FILIPPI – TABULATI TELEFONICI E TELEMATICI E RISPETTO DELLA VITA PRIVATA.PDF

TABULATI TELEFONICI E TELEMATICI E RISPETTO DELLA VITA PRIVATA

TRAFFIC AND TELEMATIC DATA AND RESPECT OF PRIVATE LIFE

di Leonardo Filippi*

Il contributo esamina la nuova disciplina italiana sull’acquisizione dei dati telefonici e telematici – l’art. 132 d. lgs. 30.6.2003, n. 196 (Codice della privacy), recentemente modificato dal d.l. 30.9.2021, n. 132, convertito con interpolazioni dalla l. 23.11.2021, n. 178 – alla luce della normativa sovranazionale, così come interpretata da ultimo dalla dirompente sentenza H.K. della Grande Camera di Corte di giustizia dell’U.E. del 2.3.2021. Dopo un’introduzione sull’evoluzione della predetta disciplina sino alle recenti novelle, passando per la succitata decisione dei giudici europei, l’Autore si sofferma analiticamente sulle modificazioni, oltremodo significative, apportate dalla legge di conversione, per concludere con un bilancio sul recente intervento legislativo.

The paper analyzes the new Italian regulation on the access of the investigating authority to traffic and telematic data – Article 132 d. lgs. 30.6.2003, n. 196 (Privacy Code), recently amended by the d.l. 30.9.2021, n. 132, converted with modifications by the l. 23.11.2021, n.178 – in the light of the UE law, as interpreted by the judgement of the Court of justice (Grand Chamber) of 2.3.2021 in the case H.K. After an introduction about evolution of the discipline up to the recent amendments, passing through the aforementioned decision of the European judges, the Author focuses analytically on the significant changes that have been brought by the conversion law, ending with a review of the latest legislative action.

Sommario: 1. Introduzione. – 2. La sentenza della Grande Camera della Corte di giustizia. – 3. Le modifiche all’art. 132 del Codice privacy. – 4. La rilevanza per l’“accertamento dei fatti” e non solo ai fini della prosecuzione delle indagini. – 5. La generalizzata legittimazione alla richiesta di acquisizione dei tabulati. – 6. Il decreto del giudice che autorizza l’acquisizione dei dati. – 7. L’ostensione al gestore del decreto che autorizza l’acquisizione dei tabulati. – 8. Le modifiche in tema di intercettazione a mezzo di captatore informatico. 9 – Il regime di utilizzabilità dei tabulati. – 10. La disciplina transitoria. – 11. Conclusioni.

1. Introduzione.

La storia della disciplina italiana dei tabulati è lunga e travagliata, avendo subito plurimi interventi legislativi nel tentativo di bilanciare le esigenze della riservatezza con quelle investigative. Per giunta si è verificata una progressiva e accresciuta capacità sia di raccolta dei dati (data retention), sia di affinamento delle tecniche di conservazione e di lettura dei dati stessi. È vero che i dati esteriori delle comunicazioni non contengono il contenuto dei messaggi e quindi provocano una lesione alla riservatezza minore rispetto all’intercettazione delle comunicazioni. Tuttavia, tali dati forniscono notizie molto rilevanti, come le utenze contattate, la frequenza delle chiamate, il tempo e la durata delle stesse, le persone frequentate ed anche la presenza all’interno di una determinata cella d’aggancio di un utente e quindi la sua ubicazione in tempo reale. Si tratta perciò talvolta anche di dati sensibili perché investono la personalità e la sfera privata del titolare dell’utenza telefonica o telematica, dando indicazioni sulla vita privata delle persone, come le abitudini della vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati.

Le diverse modifiche legislative hanno riguardato non solo la durata di conservazione dei dati (che originariamente era di 30 mesi per i soli dati del traffico telefonico), ma anche l’altalenante legittimazione alla richiesta di acquisizione (prima del solo P.M. e poi nel 2004 estesa al difensore, poi restituita per lungo tempo al “monopolio” del solo P.M. e da ultimo estesa nuovamente al difensore dell’imputato, della persona sottoposta alle indagini, della persona offesa e delle altre parti private). Una tale incertezza è diffusa in un sistema come il nostro che va da un eccesso all’altro, in cui la tutela della riservatezza, prima sconosciuta ora forse, in certi casi, è tutelata persino troppo. Ma ormai facciamo parte dell’Unione europea, l’Italia ha aderito a diverse convenzioni internazionali (prima fra tutte la CEDU e la Carta dei diritti fondamentali) e l’art. 117 Cost. prescrive il rispetto, oltre che della Costituzione, anche dei «vincoli derivanti dall’ordinamento comunitario e dagli obblighi internazionali».

In questo contesto si inserisce la sentenza della Grande Camera della Corte giust. U.E., 2.3.2021, H.K., sui tabulati^[1], che è una pronuncia pregiudiziale, sollevata in un procedimento penale estone. La pronuncia ha interpretato l’art. 15, § 1, della direttiva 2002/58/CE, relativa alla vita privata e alle comunicazioni elettroniche, ribadendo i principi della riserva di legge e di giurisdizione, nonché di proporzionalità dell’ingerenza nella vita privata, che peraltro erano stati già ripetutamente affermati in precedenza dalla stessa Corte.

Dopo l’ennesima pronuncia della Grande Camera era perciò diventato ormai indifferibile l’intervento del legislatore interno.

Pertanto, l’art. 1 d.l. 30.9.2021, n. 132, aveva modificato l’art. 132.3 d. lgs. 30.6.2003, n. 196 (Codice della privacy), e la legge di conversione, la l. 23.11.2021, n. 178, ha introdotto una disposizione transitoria ed ha anche inciso sull’art. 267 c.p.p. in materia di intercettazioni a mezzo del captatore. In questo modo l’intervento legislativo risolve molte criticità evidenziate dalla Corte di giustizia U.E.  e da troppo tempo insolute, anche se, come vedremo, qualche lacuna purtroppo è rimasta.

