Utilizzabilità delle intercettazioni inoltrate da “server di transito”: il parere della Cassazione

Massima

Sono utilizzabili i risultati di intercettazioni ambientali eseguite tramite un captatore informatico che, anziché trasmettere direttamente i dati captati immediatamente nel server della Procura della Repubblica per la loro registrazione, li veicoli presso un “server di transito”, dal quale trasferirli al server installato presso la Procura della Repubblica che le ha disposte, purché la registrazione sia materialmente effettuata solo negli impianti finali di destinazione e lo snodo di trasmissione operi in modo automatico, trattenendo il dato solo per lo stretto tempo necessario all'instradamento, senza possibilità di alterazione o necessità di intervento di operatore esterno.

Il caso

La Corte di Appello di Palermo confermava la condanna inflitta dal giudice per l'udienza preliminare agli imputati per il delitto di associazione per delinquere finalizzata al traffico di droga in ordine ad un numero elevato di episodi di cessione di stupefacenti.

Gli imputati ricorrevano avverso la sentenza di condanna, deducendo, tra le plurime censure connesse alle posizioni individuali, quale motivo comune di doglianza l'inutilizzabilità delle intercettazioni eseguite tramite un trojan inoculato in un telefono cellulare.

Nella specie, l'ascolto della polizia giudiziaria, come attestato al termine delle operazioni di captazione, era avvenuto nelle sale all'uopo predisposte dalla Procura della Repubblica, seppure a mezzo di apparecchiature fornite da una società privata.

Le captazioni, invece, non sono state registrate direttamente nel server della Procura procedente, ma veicolate da un server intermedio installato presso la Procura della Repubblica di Napoli, ufficio indicato come sede periferica dalla società privata fornitrice.

Le difese censurano le modalità con cui detta società privata aveva fatto confluire il segnale intercettato tramite trojan in un server installato presso una propria sede periferica presso la Procura della Repubblica di Napoli, in contrasto con quanto previsto dal decreto autorizzativo alle intercettazioni, secondo cui il dato captato doveva confluire direttamente negli impianti installati presso la sede dell'Autorità giudiziaria che le aveva disposte — e, inoltre, senza che un ufficiale della polizia giudiziaria delegata per l'ascolto fosse presente nei locali in cui si svolgevano le operazioni come invece prescritto dall'art. 267, comma 4, c.p.p., diversamente da quanto formalmente attestato nei verbali.

La Corte d'appello ha argomentato sulla questione che l'art. 268, comma 3, c.p.p. quando stabilisce che le operazioni possono compiersi esclusivamente per mezzo degli impianti installati nella Procura della Repubblica si riferisce solo alla attività̀ di registrazione (segmento della più̀ complessa attività̀ di intercettazione) secondo quanto espresso anche dalle Sezioni Unite (sez. un., 26 giugno 2008, 36359, Carli, in Ced Cass. n. 240395 – 01). Con la citata sentenza, le Sezioni Unite hanno altresì affermato il principio di diritto così massimato: “Condizione necessaria per l'utilizzabilità delle intercettazioni è che l'attività di registrazione - che, sulla base delle tecnologie attualmente in uso, consiste nella immissione dei dati captati in una memoria informatica centralizzata - avvenga nei locali della Procura della Repubblica mediante l'utilizzo di impianti ivi esistenti, mentre non rileva che negli stessi locali vengano successivamente svolte anche le ulteriori attività di ascolto, verbalizzazione ed eventuale riproduzione dei dati così registrati, che possono dunque essere eseguite ‘in remoto' presso gli uffici della polizia giudiziaria.” In motivazione la Corte ha precisato, con riguardo all'attività di riproduzione - e cioè di trasferimento su supporti informatici di quanto registrato mediante gli impianti presenti nell'ufficio giudiziario -, che trattasi di operazione estranea alla nozione di "registrazione", la cui "remotizzazione" non pregiudica le garanzie della difesa, alla quale è sempre consentito l'accesso alle registrazioni originali.

La questione

Sono utilizzabili in giudizio i risultati di intercettazioni ambientali eseguiti tramite captatore informatico trasmessi prima a un “server di transito” e successivamente al server installato presso la Procura della Repubblica?

