Si possono intercettare WhatsApp e le app cifrate?

Che cosa vuol dire intercettare

Il punto di partenza è l'art. 15 della Costituzione: «La libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili. La loro limitazione può avvenire soltanto per atto motivato dell'autorità giudiziaria con le garanzie stabilite dalla legge». Il codice di procedura penale non definisce la parola «intercettazione»; la definizione viene dalle Sezioni Unite della Cassazione (sentenza n. 36747 del 2003), richiamate dalla Corte costituzionale nella sentenza n. 170 del 2023: l'«apprensione occulta, in tempo reale, del contenuto di una conversazione o di una comunicazione in corso tra due o più persone da parte di altri soggetti, estranei al colloquio».

Le condizioni sono due. La comunicazione deve essere in corso quando viene captata; e la captazione deve avvenire all'insaputa di chi comunica. Ascoltare o leggere mentre si comunica è intercettazione; prendere il telefono e leggere i messaggi già arrivati è un'altra cosa, con altre regole.

Le intercettazioni sono ammesse solo nei procedimenti per i reati dell'art. 266, comma 1, c.p.p.: tra gli altri, i delitti non colposi puniti con la reclusione superiore nel massimo a cinque anni, i più gravi delitti contro la pubblica amministrazione, stupefacenti, armi, contrabbando, minaccia, usura, molestie telefoniche e atti persecutori; per i flussi informatici e telematici anche i reati «commessi mediante l'impiego di tecnologie informatiche o telematiche» (art. 266-bis). Le autorizza il giudice per le indagini preliminari, su richiesta del pubblico ministero, quando vi sono «gravi indizi di reato» e l'intercettazione è «assolutamente indispensabile ai fini della prosecuzione delle indagini» (art. 267, comma 1); in caso di urgenza dispone il pubblico ministero, ma se il giudice non convalida entro quarantotto ore i risultati non si possono usare (comma 2). Le operazioni durano quindici giorni, prorogabili di quindici in quindici, con un tetto complessivo di quarantacinque giorni superabile solo con motivazione espressa su elementi specifici e concreti, salvo le eccezioni previste dalla legge (comma 3).

Perché la cifratura end-to-end cambia le cose

L'intercettazione di una telefonata o di un flusso di dati coglie la comunicazione mentre viaggia sulla rete; le operazioni si compiono per mezzo degli impianti installati nella procura (art. 268, comma 3). Con la cifratura end-to-end quello che passa dalla rete è cifrato, e le chiavi per leggerlo stanno solo sui dispositivi di chi comunica.

Lo dice lo stesso fornitore. Nella pagina del suo centro assistenza dedicata alle richieste delle autorità (About government requests for user data), WhatsApp afferma di non potere e di non produrre il contenuto dei messaggi dei suoi utenti in risposta alle richieste dei governi: la cifratura end-to-end fa sì che solo tu e la persona con cui comunichi possiate leggere o ascoltare ciò che viene inviato, e nessuno nel mezzo, nemmeno WhatsApp. La cifratura, precisa, copre anche foto, video, messaggi vocali, documenti, posizione e chiamate; il contenuto resta sul telefono e, se lo hai scelto, nel backup nel cloud. La conseguenza è che l'operatore, anche se riceve un decreto di intercettazione, non ha un testo leggibile da consegnare.

Non tutte le app funzionano allo stesso modo. Telegram, nelle sue FAQ, distingue le chat segrete, cifrate end-to-end, per le quali dichiara di non avere dati da consegnare, dalle chat ordinarie (che chiama cloud chats), cifrate tra l'app e i server e conservate nei suoi data center. In ogni caso, la legge non si ferma alla rete.

Gli strumenti che la legge prevede

Il captatore informatico sul dispositivo

Se il contenuto è leggibile solo sul dispositivo, è lì che la legge consente di intervenire. L'art. 266, comma 2, c.p.p. ammette l'intercettazione di comunicazioni tra presenti, «che può essere eseguita anche mediante l'inserimento di un captatore informatico su un dispositivo elettronico portatile»: un programma installato sul telefono che, tra l'altro, ne attiva il microfono. Il decreto del giudice deve spiegare con autonoma valutazione perché serve proprio quella modalità e, salvo che si proceda per mafia, terrorismo o i più gravi delitti contro la pubblica amministrazione, indicare luoghi e tempi in cui si può attivare il microfono (art. 267, comma 1). Reati, domicilio e limiti sono spiegati nella pagina sul captatore informatico.

