Cass. pen. Sez. 4^, sentenza n. 25361/2023, udienza del 30 maggio 2023, chiarisce lo stato dell’arte giurisprudenziale in tema di acquisizione di messaggeria scambiata tramite criptofonini.
La vicenda giudiziaria e i motivi di ricorso per cassazione
SC subisce un’ordinanza di custodia cautelare in carcere in quanto gravemente indiziato del reato di partecipazione a un’associazione per delinquere ai sensi dell’art. 74, commi 1, 2 3 e 4, d. P.R. 9 ottobre 1990, n. 309, aggravato ai sensi degli artt. 61 bis e 416 bis.1, cod. pen. e di ulteriori reati fine ai sensi degli artt. 81, 110 cod. pen., 73, comma 1, 6 e 80 T.U. stupefacenti, 61 bis e 416 bis.1 cod. pen. per concorso in importazione di ingenti quantitativi di cocaina.
Il competente tribunale (di seguito TDR) rigetta la sua richiesta di riesame.
Il suo difensore ricorre per cassazione e deduce un unico motivo, lamentando carenza o inconferenza della motivazione.
Pone a tal fine i seguenti temi:
- della legittimità delle modalità di acquisizione degli atti posti a sostegno della richiesta cautelare, rispetto ai quali l’ordinanza genetica sarebbe affetta da nullità perché il giudice per le indagini preliminari (di seguito GIP) avrebbe omesso, anche per incompletezza degli atti a sua disposizione, la verifica di conformità a norme inderogabili e princìpi fondamentali del nostro ordinamento;
- della l’incompletezza del compendio degli atti ostensibili utili alla difesa a verificare la liceità del risultato probatorio costituito dalle chat di messaggistica ottenute dalla Procura tramite ordine europeo di indagine (di seguito OEI);
- del tardivo deposito degli atti integrativi da parte della Procura, avvenuto solo due giorni prima dell’udienza, con violazione del diritto di difesa in relazione alla possibilità di disporre consulenze e relazioni tecniche;
- della mancata comunicazione delle credenziali e delle competenze tecniche del traduttore dei provvedimenti autorizzativi redatti in lingua francese;
- della permanente incertezza in ordine alla natura dell’attività d’indagine compiuta dall’autorità francese, posto che i decreti autorizzativi prodotti dalla Procura non riguardavano l’originaria attività
- mediante la quale l’autorità francese aveva ottenuto i dati informatici ma l’attività integrativa finalizzata all’acquisizione delle chiavi di crittografia per decriptare i messaggi già ottenuti; dell’evenienza che l’intercettazione di flussi informativi eseguita dall’autorità francese su dispositivi che si trovavano in territorio italiano rendesse inutilizzabili i dati ai sensi dell’art. 44 d.lgs. 21 giugno 2017, n.108;
- dell’assenza in atti delle conversazioni criptate (c.d. stringhe), dei verbali delle operazioni tecniche compiute dall’autorità francese e dei verbali delle operazioni eseguite in Italia.
La decisione della Corte di cassazione
…Riassunzione del provvedimento impugnato
Secondo quanto emerge dall’ordinanza impugnata, il compendio indiziario è in prevalenza costituito dal contenuto di comunicazioni tra gli indagati che costoro avevano scambiato giovandosi del sistema criptato «Sky ECC», ma anche da intercettazioni, dagli esiti del controllo dei tabulati telefonici e delle geolocalizzazioni, da riprese video e da attività di riscontro della polizia giudiziaria.
Il Tribunale ha esaminato, ritenendola infondata, la censura con la quale la difesa aveva contestato l’utilizzabilità delle comunicazioni scambiate su piattaforma Sky ECC per essere ignote le modalità di acquisizione e di decriptazione. Il sistema, com’è ormai emerso in altri procedimenti penali, consente lo scambio di comunicazioni mediante uso di criptofonini o smartphones, modificati in modo da garantirne la inviolabilità (consentendo, cioè, di disattivarne la geolocalizzazione, i servizi Google, il Bluetooth, la fotocamera e quant’altro possa generare rischi di captazione).
Il TDR ha descritto tale sistema precisando, intanto, che il materiale probatorio rappresentato da queste chat era stato acquisito in forza di specifici OEI emessi dal PM procedente e indirizzati all’autorità giudiziaria francese di Parigi.