2. La sentenza della Grande Camera della Corte di giustizia U.E.

               In passato in Italia la conservazione dei dati era ordinariamente generalizzata e indifferenziata ed inoltre era attribuito al solo P.M. il “monopolio” a ordinare l’acquisizione dei dati personali, per cui, mancando una disposizione specifica, l’acquisizione era disposta dal P.M. avvalendosi dell’art. 256 c.p.p., che impone ai soggetti legati al segreto professionale o al segreto d’ufficio di «consegnare immediatamente all’autorità giudiziaria che ne faccia richiesta gli atti e i documenti, anche in originale se così è ordinato» e la l. n. 48/2008^[2] aggiunse nello stesso art. 256 c.p.p. come oggetto dell’acquisizione anche «i dati, le informazioni e i programmi informatici»^[3]. Pertanto, il difensore dell’imputato, interessato all’acquisizione dei tabulati, dal 2004 e fino al 30.9.2021 doveva rivolgersi al P.M., cioè alla sua controparte, e convincerlo a richiedere lui al gestore i tabulati a favore della parte privata.

         La sentenza della Grande Camera del 2 marzo 2021 è quindi intervenuta nel sistema italiano con una forza dirompente. Infatti, essa aveva affermato, anzitutto, il principio per cui l’obiettivo della prevenzione, della ricerca, dell’accertamento e del perseguimento dei reati è ammesso, conformemente al principio di proporzionalità, soltanto per la lotta contro “le forme gravi di criminalità e la prevenzione di gravi minacce alla sicurezza pubblica”, le quali solamente sono idonee a giustificare ingerenze gravi nei diritti fondamentali sanciti dagli artt. 7 e 8 della Carta di Nizza, come quelle che comporta la conservazione dei dati relativi al traffico e all’ubicazione. Infatti, come già rilevato in passato, l’accesso a un insieme di dati relativi al traffico o all’ubicazione “può effettivamente consentire di trarre conclusioni precise, o addirittura molto precise, sulla vita privata delle persone i cui dati sono stati conservati, come le abitudini della vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati”. Pertanto, la Corte ritenne vietata una conservazione generalizzata e indifferenziata dei dati relativi al traffico e all’ubicazione e “soltanto gli obiettivi della lotta contro le forme gravi di criminalità o della prevenzione di gravi minacce per la sicurezza pubblica sono atti a giustificare l’accesso delle autorità pubbliche ad un insieme di dati relativi al traffico o all’ubicazione, i quali sono suscettibili di fornire informazioni sulle comunicazioni effettuate da un utente di un mezzo di comunicazione elettronica o sull’ubicazione delle apparecchiature terminali utilizzate da quest’ultimo e tali da permettere di “trarre precise conclusioni sulla vita privata delle persone interessate”.

La Corte, rispettando il principio di proporzionalità enunciato dall’art. 52 della citata Carta^[4], aggiunse che altri fattori attinenti alla proporzionalità di una domanda di accesso, come la durata del periodo per il quale viene richiesto l’accesso a tali dati, non possono avere come effetto quello di giustificare l’obiettivo di prevenzione, ricerca, accertamento e perseguimento di reati in generale. Essa osservò che, indubbiamente, maggiore è la durata del periodo per il quale viene richiesto l’accesso o le categorie di dati richiesti, più grande è, in linea di principio, la quantità di dati che possono essere conservati dai fornitori di servizi di comunicazioni elettroniche, relativi alle comunicazioni elettroniche effettuate, ai luoghi di soggiorno frequentati, nonché agli spostamenti compiuti dall’utente di un mezzo di comunicazione elettronica, consentendo in tal modo di ricavare, a partire dai dati consultati, un maggior numero di conclusioni sulla vita privata di tale utente. Pertanto, il principio di proporzionalità, che consente le deroghe alla protezione dei dati personali e le limitazioni di quest’ultima, impone che tanto la categoria o le categorie di dati interessati, quanto la durata per la quale è richiesto l’accesso a questi ultimi, siano, in funzione delle circostanze del caso di specie, limitate a “quanto è strettamente necessario” ai fini dell’indagine in questione.

Inoltre, la Grande Camera della Corte del Lussemburgo ribadì che l’accesso ai dati esteriori delle comunicazioni telefoniche e telematiche deve essere autorizzato da un giudice o da una autorità amministrativa indipendente. Proprio questo aspetto ha determinato il cambio di rotta nella legislazione interna, in quanto il pubblico ministero, essendo una parte, secondo la Corte non soddisfa quei requisiti di imparzialità che l’ordinamento sovranazionale impone per accedere ai tabulati^[5].

3. Le modifiche all’art. 132 del Codice privacy.

La novella legislativa ha introdotto nell’art. 132 del Codice privacy molteplici modifiche in materia di acquisizione dei dati telefonici e telematici ed è densa di futuri sviluppi.

Anzitutto, la sentenza della Grande Camera impone di determinare con precisione l’oggetto della conservazione ed acquisizione dei dati, che può dirsi ampliato per effetto della citata pronuncia, la quale equipara i dati di ubicazione ai dati telefonici e telematici. Pertanto, deve ritenersi che l’art. 132 d. lgs. n. 196/2003 disciplini, oltre i dati telefonici, quelli telematici e le chiamate senza risposta, anche i dati di ubicazione, che la giurisprudenza europea equipara ai primi quanto alle garanzie da assicurare. In particolare, è noto che l’attività sia di localizzazione satellitare (tramite G.P.S.)^[6] sia di tracciamento telefonico (cd. positioning)^[7] sono strutturate sul funzionamento del sistema telefonico o telematico perché avviene tramite un incrocio di dati delle antenne della rete e quindi rientrano sicuramente nel concetto di “traffico” telefonico o telematico, disciplinato dall’art. 132 Codice privacy. Infatti, l’art. 121 del menzionato decreto definisce «dati relativi al  traffico»,  qualsiasi  dato  sottoposto  a trattamento ai fini della trasmissione di una  comunicazione  su  una rete di comunicazione elettronica o della relativa fatturazione; mentre per «dati relativi all’ubicazione» si intende «ogni  dato  trattato  in  una rete di comunicazione elettronica o da un servizio  di  comunicazione elettronica che indica la posizione geografica  dell’apparecchiatura terminale dell’utente di un  servizio  di  comunicazione  elettronica accessibile al pubblico».