La soluzione giuridica

Con la sentenza in commento, la Suprema Corte ha ritenuto infondata le censure di inutilizzabilità illustrate proprio alla luce dell'indirizzo espresso dalle Sezioni Unite.

Nella specie, ha osservato che l'art. 268, comma 1, c.p.p. attribuisce autonoma rilevanza e disciplina alla registrazione delle operazioni di intercettazione, stabilendo che “le comunicazioni intercettate sono registrate e delle operazioni è redatto verbale”. Come disposto dal successivo comma 3 della norma “le operazioni di intercettazioni possono compiersi esclusivamente per mezzo degli impianti installati nella Procura della Repubblica.” La captazione delle conversazioni tra presenti, cioè l'intercettazione in senso stretto, non può che essere effettuata materialmente al di fuori dagli uffici della Procura; i file vocali derivati sono destinati necessariamente ad essere “ricoverati” e conservati in memorie informatiche; la loro successiva registrazione si realizza con la immissione dei dati nella memoria informatica centralizzata sita nel server installato presso i locali della Procura della Repubblica procedente. L'art. 268, comma 3, c.p.p. non puo' che riferirsi a tale ultimo segmento operativo di registrazione finale del flusso comunicativo sui supporti informatici, costituendo questo l'ultima fase della più complessa attività di intercettazione.

L'impiego del c.d. server di transito, nell'occasione installato presso un diverso ufficio di Procura, alla luce della interpretazione suindicata, non determina, secondo i giudici di merito alcuna violazione della norma processuale richiamata.

Il server di transito ha in concreto ricevuto e immagazzinato i dati “solo per lo stretto tempo necessario per le operazioni”, poi definitivamente trasferiti nel server posto nei locali della Procura della Repubblica titolare delle indagini.

Di qui il richiamo al principio espresso dalle Sezioni Unite nella sentenza della Corte di appello di Napoli in commento. Il principio di diritto trova fondamento nella qualificazione del server periferico, come “server di transito”. Una simile procedura tecnica, osserva la Corte di merito, che implica un passaggio per uno snodo intermedio dei flussi comunicativi captati, non viola le disposizioni sulle intercettazioni.

La registrazione dei flussi comunicativi va effettuata esclusivamente negli impianti in dotazione all'autorità giudiziaria che dispone l'ascolto, alla quale i flussi sono veicolati, mentre le sole operazioni successive, come l'ascolto, la verbalizzazione e l'eventuale riproduzione, possono compiersi anche con apparecchi diversi da quelli della Procura.

Il server della società privata fornitrice in concreto ha svolto mere funzioni “di transito” delle intercettazioni, perché in tale sistema informatico il flusso comunicativo intercettato dal captatore è stato ricevuto, ricostruito e trasferito all'esito delle operazioni.

Giova puntualizzare che, per “server di transito” deve intendersi lo snodo intermedio, in cui confluiscono provvisoriamente, per ragioni tecniche e di prossimità, i dati informatici trasmessi dal “nodo sorgente” (captatore) per il loro successivo inoltro ad un “nodo destinazione”, senza che essi possano essere registrati, sia pure provvisoriamente.

Nel nostro ordinamento processuale penale la fattispecie è regolata dall'art. 270 c.p.p. La previsione di un "transito", sia pure per ragioni tecniche, delle intercettazioni in linea di principio farebbe venir meno i presupposti di utilizzabilità ivi previsti in modo tassativo e realizzerebbe una violazione delle previsioni di cui all'art. 268, commi 6, 7 e 8, c.p.p., che, in relazione ai risultati delle intercettazioni prevede l'instaurazione di un contraddittorio adeguato tra le parti dinanzi ad un organo giudicante terzo e imparziale, con conseguente sanzione di inutilizzabilità delle stesse.

Nel caso in esame il sistema di trasmissione mediante server intermedio della ditta fornitrice ha consentito non solo la ricezione dei dati informatici captati ma anche di crearne una copia digitale, il cui contenuto poi è stato materialmente trasferito ai server installati presso i locali della Procura della Repubblica procedente.

