Quando le chat criptate sono inutilizzabili

Che cosa vuol dire inutilizzabile

«Le prove acquisite in violazione dei divieti stabiliti dalla legge non possono essere utilizzate.»

È l'art. 191, comma 1, c.p.p.; il comma 2 aggiunge che l'inutilizzabilità «è rilevabile anche di ufficio in ogni stato e grado del procedimento». Una chat inutilizzabile esce dal ragionamento del giudice: non regge una condanna e nemmeno i gravi indizi di una misura cautelare (per le intercettazioni l'art. 273, comma 1-bis, richiama il divieto dell'art. 271, comma 1).

Una chat utilizzabile ma discutibile (errori di decifrazione o di trascrizione, messaggi doppi, dubbi su chi scriveva) pone invece un problema di valutazione, che il giudice deve motivare (art. 192). Le Sezioni Unite tengono separati i due piani: le modalità di consegna dei file e l'indisponibilità delle chiavi di cifratura «non sono circostanze relative all'acquisibilità o all'utilizzabilità», ma «attengono alla verifica di affidabilità» del contenuto (sentenza 23755/2024). Molte eccezioni sono cadute perché presentavano come questione di utilizzabilità ciò che la Cassazione considera questione di peso.

Il quadro fissato dalle Sezioni Unite

Le due sentenze (udienza del 29 febbraio 2024, depositate il 14 giugno 2024) riguardano la custodia cautelare fondata anche su chat Sky ECC ottenute dalla Francia con un ordine europeo di indagine (OEI). La trasmissione di comunicazioni già decrittate dall'autorità estera non rientra nell'art. 234-bis, che opera «al di fuori delle ipotesi di collaborazione tra autorità giudiziarie», ma nella circolazione delle prove tra procedimenti; se si tratta di risultati di intercettazioni si applica l'art. 270. Il pubblico ministero può chiedere le prove senza autorizzazione preventiva del giudice; il controllo spetta al giudice che le deve usare. La norma di raccordo è l'art. 78 disp. att.: la documentazione di atti di un procedimento penale straniero «può essere acquisita a norma dell'articolo 238 del codice». Le due sentenze sono analizzate in Le Sezioni Unite del 2024; il percorso dell'OEI in Come arrivano le chat.

Le eccezioni una per una

Acquisizione come documenti (art. 234-bis)

Qui le difese hanno avuto ragione in principio: l'art. 234-bis non si applica. Ma l'errore di qualificazione del riesame «non ha avuto influenza decisiva sul dispositivo», perché le condizioni dell'OEI c'erano. Resta un effetto pratico: il giudice deve accertare come l'autorità straniera ha acquisito i dati, perché da questo dipendono regole e limiti. La Sez. I (sentenza 13535/2024) ha annullato con rinvio un'ordinanza del riesame che aveva ritenuto «ininfluente» questo accertamento.

L'autorizzazione preventiva del giudice italiano

Respinta. In Italia le prove già formate in un altro procedimento, intercettazioni comprese, si ottengono senza autorizzazione del giudice di destinazione; l'OEI del pubblico ministero rispetta quindi la condizione che l'atto possa essere emesso «alle stesse condizioni in un caso interno analogo». Per i dati di traffico già detenuti da un'altra autorità giudiziaria non vale la disciplina dell'art. 132 del Codice privacy, che riguarda le richieste ai fornitori (vedi I tabulati). La Corte di giustizia concorda: l'OEI per prove già raccolte «non deve essere adottato necessariamente da un giudice» se nel caso interno è competente il pubblico ministero (C-670/22, punto 1 del dispositivo). La Sez. I lo ha ribadito nel 2026 (sentenza 33327/2026).

