Il captatore informatico

Articolo a cura della Dott.ssa Rossella Buonanno.

Gli strumenti tecnologici di ultima generazione, oltre a modificare radicalmente i rapporti sociali tra le persone, negli ultimi anni, hanno dato un aiuto concreto alla Procura della Repubblica per lo svolgimento delle proprie indagini. Tutti avranno sicuramente sentito parlare, almeno una volta, di intercettazioni che, oggi, non sono più svolte solo con metodi tradizionali ma anche con l’ausilio di strumenti informatici, i c.d. trojan horse.

Captatore informatico

Indice

1. Le caratteristiche del captatore informatico
2. Lo sviluppo della Cassazione in materia di captatore informatico
3. La legge “Intercettazioni” e i nuovi orizzonti della Cassazione

1. Le caratteristiche del captatore informatico

Il captatore informatico o trojan horse è un programma informatico che viene istallato in un dispositivo del tipo target (un computer, un tablet o uno smartphone), di norma da remoto e all’insaputa di chi ne fa uso, mediante l’invio di una mail, un sms oppure un aggiornamento software, ricevendo i diritti di amministrazione dal device in cui viene inserito assumendone il controllo totale. Il trojan è costituito da due moduli: il primo è un programma di piccole dimensioni che infetta il dispositivo bersaglio mentre il secondo, detto client, è l’applicativo che il virus usa per controllare detto dispositivo1. Molteplici sono le attività che possono essere svolte tramite tale strumento: attivare il microfono al fine di apprendere le conversazioni che si svolgono nello spazio che circonda il soggetto che ha la disponibilità materiale del dispositivo; mettere in funzione la telecamera carpendo le immagini; perquisire l’hard disk e fare copia, totale o parziale, delle unità di memoria del sistema informatico preso di mira; captare il traffico dati in arrivo o in partenza dal dispositivo sotto attacco; decifrare tutto quello che viene digitato sulla tastiera collegata al sistema; sfuggire agli antivirus che sono in commercio.
I dati raccolti sono trasmessi tramite la rete internet, in tempo reale o ad intervalli prestabiliti, ad un altro sistema informatico in uso dagli investigatori. Se la potenzialità operativa di tale strumento è innegabile, il tema dei limiti di ammissibilità è delicatissimo e, per tale ragione, la dottrina si è spesso interrogata sui rischi per le libertà degli individui e la loro riservatezza associate all’utilizzo dello spyware in assenza di una disciplina, anche tecnica, dello strumento.

2. Lo sviluppo della Cassazione in materia di captatore informatico

Nelle sue infinite implicazioni applicative, il “virus di Stato” sembra non aver avuto asilo nel codice del 1988. Il primo provvedimento giurisprudenziale che offre i maggiori spunti sul tema è la sentenza Musumeci2 che ha sollevato alcuni dubbi sull’utilizzo dei trojan definendoli non strumenti di semplice intercettazione di comunicazione tra presenti ex art. 266, comma 2, c.p.p., ma di intercettazione itinerante, capaci di seguire l’intercettato in ogni luogo. Si è sollevata, quindi, la necessità di una specificazione della localizzazione nonché di precisazione sull’utilizzo di tale strumento3, ritenendolo applicabile per i soli reati di criminalità organizzata. Tale orientamento è stato ripreso con la sentenza Scurato4 che ha confermato il legittimo utilizzo del captatore informatico nei luoghi di privata dimora ex art. 614 c.p. solo per i procedimenti relativi a delitti di criminalità organizzata5, anche terroristica, escludendo la possibilità di utilizzo del mezzo per reati differenti non potendosi effettuare, all’atto dell’autorizzazione, un adeguato controllo circa l’effettivo rispetto del presupposto, previsto dall’art. 266, comma 2, c.p.p., che in detto luogo “si stia svolgendo l’attività criminosa”. Questo doppio binario è stato superato con la legge n. 103 del 2017, la c.d. legge Orlando, che, ampliando lo spettro di applicazione per qualsiasi reato, consente l’uso del captatore informatico non solo per i delitti di grave allarme sociale, ma in tutti i casi in cui vi sia fondato motivo di ritenere che in un domicilio privato si stia svolgendo un’attività criminosa.

