Criptofonini SKY-ECC e ordine europeo di indagine: continua l’utilizzazione in Italia della prova di origine ignota

Massima

In tema di acquisizione di chat mediante Ordine Europeo di Indagine, è ragionevole che l’onere di allegare e provare i fatti da cui inferire la violazione di diritti fondamentali gravi sulla difesa, quando è questa a dedurre l’inutilizzabilità o l’invalidità di atti istruttori acquisiti dall’autorità giudiziaria italiana mediante O.E.I

Il caso

Si tratta di una vicenda processuale che trae origine dall'acquisizione in Italia dalla Francia con Ordine Europeo di Indagine di chat scambiate in Europa sulla piattaforma Sky-ECC mediante criptofonini. Le captazioni, autorizzate dal giudice istruttore francese, sono però avvenute con tecniche che la Francia ha coperto con il segreto di Stato e quindi sono tenute celate al difensore nonché al giudice italiano. Sulla base di tali chat il tribunale e la Corte d'appello avevano condannato gli imputati, ritenendo legittime e utilizzabili le conversazioni captate.

Gli imputati ricorrevano in cassazione, deducendo violazione di legge con riferimento alla ritenuta utilizzabilità delle chat SKY-ECC. Essi osservavano che, nonostante l'Ordine Europeo di Indagine emesso dal Pubblico Ministero avesse richiesto tutta la documentazione utile, era stata trasmessa la sola risposta di Eurojust con allegazione del supporto informatico, senza alcuna informazione in ordine alle modalità acquisitive da parte delle Autorità estere (risposta che peraltro aveva riguardato la sola attività dell'Autorità francese, mentre la captazione aveva coinvolto anche quelle olandesi e belghe). In tale situazione, la difesa aveva evidenziato che la ricostruzione offerta sul punto (indagini estere, intercettazione dei criptofonini dopo averne compreso il funzionamento e scoperto le chiavi di cifratura ecc.) non risulta essersi fondata su atti acquisiti al fascicolo, sembrando essere frutto di una consultazione di “fonti aperte”. Si era sottolineato inoltre che il ripetuto uso del trojan per decrittare i server, acquisire le chiavi di cifratura ed avere così contezza dei contenuti comunicativi aveva comportato, per la difesa, l'impossibilità di operare tali verifiche deriva l'inutilizzabilità delle captazioni.

Era ancora stato dedotta violazione di legge con riferimento alla ritenuta utilizzabilità del contenuto delle chat SKY-ECC nonostante l'illegittimità del percorso acquisitivo. Si era evidenziato il carattere patologico dell'inutilizzabilità di tali risultanze – costituenti l'unico elemento a carico del ricorrente – in considerazione delle modalità della perquisizione informatica espletata per l'apprensione delle chiavi di cifratura: era infatti stato utilizzato un captatore informatico (trojan horse), non consentito dalla disciplina di cui all'art. 247, comma 1-bis, c.p.p. Si era dedotto che tale perquisizione informatica da remoto doveva ritenersi abusiva, per la lesione dei diritti di difesa in materia coperta da riserva costituzionale di legge, e la violazione dell'art. 6 della direttiva 2014/41/UE, dal momento che tale atto di indagine non avrebbe potuto compiersi «alle stesse condizioni in un caso analogo», ai sensi e per gli effetti di cui alla lett. b) del predetto articolo.

Al riguardo, i difensori avevano censurato la sentenza d'appello per essersi limitata a richiamare il principio di equivalenza ed il carattere di “prove già acquisite” delle chat, senza cogliere la necessità di esaminare, in primo luogo, "l'atto di indagine" che aveva consentito l'acquisizione della prova, anche nella prospettiva del diritto interno. Solo così, infatti, potrebbe dirsi effettiva la verifica del rispetto dei diritti fondamentali, che la sentenza impugnata aveva effettuato, quanto ai passaggi successivi, alla luce dei principi affermati dalle Sezioni Unite, senza preoccuparsi della illegittimità, per il nostro sistema, di una perquisizione informatica occulta effettuata senza garantire il diritto dell'interessato e del suo difensore ad assistervi. La stessa pronuncia delle Sezioni unite, citata in sentenza, aveva riconosciuto sia il carattere relativo della presunzione di conformità ai diritti fondamentali dell'attività svolta dall'Autorità estera, sia la necessità di verificarne il rispetto (con particolare riguardo ai diritti di difesa e alla garanzia di un giusto processo) da parte del giudice ad quem. In tale prospettiva, il ricorrente aveva concluso per l'inutilizzabilità, in via diretta, del contenuto delle chat decrittate, essendo le chiavi di cifratura state acquisite attraverso una perquisizione illegittima, precisando che quest'ultima non era servita al sequestro del server, ed era quindi svincolata (anche quanto alle conseguenze) da tale ulteriore attività.

