecipative collega correttamente ad una “proficua dialettica procedimentale”.

Non c’è altro da aggiungere se non che decisioni come questa contribuiscono al riequilibrio tra le parti del giudizio, pesantemente alterato da prassi e indirizzi interpretativi che hanno progressivamente mortificato il significato della difesa.