3. La legge “Intercettazioni” e i nuovi orizzonti della Cassazione

Il 1° settembre 2020 è entrato in vigore il D.lg. n. 161 del 2019, convertito con modifiche dalla Lg. n. 7 del 2020 ed è applicabile alle iscrizioni di reato successive al 31 agosto 2020. Le principali novità consistono:
– nell’utilizzo di captatori informatici anche in indagini concernenti delitti contro la Pubblica Amministrazione, puniti con la reclusione non inferiore nel massimo a cinque anni, che siano stati commessi non solo da pubblici ufficiali ma anche da incaricati di pubblico servizio;
– nel potenziamento del ruolo del Pubblico Magistrato sul vaglio delle intercettazioni;
– nell’introduzione della possibilità per il giudice, con il consenso delle parti, di disporre l’utilizzazione delle trascrizioni delle registrazioni già effettuate dalla Polizia Giudiziaria;
– nella creazione di un archivio digitale presso ogni Procura;
– nell’estensione del divieto di pubblicazione di tutte le intercettazioni non acquisite nel corso del procedimento;
– nell’estensione della possibilità di utilizzare le stesse, se rilevanti ed indispensabili, in procedimenti penali diversi rispetto a quelli per i quali sono state autorizzate.
Le intercettazioni sono trasferite esclusivamente nell’archivio generale e durante il trasferimento dei dati è garantito il controllo costante di integrità in modo da assicurare la completa corrispondenza di quanto intercettato, registrato e trasmesso. Al termine delle operazioni, il captatore viene disinstallato con modalità tali da renderlo inidoneo per successivi utilizzi. Nella gestione dell’archivio digitale deve essere garantita la segretezza della documentazione delle intercettazioni non necessarie per il procedimento, di quelle irrilevanti o quelle di cui è vietata l’utilizzazione. La finalità dell’archivio generale è quella non solo di ordinare, sistematizzare e semplificare la procedura inerente alle intercettazioni ma anche di salvaguardare la privacy e la riservatezza dei soggetti coinvolti, evitando la divulgazione di dati che non sono necessari alle indagini. Difatti, ai sensi dell’art. 127 c.p.p., gli interessati possono richiedere al giudice che ha autorizzato o convalidato l’intercettazione, a tutela proprio della riservatezza, la distruzione della documentazione non necessaria al procedimento. Le registrazioni sono conservate fino alla sentenza non più soggetta ad impugnazione.
A seguito dell’entrata in vigore di tale ultima normativa, la Corte di Cassazione è nuovamente intervenuta sul tema delle intercettazioni tramite captatori informatici, con la sentenza n. 32428 del 18 novembre 2020. La sentenza in esame analizza un caso captativo che si colloca al di fuori dell’ambito applicativo della nuova disciplina delle intercettazioni, in quanto si tratta di un procedimento penale riconducibile alla criminalità organizzata ma già pendente alla data di applicazione della Lg. 7/2020. La Corte ha ribadito che le intercettazioni di comunicazioni sono un mezzo di ricerca della prova, funzionale al soddisfacimento del pubblico interesse all’accertamento di gravi delitti, tutelato dal principio dell’obbligatorietà dell’azione penale di cui all’art. 112 Cost., a cui devono coordinarsi, subendo una necessaria compressione, gli artt. 14 e 15 Cost. quali, rispettivamente, principio di inviolabilità del domicilio e di segretezza della corrispondenza e di qualsiasi forma di comunicazione. Tuttavia, secondo la Cassazione in esame, la libertà domiciliare e la segretezza delle comunicazioni devono essere affidate all’iniziativa della Polizia Giudiziaria, che ha pieno controllo e potere di utilizzare qualsiasi soggetto e qualsiasi mezzo per eseguire le intercettazioni “trattandosi di atti materiali, che rientrano nella contingente valutazione dinamica da parte della polizia giudiziaria della concreta situazione, non sempre prevedibile nel suo sviluppo ed implicazioni pratiche6. La Cassazione, infatti, ritiene che l’autorizzazione sia resa necessaria al solo fine di legittimare la compressione dei diritti dei soggetti intercettati e, una volta effettuato il necessario bilanciamento di tali diritti fondamentali con l’interesse pubblico all’accertamento dei gravi delitti, le specifiche modalità e gli strumenti tecnici adoperati per effettuare le operazioni devono ritenersi ammessi a monte dal provvedimento che dispone l’utilizzo del mezzo di ricerca di prova. Alla luce di quanto detto, una lettura costituzionalmente orientata dovrebbe, invece, rimettere l’attività sotto lo stretto controllo del Giudice secondo uno schema vincolato oppure, a limite, confermare l’operatività tecnica della Polizia Giudiziaria ma imponendo a quest’ultima l’obbligo di documentazione completa e dettagliata di tutte le operazioni compiute.
In conclusione, come anche segnalato dalla Autorità Garante e dalla dottrina, si rende necessario un più ampio rispetto delle garanzie digitali e, soprattutto, la possibilità di un effettivo controllo giurisdizionale e di verifica successiva della corretta esecuzione delle attività che, ancor prima che alla Polizia Giudiziaria, sono sempre più spesso affidate ai privati.