Si era dedotta una violazione di legge e un vizio di motivazione con riferimento alla ritenuta utilizzabilità del contenuto delle chat nonostante la mancata documentazione delle attività di estrazione e decrittazione dei dati. Si era rilevato che tale contenuto era stato trasmesso unitamente solo ad un verbale che attesterebbe la regolarità delle operazioni. Si era evidenziato comunque il carattere meramente formale della regolarità attestata, essendo impossibile qualsiasi verifica atteso il segreto di Stato apposto, dalle Autorità francesi, sulle modalità acquisitive della prova (decrittazione mediante apposite chiavi), e la conseguente preclusione, per la difesa, all'accesso al relativo algoritmo: preclusione operante anche per l'autorità giudiziaria italiana, destinataria solo di un link per scaricare in unica soluzione il contenuto delle chat.

Al riguardo, il ricorrente aveva lamentato la violazione del diritto di difesa e al contraddittorio teso alla falsificazione del dato d'accusa, e censurava il contrario obiter dictum delle Sezioni Unite, anche quanto alla precisazione secondo cui sarebbero comunque possibili allegazioni di segno contrario, dal momento che alla difesa viene impedito «proprio quel controllo che permetterebbe le predette allegazioni contrarie». Sul punto, si era dedotto che la contrarietà all'art. 14 della direttiva emergeva anche dalla decisione della Corte di Giustizia (Grande Sezione, sent. 30 aprile 2024, causa C-670/22), secondo cui il par. 7 del predetto articolo doveva essere interpretato nel senso di imporre l'espunzione delle prove, di rilievo preponderante, sulle quali l'imputato non sia stato in grado di svolgere efficacemente le proprie osservazioni. Tale principio doveva ritenersi prevalente, anche perché alla difesa erano state fornite solo alcune delle conversazioni riferibili al PIN attribuito al ricorrente, selezionate dalla Polizia francese: con conseguente impossibilità di prendere in considerazione eventuali conversazioni a discarico. Si osservava altresì che, alla luce della stessa ricostruzione operata dalle Sezioni Unite (secondo cui l'inquadramento delle acquisizioni delle chat andava ricondotto all'art. 270 c.p.p.), la possibilità di accedere all'intero patrimonio conoscitivo acquisito nel procedimento a quo viene espressamente riconosciuta al comma 3 del predetto articolo, con la previsione della facoltà, per le parti, di esaminare i verbali e le registrazioni in precedenza depositati nel procedimento in cui furono autorizzate.

Ancora si era dedotto vizio di motivazione con riferimento alla ritenuta utilizzabilità delle chat SKY-ECC, lamentandosi il carattere astratto della motivazione, che aveva ripercorso il dibattito giurisprudenziale senza peraltro applicare i principi nel caso concreto, visto che nulla era dato sapere in ordine alla specifica procedura tecnico-informatica utilizzata per la captazione, né alle concrete modalità di acquisizione e trasmissione dei dati. Si era evidenziato, al riguardo, che il ricorrente aveva dedotto in appello alcune «specifiche allegazioni di segno contrario», come richiesto dalle Sezioni Unite, segnalando che, di numerose chat, erano stati riportati i soli messaggi in uscita e non anche le eventuali risposte (chat decisive al fine di verificare la fondatezza dell'ipotesi accusatoria, secondo cui il ricorrente avrebbe assunto il nickname Lambrusco).