Ha, dunque, richiamato le origini dell’indagine che aveva consentito la violazione della piattaforma criptata da parte di law enforcement agencies (squadre composte dalle polizie francese, belga e olandese), fermandone l’utilizzo nel marzo 2021, allorquando cioè si era diffusa la notizia dell’avvenuta violazione.
Gli esiti dell’indagine presupposta (quella cioè condotta dalle squadre investigative sopra citate sulla piattaforma utilizzata dai dispositivi controllati) avevano, poi, consentito di acquisire e analizzare milioni di messaggi scambiati tra membri di organizzazioni criminali operanti in vari Paesi dell’Unione Europea ed è in questo contesto che si era inserita l’indagine condotta dalla procura della Repubblica di xxx.
La polizia giudiziaria operante, infatti, analizzando il traffico telefonico storico delle celle abitualmente abbinate alle utenze «ufficiali» in uso agli indagati, aveva individuato alcuni PIN collegati alla citata piattaforma criptata (avendo gli inquirenti appurato che, proprio in concomitanza della divulgazione della notizia che quella applicazione non era più sicura, l’attività dei dispositivi associati a quella piattaforma era stata sospesa). Di qui l’iniziativa investigativa del PM procedente di inviare a stretto giro appositi OEI all’autorità giudiziaria francese, aventi uno specifico oggetto, ben descritto nell’ordinanza impugnata: la trasmissione dei messaggi già decifrati riferibili alle comunicazioni che avevano riguardato i PIN d’interesse, conservate nel server della società che gestiva il servizio di messaggistica e acquisiti nell’osservanza delle norme interne del diritto francese.
Pertanto, nella specie, secondo il TDR, i singoli OEI non avevano avuto ad oggetto un’attività investigativa da compiere ma, piuttosto, l’acquisizione di esiti di attività d’indagine che l’autorità francese aveva già svolto nel corso di autonome investigazioni; né avevano riguardato la captazione e la registrazione del messaggio cifrato in tempo reale, ma piuttosto la documentazione a posteriori di flussi di comunicazioni già memorizzate nel server allocato in Francia, inquadrabili nella disciplina dettata dall’art. 234 bis cod. proc. pen.
Ribadito, poi, il principio per il quale le regole di acquisizione probatoria sono quelle del Paese membro dell’Unione Europea e non quelle del Paese richiedente, ha richiamato la giurisprudenza formatasi sulle attività d’indagine intraprese dallo Stato estero, rispetto alle quali ha ritenuto quale limite invalicabile quello della non violazione di norme inderogabili e di principi fondamentali del nostro ordinamento, precisando che essi non coincidono, tuttavia, con il complesso delle regole dettate dal nostro codice di rito, spettando a chi eccepisce una incompatibilità l’onere di dimostrarla, essendo precluso all’autorità richiedente un vaglio sulla legittimità delle modalità esecutive dell’atto, ove non sia indicata una specifica modalità nella richiesta, a maggior ragione allorquando l’atto d’indagine sia stato già compiuto nel corso di autonome iniziative dell’autorità straniera.
Inoltre, per quel giudice, dalla mancata conoscenza di dati relativi alla decriptazione della messaggistica, non potrebbe ipso facto inferirsi l’alterazione del dato originale, poiché il relativo algoritmo non muta in alcun modo il contenuto del dato, evenienza che, nella specie, era stata peraltro prospettata in termini astratti e, quindi, ipotetici. In assenza dell’algoritmo, peraltro, sarebbe stato impossibile ottenere un messaggio intelligibile con contenuto in lingua italiana difforme da quello originale, risolvendosi le doglianze difensive in una critica rivolta alla possibilità di verifica astratta nei confronti di tutti i dati acquisiti senza alcuna allegazione indicativa di una manipolazione o alterazione, tanto più che l’attività di decriptazione svolta dagli inquirenti francesi aveva riguardato l’intero contenuto del server e che l’identificazione degli interlocutori era stata effettuata dalla polizia giudiziaria italiana sulla base di elementi di riscontro.