Si è invece affermato che il “pedinamento tecnologico”, sia con modalità satellitare (G.P.S.), sia mediante telefono cellulare (positioning), non ricadrebbe nella nuova disciplina in quanto si tratterebbe di “una sorta di attività investigativa atipica, assimilabile al pedinamento, che in alcun modo può interferire sulla libertà e segretezza delle comunicazioni” e quindi rientrerebbe nella competenza della polizia giudiziaria e non sarebbe assoggettata all’autorizzazione preventiva dell’autorità giudiziaria^[8]. In effetti, la giurisprudenza ha sinora ritenuto che tutte le forme di pedinamento tecnologico rientrino tra i mezzi di ricerca della prova atipici o innominati attributi alla competenza della polizia giudiziaria, che quindi non solo non richiedono l’osservanza delle disposizioni sulle intercettazioni, ma, non rientrando sotto la copertura dell’art. 15 Cost., non necessitano del provvedimento autorizzativo dell’autorità giudiziaria^[9]. La giurisprudenza è giunta al punto di affermare che gli esiti del tracciamento possono entrare nel processo anche solo attraverso la testimonianza degli ufficiali di p.g. che ne hanno curato l’esecuzione^[10], ritenendo addirittura irrilevante la perdita del supporto informatico contenente i dati rilevati e trasmessi^[11].

Ma, dopo le recenti modifiche apportate al d.lgs. n. 196/2003, dovrebbe essere pacifico che sia la localizzazione satellitare^[12] sia il tracciamento telefonico, entrambi basati sul sistema telefonico o telematico, e quindi rientranti nel concetto di “traffico” telefonico o telematico, sono soggetti alla nuova disciplina in tema di acquisizione di tabulati.

È particolare la localizzazione tramite il GPS preinstallato sui moderni telefoni cellulari, che utilizza il captatore informatico e quindi consente la localizzazione in tempo reale: ma per l’inoculazione del trojan nel cellulare occorreva ed occorre tuttora l’autorizzazione da parte del G.I.P.

Solo per l’installazione del G.P.S. su veicolo si sostiene da qualche Autore che non si tratterebbe di dati riferibili al concetto di “traffico” telefonico o telematico del soggetto monitorato perchè il G.P.S. non trasmetterebbe dati telefonici o telematici riferibili al “bersaglio” in quanto la S.I.M. che trasmette alla polizia giudiziaria i dati satellitari non appartiene al bersaglio, ma alla stessa polizia giudiziaria  e si  conclude da tale Autore nel senso che sarebbe ancora possibile un utilizzo in via autonoma da parte del P.M. senza autorizzazione del G.I.P.^[13]. Ma è evidente che la S.I.M., a chiunque appartenga, trasmette dati via satellite alla polizia giudiziaria, per cui si tratta pur sempre di traffico telefonico o telematico. E comunque la Grande Camera della Corte di Lussemburgo non ha distinto tra le diverse possibili modalità di acquisizione, essendo rilevanti solo i dati personali da tutelare. Così come non distingue la Corte di Strasburgo, che  nei casi Uzun c. Germania^[14]  e Ben Faiza c. Francia^[15], ha riconosciuto che l’uso del G.P.S. per monitorare gli spostamenti di un soggetto interferisce con il diritto alla vita privata, tutelato dall’art. 8 § 2 C.E.D.U.^[16].

In effetti poco importa in che modo tecnicamente possano acquisirsi i dati, ma rileva unicamente il valore del dato personale che viene inciso e la Corte di giustizia U.E. considera anche i dati di ubicazione rientranti nel traffico telefonico e telematico e quindi coperti dal diritto alla riservatezza, che può essere intaccata solo nel rispetto dei principi di proporzionalità e di riserva di legge (che deve indicare i casi e i modi della limitazione) e di giurisdizione (per cui solo il giudice può autorizzare l’acquisizione dei dati). Di conseguenza, deve ritenersi che tra i dati acquisibili con autorizzazione del G.I.P. rientrino pure tutti i dati di ubicazione (sia mediante rilevamento satellitare tramite G.P.S., sia con il tracciamento telefonico, cd. positioning). Infatti, si tratta pur sempre di dati relativi al traffico telefonico, telematico e di ubicazione, per i quali la citata sentenza della Grande Camera della Corte di giustizia U.E. ha prescritto la riserva di legge, la riserva di giurisdizione e il principio di proporzionalità.

Si può invece discutere se siano sottoposti alla disciplina dei tabulati anche i files di log IP ^[17], che sono dei registri che documentano tempi e orari della connessione al sistema dei diversi IP, giacché non contengono dati di traffico ma solo di individuazione degli IP^[18]. In realtà, se l’IP è collegato ad una utenza telefonica fissa viene rivelato anche un dato di ubicazione. Comunque, anche i files di log rivelano dati della vita privata di un soggetto, perché indicano gli accessi effettuati, i siti visitati e la durata di essi, quindi dati della vita privata che la Grande Camera della Corte europea tutela con la riserva di legge e di giurisdizione, oltre che con il principio della proporzionalità dell’ingerenza.