Infine si era dedotta violazione di legge con riferimento alla ritenuta utilizzabilità delle chat SKY ECC, evidenziando la assoluta necessità di conoscere i provvedimenti alla base dell'acquisizione dei dati, censurando le argomentazioni svolte dalla sentenza impugnata sulla base dei principi affermati dalle Sezioni Unite e sottolineando, in particolare, che la difesa era stata estromessa dalla ostensione delle modalità con cui nel procedimento a quo si era proceduto all'attività captativa, nonostante l'art. 270 c.p.p. contempli, proprio a questo fine, il necessario deposito dei verbali e consenta l'accesso agli atti autorizzativi. La difesa aveva evidenziato che era stato in tal modo impedito di comprendere, tra l'altro, in quale momento l'Autorità francese si fosse avveduta del fatto che gli utilizzatori delle utenze erano persone stabilmente dimoranti in Italia, richiamando i principi espressi dalla Corte di Giustizia con la sentenza C-670/22 del 30 aprile 2024 proprio con la necessità di garantire un processo equo assicurando alle parti di poter svolgere efficacemente le proprie osservazioni su elementi di prova idonei ad influire in modo preponderante sulla valutazione dei fatti. Si lamentava, in tale prospettiva, non solo la mancata trasmissione dei provvedimenti autorizzativi, ma anche l'impossibilità di verificare la genuinità e completezza dell'acquisizione dei flussi comunicativi, attesa la certa avvenuta interpolazione desumibile sia dall'identificazione di taluni soggetti già̀ nei messaggi, sia dall'inserimento di espresse diciture quali "N.d.T.".

Quanto poi alla mancata conoscenza dell'algoritmo, si era rilevato che le stesse Sezioni Unite avevano precisato che ciò non costituisce violazione dei diritti fondamentali "in linea di principio", con ciò legittimando un sindacato laddove emergano dubbi sull'avvenuta alterazione dei dati: non potendo quindi condividersi la tautologica affermazione della sentenza impugnata, che non aveva tenuto conto dei principi affermati dalla Corte di Giustizia anche quanto all'obbligo, gravante sullo Stato in cui vengono eseguite le intercettazioni, di notifica allo Stato in cui si trovano le persone intercettate. Tale obbligo, previsto dall'art. 31 della direttiva del 2014, era stato interpretato appunto nel senso che esso mira anche a tutelare i diritti degli utenti interessati dall'attività captativa.

La difesa aveva evidenziato ancora che la prima indagine era stata avviata non per "gravi reati" come affermato dalla sentenza impugnata, ma per l'utilizzo di cellulari criptati in quanto tali (difettando quindi la condizione della possibilità di intercettare in un caso interno analogo). Quanto poi al segreto di Stato opposto dalle Autorità francesi (del quale non era stata fornita alcuna altra indicazione anche quanto al provvedimento impositivo), se ne era sottolineato la diretta incidenza sui diritti di difesa emergendo, dall'informativa in atti, il fatto che le conversazioni erano state trasmesse in modo incompleto (presumibilmente per non essere stato autorizzato l'invio integrale), ledendo il diritto della difesa all'accesso a tutto il materiale probatorio in possesso delle Autorità competenti. Tutto ciò, ad avviso della difesa, non consentiva neppure al giudice ad quem un adeguato vaglio in ordine alla legittimità delle acquisizioni, anche avuto riguardo alla mancata trasmissione dei provvedimenti genetici da parte dell'Autorità francese (avvenuta in altro procedimento).

Le soluzioni giuridiche

La pronuncia aderisce al recente orientamento giurisprudenziale, inaugurato dalle sentenze “gemelle” delle Sezioni unite penali (Cass., sez. un., 29 febbraio 2024, n. 23755, Giuzj e Cass., sez. un., 29 febbraio 2024, n. 23756, Giorgi), che avevano enunciato il principio per cui, «nel caso in cui una parte deduca il verificarsi di cause di nullità o inutilizzabilità collegate ad atti non rinvenibili nel fascicolo processuale (perché appartenenti ad altro procedimento o anche – qualora si proceda con le forme del dibattimento – al fascicolo del pubblico ministero), al generale onere di precisa indicazione che incombe su chi solleva l’eccezione si accompagna l’ulteriore onere di formale produzione delle risultanze documentali – positive o negative – addotte a fondamento del vizio processuale».