Inconferente, poi, è stato ritenuto il rinvio della difesa a un precedente di questa stessa sezione (Sez. 4, n. 32915/2022):secondo il ragionamento rinvenibile nell’ordinanza impugnata, infatti, in quel diverso caso (pur inerente a messaggistica scambiata sulla piattaforma Sky ECC), era stato censurato il provvedimento del PM di rigetto dell’ostensione alla difesa della documentazione riferibile alle comunicazioni criptate, consegnate tramite Europol e non direttamente dall’autorità giudiziaria dello Stato estero, come nella specie, in cui il materiale informatico era stato trasmesso dal Tribunale di Parigi.
Il Tribunale ha poi rilevato che in atti erano versati tutti i documenti inviati dall’autorità francese in risposta ai singoli OEI e depositati i provvedimenti genetici con i quali l’autorità giudiziaria francese aveva disposto l’acquisizione della messaggistica, emergendo da essi il richiamo delle norme procedurali relative alla acquisizione di dati informatici (già presenti), riferibili alla piattaforma Sky ECC. Con la precisazione che l’acquisizione dei dati, in quanto preceduta da provvedimenti autorizzativi adottati dall’autorità giudiziaria, era rispettosa dei principi fondamentali dettati dagli artt.14 e 15 Cost. e che tali provvedimenti erano stati depositati in data 4/11/2022 e richiamati nella nota del 14/11/2022 emessa dal PM in riscontro all’istanza difensiva del 28/10/2022.
Nell’ordinanza si è, infine, ribadito che, nel contesto della cooperazione penale tra Paesi Membri UE, vige una presunzione di legittimità in ordine all’attività di acquisizione dei dati trasmessi, secondo le regole proprie del Paese richiesto, precisandosi al contempo che gli atti così acquisti sono poi sottoposti in ogni caso alle regole processuali e sostanziali proprie del Paese richiedente.
…Gli atti depositati dalla Procura
Il primo tema da esaminare inerisce all’asserita nullità dell’ordinanza genetica per mancanza di atti che consentissero al GIP di verificare la liceità delle modalità di acquisizione della messaggistica. L’argomento, in relazione al quale la difesa asserisce l’assenza di motivazione nell’ordinanza impugnata, è stato trattato allorché il TDR ha specificato che in atti erano versati tutti i documenti inviati dall’autorità francese in risposta ai singoli OEI e depositati i provvedimenti genetici con i quali l’autorità giudiziaria francese aveva disposto l’acquisizione della messaggistica, emergendo da essi il richiamo delle norme procedurali relative alla acquisizione di dati informatici (già presenti), riferibili alla piattaforma Sky ECC, premettendo che è principio già espresso nella giurisprudenza di legittimità che l’atto compiuto autonomamente da autorità straniere in un diverso procedimento penale, una volta introdotto nell’ordinamento italiano tramite relazione rogatoriale, è sottoposto alle regole processuali e sostanziali proprie dell’ordinamento italiano.
Spetta, dunque, alla parte che ne eccepisce l’incompatibilità con norme inderogabili e princìpi fondamentali dello Stato l’onere di fornire la relativa prova.
Lungi dal trascurare tale rilevante tema, il TDR lo ha puntualmente affrontato richiamando un principio interpretativo espresso in tema di rogatorie internazionali che, a maggior ragione, trova applicazione nei rapporti tra autorità giudiziarie degli Stati membri dell’Unione Europea, le cui relazioni sono improntate al più stringente principio del mutual trust.
…Spetta al PM la decisione sulla scelta degli atti da trasmettere al GIP ai fini della valutazione della richiesta cautelare
Si è già chiarito, peraltro, che, in tema di misure cautelari, il PM ministero non ha l’obbligo di mettere a disposizione, del GIP, prima, e del TDR, dopo, determinati atti tassativamente indicati, ma può utilizzare quelli più rilevanti o riassuntivi, con la conseguenza che il verbale di fermo, quando contenga la esposizione delle indagini svolte – anche se riassuntivamente menzionate – correttamente può essere posto a fondamento dell’ordinanza applicativa della misura (Sez. 4^, n. 53168 del 5/10/2017, Rv. 271682, in fattispecie in cui la Corte ha ritenuto immune da censure l’ordinanza del giudice della cautela che aveva fondato l’identificazione dell’indagato sulle risultanze dell’attività di osservazione e controllo svolta dalla polizia giudiziaria trasfuse nella comunicazione di notizia di reato e nel verbale di fermo, in assenza delle annotazioni di servizio e dei verbali relativi alle attività di osservazione ed appostamento). Né ha l’obbligo di mettere a disposizione di quelle autorità giudiziarie gli atti di indagine nella loro integralità (Sez. 2, n. 43445 del 2/7/2013, Rv. 257662; sez. 6, n. 18448 del 8/4/2016, Rv. 266928, in cui il principio è stato ripreso per affermare la utilizzabilità, per esempio, di una conversazione intercettata il cui contenuto sia riportato per stralci in una informativa redatta dalla polizia giudiziaria; Sez. 1, n. 15895 del 9/1/2015, Rv. 263107, in cui la Corte di legittimità ha ritenuto utilizzabili conversazioni il cui contenuto era stato riportato nel provvedimento di fermo del P.M.; Sez. 6, n. 22570 del 11/4/2017, Rv. 270036; Sez. 6, n. 41468 del 12/9/2019, Rv. 277370).