Poiché spesso l’impiego del G.P.S. è stato legittimato considerandolo come prova atipica, deve osservarsi che esso non rispetta le condizioni di ammissibilità dettate dall’art. 189 c.p.p. al fine di ritenere utilizzabile ai fini della decisione il dato probatorio ottenuto. Infatti, tale risultato probatorio dovrebbe risultare “idoneo ad assicurare l’accertamento dei fatti”, mentre esistono dispositivi capaci di svolgere un’attività di “disorientamento” (c.d. GNSS spoofing) del tracker G.P.S., inducendolo ad elaborare dati di ubicazione dalle coordinate errate e, perciò, “non corrispondenti al vero”. Quindi, mentre ex ante non pare discutibile l’attendibilità della tecnica G.P.S., ex post occorrerà pur sempre verificare se l’oggettività della rilevazione sia stata o no compromessa tramite strumentazioni esterne. Secondo la giurisprudenza, poiché l’attività di polizia giudiziaria consiste nella semplice trasposizione di un dato oggettivo (cioè, nella specie, quello costituito dalle coordinate ottenute dal G.P.S.) nelle annotazioni della stessa polizia giudiziaria o nelle sue relazioni di servizio, si dovrebbe escludere che la mancanza del supporto informatico contenente gli originali dei tracciati possa in alcun modo inficiare l’attendibilità e la oggettiva valenza probatoria dei medesimi dati, concernenti le suddette coordinate^[19]. Ma, a nostro parere, la presenza del supporto informatico è invece essenziale per verificare che la annotazione o la relazione di servizio non contenga errori, non potendosi prestar fede ciecamente alla documentazione di un’attività senza il controllo della fonte. Ma, soprattutto, ci si deve domandare se tale tecnica investigativa possa o no implicare – talora – una compressione del diritto alla riservatezza, rectius «al rispetto della vita privata» tutelato dall’art. 8 C.e.d.u.^[20]

4. La rilevanza “per l’accertamento dei fatti” e non solo ai fini della prosecuzione delle indagini.

Il decreto-legge privilegiava il P.M. nell’acquisizione dei tabulati telefonici, telematici e di ubicazione, durante le indagini preliminari tanto che essi potevano essere acquisiti solo se rilevanti per la “prosecuzione delle indagini”. Invece, la legge di conversione consente l’acquisizione a tutte le parti anche in momenti successivi (ad es. in sede dibattimentale). Infatti, il testo definitivo richiede che l’acquisizione dei tabulati sia rilevante «per l’accertamento dei fatti» e non solo ai fini della «prosecuzione delle indagini». In questo modo l’acquisizione dei dati può essere ottenuta anche dopo la chiusura delle indagini preliminari e per tutto il corso del processo, sempre che ovviamente i dati siano ancora conservati.

5. La generalizzata legittimazione alla richiesta di acquisizione dei tabulati.

Essendo esplicitamente legittimati alla richiesta non solo il P.M., il difensore dell’imputato, della persona sottoposta alle indagini e della persona offesa, ma anche quello delle «altre parti private», si consente pure al difensore della parte civile, del responsabile civile e del civilmente obbligato per la pena pecuniaria di presentare istanza di acquisizione dei dati direttamente al G.I.P. o al giudice che procede.

È esclusa invece una acquisizione d’ufficio da parte del giudice, essendo la richiesta di parte presupposto dell’autorizzazione.

6. Il decreto del giudice che autorizza l’acquisizione dei dati.

Anche la disciplina dei tabulati risente della direttiva europea (UE) 2016/343 sulla presunzione di innocenza, di recente recepita in Italia con il d. lgs. 8.11.2021, n. 188, per cui anche nelle richieste e nei decreti di autorizzazione all’acquisizione dei dati, così come nei decreti in tema di intercettazioni, trova applicazione la nuova disposizione dell’art. 115-bis c.p.p. Si tratta infatti di provvedimenti che hanno come presupposto indizi di reato (e non di reità) e quindi da annoverare tra quelli «diversi da quelli volti alla decisione in merito alla responsabilità penale dell’imputato», per cui «la persona sottoposta a indagini o l’imputato non possono essere indicati come colpevoli fino a quando la colpevolezza non è stata accertata con sentenza  o  decreto  penale  di  condanna irrevocabili» e l’autorità giudiziaria deve limitare i riferimenti alla colpevolezza  della persona  sottoposta  alle  indagini   o   dell’imputato   alle   «sole indicazioni necessarie a soddisfare i presupposti, i requisiti  e  le altre  condizioni  richieste   dalla   legge   per   l’adozione   del provvedimento”^[21]. Si noti infine che il decreto che autorizza l’acquisizione dei dati, come quello in materia di intercettazioni, non hanno la garanzia di alcuna impugnazione.

7. L’ostensione al gestore del decreto che autorizza l’acquisizione dei tabulati.

Il testo del decreto-legge stabiliva che «i dati sono acquisiti presso il fornitore con decreto motivato del giudice», mentre la legge di conversione richiede che «i dati sono acquisiti previa autorizzazione rilasciata dal giudice con decreto motivato», per cui si è dubitato se tale decreto debba essere presentato ai gestori. Ma il dubbio sembra agevolmente superabile con la considerazione che, quando si intacca un valore fondamentale, se ne deve dare giustificazione al detentore di esso mediante esibizione del titolo che legittima l’intrusione (così, ad esempio, in occasione di perquisizione o sequestro, deve essere esibito il relativo decreto al detentore del bene). Pertanto, non si dovrebbe dubitare che il P.M., la parte o il soggetto privato che chiede l’acquisizione dei tabulati debba esibire al gestore del servizio di telecomunicazioni il decreto di autorizzazione emesso dal G.I.P.^[22]. Né è possibile vedere analogie con l’art. 267 c.p.p. e quindi ritenere che, come il P.M., dopo l’autorizzazione del G.I.P., non deve ostendere il decreto autorizzativo dell’intercettazione al gestore, così dovrebbe fare anche per i tabulati. Il confronto non è pertinente perché in tema di intercettazioni esiste una disposizione specifica, l’art. 267, co. 3, c.p.p., che prevede l’emissione di uno specifico decreto con cui il P.M. dà esecuzione all’intercettazione, mentre una disposizione analoga non esiste per i tabulati.

Pertanto, la modifica del testo originario in quello definitivo, di carattere meramente formale, non consente di omettere l’esibizione al gestore del provvedimento autorizzativo.

