La Corte di giustizia UE sul caso EncroChat

Il caso

La sentenza ricostruisce i fatti come li ha esposti il tribunale di Berlino. Le autorità francesi avevano scoperto che molti indagati usavano telefoni con il servizio EncroChat, che passavano per un server a Roubaix. Con l'autorizzazione di un giudice la polizia francese aveva salvato dati del server nel 2018 e nel 2019; una squadra investigativa comune con esperti olandesi aveva poi sviluppato un software di tipo trojan, caricato sul server nella primavera del 2020 con l'autorizzazione del tribunale di Lille e da lì sui telefoni con un aggiornamento simulato (punti 19-20). La polizia tedesca aveva ricevuto i dati dei telefoni usati in Germania attraverso Europol; dal 2 giugno 2020 la procura generale di Francoforte aveva chiesto alla Francia, con ordini europei di indagine, di poterli usare nei processi, e il tribunale di Lille lo aveva autorizzato (punti 24-27). Il tribunale di Berlino dubitava della legittimità di quegli ordini e ha posto cinque gruppi di domande (punto 54). La storia completa della rete è nella pagina Sky ECC, EncroChat, ANOM.

Prima risposta: chi può emettere l'ordine

L'ordine europeo di indagine può servire a far compiere un atto in un altro Stato oppure a ottenere prove che quello Stato ha già (art. 1, par. 1, della direttiva). Tra le autorità di emissione l'art. 2, lett. c), nomina espressamente il pubblico ministero, alla sola condizione che sia competente nel caso. Quindi, se nello Stato di emissione il pubblico ministero è competente, in un caso interno, a ordinare la trasmissione di prove già in possesso delle autorità nazionali, può emettere anche l'ordine europeo; se invece in un caso interno quella acquisizione richiederebbe un giudice, per esempio per la gravità dell'ingerenza nei diritti fondamentali, il pubblico ministero non è autorità competente (punti 71-75).

Il dispositivo: l'ordine «non deve essere adottato necessariamente da un giudice quando, in forza del diritto dello Stato di emissione, in un procedimento puramente interno a tale Stato, la raccolta iniziale di tali prove avrebbe dovuto essere ordinata da un giudice, ma competente ad ordinare l'acquisizione di dette prove è il pubblico ministero». Che cosa preveda il diritto tedesco lo decide il giudice nazionale (punto 76).

Seconda risposta: le condizioni e la fiducia reciproca

Le condizioni dell'art. 6, par. 1, della direttiva (necessità e proporzionalità; atto disponibile alle stesse condizioni in un caso interno analogo) si valutano secondo il diritto dello Stato di emissione. La Corte ne trae alcune conseguenze:

• la direttiva non impone, al momento dell'ordine, indizi concreti di un reato grave a carico di ciascuna persona interessata, se non li richiede il diritto dello Stato di emissione (punto 89);
• l'ordine non è escluso dal fatto che l'integrità dei dati non si possa verificare per la riservatezza delle basi tecniche dell'intercettazione, purché nel successivo procedimento penale sia garantito il diritto a un processo equo: l'integrità si valuta quando le prove sono disponibili (punto 90);
• l'ordine per prove già raccolte è soggetto alle condizioni che il diritto dello Stato di emissione pone per la trasmissione di quelle prove in un caso interno, non a quelle previste per raccoglierle (punti 91-96); resta il divieto di aggirare le garanzie nazionali, che spetta al giudice nazionale verificare (punto 97);
• non conta che lo Stato di esecuzione abbia raccolto i dati nel territorio dello Stato di emissione e nel suo interesse (punto 98).

Poi la fiducia reciproca: il riconoscimento reciproco si fonda sulla fiducia reciproca e sulla presunzione relativa che gli altri Stati rispettino il diritto dell'Unione e i diritti fondamentali; perciò l'autorità che emette l'ordine «non è autorizzata a controllare la regolarità del distinto procedimento con il quale lo Stato membro di esecuzione ha raccolto le prove» (punti 99-100). Il controllo giurisdizionale esiste, ma passa per i mezzi di impugnazione dell'art. 14, par. 1, e per l'obbligo dell'art. 14, par. 7, di rispettare i diritti della difesa e il giusto processo nel valutare le prove (punti 101-105).

Terza e quarta risposta: entrare nei telefoni è intercettare

L'art. 31 della direttiva riguarda l'intercettazione disposta da uno Stato quando la persona usa il suo indirizzo di comunicazione nel territorio di un altro Stato, senza bisogno dell'assistenza tecnica di quest'ultimo: lo Stato che intercetta deve notificarlo, e lo Stato notificato può opporsi, entro 96 ore, se l'intercettazione non sarebbe ammessa in un caso interno analogo. La Corte dà alla parola telecomunicazioni un significato ampio, comprensivo di numeri IP e indirizzi email, e conclude che l'infiltrazione in apparecchi terminali per estrarre dati di comunicazione, di traffico o di ubicazione da un servizio basato su internet costituisce una «intercettazione di telecomunicazioni» (punti 111-114).