Tuttavia, dopo la trasmissione allo snodo di destinazione finale, i dati ricevuti nel server di passaggio sono stati cancellati e le relative operazioni si sono svolte in modo automatico, senza intervento dell'uomo, in un arco temporale molto breve, di circa 2 o 3 minuti, con la garanzia dell'integrità dei dati captati grazie ad un protocollo di sicurezza teso ad impedirne l'alterazione prima della veicolazione finale.

L'attività di registrazione, dunque, è stata svolta sul piano tecnico nei locali della Procura della Repubblica, in conformità a quanto previsto dall'art. 268, comma 3, c.p.p.

Del resto, come osservato dalla S.C., le modifiche apportate all'art. 89 disp. att. c.p.p. dalla normativa posteriore al 2017 (d.lgs. 29 dicembre 2017, n. 216, testo della c.d. riforma Orlando), con disposizioni miranti a garantire “condizioni tecniche di sicurezza e di affidabilità della rete di trasmissione [...] controlli costanti di integrità che assicurino l'integrale corrispondenza tra quanto intercettato, registrato e trasmesso” (art. 89, comma 3, disp. att. c.p.p.) non si applicano al procedimento in esame per il principio tempus regit actum (Cass., sez. V, 15 settembre 2022, n. 38213, in CED Cass. n. 283875; Cass., sez. VI, 6 ottobre 2011, n. 39289, in CED Cass. n. 251057; Cass., sez. IV, 4 maggio 2004, n. 27891, in CED Cass. n. 229075) e, comunque, per l'espressa disciplina transitoria di cui all'art. 9 d.lgs. n. 216 del 2017 come modificato dal decreto-legge 30 dicembre 2019, n. 161, convertito con modificazioni dalla l. 28 febbraio 2020, n. 7, e, poi, dal decreto-legge 30 aprile 2020, n. 28, il quale ha definitivamente sancito, all'art. 2, comma 8, che “Le disposizioni del presente articolo si applicano ai procedimenti penali iscritti successivamente al 31 agosto 2020, ad eccezione delle disposizioni di cui al comma 6 che sono di immediata applicazione”).

L'inosservanza dell'art. 89, comma 1, disp. att. c.p.p., riguardante la indicazione “ove possibile, dei luoghi in cui si svolgono le comunicazioni o conversazioni” e dell'art. 89, comma 2, disp. att. c.p.p., secondo cui “le comunicazioni intercettate sono conferite [...] esclusivamente negli impianti della Procura della Repubblica” non è causa di inutilizzabilità delle intercettazioni. Anche dopo le modifiche introdotte dal d.lgs. 29 dicembre 2017, n. 216, infatti, l'inutilizzabilità dei risultati delle intercettazioni telefoniche o ambientali, anche a mezzo di captatore informatico, è prevista solo per i casi tassativamente indicati dall'art. 271 c.p.p. (Cass. pen., sez. IV, 24 maggio 2022, n. 28309; Cass. pen., sez. V, 16 gennaio 2020, n. 7030, in CED Cass. n. 278659).

In tal modo, la Corte di merito ha ritenuto legittima la procedura adottata per la registrazione delle captazioni, con quel che ne deriva per la utilizzabilità̀ delle intercettazioni, in ragione della richiamata ermeneusi dell'art. 268, comma 1, c.p.p., che attribuisce precipua rilevanza alla registrazione delle operazioni di intercettazione, stabilendo che «le comunicazioni intercettate sono registrate e delle operazioni è redatto verbale», e che le operazioni di registrazione «possono essere compiute esclusivamente per mezzo degli impianti installati nella Procura della Repubblica».

Sul piano tecnico la sentenza della S.C. prende atto che, poiché́ gli impianti di registrazione finali vanno collocati negli uffici della Procura della Repubblica, nel caso di un server intermedio occorre un dispositivo (il "traslatore") che devii la comunicazione dallo snodo periferico presso tali locali.

Tuttavia, ribadisce che, tra le plurime fasi dell'intercettazione, sopra descritte, ciascuna dotata di autonoma e diversa rilevanza sul piano giuridico: (captazione, registrazione, ascolto, verbalizzazione), la captazione delle conversazioni (l'intercettazione in senso stretto), non può̀ che effettuarsi fuori dagli uffici della Procura; i file vocali sono immagazzinati in memorie informatiche centralizzate (nel caso in esame, anche in un server periferico di passaggio) e lo scaricamento dei dati sui supporti è un segmento dell'intercettazione autonomo rispetto alla registrazione, che consiste nella immissione dei dati nella memoria informatica centralizzata (server) che si trova nei locali della Procura della Repubblica a ciò̀ destinati.