…L’autorità giudiziaria italiana non ha il potere di verificare la legittimità del procedimento di acquisizione di documenti eseguito da un’autorità estera
Logicamente conseguenti alla soluzione data alla doglianza di cui sopra sono tutte le argomentazioni svolte nel ricorso a proposito del tardivo deposito degli atti integrativi da parte del PM, avvenuto solo due giorni prima dell’udienza, con violazione del diritto di difesa in relazione alla possibilità di disporre consulenze e relazioni tecniche; della mancata comunicazione delle credenziali e delle competenze tecniche del traduttore dei provvedimenti autorizzativi redatti in lingua francese; della permanente incertezza in ordine alla natura dell’attività d’indagine compiuta dall’autorità francese, posto che i decreti autorizzativi prodotti dal PM non riguardavano l’originaria attività mediante la quale l’autorità francese aveva ottenuto i dati informatici ma l’attività integrativa finalizzata all’acquisizione delle chiavi di crittografia per decriptare i messaggi già ottenuti; dell’evenienza che l’intercettazione di flussi informativi eseguita dall’autorità francese su dispositivi che si trovavano in territorio italiano rendesse inutilizzabili i dati ai sensi dell’art. 44 d.lgs. 21 giugno 2017, n.108.
Si tratta di doglianze che erroneamente presuppongono che esista un potere di vaglio della legittimità del procedimento di acquisizione della documentazione di cui trattasi in capo all’autorità decidente italiana.
L’argomento è, però, smentito dal contesto normativo di riferimento e dalla natura dello strumento investigativo utilizzato. La critica difensiva sconta l’omesso, effettivo confronto con quanto opportunamente precisato dal TDR che, in più passaggi della motivazione censurata, ha sottolineato le differenze del caso in esame rispetto al precedente di questa sezione richiamato dalla difesa (Sez. 4, n. 32915/2022), nel quale era stata scrutinata una questione processuale parzialmente diversa (avente sempre a oggetto la messaggistica acquisita attraverso l’accesso ai servers di Sky ECC): in quella sede, infatti, la difesa aveva formulato al PM espressa istanza di accesso per avere la disponibilità, tra l’altro, anche della documentazione (comprensiva dei files) consegnata da un organo di indagine, quale EUROPOL, a seguito dell’accesso ai server di Sky ECC, con indicazione delle modalità di acquisizione da parte di quella polizia. Situazione, dunque, non sovrapponibile a quella in esame, nella quale il PM ha chiesto la trasmissione di documenti che erano già stati autonomamente acquisiti dal giudice francese.
