Durante la XV legislatura è stata approvata un’indagine sulle intercettazioni che nacque a seguito delle forti polemiche mediatiche e politiche legate alla fuga di notizie e alla pubblicazione sui mass media di intercettazioni che dovevano restare coperte dal segreto istruttorio. Quasi tutte le criticità discusse durante le audizioni vennero poi risolte dalla normativa emanata successivamente fino ad oggi, ad eccezione della misura, riscontrata in quel periodo presso un operatore di telecomunicazioni, che evita che lo stesso fornitore tecnico, che gestisce le infrastrutture per intercettare presso gli operatori, sia anche il fornitore delle Procure. Tale misura, tuttavia, rimane ancora oggi una norma non scritta che gli operatori di telecomunicazioni prendono a riferimento dopo i fatti raccontati nel 2006.
Nell’ambito della Lawful Interception, il rapporto tra norme scritte (leggi e decreti) e norme non scritte (best practices, consuetudini operative ed esperienza sul campo) è asimmetrico ma vitale: le norme scritte stabiliscono la legittimità giuridica, ma sono le norme non scritte a garantire l’efficacia tecnica e la sicurezza dell’operazione. Senza l’esperienza e le prassi operative, la macchina giudiziaria si incepperebbe a causa dell’enorme divario temporale tra l’evoluzione tecnologica e i tempi della legislazione.
Se si ponesse l’attenzione ai soli strumenti tecnici utilizzati, allora sembrerebbe affermata la regola secondo cui l’ambito della Lawful Interception possa fondersi con quello più largamente compreso, e inflazionato, della Cybersecurity. Nonostante le forti sovrapposizioni tecnologiche, i due ambiti sono radicalmente diversi e molto distanti, con la conseguenza che le logiche operative applicate ad una non possono essere applicate all’altra e viceversa. La distanza principale risiede nella filosofia di fondo, in quanto la prima ha una logica puramente difensiva, mentre la seconda ha una logica investigativa e asseconda il principio generale per cui se un servizio di telecomunicazioni può essere utilizzato da chiunque, potenzialmente anche per delinquere, allora deve essere concessa a priori, strutturalmente e ingegneristicamente, la possibilità di investigare. La relazione può essere ben rappresentata dal simbolo del maggiore (>) dove la Lawful Interception comprende, assorbe e utilizza l’ambito della Cybersecurity ma non può accadere il contrario. Su questo punto, non ci dilunghiamo oltre, anche se è evidente la stortura istituzionale italiana dove è presente una Agenzia della Cybersicurezza ma non c’è alcuna Agenzia, anche nella forma di singolo Ufficio, che sia competente tecnicamente per le intercettazioni. Approfondiremo questo tema in un altro articolo, evidenziando anche il danno economico ed imprenditoriale che il nostro paese sta subendo.
Nell’ambito della Lawful Interception, quindi, le norme scritte come ad esempio il Codice di Procedura Penale, Il Codice privacy, i decreti ministeriali e gli standard ETSI adottati hanno un’importanza fondamentale e non negoziabile. Se un’intercettazione viola una norma scritta (es. manca il decreto motivato del GIP, si superano i termini temporali o si usano canali di trasmissione non autorizzati), il dato raccolto è giuridicamente nullo, non può essere usato nel processo. Gli standard tecnici ETSI [1], da parte loro, sono fondamentali perché obbligano i produttori di apparati di rete e gli operatori di telecomunicazioni a parlare la stessa lingua, permettendo l’interoperabilità a livello globale, e non sono negoziabili, poiché la legge non può descrivere come installare fisicamente gli apparati, come utilizzarli e come rappresentare l’esito dell’attività al fine di essere completo e certificabile, l’esperienza e le best practices dominano la quotidianità tecnica. Qui il riferimento non è alle intercettazioni c.d. attive e quindi alla modalità con cui una microspia deve essere installata o come ingannare un target per fare in modo che clicchi sul link di un Trojan perché, dal punto di vista dei principi alla base della Lawful Interception, l’intercettazione tramite captatore informatico o Trojan, è solo un modo non convenzionale, non strutturato e non ancora regolamentato (benché la legge ne preveda una disciplina), per aggirare il limite tecnico di non poter intervenire laddove la comunicazione è cifrata o utilizza una codifica proprietaria, effetti derivanti dalla non applicazione della legge italiana che prevede già un obbligo in tal senso a carico dei soggetti privati con autorizzazione generale che offrono servizi di telecomunicazioni.
La tecnologia corre a una velocità che il legislatore non può sostenere. Quando emergono nuove piattaforme o nuovi protocolli di comunicazione, le Procure e i tecnici delle aziende private applicano soluzioni artigianali basate sull’esperienza, che poi diventano prassi consolidate (best practices) molto prima che una legge le riconosca formalmente. Non esistono manuali di legge che spieghino come evitare che un target scopra un’intercettazione. L’esperienza degli operatori di polizia giudiziaria e dei fornitori privati stabilisce queste regole non scritte, come ad esempio la gestione delle frequenze, il mascheramento degli indirizzi IP dei server di ricezione e le tecniche di ingegneria sociale. Una cattiva prassi operativa può letteralmente distruggere mesi di indagini.