A tale ultimo segmento deve riferirsi la censurata violazione dell'art. 89 disp. att. c.p.p.

Sul tema, il d.lgs. 29 dicembre 2017, n. 216, prevedeva, per le intercettazioni telefoniche o ambientali, anche a mezzo di captatore informatico un regime ristretto di inutilizzabilità dei risultati, limitata ai soli casi tassativamente indicati dall'art. 271 c.p.p. (Cass. pen., sez. IV, n. 24 maggio 2022, 28309; Cass. pen., sez. V, 16 gennaio 2020, n. 7030, in CED Cass. n. 278659).

Le citate modifiche apportate all'art. 89 disp. att. c.p.p. dalla normativa successiva al d.lgs. n. 216 del 2017 hanno mirato, per espressa indicazione tratta dai lavori parlamentari, a garantire «condizioni tecniche di sicurezza e di affidabilità̀ della rete di trasmissione, (...) controlli costanti di integrità̀ che assicurino l'integrale corrispondenza tra quanto intercettato, registrato e trasmesso» (art. 89, comma 3, disp. att. c.p.p.)».

Ne deriva che non risulta violato nel caso di specie l'art. 268, comma 3, c.p.p., ancor più alla luce del fatto che la Polizia giudiziaria, al termine delle operazioni di intercettazione, con autonomo verbale ha attestato che le operazioni di registrazione sono avvenute nella sala di ascolto della Procura di Palermo, con le apparecchiature della RCS-ETM Sicurezza, come prescritto dall'art. 267, comma 4, c.p.p.

Infine, la S.C. dà atto che il fenomeno dell'utilizzo di un server di transito da parte della società fornitrice delle attrezzature per le captazioni con mezzo informatico non è nuovo, ma ha riguardato in passato un (noto) procedimento iscritto presso la Procura della Repubblica di Perugia, in cui dagli accertamenti è risultato che i server ("CSS" e "HDM") sono stati utilizzati come meri server di transito nella operazione eseguita dall'impianto gestito dalla stessa società fornitrice.

Anche in quel caso, il server "CSS" gestito dalla "RCS” riceve e immagazzina i dati — che poi vengono trasferiti nei server posti nei locali della Procura per la fase di registrazione, solo per lo stretto tempo necessario alle operazioni.

Osservazioni

Con la decisione in commento la S.C. indica le coordinate della soluzione alla questione relativa all'utilizzabilità dei flussi di intercettazioni tra presenti per mezzo di captatore informatico laddove, per ragioni tecniche o logistiche, il processo di remotizzazione necessiti di snodi di transito predisposti dalla ditta fornitrice del servizio e di apparecchiature di trasferimento del dato al server installato nei locali della Procura della Repubblica di destinazione finale, nel caso in cui si accerti che tale trasmissione non sia operata in via automatica e diretta, ma i dati captati sono oggetto di registrazione, sia pur temporanea nel server “di transito” di proprietà della società fornitrice incaricata dalla Procura per lo svolgimento dell'intercettazione.

Nel caso di specie la S.C. ha ritenuto la legittimità delle operazioni sui flussi in tal modo instradati in ragione del fatto che l'attività si è svolta in modo automatico, in diverse successive fasi analiticamente ricostruite in sentenza:

- la ricezione presso il server intermedio dei dati informatici captati dal trojan;

- la creazione di una copia digitale di tali dati in tale primo passaggio;

- il trasferimento di questa copia al server installato presso i locali della Procura della Repubblica;

- la successiva cancellazione dei dati ricevuti dal server di transito.

Operazioni eseguite e programmate in modo automatico, senza necessità di intervento dell'uomo, per un limitato arco temporale, apprezzato di circa 2 o 3 minuti, che ha garantito la integrità dei dati captati, anche per l'impiego di un protocollo di sicurezza teso ad impedire eventuali accessi abusivi al sistema informatico.