8. Le modifiche in tema di intercettazione a mezzo di captatore informatico.

La novella legislativa incide anche sull’art. 267 c.p.p. esigendo che il g.i.p. che autorizza l’intercettazione a mezzo di captatore debba indicare le “specifiche” ragioni che rendono necessaria tale modalità per lo svolgimento delle indagini. In questo modo si rende più stringente la motivazione alla base dell’autorizzazione ad un’intercettazione estremamente invasiva.

Inoltre, si tenga presente che sui “casi” e soprattutto sui “modi” in cui il trojan intercetta le comunicazioni esiste nell’art. 15 Cost. una riserva assoluta di legge: la legge deve indicare non solo per quali reati è ammesso l’uso del trojan, ma anche in che modo è legittimo procedere all’intercettazione. E proprio sulle modalità di intercettazione il caso Palamara ha messo in evidenza un particolare che negli anni era rimasto ignoto.

Una circolare della Procura di Milano^[23] chiarisce che sono utilizzabili nelle indagini preliminari “esclusivamente captatori di proprietà dei fornitori, non noleggiati da società terze” e di cui i fornitori “conoscano nel dettaglio il funzionamento”. Meglio tardi che mai, certamente, anche se solo ora si cerca di chiudere la stalla dopo che i buoi sono scappati. Resta da domandarsi come mai i G.I.P., che dovrebbero essere i garanti della legittimità delle intercettazioni e tutti i giudici d’Italia, che in questi anni le hanno utilizzate, spesso come unica prova, non si sono mai nemmeno posto il problema.

9. Il regime di utilizzabilità dei tabulati.

Il testo originario del decreto-legge prevedeva che «Se il decreto del pubblico ministero non è convalidato nel termine stabilito, i dati acquisiti non possono essere utilizzati», circoscrivendo in questo modo la sanzione processuale ai soli casi di mancata convalida e nulla stabilendo per le diverse ipotesi nelle quali i tabulati fossero acquisiti in modo illegittimo. Alla evidente lacuna ha supplito la legge di conversione che detta invece una disposizione analoga all’art. 271 c.p.p., stabilendo, all’art. 132, co. 3-quater, che «I dati acquisiti in violazione delle disposizioni dei commi 3 e 3-bis non possono essere utilizzati». In questo modo, il legislatore ha finalmente disciplinato, sotto il profilo sanzionatorio, tutte le ipotesi di acquisizione patologica dei dati. D’altra parte, le S.U. già in passato avevano affermato che il divieto di utilizzazione previsto dall’art. 271 c.p.p. è riferibile anche all’acquisizione dei tabulati telefonici tutte le volte che avvenga in violazione dell’art. 267 c.p.p., cioè in assenza del prescritto decreto motivato^[24].

Comporta quindi l’inutilizzabilità dei dati a carico dell’imputato il fatto che essi siano stati acquisiti oltre il termine di conservazione stabilito dalla legge; o la circostanza che l’autorizzazione sia stata data per un reato che non consente l’acquisizione dei dati; la mancanza di un decreto del G.I.P. o l’assenza in esso di una motivazione specifica sulla qualificazione giuridica, sui “sufficienti indizi di reato” o sulla loro rilevanza “per l’accertamento dei fatti”. Inoltre, anche i dati acquisiti d’urgenza dal P.M. sono inutilizzabili non solo in caso di mancata o tardiva convalida del G.I.P., ma pure se il decreto motivato del P.M. è stato emesso in assenza di «ragioni d’urgenza» o del «fondato motivo di ritenere che dal ritardo possa derivare grave pregiudizio alle indagini».

L’utilizzabilità in bonam partem, cioè a favore dell’imputato, è invece sempre possibile, perché la Costituzione pone la tutela dei diritti inviolabili dell’uomo ad obiettivo fondamentale dell’ordinamento, per cui, nel processo penale l’innocenza e comunque la minore responsabilità dell’imputato devono poter sempre essere accertate. D’altra parte, le prove conferenti all’assoluzione o alla minore responsabilità sottostanno ai soli sindacati di esistenza e di attendibilità, non anche a quello di conformità al modello legislativo, e quindi non possono mai essere dichiarate inutilizzabili. Anche le Sezioni Unite Carpanelli del 1997 avevano chiarito che le dichiarazioni favorevoli al soggetto che le ha rese e ai terzi restano al di fuori della sanzione di inutilizzabilità sancita dall’art. 63, co. 2, c.p.p., alla stregua della ratio della disposizione, ispirata al diritto di difesa^[25].

10. La disciplina transitoria.

Il testo definitivo introduce una disciplina transitoria che evita, nei procedimenti in corso, che dati acquisiti senza la garanzia giurisdizionale possano essere utilizzati. Si tratta di una disposizione ingiustamente criticata^[26] ed invece necessaria per attuare appieno il principio di legalità processuale.

Secondo la disposizione transitoria, è ora prevista una duplice condizione per l’utilizzazione a carico dell’imputato dei dati già acquisiti nei procedimenti penali in data precedente alla data di entrata in vigore del decreto-legge. Infatti, essi possono essere utilizzati «solo unitamente ad altri elementi di prova» ed esclusivamente per l’accertamento degli stessi reati per i quali ora art. 132 d.lgs. n. 196/2003 consente la loro acquisizione^[27].  In questo modo, la delimitazione oggettiva dei gravi reati per l’accertamento dei quali soltanto è ammessa l’acquisizione dei dati acquisiti in precedenza e la necessità di “riscontri” a tali dati acquisiti suppliscono, almeno in parte, alla precedente disciplina generica e priva di giurisdizionalità. In particolare, tale delimitazione oggettiva non solo risponde alle indicazioni della Corte di giustizia U.E., ma rispetta il principio di proporzione tra reato da accertare e limitazione della riservatezza del cittadino. È verosimile che tali “riscontri” saranno dalla giurisprudenza individuati in qualsiasi altro elemento, anche non oggettivo, che confermi le risultanze dei dati, alla pari di quanto già affermato in riferimento alla chiamata in correità^[28].