1 Cassazione, SS.UU., n. 26886 del 28 aprile 2018.
2 Cassazione, Sez. VI, n. 27100 del 26 maggio 2015.
3 Sul tema, Cassazione penale, SS.UU., n. 26795 del 28 marzo 2006 in cui la Suprema Corte ha affermato che le videoregistrazioni in luoghi esposti al pubblico, non realizzate nel corso di un procedimento penale, sono da includersi nella categoria probatoria dei documenti ex art. 234 c.p.p.. Chiarisce, inoltre, che risultano ammesse, in quanto assimilabili in via interpretativa alle intercettazioni ambientali ex art. 266, comma 2, c.p.p., le sole intercettazioni che hanno ad oggetto comportamenti comunicativi, ritenendo, al contrario, le videoregistrazioni di comportamenti non comunicativi, realizzate in un domicilio privato, in contrasto con l’art. 14 Cost.
4 Cassazione penale, SS.UU., n. 26889 del 1° luglio 2016.
5 La Cassazione chiarisce che devono intendersi delitti di grave allarme sociali quelli elencati nell’art. 51, commi 3-bis e 3-quater c.p.c. nonché quelli facenti capo ad un’associazione per delinquere, con esclusione del mero concorso di persone nel reato.
6 Cassazione, Sez. VI, n. 39403 del 24 agosto 2017 e n. 45486 del 9 ottobre 2018.

captatore informatico

Indice

1. Le caratteristiche del captatore informatico
2. Lo sviluppo della Cassazione in materia di captatore informatico
3. La legge “Intercettazioni” e i nuovi orizzonti della Cassazione

1. Le caratteristiche del captatore informatico

Il captatore informatico o trojan horse è un programma informatico che viene istallato in un dispositivo del tipo target (un computer, un tablet o uno smartphone), di norma da remoto e all’insaputa di chi ne fa uso, mediante l’invio di una mail, un sms oppure un aggiornamento software, ricevendo i diritti di amministrazione dal device in cui viene inserito assumendone il controllo totale. Il trojan è costituito da due moduli: il primo è un programma di piccole dimensioni che infetta il dispositivo bersaglio mentre il secondo, detto client, è l’applicativo che il virus usa per controllare detto dispositivo1. Molteplici sono le attività che possono essere svolte tramite tale strumento: attivare il microfono al fine di apprendere le conversazioni che si svolgono nello spazio che circonda il soggetto che ha la disponibilità materiale del dispositivo; mettere in funzione la telecamera carpendo le immagini; perquisire l’hard disk e fare copia, totale o parziale, delle unità di memoria del sistema informatico preso di mira; captare il traffico dati in arrivo o in partenza dal dispositivo sotto attacco; decifrare tutto quello che viene digitato sulla tastiera collegata al sistema; sfuggire agli antivirus che sono in commercio.
I dati raccolti sono trasmessi tramite la rete internet, in tempo reale o ad intervalli prestabiliti, ad un altro sistema informatico in uso dagli investigatori. Se la potenzialità operativa di tale strumento è innegabile, il tema dei limiti di ammissibilità è delicatissimo e, per tale ragione, la dottrina si è spesso interrogata sui rischi per le libertà degli individui e la loro riservatezza associate all’utilizzo dello spyware in assenza di una disciplina, anche tecnica, dello strumento.