Intercettazioni generalizzate e indiscriminate

Nella sentenza 23755 l'affermazione è stata giudicata «meramente assertiva ed aspecifica». Nella 23756 la difesa aveva prodotto le ordinanze del giudice istruttore di Parigi: le Sezioni Unite vi hanno trovato autorizzazioni di un giudice per reati gravi, «ampiamente motivati», con elementi indizianti anche verso i singoli utenti. La stessa sentenza ricorda però che contrastano con i diritti fondamentali le intercettazioni non autorizzate da un giudice o da un'autorità indipendente, o disposte con provvedimenti non motivati in concreto: è il terreno su cui una violazione si può far valere, se documentata. Anche la Sez. IV (sentenza 32358/2025), esaminando le autorizzazioni francesi, ha escluso intercettazioni generalizzate.

Algoritmo, chiavi e dati grezzi

Per le Sezioni Unite l'impossibilità di accedere all'algoritmo non viola i diritti fondamentali, perché il pericolo di alterazione è escluso «salvo specifiche allegazioni di segno contrario». La Sez. III (sentenza 44047/2024) ha aggiunto che la difesa può verificare il contenuto con la procedura dell'art. 268, commi 6 e 7, ma non può pretendere l'uso «esclusivo e non mediato» del programma di decriptazione. La Sez. IV (sentenza 32358/2025) ha respinto le doglianze su file rielaborati, duplicati e frasi monche: le incertezze sulla decodifica riguardano il valore probatorio e contano solo se la difesa indica errori specifici; i dati erano arrivati su supporti ottici non riscrivibili, in buste numerate antieffrazione, e l'Italia riceve solo i dati degli utenti del suo procedimento, non l'archivio completo. Che cosa può fare un consulente è spiegato in Il consulente della difesa e l'accesso ai dati.

La notifica all'Italia (art. 31 della direttiva 2014/41)

Lo Stato che intercetta una persona che si trova in un altro Stato membro deve notificarlo a quest'ultimo, che può vietare l'uso dei risultati «qualora l'intercettazione non sia ammessa in un caso interno analogo». Per la Corte di giustizia l'infiltrazione nei terminali è un'intercettazione da notificare e la norma tutela anche gli utenti (C-670/22, punti 3 e 4). Per le Sezioni Unite, però, in Italia l'unica inutilizzabilità collegata è quella dell'art. 24 del d.lgs. 108/2017: intercettazioni disposte per un reato per il quale la legge italiana non le consente; la notifica tardiva non è sanzionata di per sé. La Sez. IV (sentenza 32358/2025) ha mantenuto questa lettura dopo la sentenza europea.

Il deposito e i limiti dell'art. 270

I risultati di intercettazioni si usano in un altro procedimento solo se «risultino rilevanti e indispensabili per l'accertamento di delitti per i quali è obbligatorio l'arresto in flagranza» (art. 270, comma 1, nel testo modificato dal d.l. 105/2023, convertito dalla legge 137/2023, per i procedimenti iscritti dopo l'entrata in vigore della legge di conversione). Nel caso deciso dalla sentenza 23756 il limite era rispettato. Quanto al deposito, l'orientamento richiamato dalle Sezioni Unite e applicato dalla Sez. III (sentenza 44047/2024) è costante: l'omesso deposito presso l'autorità del diverso procedimento non rende inutilizzabili le intercettazioni, perché la sanzione non è prevista dall'art. 270 e le ipotesi dell'art. 271 sono tassative.

La Corte di giustizia: quando una prova va espunta

Secondo la Grande Sezione (30 aprile 2024, C-670/22, EncroChat), l'art. 14, par. 7, della direttiva 2014/41:

«impone al giudice penale nazionale di espungere [...] informazioni ed elementi di prova se tale persona non è in grado di svolgere efficacemente le proprie osservazioni su tali informazioni ed elementi di prova e questi ultimi siano idonei ad influire in modo preponderante sulla valutazione dei fatti».