 Ne risulta una implicita doppia previsione di inutilizzabilità, sia per i dati acquisiti in precedenza per reati diversi da quelli elencati, sia per quelli privi di riscontri.

Ma ci sarebbe da domandarsi quale ragionevolezza abbia una disciplina che prevede la necessità di “riscontri” per le acquisizioni avvenute in passato, ma non per quelle future; così come sembra poco ragionevole la previsione di inutilizzabilità esplicita per le future acquisizioni illegittime ma non per le precedenti^[29]: cioè si verifica la paradossale situazione per cui la disciplina transitoria e quella ordinaria danno luogo ad una evidente disparità di trattamento che non sembra rispondere a criteri di ragionevolezza.

11. Conclusioni.

Dovendo esprimere un giudizio sulla novella legislativa, questo non può essere che positivo, nonostante non siano state rispettate appieno le indicazioni della menzionata pronuncia della Corte di giustizia U.E.  e anche se sarebbe stato preferibile realizzare una “riserva di codice” e inserire le nuove disposizioni subito dopo gli artt. 266-271 c.p.p.

La Corte giust. U.E. aveva infatti affermato che il principio di proporzionalità dell’acquisizione dei dati impone una determinazione sia della “categoria dei dati acquisibili”, compresi quelli di ubicazione, sia della durata del “periodo per il quale viene richiesto l’accesso ai dati”, che devono essere limitati a “quanto è strettamente necessario” ai fini dell’indagine in corso. Invece, si è omessa una disciplinata della categoria dei dati di ubicazione, è rimasta indeterminata la durata del periodo per il quale è richiesto l’accesso (che può riguardare l’intero periodo di conservazione) ed è  immutata anche  l’irragionevole durata della conservazione dei dati per 72 mesi (6 anni) introdotta dalla disciplina speciale dettata dall’art. 24 l. 20.11.2017, n. 167, al fine di garantire strumenti di indagine efficace in considerazione delle straordinarie esigenze di contrasto del terrorismo, anche internazionale, per le finalità dell’accertamento e della repressione dei reati di cui agli  artt. 51, co. 3-quater, e 407, co. 2, lett. a), c.p.p. L’attuale regime comporta che i gestori, i quali non possono certo prevedere per quali reati perverranno le richieste di acquisizione dei dati, sono di fatto costrette a conservare tutti i dati per 72 mesi, che è una durata veramente inaccettabile e contrastante con il principio di proporzionalità.

La Corte di giustizia U.E. richiedeva anche di individuare per legge i “soggetti” i cui dati possono essere acquisiti ed aveva ammonito che l’accesso a tali dati può, in linea di principio, essere consentito, in relazione con l’obiettivo della lotta contro la criminalità, soltanto per i dati di “persone sospettate di progettare, di commettere o di aver commesso un illecito grave, o anche di essere implicate in una maniera o in un’altra in un illecito del genere”. Solo eccezionalmente, “in situazioni particolari, come quelle in cui interessi vitali della sicurezza nazionale, della difesa o della sicurezza pubblica siano minacciati da attività di terrorismo, l’accesso ai dati di altre persone potrebbe essere parimenti concesso qualora sussistano elementi oggettivi che permettano di ritenere che tali dati potrebbero, in un caso concreto, fornire un contributo effettivo alla lotta contro attività di questo tipo”. L’art. 132 Codice privacy consente invece l’acquisizione dei dati anche nei confronti di soggetti non raggiunti da sospetto di reato e quindi semplici persone informate sui fatti o testimoni.

Pertanto, su tutti tali punti rimasti pretermessi, sarà inevitabile sollevare questione di legittimità costituzionale in rapporto all’art. 117 Cost., che, com’è noto, vincola la potestà legislativa dello Stato al rispetto, tra l’altro, dei vincoli derivanti dall’ordinamento comunitario e dagli obblighi internazionali.

Biasimevole è anche non aver prescritto una motivazione “rafforzata” sui presupposti dell’acquisizione, in modo da evitare le consuete formule di stile, ma vuote di contenuto, che finora la giurisprudenza ha ammesso.

Sarebbe stato necessario pure un coordinamento tra le nuove disposizioni e l’art. 254-bis c.p.p., che disciplina il procedimento di sequestro di dati informatici presso fornitori di servizi informatici, telematici e di telecomunicazioni. Infatti, l’art. 254-bis c.p.p. legittima al sequestro dei dati di traffico e di ubicazione genericamente l’«autorità giudiziaria» e non il giudice, anche se la sua portata è limitata alla precisazione che l’acquisizione può avvenire mediante copia, lasciando al gestore la conservazione e la protezione dei dati originali. È comunque fuori dubbio che la disposizione speciale e cronologicamente successiva, rappresentata dall’art. 132 Codice privacy, prevale nell’attribuire la legittimazione all’acquisizione, di regola, al giudice e solo «quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare grave pregiudizio alle indagini», al pubblico ministero.

Ciononostante, l’intervento legislativo in materia di tabulati telefonici, e telematici è riuscito ad adempiere almeno alle principali indicazioni europee. Ne è risultata una disciplina dell’acquisizione dei dati per lo più conforme alla Costituzione, alle Convenzioni sovranazionali e alle indicazioni della Corte di giustizia U.E., anche se qualche aggiustamento in futuro sarà indispensabile, almeno sui punti evidenziati.

Purtroppo, è stata persa l’occasione per disciplinare con legge alcuni strumenti di indagine, attualmente in uso nella prassi investigativa, come le riprese visive, l’agente segreto attrezzato per il suono, le body-cam, le intercettazioni mediante droni e il “code catcher”, che è in grado di registrare le informazioni provenienti da tutti i cellulari che si trovano in una certa area^[30].

*Professore emerito di diritto processuale penale, Università di Cagliari

[1] C.G.U.E., Grande Camera, 2.3.2021, H. K. c. /Prokuratuur, C‑746/18.