La notifica va fatta all'autorità che ciascuno Stato designa, giudiziaria o no; se lo Stato che intercetta non riesce a individuarla, può inviarla a qualsiasi autorità che ritenga idonea, e quella deve trasmetterla d'ufficio all'autorità competente (punti 115-119). Soprattutto, l'art. 31 non protegge solo la sovranità dello Stato notificato: poiché le intercettazioni incidono sul rispetto della vita privata e delle comunicazioni (art. 7 della Carta), la norma «mira anche a tutelare i diritti degli utenti», anche rispetto all'uso dei dati nei procedimenti penali dello Stato notificato (punti 120-125). La Corte precisa anche che l'intercettazione dell'art. 31 non è oggetto di un ordine europeo di indagine, sicché le condizioni e le garanzie dell'ordine non le si applicano (punto 121).

Quinta risposta: che cosa fa il giudice con prove raccolte male

La domanda aveva senso solo se il tribunale di Berlino avesse concluso che gli ordini erano illegittimi (punto 127). Allo stato del diritto dell'Unione, le regole sull'ammissibilità e sulla valutazione delle prove ottenute in violazione del diritto dell'Unione spettano al diritto nazionale, nel rispetto dei principi di equivalenza ed effettività (punti 128-129). Ma l'art. 14, par. 7, della direttiva impone un limite preciso: il giudice penale deve espungere informazioni ed elementi di prova «se tale persona non è in grado di svolgere efficacemente le proprie osservazioni su tali informazioni ed elementi di prova e questi ultimi siano idonei ad influire in modo preponderante sulla valutazione dei fatti» (punti 130-131).

La Corte non ha detto che le chat EncroChat sono inutilizzabili, né che sono sempre utilizzabili: ha dato al giudice nazionale i criteri per deciderlo.

E in Italia?

Le Sezioni Unite della Cassazione avevano deciso le due sentenze sulle chat Sky ECC il 29 febbraio 2024, due mesi prima della sentenza di Lussemburgo, e le hanno depositate il 14 giugno 2024. Su alcuni punti le soluzioni coincidono: anche per le Sezioni Unite il pubblico ministero può chiedere con ordine europeo prove già in possesso dell'autorità straniera, perché in Italia la circolazione di prove già formate non richiede un'autorizzazione preventiva del giudice; e anche le Sezioni Unite fondano il controllo sulla presunzione relativa di conformità ai diritti fondamentali (vedi le Sezioni Unite del 2024).

Su altri punti la sentenza europea sposta l'attenzione. Prima delle Sezioni Unite, alcune decisioni della Cassazione (Sez. 4, n. 27775 del 2023; Sez. 3, n. 47201 del 2023, come riportate dalle Sezioni Unite) avevano ritenuto che gli obblighi di notifica dell'art. 31 tutelassero la reciprocità tra Stati e non i diritti dei singoli utenti; la Corte di giustizia ha detto il contrario. Per la sentenza 23756 delle Sezioni Unite, la notifica tardiva non è sanzionata di per sé e i risultati sono inutilizzabili in Italia solo se l'intercettazione non sarebbe stata consentita in un caso interno analogo, come prevede l'art. 24 del d.lgs. 108/2017. E mentre le Sezioni Unite hanno trattato l'indisponibilità dell'algoritmo e delle chiavi come un problema di affidabilità, salvo specifiche allegazioni, il criterio dell'art. 14, par. 7, chiede al giudice di verificare se l'imputato sia davvero in grado di discutere le prove che possono influire in modo preponderante sulla valutazione dei fatti. È su questo terreno che si giocano le eccezioni raccolte nella pagina quando le chat criptate sono inutilizzabili e il lavoro del consulente tecnico della difesa.

Casi frequenti

• «La sentenza vale anche per Sky ECC?» I fatti erano quelli di EncroChat, ma le risposte interpretano la direttiva 2014/41/UE, che regola tutti gli ordini europei di indagine: riguardano in generale le prove già raccolte in un altro Stato e le intercettazioni transfrontaliere.
• «Se la Francia non ha notificato l'intercettazione all'Italia, le chat sono inutilizzabili?» La Corte di giustizia ha detto che la notifica era dovuta e che tutela gli utenti, lasciando le conseguenze al diritto nazionale nei limiti di equivalenza ed effettività; in Italia le Sezioni Unite hanno collegato l'inutilizzabilità al caso in cui l'intercettazione non sarebbe stata consentita in un caso interno analogo. Come i giudici applicano oggi i due criteri lo trovi nella pagina sulle chat inutilizzabili.
• «Chi decide se ho potuto svolgere efficacemente le mie osservazioni?» Il giudice del processo, caso per caso, guardando alle prove che possono influire in modo preponderante sulla valutazione dei fatti.

Fonti

Corte di giustizia dell'Unione europea, Grande Sezione, sentenza 30 aprile 2024, causa C-670/22, M.N. (EncroChat), su domanda di pronuncia pregiudiziale del Landgericht Berlin del 19 ottobre 2022, punti 19-28, 54, 69-131 e dispositivo (testo italiano, EUR-Lex); direttiva 2014/41/UE, artt. 1, 2, 6, 14, 30, 31 e considerando 19; d.lgs. 21 giugno 2017, n. 108, art. 24; Cass. pen., Sezioni Unite, sentenze n. 23755 e n. 23756 del 2024 (camera di consiglio del 29 febbraio 2024, depositate il 14 giugno 2024), testo integrale. Verificato il 23 settembre 2026.