Una di queste regole non scritte è stata ben esplicitata circa 20 anni fa ed attiene al doppio ruolo che un’azienda privata possa avere nel fornire servizi a supporto delle intercettazioni, sia verso gli operatori di telecomunicazioni sia verso le Procure. Durante la XV legislatura, è stata approvata un’indagine sulle intercettazioni che nacque a seguito delle forti polemiche mediatiche e politiche legate alla fuga di notizie e alla pubblicazione sui mass media di intercettazioni che dovevano restare coperte dal segreto istruttorio. L’indagine analizzò i costi delle intercettazioni, i rapporti finanziari e tecnologici con le società di telecomunicazioni e la necessità di nuove riforme legislative per tutelare la riservatezza [2].
La 2ª Commissione permanente (Giustizia) del Senato approvò il documento conclusivo dell’indagine riscontrando gravi anomalie strutturali, violazioni della riservatezza e carenze nella custodia dei dati da parte dell’autorità giudiziaria. Le conclusioni politiche hanno evidenziato la necessità di una riforma per limitare l’abuso dei contenuti delle trascrizioni e razionalizzare l’elevata spesa pubblica, portando all’adozione del Decreto-Legge 259/2006 che ha imposto l’obbligo di distruzione delle intercettazioni illecite [3]. Nel ventennio 2006-2026 furono portate a termine la maggior parte delle riforme oggi in vigore: la Legge 103/2017 che ha ridotto la diffusione di intercettazioni irrilevanti [4], ha rafforzato la tutela della privacy per i terzi estranei, ed ha introdotto un sistema più rigoroso di selezione e archiviazione dei contenuti; il decreto interministeriale del 28/12/2017 che per la prima volta in Italia ha definito uno standard tecnico di riferimento per l’esecuzione delle intercettazioni [5]; la Legge 7/2020 che ha introdotto l’archivio riservato delle intercettazioni accessibile solo alle parti, la distinzione tra materiale rilevante e irrilevante [6]; il decreto interministeriale del 6/10/2022 che ha introdotto la distinzione tra prestazioni obbligatorie e quelle funzionali necessarie alle operazioni di intercettazione lato Procura, nonché le tariffe per i fornitori [7].
In generale, possiamo affermare che più o meno tutte le questioni discusse durante le audizioni del 2006 vennero poi risolte dalla normativa emanata successivamente, ad eccezione della misura che avrebbe evitato che lo stesso fornitore tecnico, che gestiva le infrastrutture per gli operatori di telecomunicazioni, fosse anche il fornitore delle Procure per le attività di intercettazione. Tale situazione può essere creata anche da aziende private collegate da un rapporto di controllo e direzione da parte di una capogruppo, seppur mantengano una specializzazione d’offerta distinta.
Durante le audizioni, magistrati, tecnici e rappresentanti delle forze dell’ordine evidenziarono due principali criticità:
un conflitto di interessi tecnico-operativo, in quanto da un lato il fornitore lavorava per gli operatori telefonici, dall’altro forniva alle Procure i sistemi per attivare, ricevere e registrare le intercettazioni;
un rischio di opacità nelle operazione, vulnerabilità e di fughe di notizie, in quanto il fornitore aveva accesso sia alla rete dell’operatore sia ai sistemi giudiziari, creando opacità nei controlli, difficoltà nel verificare eventuali anomalie, concentrazione eccessiva di potere tecnico in un unico soggetto.
Se facessimo una valutazione del rischio secondo standard ISO/NIST emergerebbe che non può essere accettato, è un rischio che deve essere mitigato strutturalmente, come avviene per quelli strutturali cioè non episodici. La minaccia principale è per gli operatori di telecomunicazioni in quanto, dal punto di vista temporale, la sostituzione di un fornitore che ha integrato i propri sistemi nelle reti dell’operatore è un’operazione che richiede in genere almeno 2-3 anni di lavoro, non senza disagi sotto il profilo procedurale e operativo, oltre che economico.
In definitiva, il quadro normativo è estremamente stringente, ma permangono zone grigie cioè ambiti non pienamente regolamentati a livello operativo e tecnico. Non serve, tuttavia, attendere l’emanazione di una legge per considerare una determinata situazione inaccettabile e quindi da evitare: basta la nostra esperienza, il buon senso e ciò che sappiamo su sicurezza e giustizia. ©
BIBLIOGRAFIA
[1] “Obbligo di intercettazione a standard ETSI” di G. Nazzaro su Sicurezza e Giustizia n. II/MMXVIII[2] https://www.senato.it/leg15/3525?indagine=912
[3] https://www.parlamento.it/parlam/leggi/decreti/06259d.htm
[4] https://www.giustizia.it/giustizia/it/mg_1_2_1.page?contentId=SAN60974
[5] https://www.giustizia.it/giustizia/it/mg_1_8_1.page?facetNode_1=0_23&facetNode_2=4_70&contentId=SDC101101&previsiousPage=mg_1_8
[6] “Riforma delle intercettazioni: le indicazioni della Procura generale presso la S.C.” di C. Parodi (https://www.cortedicassazione.it/resources/cms/documents/RIforma_delle_intercettazioni_le_indicazioni_della_P.G_-finale.pdf)
[7] https://www.giustizia.it/giustizia/it/mg_1_8_1.page?facetNode_1=4_69&contentId=SDC412622&previsiousPage=mg_1_8