[2] Si tratta della l. 18.3.2008, n. 48 (Ratifica ed esecuzione della Convenzione del Consiglio d’Europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell’ordinamento interno.

[3] La stessa l. n. 48/2008 introdusse pure l’art. 254-bis c.p.p., rubricato “Sequestro di dati informatici presso fornitori di servizi informatici, telematici e di telecomunicazioni”, che prevede che  l’autorità giudiziaria, quando dispone il sequestro,  presso  i fornitori di servizi informatici, telematici o di  telecomunicazioni, dei “dati da  questi  detenuti,  compresi  quelli  di  traffico  o  di ubicazione”,  può  stabilire,  “per  esigenze  legate  alla   regolare fornitura dei medesimi servizi”,  che  la  loro  acquisizione  avvenga mediante copia di essi su adeguato supporto, con  una  procedura  che assicuri la «conformità dei dati acquisiti a quelli  originali  e  la loro immodificabilità». In questo caso è, comunque, ordinato al fornitore dei servizi di conservare e proteggere adeguatamente i dati originali.

[4] L’art. 52, co.1, Carta dei diritti fondamentali U.E. stabilisce che “Eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui”.

[5] Invero, anche la Corte di cassazione si è occupata, in più occasioni, del tema e ha sempre ritenuto conforme la disciplina interna alla normativa europea, ritenendo che fosse l’autorità giudiziaria, ma non necessariamente il giudice, a dover autorizzare l’accesso ai tabulati.

[6]  La Corte di cassazione ha precisato che mentre i risultati del pedinamento ordinario sono interamente affidati alla percezione sensoriale degli agenti di polizia giudiziaria che hanno eseguito le operazioni e, di conseguenza, possono essere acquisiti esclusivamente attraverso la loro testimonianza, nella diversa ipotesi della localizzazione satellitare, i risultati dell’attività investigativa costituiscono il frutto di rilievi elettronici rappresentativi di una realtà spazio-temporale. In questo senso, le norme in materia di intercettazioni telefoniche o di captazione del flusso di comunicazioni informatiche e telematiche non si applicano alla localizzazione nello spazio degli individui per mezzo di controlli satellitari, che non devono essere preventivamente autorizzati dal giudice per le indagini preliminari. Il provvedimento con cui il P.M. dispone l’installazione di un sistema di localizzazione dei veicoli (GPS) non necessita, pertanto, della preventiva autorizzazione del G.I.P., in quanto è diretto a disporre, mediante l’ausilio di impianti tecnici, un pedinamento e non un’intercettazione: Cass. pen., Sez. II, n. 23172/2019, in CED Cass. n. 276966.

[7] La S.C. ha precisato che mentre i risultati del pedinamento ordinario sono interamente affidati alla percezione sensoriale degli agenti di polizia giudiziaria che hanno eseguito le operazioni e, di conseguenza, possono essere acquisiti esclusivamente attraverso la loro testimonianza, nella diversa ipotesi della localizzazione satellitare i risultati dell’attività investigativa costituiscono il frutto di rilievi elettronici rappresentativi di una realtà spazio-temporale: Cass. pen., Sez. VI, n. 15396/2007, in CED Cass. n. 239638). Inoltre, le norme in materia di intercettazioni telefoniche o di captazione del flusso di comunicazioni informatiche e telematiche non si applicano alla localizzazione nello spazio degli individui per mezzo di controlli satellitari, che non devono essere preventivamente autorizzati dal giudice per le indagini preliminari (Cass. pen., Sez. IV, n. 3017/2007, in CED Cass. n. 238679; secondo Cass. pen., Sez. II, n. 21644/2013, in CED Cass. n. 255542 non sarebbe necessario neppure il decreto motivato del P.M., rientrando tale attività nella competenza della P.G.).

[8] G. AMATO, Richieste e autorizzazioni del giudice possibili in tutte le fasi del processo, in G.D., 2021, p. 23.

[9] V. in tal senso, in riferimento alla localizzazione satellitare con GPS, Cass. pen., Sez. III, 4.4.2019, M.; Cass. pen., Sez. II, 13.2.2013, Badagliacca e altri; Cass. pen., Sez. V, 15.12.2010, Zenele e altri; v. invece, riguardo al positioning mediante tracciamento telefonico, Cass. pen., Sez. I, 13.5.2008, Stefanini in in CED Cass. n. 240092.

[10] Cass. pen., Sez. VI, 11.12.2007, Sitzia e altri, n. 15396, in C.P., 2009, 2534.

[11] In questo senso C. III, 2.4.2019, Giuliani e altri, n. 14725/2020, in G.D., 2020, n. 31, 91; C. IV, 27.11.2012, Lleshi e altri.

[12] La S.C. ha chiarito che l’attività di positioning costituisce una forma di pedinamento satellitare, che non interferisce sulla libertà e segretezza delle comunicazioni: Cass. pen., Sez. I, 13.5.2008, n. 21366, in CED Cass. n. 240092.

[13] C. PARODI, Localizzazione e tracciamento: una nuova disciplina?, ne Il Penalista, 1.12.2021.

[14] Corte e.d.u., V, 2. 9. 2010, Uzun  c./ Germania.

[15] Corte e.d.u., V, 8.2.2018, Ben Faiza c./Francia.

[16]Volendo spaziare con una visione comparatistica, si può osservare che anche la Corte suprema statunitense ha affermato che la collocazione da parte della polizia giudiziaria di un apparecchio G.P.S. sull’auto usata dal sospettato di far parte di un’associazione finalizzata al grosso traffico di cocaina, è da considerare una perquisizione e quindi, se disposta in assenza di warrant, contrasta con il IV Emendamento (1791) alla Costituzione degli Stati Uniti, che, com’è noto, stabilisce che «il diritto dei cittadini a godere della sicurezza per quanto riguarda la loro persona, la loro casa, le loro carte e i loro effetti, contro perquisizioni e sequestri irragionevoli, non potrà essere violato;  e nessun mandato giudiziario potrà essere emesso, se non in base a probable cause, appoggiata da un giuramento o da una dichiarazione sull’onore  e con descrizione specifica del luogo da perquisire, e delle persone  da arrestare o delle cose da sequestrare» (Supreme Court of the United States, 23 gennaio 2012, U.S. v. Jones.) Ancora più recentemente, v. il caso Carpenter v. U.S. del 2018 (Carpenter v. U.S., 585 U.S. ­2018).