La Corte ha ritenuto l'inutilizzabilità del dato captato, ex artt. 271 e 268, comma 3, c.p.p., valorizzando la mancata registrazione dello stesso per mezzo degli impianti installati nella Procura della Repubblica, ultimo segmento cui va riferita l'attività di intercettazione dalle citate norme disciplinata, atteso che, invece, le ulteriori connesse attività di ascolto, di verbalizzazione o di eventuale riproduzione dei dati registrati possono essere eseguite anche altrove, perché non pregiudicano le garanzie della difesa, alla quale è sempre consentito l'accesso alle registrazioni originarie (Cass., sez. un., 26 giugno 2008, n. 36359, in CED Cass. n. 240395; Cass., sez. V, 28 ottobre 2011, n. 1781, dep. 2022, in CED Cass. n. 282427; Cass., sez. VI, 17 novembre 2015, n. 47504, in CED Cass. n. 265753).

L'utilizzo da parte della società privata di un server di transito che immagazzina i dati “solo per lo stretto tempo necessario alle operazioni”, secondo la decisione in esame, non comporta l'inutilizzabilità dei risultati delle intercettazioni, rispettando il principio secondo cui la registrazione finale è stata materialmente effettuata negli impianti della Procura che ha disposto le captazioni.

Del resto, costituisce principio consolidato della giurisprudenza di legittimità quello secondo cui non determina l'inutilizzabilità dei risultati delle intercettazioni la circostanza che i file audio registrati non siano trasmessi automaticamente al server della Procura della Repubblica dagli apparecchi digitali adoperati per le captazioni tra presenti, ma siano periodicamente prelevati dalla polizia giudiziaria incaricata delle operazioni e riversati manualmente in detto server (Cass., sez. VI, 26 ottobre 2020, n. 34671, in CED Cass. n. 280113; Cass., sez. I, 8 novembre 2017, n. 52464, in CED Cass. n. 271541).

La Corte, nondimeno, osserva che l'esecuzione delle operazioni di intercettazione tramite trojan deve rispettare precise garanzie, dettate anche nelle disposizioni di attuazione. Tuttavia, non ogni violazione formale del procedimento tecnico realizza una violazione dell'art. 89 disp. att. c.p.p., non conseguendo necessariamente ad essa la sanzione della inutilizzabilità dei risultati delle intercettazioni, atteso che tale ipotesi non rientra nei casi di cui alla previsione dell'art. 271 c.p.p. (Cass., sez. IV, 24 maggio 2022, n. 28309; Cass., sez. V, 16 gennaio 2020, n. 7030, in CED Cass. n. 278659).

Una ulteriore considerazione sullo strumento investigativo in esame: le garanzie preposte dalla riforma Orlando per l'impiego del captatore informatico, che detta una autonoma e più rigida disciplina rispetto a quella per le intercettazioni telefoniche e ambientali ordinarie, sono valide ed operanti fin dall'emissione del provvedimento di autorizzazione di tale mezzo di ricerca della prova.

In particolare, l'art. 1, comma 2-bis d.l. n. 105/2023 ha modificato l'art. 267 c.p.p., prevedendo che il decreto che autorizza l'intercettazione tra presenti per mezzo dell'inserimento di captatore informatico su dispositivo elettronico portatile non debba più solo “indicare” le specifiche ragioni per l'utilizzo di tale mezzo di ricerca della prova, ma le debba esporre “con autonoma valutazione”. Si tratta di ragioni non più soltanto “necessarie”, ma che devono risultare tali “in concreto”.

L'autorizzazione all'utilizzo di uno strumento così invasivo della riservatezza della persona presuppone oggi una motivazione “rafforzata” del provvedimento di autorizzazione del giudice, in cui si deve dar conto, nel rispetto del principio di proporzionalità, del bilanciamento operato tra i diritti costituzionali confliggenti della libertà delle comunicazioni ex art. 15 Cost. e dell'interesse statale alla scoperta e repressione dei delitti di rilevante gravità.