La sentenza ha pure condiviso il precedente principio affermato da Cass., sez. un., 23 novembre 2004, n. 45189, per il quale «per i fatti processuali, a differenza di quanto avviene per i fatti penali, ciascuna parte ha l’onere di provare quelli che adduce, quando essi non risultino documentati nel fascicolo degli atti di cui il giudice dispone», posto che «l’art. 187, comma 2, cod. proc. pen. prevede che i fatti dai quali dipende l’applicazione di norme processuali sono oggetto di prova, né vi sono dati normativi da cui inferire l’inversione, in questo specifico ambito, della regola generale secondo cui chi afferma l’esistenza di un fatto è gravato dell’onere della relativa prova» (sez. un., Giorgi, cit. pag. 33). In conclusione, e con specifico riferimento alle chat acquisite mediante Ordine Europeo di Indagine, la sentenza ritiene «ragionevole concludere che l’onere di allegare e provare i fatti da cui inferire la violazione di diritti fondamentali grava sulla difesa, quando è questa a dedurre l’inutilizzabilità o l’invalidità di atti istruttori acquisiti dall’autorità giudiziaria italiana mediante O.E.I.» (sez. un., Giorgi, pag. 33 cit.).

Osservazioni

a) L'inammissibilità nel nostro ordinamento della prova di origine ignota.

Come noto, l'art. 6, par. 1, lett. b), direttiva 2014/41/UE richiede che l'atto o gli atti richiesti con O.E.I. «avrebbero potuto essere emessi alle stesse condizioni in un caso interno analogo». Non vi è chi non veda che nel nostro ordinamento processuale la prova della quale si ignora la genesi è inammissibile, allo stesso modo di come è inammissibile la testimonianza anonima; essa anzi è incostituzionale perché l'art. 111, comma 3, Cost. riconosce all'imputato il diritto alla prova contraria, che non può esercitare se gli è impedito di conoscere la fonte della prova a carico.

Di fronte a sentenze come questa, K. Popper si rivolterebbe nella tomba: infatti, la ovvia ma fondamentale teoria della falsificabilità, in base alla quale un'ipotesi o una teoria ha carattere scientifico soltanto quando è suscettibile di essere verificata o falsificata dai fatti dell'esperienza (K. Popper, Logica della scoperta scientifica, Einaudi ed., 1935), impedisce di far assurgere al rango di prova un dato di cui si ignora la genesi.

b) Il ripudio del vaglio giurisdizionale.

Non convince assolutamente l'affermazione della Corte di cassazione, secondo cui l'accesso ai dati relativi al traffico e all'ubicazione, concernenti comunicazioni elettroniche, da parte dell'autorità statuale istituzionalmente preposta a dirigere le indagini, è già avvenuto in forza del preventivo controllo di un giudice a tutela dei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali delle persone interessate. Infatti, il giudice francese ha valutato necessità e proporzione dell'ingerenza sulle utenze intercettate nell'indagine francese, non certo rispetto all'indagine italiana che nemmeno esisteva e comunque non poteva conoscere, per cui un simile argomentare sembra far riecheggiare il monito della Corte costituzionale nella sentenza n. 63/1994 contro le “autorizzazioni in bianco”. È principio consolidato che il giudice ha l'obbligo di indicare in motivazione le ragioni che impongono l'intercettazione d'una determinata utenza, chiarendo il collegamento tra l'indagine e il titolare di quell'utenza (Cass., sez. VI, 12 febbraio 2009 (dep. 23 marzo 2009), n. 12722, Lombardi Stonati, RV 243241; Cass., sez. IV, 21 dicembre 2006, C.V., CED 235536]. La giurisprudenza italiana precisa, inoltre, che nelle ipotesi in cui si proceda ad intercettazione nei confronti di un non indagato, il giudice deve motivare la correlazione tra l'indagine in corso e l'intercettato in modo maggiore rispetto ai casi di intercettazione disposta nei confronti di indiziato di delitto. In questo caso, il giudice deve procedere non solo alla verifica relativa alla base indiziaria oggettiva, ma è necessario che il giudice indichi ed espliciti chiaramente l'interesse investigativo sottostante, chiarisca cioè le ragioni di collegamento diretto o indiretto (conoscenza) tra il soggetto (non indagato) ed il fatto di reato oggetto di accertamento; è necessario che si indichino i motivi per i quali il soggetto terzo che si intende intercettare dovrebbe essere “informato sui fatti” e perché si ritiene che vi possano essere conversazioni o comunicazioni attinenti a quei fatti (Cass., sez. VI, 8 marzo 2018, n. 45486, Romeo e altro).