La stessa sentenza lascia in linea di principio al diritto nazionale le regole di ammissibilità (punto 128) e precisa che l'autorità che chiede prove già raccolte «non è autorizzata a controllare la regolarità del distinto procedimento» dello Stato di esecuzione (punto 100). Per la Sez. IV (sentenza 32358/2025) la pronuncia europea non ha superato le Sezioni Unite: il dovere di espungere va letto con la fiducia reciproca e la presunzione relativa di rispetto dei diritti; la violazione può emergere da situazioni evidentemente patologiche o dal rigetto ingiustificato di allegazioni difensive specifiche e concrete, non da un controllo esplorativo. Approfondimento in La Corte di giustizia UE sul caso EncroChat.

Perché le eccezioni generiche cadono

Le Sezioni Unite fondano l'onere sulla presunzione relativa di conformità ai diritti fondamentali dell'attività estera e sulla regola per cui, «per i fatti processuali, a differenza di quanto avviene per i fatti penali, ciascuna parte ha l'onere di provare quelli che adduce». Le decisioni ripetono lo stesso schema:

• nella sentenza 23755 non era «nemmeno allegato» che i dati francesi fossero stati acquisiti senza provvedimento di un giudice;
• nella 23756 la difesa lamentava di non poter accedere al sistema usato per analizzare le comunicazioni, ma non aveva nemmeno allegato di aver presentato un'istanza di accesso;
• nella 33327/2026 la doglianza non spiegava perché la decifrazione non sarebbe stata genuina, integra e corretta.

Una parte della dottrina critica l'impostazione: senza le chiavi la prova contraria è molto difficile, e la presunzione rischia di funzionare nei fatti come assoluta.

Dove le difese hanno ottenuto qualcosa

Nessuna delle sentenze lette per questa pagina dichiara le chat inutilizzabili in via definitiva. Gli esiti favorevoli riguardano la motivazione. La Sez. I (sentenza 13535/2024) ha annullato con rinvio un'ordinanza del riesame che non aveva verificato come l'autorità francese avesse acquisito i messaggi; la difesa aveva chiesto alla Procura, senza risposta, la documentazione sulle modalità di acquisizione e l'aveva allegata al ricorso. Nel 2022 la Sez. IV (sentenza 32915/2022, richiamata dalla 32358/2025) aveva annullato un'ordinanza del riesame accogliendo la censura sull'impossibilità di conoscere le modalità di acquisizione; ma quella decisione cautelare non ha vincolato il giudice del processo, che ha rivalutato la questione e ritenuto le chat utilizzabili. Il riesame è trattato in Chat criptate e misure cautelari; il problema di chi scriveva in Chi scriveva davvero.

Casi frequenti

• «Le chat sono state decifrate con un metodo segreto: sono inutilizzabili?» Per le Sezioni Unite e le sentenze successive no, salvo specifiche allegazioni di alterazione.
• «Il riesame ha annullato l'ordinanza per le chat: il processo è finito?» No: la decisione cautelare sull'utilizzabilità non vincola il giudice del processo (Sez. IV, sentenza 32358/2025).

Fonti

Codice di procedura penale, artt. 191, 192, 234-bis, 238, 268, 270, 271, 273 (testo vigente su normattiva.it); disposizioni di attuazione del c.p.p., art. 78; d.l. 10 agosto 2023, n. 105, conv. dalla legge 9 ottobre 2023, n. 137; d.lgs. 30 giugno 2003, n. 196, art. 132; d.lgs. 21 giugno 2017, n. 108, art. 24; direttiva 2014/41/UE, artt. 6, 14 e 31; Cass. pen., Sez. Un., 29 febbraio 2024 (dep. 14 giugno 2024), n. 23755 e n. 23756; Cass. pen., Sez. I, 12 marzo 2024, n. 13535; Cass. pen., Sez. III, 26 settembre 2024 (dep. 3 dicembre 2024), n. 44047; Cass. pen., Sez. IV, 27 maggio 2025 (dep. 1° ottobre 2025), n. 32358; Cass. pen., Sez. I, 3 settembre 2026 (dep. 11 settembre 2026), n. 33327; Corte di giustizia UE, Grande Sezione, 30 aprile 2024, C-670/22. Verificato il 23 settembre 2026.