2. Lo sviluppo della Cassazione in materia di captatore informatico

Nelle sue infinite implicazioni applicative, il “virus di Stato” sembra non aver avuto asilo nel codice del 1988. Il primo provvedimento giurisprudenziale che offre i maggiori spunti sul tema è la sentenza Musumeci2 che ha sollevato alcuni dubbi sull’utilizzo dei trojan definendoli non strumenti di semplice intercettazione di comunicazione tra presenti ex art. 266, comma 2, c.p.p., ma di intercettazione itinerante, capaci di seguire l’intercettato in ogni luogo. Si è sollevata, quindi, la necessità di una specificazione della localizzazione nonché di precisazione sull’utilizzo di tale strumento3, ritenendolo applicabile per i soli reati di criminalità organizzata. Tale orientamento è stato ripreso con la sentenza Scurato4 che ha confermato il legittimo utilizzo del captatore informatico nei luoghi di privata dimora ex art. 614 c.p. solo per i procedimenti relativi a delitti di criminalità organizzata5, anche terroristica, escludendo la possibilità di utilizzo del mezzo per reati differenti non potendosi effettuare, all’atto dell’autorizzazione, un adeguato controllo circa l’effettivo rispetto del presupposto, previsto dall’art. 266, comma 2, c.p.p., che in detto luogo “si stia svolgendo l’attività criminosa”. Questo doppio binario è stato superato con la legge n. 103 del 2017, la c.d. legge Orlando, che, ampliando lo spettro di applicazione per qualsiasi reato, consente l’uso del captatore informatico non solo per i delitti di grave allarme sociale, ma in tutti i casi in cui vi sia fondato motivo di ritenere che in un domicilio privato si stia svolgendo un’attività criminosa.