La sentenza oblitera la garanzia giurisdizionale e il contraddittorio sulla prova perché ammette in Italia dati probatori dalla genesi sconosciuta, non solo alle parti ma allo stesso giudice. È vero che vale la presunzione relativa di legittimità degli atti acquisiti in un processo di un altro Stato europeo, ma in materia di diritti fondamentali dell'uomo non sono ammessi atti fideistici. In questo modo la Corte di cassazione si è presa la responsabilità di affermare che una conversazione o una chat, intercettate non si sa come, o un dato di traffico o di ubicazione, acquisito con metodi sconosciuti e conservato non si sa come, e che quindi non possono essere né verificati, né falsificati dal giudice, possono essere però posti a base di una condanna penale.

Ma il fair trial e l'equo processo non ammettono una prova acquisita all'estero con una procedura incontrollabile sia dal giudice italiano sia dalle parti perché lo Stato estero ci tiene nascoste le modalità di acquisizione in quanto coperte dal segreto di Stato.

Infatti, il principio del mutuo riconoscimento nello spazio penale europeo trova un limite, posto dagli artt. 696-ter e 696-quinquies c.p.p., nel rispetto dei diritti fondamentali dell'ordinamento giuridico dello Stato, dei diritti fondamentali della persona riconosciuti dall'art. 6 del Trattato sull'U.E. o dei diritti, delle libertà e dei principi sanciti nella Carta dei diritti fondamentali U.E.; tenendo altresì conto che i diritti fondamentali, garantiti dalla Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali e risultanti dalle tradizioni costituzionali comuni agli Stati membri, fanno parte del diritto dell'Unione in quanto “principi generali”. Ed è difficile sostenere che il fair trial tolleri che il giudice giudichi e l'imputato sia giudicato sulla base di una prova della quale si ignora la genesi e le modalità di decriptazione e conservazione.

c) L'impossibile verifica del rispetto dei diritti fondamentali.

Ma soprattutto è inaccettabile il principio di diritto, già affermato da Cass., sez. un., 29 febbraio 2024, n. 23756, Giorgi, secondo cui, ai fini dell'accertamento del rispetto dei diritti fondamentali, assumono rilievo i principi della presunzione relativa di conformità ai diritti fondamentali dell'attività svolta dall'autorità giudiziaria estera nell'ambito di rapporti di collaborazione ai fini dell'acquisizione di prove, e dell'onere per la difesa di allegare e provare il fatto dal quale dipende la violazione denunciata.

È vero che il principio della presunzione di legittimità dell'attività compiuta all'estero ai fini dell'acquisizione di elementi istruttori è oggetto di costante e generale enunciazione da parte della giurisprudenza della Corte di cassazione (cfr., ex plurimis: Cass., sez. VI, 4 ottobre 2023, n. 44882, Barbaro, Rv. 285386 - 01; Cass., sez. III, 12 ottobre 2021, n. 1396/2022, Torzit, Rv. 282886 01; Cass., sez. IV, 6 novembre 2019, n. 19216/2020, Ascone, Rv. 279246 01).

È vero pure che nel sistema della direttiva 2014/41/U.E. è espressamente riconosciuto il principio della «presunzione relativa che gli altri Stati membri rispettino il diritto dell'Unione e, in particolare, i diritti fondamentali» (Corte giustizia, 11 novembre 2021, Gavanozov, 0852/19, 5 54; cfr., nello stesso senso, Corte giustizia, 8 dicembre 2020, Staatsanwaltschaft Wien, 0584/19, 5 40). Principio che trova una precisa base testuale nel considerando (19) della direttiva cit., il quale afferma: «La creazione di uno spazio di libertà, di sicurezza e di giustizia nell''Unione si fonda sulla fiducia reciproca e su una presunzione di conformità, da parte di tutti gli Stati membri, al diritto dell'Unione e, in particolare, ai diritti fondamentali. Tuttavia, tale presunzione è relativa, per cui, se sussistono seri motivi per ritenere che l'esecuzione di un atto di indagine richiesto in un O.E.I. comporti la violazione di un diritto fondamentale e che lo Stato di esecuzione venga meno ai suoi obblighi in materia di protezione dei diritti fondamentali riconosciuti nella Carta, l'esecuzione dell'O.E.I. dovrebbe essere rifiutata».

