Virus trojan e mail aziendali, conseguenze decisione Tribunale Modena:
Torniamo di nuovo sull’argomento del virus trojan di cui vi avevamo parlato nei giorni scorsi a proposito dell’ordinanza del Tribunale di Modena che sanciva l’inutilizzabilità delle mail aziendali recuperate dalla memoria del server proprio grazie all’utilizzo del virus trojan, per analizzare le conseguenze di tale decisione.
E a tale proposito vi proponiamo l’articolo pubblicato oggi (11.10.2016) dal Sole 24 Ore (Firma: Andrea Monti; Titolo: “”Il virus trojan non sostituisce il sequestro”).
Ecco l’articolo.
L’ordinanza del tribunale di Modena che limita l’utilizzo dei virus investigativi “trojan” (si veda Il Sole 24 Ore del 29 settembre scorso) stabilisce quattro principi. Il primo: è impossibile applicare l’articolo 132 dlgs 196/03 (data-retention) per ottenere da operatori di telecomunicazioni i contenuti di comunicazioni elettroniche. Il secondo: quando è necessario acquisire all’indagine i contenuti di un computer si deve usare il sequestro. Il terzo: il pm non può usare «captatori informatici» se non per indagini su criminalità organizzata e terrorismo. Il quarto: gli articoli 266 e seguenti del codice di procedura penale (intercettazioni) si applicano anche quando i captatori siano utilizzati per acquisire i contenuti veicolati da un flusso di comunicazioni, come da giurisprudenza della Cassazione (Sez. IV n. 16556/09) che riconduce l’uso dei captatori fra le prove atipiche.
Nulla da dire sulla (in)applicabilità dell’art.132 dlgs 196/03 (privacy) se non che la norma in questione è di dubbia cittadinanza nel nostro ordinamento. Il Considerando numero 13 della direttiva sulla protezione dei dati personali recita, infatti, testualmente: «Le attività previste dai titoli V e VI del trattato sull’Unione europea attinenti… alle attività dello Stato in materia di diritto penale non rientrano nel campo d’applicazione del diritto comunitario» e la Corte di giustizia europea ha annullato la direttiva 24/2006, “madre” della norma in questione.
Gli altri punti, invece, vanno approfonditi partendo, innanzi tutto, dal funzionamento dei captatori. Se il captatore è usato come una microspia ambientale è palese che sia una “semplice” modalità di intercettazione e allora si applicano le norme esistenti. Se invece lo strumento serve per individuare e copiare file memorizzati in un computer, allora ci troveremmo di fronte a una perquisizione telematica e non – come invece ritiene il giudice modenese – a un atto che in dibattimento è qualificabile come prova atipica. Dunque un pm potrebbe, sì, utilizzare il captatore, magari anche al di fuori dei casi indicati dalla Cassazione, ma pur sempre rispettando gli obblighi di informazione preventiva a tutela dell’indagato. Certo, così la perquisizione telematica sarebbe praticamente impossibile e in ogni caso poco praticabile, ma il diritto di difesa non può cedere di fronte a scorciatoie investigative imboccate per l’assenza di strumenti giuridici per l’acquisizione rapida di informazioni custodite all’estero o percorse perchè, pur esistendo questi strumenti, è scarsa l’effettiva possibilità di utilizzarli.
Nel caso specifico, sarebbe interessante sapere se il captatore sia stato spedito al destinatario o se sia stato installato sul server ospitato nella rete aziendale in uso all’indagato. Come sarebbe utile sapere se il malware abbia semplicemente copiato email già memorizzate in locale o se, invece, abbia carpito le credenziali di accesso per poi accedere direttamente al server di posta. La circostanza è rilevante perchè nel primo caso l’attività sarebbe iniziata e finita in Italia, mentre nel secondo caso, no. Il fornitore di servizi di posta, infatti, è Google, cioè un soggetto di diritto extracomunitario, i cui server non sono localizzati in Italia. Se, dunque, il captatore fosse stato utilizzato per scaricare i messaggi direttamente dall’estero, saremmo di fronte a un atto di indagine compiuto al di fuori della giurisdizione italiana, senza passare per gli accordi internazionali di cooperazione giudiziaria.
