Già tre anni prima della legge italiana di ratifica della Convenzione di Budapest, la dottrina statunitense si domandava se non fosse il caso di affrontare gli sconvolgimenti provocati nel sistema processuale dall’avvento della digital evidence con una riforma delle rules of criminal procedure120. «New facts will demand new law», questo l’assunto. In tale ottica, la crescita esponenziale dei computer-related crimes avrebbe richiesto non tanto e non solo una nuova interpretazione della normativa esistente, quanto, piuttosto, la nascita di nuovi istituti e l’introduzione di modifiche significative all’apparato esistente. Si riteneva, insomma, che una evidence volatile ed immateriale fosse incompatibile con le rules sviluppate per le old investigations. In particolare, si dubitava che tali disposizioni potessero ancora svolgere correttamente il fondamentale ruolo di bilanciamento tra privacy e public safety.
In ambito europeo, la Convenzione di Budapest, aperta alla firma il 23 Novembre 2001, è stato il primo accordo internazionale ad occuparsi dei crimini commessi attraverso Internet o altre reti informatiche121. Essa nasce, come esplicitamente affermato dal Preambolo, dalla preoccupazione che «le reti informatiche e le informazioni in formato elettronico possano anche essere utilizzate per commettere reati e che le prove connesse a tali reati possano essere conservate e trasferite tramite queste reti». Affinché gli Stati siano in grado di «combattere realmente tali reati», vengono, dunque, predisposte una serie di regole che facilitino «la loro individuazione, investigazione e l’esercizio dell’azione penale a livello sia nazionale che internazionale».
120 Cfr. O.S.KERR, Digital Evidence and the New Criminal Procedure, cit., p. 290 ss.
121 La struttura della Convenzione ricalca la Raccomandazione del 1995 del Consiglio dei Ministri agli Stati
membri relativa ai problemi legati alla tecnologia delll’informazione. È il traguardo di un percorso lungo, le cui basi possono essere collocate nel primo studio realizzato dall’Organizzazione per la Cooperazione e lo Sviluppo economico nel 1983, passando successivamente per i principi operativi comuni stabiliti nel 1997, in sede G8, dall’High Tech Subgroup of the G-8’s Senior Experts on Transnational Organized Crime.
38
Nell’ordinamento italiano, alla Convenzione è stata data esecuzione con ben sette anni di ritardo122, mediante la L. 48/2008. Come la dottrina occupatasi dell’argomento ha avuto modo di chiarire, il legislatore, recependo la normativa europea, non si è limitato ad una pedissequa ripetizione delle norme ivi previste; piuttosto, «l’obbligo pattizio […] ha fornito lo spunto per mettere mano in maniera più celere ad una azione già meditata motu proprio da tempo»123.
Concentrando l’attenzione sui riflessi processual-penalisitici della nuova disciplina e, precipuamente, sulle ricadute in materia di evidence, il legislatore ha ritoccato il lessico normativo di numerosi mezzi di ricerca della prova; ha, inoltre, ampliato le attività ad iniziativa della polizia giudiziaria e modificato il codice della privacy, prevedendo nuove regole per la data retention.
La ricognizione del corpus normativo risultante dalla modifica può prendere le mosse da una scelta di fondo operata dal riformatore: si modifica la fisionomia degli istituti già esistenti, affinché gli stessi possano essere utilizzati anche nell’ambito delle indagini informatiche. Basta, invero, uno sguardo d’insieme al libro III, titolo III, nonché al libro IV, titolo V del codice di procedura penale per registrare un arricchimento della disciplina ivi prevista rispetto al passato. Non viene stabilita, invece, una normativa ad hoc per la ricerca della digital evidence o per le attività urgenti di polizia giudiziaria relative al dato informatico.
Vero è che la prassi aveva già provveduto ad applicare in via analogica i tradizionali mezzi di ricerca della prova e ad estendere l’attività a iniziativa della polizia giudiziaria alla raccolta del materiale contenuto in attrezzatura informatica; sul punto, però, un intervento legislativo era quanto mai opportuno, al fine di precisare i criteri operativi ai quali gli operanti, venuti a contatto col dato informatico, avrebbero dovuto improntarsi124.