La sentenza ricorda come anche il principio secondo cui grava sulla difesa l'onere di allegare e provare il fatto dal quale dipende una causa di nullità o inutilizzabilità da essa eccepita è ripetutamente e generalmente ribadito dalla giurisprudenza di legittimità.

Le Sezioni Unite, in particolare, hanno affermato che, nel caso in cui una parte deduca il verificarsi di cause di nullità o inutilizzabilità collegate ad atti non rinvenibili nel fascicolo processuale (perché appartenenti ad altro procedimento o anche – qualora si proceda con le forme del dibattimento – al fascicolo del pubblico ministero), al generale onere di precisa indicazione che incombe su chi solleva l'eccezione si accompagna l'ulteriore onere di formale produzione delle risultanze documentali positive o negative addotte a fondamento del vizio processuale (cosi Cass., sez. un., 16 luglio 2009, n. 39061, De Iorio, Rv. 244329 - 01, e, in termini analoghi, Cass., sez. un., n 17 novembre 2004, n. 45189, Esposito, Rv. 229245 - 01; tra le tante successive conformi, cfr. Cass., sez. V, 19 aprile 2023, n. 23015, Bernardi, Rv. 284519 01, e Cass., sez. VI, 14 dicembre 2017, n. 18187/2018, Nunziato, Rv. 273007 - 01).

A fondamento di questa affermazione, si osserva che, «per i fatti processuali, a differenza di quanto avviene per i fatti penali, ciascuna parte ha l'onere di provare quelli che adduce, quando essi non risultino documentati nel fascicolo degli atti di cui il giudice dispone» (così sez. un., 23 novembre 2004, n. 45189, Esposito, cit., nonché Cass., sez. V, 18 novembre 2010, n. 1915, Durantini, Rv. 249048 01, e Cass., sez. V, 17 dicembre 2008, n. 600, Cavallaro, Rv, 242551 01). E l'osservazione è stata ribadita perché l'art. 187, comma 2, c.p.p. prevede che i fatti dai quali dipende l'applicazione di norme processuali sono oggetto di prova, né vi sono dati normativi da cui inferire l'inversione, in questo specifico ambito, della regola generale secondo cui chi afferma l'esistenza di un fatto è gravato dell'onere della relativa prova.

Muovendo dai principi appena esposti, quindi, la sentenza conclude che l'onere di allegare e provare i fatti da cui inferire la violazione di diritti fondamentali grava sulla difesa, quando è questa a dedurre l'inutilizzabilità o l'invalidità di atti istruttori acquisiti dall'autorità giudiziaria italiana mediante O.E.I.

d) L'annientamento del diritto di difesa.

La prova consegnata dalla Francia consiste in una compilation di files contenenti comunicazioni e chat, selezionate dalla polizia giudiziaria e dal pubblico ministero d'oltralpe, senza che la difesa abbia avuto prima o abbia tuttora la possibilità di verificarne originalità e integralità, cioè se siano state consegnate tutte le comunicazioni riguardanti i fatti di cui all'imputazione e se possano eventualmente essercene altre utili per la difesa e che l'accusa ha invece ritenuto irrilevanti.

Conclusioni

In definitiva, la sentenza afferma che, se il difensore intende affermare che vi è stata violazione di diritti fondamentali nell’acquisizione della prova all’estero, «al generale onere di precisa indicazione che incombe su chi solleva l’eccezione si accompagna l’ulteriore onere di formale produzione delle risultanze documentali – positive o negative – addotte a fondamento del vizio processuale». Ma non si vede come il difensore possa verificare il rispetto dei diritti fondamentali nell’acquisizione della prova (e tanto meno produrre le risultanze documentali a sostegno della tesi) se della stessa prova si ignorano le modalità di acquisizione perché sottoposte a segreto di Stato: ad impossibilia nemo defensor tenetur. Dovrebbe essere il giudice per primo a non ammettere una prova di origine ignota.