[17] Si è isolatamente osservato che, poiché le norme che disciplinano l’ambito e le modalità di acquisizione dei dati di traffico ai fini delle indagini penali (artt. 121 e 132 d.lgs. n. 196/2003) si riferiscono solo ai dati relativi alla “trasmissione” delle comunicazioni sulla rete – e, dunque, ai dati che attengono alla dinamica della comunicazione (che implica un’interazione tra due soggetti) – e non ricomprendano invece anche dati che consentono di risalire alla mera identificazione dell’utente registrato che ha generato quell’attività sulla rete, ne comporterebbe l’esclusione dalla disciplina in materia di acquisizione di tabulati dettata dall’art. 132 d.lgs. n. 196/2003, trattandosi di dati di “contenuto” e non di “traffico” e pertanto il P.M. potrebbe acquisire in via del tutto autonoma tali dati con un ordine di esibizione ex art. 256 c.p.p.: in questi termini G. PESTELLI, Convertito in legge il D.L. 132/2021: le modifiche apportate (e quelle mancate) in materia di tabulati, in www.quotidianogiuridico.it, 18.11.2021.

[18] La giurisprudenza afferma che la condanna per un reato commesso a mezzo internet richiede necessariamente l’individuazione dell’indirizzo IP di provenienza, che è il codice numerico assegnato in via esclusiva ad ogni dispositivo elettronico all’atto della connessione da una data postazione del servizio telefonico, onde individuare il titolare della linea e quindi identifica univocamente ogni elaboratore connesso al web, salvo poi individuare l’utilizzatore del dispositivo.

[19] Cass. pen., Sez. IV, 27.11.2012, n. 48279, in GP., 2013, III, 434; Cass. pen., Sez. I, 7.1.2010, n. 9416, Congia, in C.P.., 2012, 1062.

[20] Infatti, la privacy – in cui è compreso il concetto di riservatezza – ha due componenti fondamentali: la facoltà di trattenere nella propria sfera privata determinate notizie personali e quella di controllare la rivelazione e l’uso pubblico di tali dati. Pertanto, laddove la localizzazione satellitare implichi un monitoraggio occulto, anche di comportamenti tenuti in pubblico, eseguito attimo per attimo, in modo continuativo, per un ampio periodo di tempo, e i dati acquisiti, in esito a tale attività, vengano registrati nonché trattati sistematicamente, tale specifica ipotesi d’indagine potrà determinare una violazione della privacy; sia questa intesa come diritto al riserbo sulle proprie vicende individuali oppure come facoltà di “autodeterminazione informativa” quanto ai propri dati personali.

[21] Secondo P. FERRUA, La direttiva europea sulla presunzione di innocenza e i provvedimenti cautelari, ne Il Penalista, 27.10.2021, il rispetto della “presunzione di innocenza” stabilita dalla Convenzione europea e della “non presunzione di colpevolezza” contemplata dalla Costituzione esige che nei provvedimenti cautelari oggetto di prova sia la “probabile colpevolezza”, anziché la “colpevolezza”, fermo restando lo standard probatorio dell’“oltre ogni ragionevole dubbio”.

[22] In senso contrario, affermando che si tratta di una formulazione che non lascia dubbi sul fatto che l’acquisizione, una volta autorizzata, è demandata alle parti – pubbliche e private- che hanno richiesto l’autorizzazione e che – pertanto- il provvedimento di autorizzazione non dovrebbe essere oggetto di ostensione, C. PARODI, Convertito il decreto in tema di tabulati: (quasi) tutto chiaro, ne Il Penalista, 19.11.2021.

[23] Si tratta della circolare della Procura di Milano, datata 24 maggio 2021, a firma del Procuratore aggiunto Dolci.

[24] Cass. pen., Sez. Unite, 24.9.1998, Gallieri, in C.P., 1999, p. 465.

[25] Cass. pen., Sez. Unite, 13.2.1997, Carpanelli, in D.P.P., 1997, p. 602.

[26] Si è affermato che la modifica susciterebbe perplessità di vario ordine. In primo luogo, in quanto inciderebbe sulla corretta “ergonomia procedimentale”, atteso che valutazione e scelte degli organi giudiziari svolti in piena compatibilità con la disciplina vigente al momento dei fatti vengono ad essere travolti a posteriori.

[27] Si tratta, come si è detto, dei reati puniti con la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni ovvero reati di minaccia, molestia o disturbo alle persone col mezzo del telefono, quando la minaccia, la molestia e il disturbo siano “gravi”.

[28] Cass. pen., Sez. Unite, 31.10.2006, p.m. in proc. S.L., in D.P.P., esige riscontri esterni individualizzanti; v. nello stesso senso,  Cass. pen., Sez. Unite, 29.11.2012, n. 20804, Aquilina e altri, in D.P.P., 2013, p. 1437.

[29] La giurisprudenza afferma l’inoperatività della sanzione di inutilizzabilità, prevista dalla nuova disposizione dell’art. 132, co. 3-quater, Codice privacy ai procedimenti in corso, trattandosi di materia processuale attinente alla ricerca della prova e pertanto soggetta al principio tempus regit actum (Cass. pen., Sez. V, 6.10.2021, n. 1054/2022, Valea e altro).

[30] Il code catcher è utilizzato dalla polizia negli U.S.A. da almeno venticinque anni ed è da tempo usato anche in Italia tanto che se ne è interessata pure la Corte di cassazione (Cass. pen., Sez. IV, 12.6.2018, n. 41385, Chirico e altro, Rv 273929).