…Presunzione di legittimità delle prove acquisite dall’autorità giudiziaria di un altro Paese UE
Sempre con riferimento a tale aspetto, deve rilevarsi la correttezza giuridica del ragionamento svolto nell’ordinanza impugnata, laddove si è richiamato il principio generale di presunzione di legittimità delle prove acquisite dall’autorità giudiziaria di un altro Stato membro dell’Unione Europea (Sez. 4, nn.16347 e 16348 del 5/04/2023; Sez. 4 n.16345 del 5/04/2023): l’utilizzazione degli atti trasmessi, infatti, non è condizionata da un accertamento da parte del giudice italiano concernente la regolarità delle modalità di acquisizione esperite dall’autorità straniera, in quanto vige la presunzione di legittimità dell’attività svolta e spetta al giudice straniero la verifica della correttezza della procedura e l’eventuale risoluzione di ogni questione relativa alle irregolarità lamentate nella fase delle indagini preliminari (Sez. 3, n. 1396 del 12/10/2021, dep. 2022, Rv. 282886 – 01; Sez. 5, n. 1405 del 16/11/2016, dep. 2017, Rv. 269015 – 01; Sez. 2, n. 24776 del 18/5/2010, Rv. 247750 – 01; Sez. 1, n. 21673 del 22/1/2009, Rv. 243796 – 01; Sez. 5, n. 45002 del 13/7/2016, Rv. 268457 – 01, in cui si è ritenuta la utilizzabilità della documentazione di atti compiuti autonomamente da autorità straniere in un diverso procedimento penale all’estero – anche al di fuori dei limiti stabiliti dagli artt. 238 cod. proc. pen. e 78 disp. att. cod. proc. pen., con il solo limite che tale attività non sia in contrasto con norme inderogabili e principi fondamentali, i quali, però, non si identificano necessariamente con il complesso delle regole dettate dal nostro codice di rito, spettando inoltre a chi eccepisca tale incompatibilità l’onere di dare la prova di tale incompatibilità, proprio in un caso in cui la richiesta aveva riguardato l’acquisizione di documentazione, come nella specie, e non l’esecuzione, da parte dell’autorità straniera, di un atto di acquisizione probatoria).
…Il diritto straniero è un fatto e chi eccepisce la sua incompatibilità con il diritto interno deve dimostrarne in primo luogo il contenuto
Pertanto, deve essere ribadito quanto già affermato dalla Cassazione e dalla sua quarta sezione, più in generale: il diritto straniero è un fatto e spetta a chi eccepisce il difetto di compatibilità delle norme di quell’ordinamento con quelle interne dimostrarne il contenuto, e ciò tanto più laddove si tratti, come nel caso di specie, del diritto di un Paese membro dell’Unione Europea (Sez. 4, n. 19216 del 6/11/2019, dep. 2020, Rv. 274296, principio affermato in materia di intercettazioni, ma ancor più valido nel caso di acquisizione di documentazione).
…Infondatezza delle censure sull’assenza delle stringhe criptate
In merito all’assenza in atti delle conversazioni criptate (c.d. stringhe), le doglianze difensive sul punto sono manifestamente infondate, oltre a non essere precedute da un effettivo confronto con il provvedimento censurato, richiamato solo parzialmente (sul contenuto essenziale dell’atto d’impugnazione, in motivazione, Sez. 6 n. 8700 del 21/1/2013, Rv. 254584; Sez. U, n. 8825 del 27/10/2016, dep. 2017, Galtelli, Rv. 268822, sui motivi d’appello, ma i cui principi possono applicarsi anche al ricorso per cassazione).
Il TDR ha, infatti, chiarito che la verifica della corrispondenza tra il dato originale e quello trasmesso sarebbe risultata non astratta né generica se la difesa avesse addotto elementi concreti quali «messaggi troncati, incompleti o dissonanti o ancor peggio non riferibili all’odierno indagato», comunque tali da far dubitare della compromissione del dato.
…Algoritmi di decrittazione dei messaggi
I giudici del riesame hanno, poi, aggiunto che l’algoritmo che consente la decriptazione dei messaggi non altera il contenuto del dato, essendo nozione acquisita alla scienza informatica che in assenza dell’algoritmo necessario alla decodificazione è impossibile ottenere un testo intellegibile con contenuto in lingua italiana difforme dal reale, potendosi al più avere una sequenza alfanumerica o simbolica priva di alcun senso.
…Decrittazione e captazione: due attività differenti
La pronuncia risulta esente da vizi e conforme alla logica secondo la quale la decriptazione del dato informatico è attività distinta dalla captazione e le operazioni di decodificazione del significato delle comunicazioni intercettate sono da tenere distinte dai requisiti di utilizzabilità della prova.
Le incertezze circa la correttezza della decodificazione delle intercettazioni utilizzabili attengono al valore e alla portata probatoria delle comunicazioni decriptate e quindi non possono avere ingresso nel giudizio ove la difesa non alleghi argomenti a sostegno di errori nella lettura e/o nella interpretazione dei messaggi captati (Sez. 1, n. 6364 del 13/10/2022, dep. 2023, in motivazione; Sez. 4, n. 29866 del 08/07/2022, in motivazione).
TERZULTIMA FERMATA 