Riallacciandosi a quest’ultimo profilo, il leitmotiv della nuova disciplina è così sintetizzabile: piuttosto che enucleare in dettaglio le modalità operative
122 Stigmatizza il ritardo nell’adozione della normativa interna F. CAJANI, La Convenzione di Budapest nell’insostenibile salto all’indietro del Legislatore italiano, ovvero: quello che le norme non dicono…, cit., p.
186.
123 Così L.LUPARIA, La ratifica della Convenzione Cybercrime del Consiglio d’Europa (L. 18 marzo 2008 n. 48). I profili processuali, cit., p. 717.
124 Il rilievo sistematico della L. 48/2008 è evidenziato da P. TONINI, Documento informatico e giusto processo, cit., p. 404 ss.
39
dell’intervento sul dato informatico, si stabilisce la necessità di adottare «misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione» (artt. 244, comma 2, 247, comma 1-bis, 352, comma 1-bis, 354, comma 2 c.p.p.); oppure, con maggiore precisione, si prevede che il dato debba essere trattato con una procedura che assicuri «la conformità dei dati acquisiti a quelli originali e la loro immodificabilità» (artt. 254-bis e, ancora, 354, comma 2, c.p.p.; nonché, con formula pressoché analoga, l’art. 260, comma 2, c.p.p.).
Vengono, in definitiva, indicati, quali canoni fondamentali per l’attività di ricerca della prova informatica, la tutela della genuinità e la non alterazione del dato. Eppure, in nessun caso si commina una sanzione esplicita per il mancato rispetto dei parametri in questione.
Si tratta, com’è chiaro, di una tecnica legislativa che demanda al singolo operatore la scelta, in concreto, del mezzo con cui realizzare le operazioni tecniche sul dato125. Ciò trova giustificazione, senza dubbio, nella obsolescenza degli strumenti della computer forensics e si spiega, verosimilmente, con la volontà del legislatore di non porre freno al progresso tecnologico in materia126. Eppure, un’alternativa parimenti valida poteva identificarsi nell’utilizzo della fonte regolamentare. Tale ultimo strumento è, infatti, facilmente aggiornabile, ed in più presenta il vantaggio di uniformare i protocolli di gestione del dato informatico su tutto il territorio nazionale127. Mentre, allo stato, tutto resta affidato alla volontà e alle conoscenze tecniche degli operanti128.
Sotto diverso profilo, il riformatore è stato criticato, da un lato, per aver tralasciato di affrontare compiutamente i problemi più delicati delle indagini informatiche129, dall’altro lato, per aver scelto la via dell’interpolazione, piuttosto che la predisposizione di una nuova disciplina compiutamente modellata sul
125 Cfr. L.LUPARIA, La ratifica della Convenzione Cybercrime del Consiglio d’Europa (L. 18 marzo 2008 n. 48). I profili processuali, cit., p. 719.
126 V. M.DANIELE, La prova digitale nel processo penale, cit., p. 293
127 Sull’importanza di uno standard investigativo comune v. M.MEYERS-M.ROGERS, Computer forensics: the Need for Standardization and Certification, cit., p. 1 ss.
128 Critica sul ricorso a clausole generali è A.E.RICCI, Digital evidence, sapere tecnico-scientifico e verità giudiziale, cit., p. 363.
129 L.LUPARIA, La ratifica della Convenzione Cybercrime del Consiglio d’Europa (L. 18 marzo 2008 n. 48). I profili processuali, cit., p. 718, menziona, tra gli altri, la captazione delle comunicazioni vocali su sistemi voice-over-IP, nonché le intercettazioni parametriche e l’apprensione in tempo reale della posta elettronica.
40
fenomeno delle indagini informatiche130. Pare di scorgere, dietro le argomentazioni in questione, una obiezione di fondo, basata sul rilievo in base al quale le peculiari caratteristiche della digital evidence, immaterialità e volatilità in primis, mal si concilierebbero con i tradizionali strumenti codicistici131.
A questo punto, per verificare la fondatezza di tale obiezione, s’impone un’analisi che affronti in dettaglio le singole norme modificate dalla L. 48/2008.