Alla luce di tale bilanciamento di valori, lo strumento investigativo del captatore finisce per rispondere ad una extrema ratio di impiego: può essere autorizzato dal giudice solo quando tutti gli altri mezzi – tra cui le tradizionali intercettazioni telefoniche o tra presenti – non sono in grado di soddisfare le esigenze investigative del caso concreto.

Secondo l'interpretazione dell'art. 292 c.p.p., norma della riforma Orlando che disciplina il contenuto dell'ordinanza cautelare, di immediata applicazione all'indomani della approvazione del d.lgs. n. 216/2017, si deve ritenere che la prescrizione della necessaria autonoma valutazione del giudice non preclude la legittimità di un richiamo, in tutto o in parte, ad altri atti del procedimento, a condizione che risulti manifesto un effettivo vaglio degli elementi di fatto ritenuti decisivi, senza il ricorso a formule di stile o stereotipate.

È essenziale, in particolare, che la motivazione del provvedimento specifichi le ragioni che impongono l'utilizzo del mezzo per lo svolgimento delle indagini “in concreto”, all'esito di un iter logico che esprima un vaglio critico che deve riguardare puntualmente il motivo per cui si ritiene necessaria tale invasiva forma di captazione con lo strumento informatico.

Resta indefinito e non comprimibile da forme esemplificative o parametri certi la profondità e la ricchezza dell'esame che il giudice è chiamato a compiere, che pur deve necessariamente essere legato agli elementi espressi nella richiesta del pubblico ministero che, conducendo le indagini, è l'unico a poter apprezzare le difficoltà pratiche che possono sussistere nell'impiego di mezzi alternativi di intercettazione.

Tale considerazione pone un dubbio di fondo, irrisolto dalla pronuncia in commento, circa la necessità che il pubblico ministero comunichi in sede di richiesta le esigenze tecniche di instradamento del dato captato a mezzo di server intermedio e le condizioni in cui esso avviene, punto sul quale il giudice che autorizza è tenuto ad esprimere la propria puntuale valutazione. La questione investe, dunque, il tema dell'utilizzabilità delle captazioni nel caso non si provveda ad evidenziare le modalità di trasferimento dal server snodo agli impianti finali di destinazione delle registrazioni.

A latere si segnala il vuoto normativo e regolamentare sulle modalità di affidamento da parte dei singoli uffici giudiziari di spazi riservati alla ditta fornitrice al loro interno e sul titolo legittimante l'installazione degli impianti di trasferimento dati, che comportano oneri di spese per forniture, per controllo e manutenzione. Sarebbe auspicabile sul tema una disciplina generale, che investa anche il profilo amministrativo e delle responsabilità di gestione degli impianti, di per sé fonte di pericolo per la incolumità pubblica.

Ulteriori perplessità sorgono in relazione alla possibilità di intercettare mediante virus spia l'intero contenuto dei server di immaginamento dei dati comunicativi e della piattaforma informatica dei soggetti gestori dei flussi elettronici e la necessità di prevedere garanzie giurisdizionali adeguate per legge a tale tipologia di captazione massiva oggi offerta dalla tecnica, secondo il richiamato principio di bilanciamento tra interesse pubblico e diritti fondamentali dell'individuo, che può essere garantito solo da un'autorità che abbia la qualità di terzo rispetto a quella che chiede l'accesso ai dati, di modo che la prima sia in grado di esercitare tale controllo in modo obiettivo e imparziale al riparo di qualsiasi influenza esterna, come accaduto in Francia nel noto caso di acquisizione e decrittazione dei messaggi scambiati su piattaforma Sky ECC e transitati, attraverso l'autorità giudiziaria francese in procedimenti penali iscritti nei singoli Stati europei richiedenti assistenza giudiziaria.

Riferimenti

M. Antinucci - G. Spangher, Davvero possibili le intercettazioni c.d. a strascico attraverso l'uso del captatore informatico per i reati comuni?, in Dir. Pen. e Processo, 2022, 8, 1132.

L. Giordano, Una nuova riforma della disciplina delle intercettazioni, in Dir. Pen. e Proc., 1/2024, 14 e ss.

D. Pretti, La metamorfosi delle intercettazioni, ultimo atto? la legge n. 7/2020 di conversione del d.l. n. 161/2019, in Sistema Penale, 2 marzo 2020, 11.