3. La legge “Intercettazioni” e i nuovi orizzonti della Cassazione

Il 1° settembre 2020 è entrato in vigore il D.lg. n. 161 del 2019, convertito con modifiche dalla Lg. n. 7 del 2020 ed è applicabile alle iscrizioni di reato successive al 31 agosto 2020. Le principali novità consistono:
– nell’utilizzo di captatori informatici anche in indagini concernenti delitti contro la Pubblica Amministrazione, puniti con la reclusione non inferiore nel massimo a cinque anni, che siano stati commessi non solo da pubblici ufficiali ma anche da incaricati di pubblico servizio;
– nel potenziamento del ruolo del Pubblico Magistrato sul vaglio delle intercettazioni;
– nell’introduzione della possibilità per il giudice, con il consenso delle parti, di disporre l’utilizzazione delle trascrizioni delle registrazioni già effettuate dalla Polizia Giudiziaria;
– nella creazione di un archivio digitale presso ogni Procura;
– nell’estensione del divieto di pubblicazione di tutte le intercettazioni non acquisite nel corso del procedimento;
– nell’estensione della possibilità di utilizzare le stesse, se rilevanti ed indispensabili, in procedimenti penali diversi rispetto a quelli per i quali sono state autorizzate.
Le intercettazioni sono trasferite esclusivamente nell’archivio generale e durante il trasferimento dei dati è garantito il controllo costante di integrità in modo da assicurare la completa corrispondenza di quanto intercettato, registrato e trasmesso. Al termine delle operazioni, il captatore viene disinstallato con modalità tali da renderlo inidoneo per successivi utilizzi. Nella gestione dell’archivio digitale deve essere garantita la segretezza della documentazione delle intercettazioni non necessarie per il procedimento, di quelle irrilevanti o quelle di cui è vietata l’utilizzazione. La finalità dell’archivio generale è quella non solo di ordinare, sistematizzare e semplificare la procedura inerente alle intercettazioni ma anche di salvaguardare la privacy e la riservatezza dei soggetti coinvolti, evitando la divulgazione di dati che non sono necessari alle indagini. Difatti, ai sensi dell’art. 127 c.p.p., gli interessati possono richiedere al giudice che ha autorizzato o convalidato l’intercettazione, a tutela proprio della riservatezza, la distruzione della documentazione non necessaria al procedimento. Le registrazioni sono conservate fino alla sentenza non più soggetta ad impugnazione.
A seguito dell’entrata in vigore di tale ultima normativa, la Corte di Cassazione è nuovamente intervenuta sul tema delle intercettazioni tramite captatori informatici, con la sentenza n. 32428 del 18 novembre 2020. La sentenza in esame analizza un caso captativo che si colloca al di fuori dell’ambito applicativo della nuova disciplina delle intercettazioni, in quanto si tratta di un procedimento penale riconducibile alla criminalità organizzata ma già pendente alla data di applicazione della Lg. 7/2020. La Corte ha ribadito che le intercettazioni di comunicazioni sono un mezzo di ricerca della prova, funzionale al soddisfacimento del pubblico interesse all’accertamento di gravi delitti, tutelato dal principio dell’obbligatorietà dell’azione penale di cui all’art. 112 Cost., a cui devono coordinarsi, subendo una necessaria compressione, gli artt. 14 e 15 Cost. quali, rispettivamente, principio di inviolabilità del domicilio e di segretezza della corrispondenza e di qualsiasi forma di comunicazione. Tuttavia, secondo la Cassazione in esame, la libertà domiciliare e la segretezza delle comunicazioni devono essere affidate all’iniziativa della Polizia Giudiziaria, che ha pieno controllo e potere di utilizzare qualsiasi soggetto e qualsiasi mezzo per eseguire le intercettazioni “trattandosi di atti materiali, che rientrano nella contingente valutazione dinamica da parte della polizia giudiziaria della concreta situazione, non sempre prevedibile nel suo sviluppo ed implicazioni pratiche6. La Cassazione, infatti, ritiene che l’autorizzazione sia resa necessaria al solo fine di legittimare la compressione dei diritti dei soggetti intercettati e, una volta effettuato il necessario bilanciamento di tali diritti fondamentali con l’interesse pubblico all’accertamento dei gravi delitti, le specifiche modalità e gli strumenti tecnici adoperati per effettuare le operazioni devono ritenersi ammessi a monte dal provvedimento che dispone l’utilizzo del mezzo di ricerca di prova. Alla luce di quanto detto, una lettura costituzionalmente orientata dovrebbe, invece, rimettere l’attività sotto lo stretto controllo del Giudice secondo uno schema vincolato oppure, a limite, confermare l’operatività tecnica della Polizia Giudiziaria ma imponendo a quest’ultima l’obbligo di documentazione completa e dettagliata di tutte le operazioni compiute.
In conclusione, come anche segnalato dalla Autorità Garante e dalla dottrina, si rende necessario un più ampio rispetto delle garanzie digitali e, soprattutto, la possibilità di un effettivo controllo giurisdizionale e di verifica successiva della corretta esecuzione delle attività che, ancor prima che alla Polizia Giudiziaria, sono sempre più spesso affidate ai privati.


1 Cassazione, SS.UU., n. 26886 del 28 aprile 2018.
2 Cassazione, Sez. VI, n. 27100 del 26 maggio 2015.
3 Sul tema, Cassazione penale, SS.UU., n. 26795 del 28 marzo 2006 in cui la Suprema Corte ha affermato che le videoregistrazioni in luoghi esposti al pubblico, non realizzate nel corso di un procedimento penale, sono da includersi nella categoria probatoria dei documenti ex art. 234 c.p.p.. Chiarisce, inoltre, che risultano ammesse, in quanto assimilabili in via interpretativa alle intercettazioni ambientali ex art. 266, comma 2, c.p.p., le sole intercettazioni che hanno ad oggetto comportamenti comunicativi, ritenendo, al contrario, le videoregistrazioni di comportamenti non comunicativi, realizzate in un domicilio privato, in contrasto con l’art. 14 Cost.
4 Cassazione penale, SS.UU., n. 26889 del 1° luglio 2016.
5 La Cassazione chiarisce che devono intendersi delitti di grave allarme sociali quelli elencati nell’art. 51, commi 3-bis e 3-quater c.p.c. nonché quelli facenti capo ad un’associazione per delinquere, con esclusione del mero concorso di persone nel reato.
6 Cassazione, Sez. VI, n. 39403 del 24 agosto 2017 e n. 45486 del 9 ottobre 2018.