Nel caso EncroChat la Corte di giustizia (Grande Sezione, 30 aprile 2024, C-670/22) ha stabilito che l'infiltrazione negli apparecchi terminali, diretta a estrarre dati relativi al traffico, all'ubicazione e alle comunicazioni di un servizio di comunicazione basato su Internet, è una «intercettazione di telecomunicazioni» ai sensi dell'art. 31 della direttiva 2014/41 sull'ordine europeo di indagine (la sentenza).

Il sequestro del telefono e dei messaggi

I messaggi che hai già ricevuto e che restano nella memoria del telefono non sono più una comunicazione in corso. La Corte costituzionale lo ha detto nella sentenza n. 170 del 2023: la loro acquisizione non è un'intercettazione, perché le comunicazioni non erano in corso e l'acquisizione è avvenuta in modo palese. Si acquisiscono con il sequestro, disposto con decreto motivato (art. 253 c.p.p.). Le regole su sequestro, restituzione e riesame sono nella pagina Mi hanno sequestrato il telefono; l'estrazione dei dati in quella sulla copia forense.

La stessa sentenza ha chiarito che posta elettronica e messaggi WhatsApp «rientrano, dunque, a pieno titolo nella sfera di protezione dell'art. 15 Cost., apparendo del tutto assimilabili a lettere o biglietti chiusi», anche dopo la ricezione, finché il messaggio non perde ogni carattere di attualità. Le conseguenze sono spiegate nella pagina Le chat sono corrispondenza?

I metadati

La cifratura protegge il contenuto, non il fatto che una comunicazione sia avvenuta. L'operatore telefonico conserva i dati di traffico per finalità di accertamento dei reati: ventiquattro mesi per il traffico telefonico, dodici per quello telematico, trenta giorni per le chiamate senza risposta (art. 132, commi 1 e 1-bis, d.lgs. 196/2003), con un termine più lungo per il terrorismo e per alcuni delitti gravissimi. Si acquisiscono con decreto motivato del giudice, per reati puniti con la reclusione non inferiore nel massimo a tre anni e per minacce e molestie telefoniche gravi (comma 3): la pagina sui tabulati spiega tutto il meccanismo.

Anche il fornitore dell'app ha dei dati. WhatsApp indica, tra quelli che può consegnare se disponibili, nome, data di inizio del servizio, data dell'ultimo accesso, indirizzo IP, tipo di dispositivo, indirizzo email, immagini del profilo, informazioni sui gruppi ed elenco dei contatti; dichiara invece di non conservare i messaggi dopo la consegna, e di cancellare dopo trenta giorni quelli non consegnati. Il dettaglio, app per app, è nella pagina I dati di WhatsApp e delle app.

Le richieste ai fornitori, anche all'estero

I grandi fornitori di app hanno sede fuori dall'Italia. La guida di WhatsApp per le forze dell'ordine chiede che le richieste siano indirizzate alla società statunitense WhatsApp LLC e avverte che per il contenuto di un account può servire una rogatoria o una richiesta basata su un trattato di assistenza giudiziaria. Dal 18 agosto 2026 si applica il regolamento (UE) 2023/1543 (art. 34): l'autorità giudiziaria di uno Stato membro può ordinare direttamente a un fornitore che offre servizi nell'Unione di produrre o conservare dati, compresi i contenuti, indipendentemente da dove si trovano (art. 1); per traffico e contenuti serve un giudice (art. 4, paragrafo 2), che in Italia, durante le indagini, è il giudice per le indagini preliminari (art. 2, comma 3, d.lgs. 215/2025). Resta il limite di fatto: se il fornitore non ha il contenuto, nessun ordine può fargliene consegnare. Sui backup nel cloud vedi Cloud, backup e provider.

I limiti che valgono comunque

I risultati delle intercettazioni non si possono usare se sono state eseguite fuori dei casi consentiti o senza rispettare gli artt. 267 e 268, commi 1 e 3 (art. 271, comma 1); per il captatore, nemmeno i dati raccolti nelle operazioni preliminari all'installazione o fuori dai limiti di tempo e di luogo del decreto (comma 1-bis). In un altro procedimento si usano solo se rilevanti e indispensabili per delitti con arresto obbligatorio in flagranza (art. 270, comma 1). Le conversazioni tra difensore e assistito non si possono intercettare (art. 103, comma 5). E i dati di traffico acquisiti in violazione dei commi 3 e 3-bis dell'art. 132 del Codice privacy «non possono essere utilizzati» (comma 3-quater).

Casi frequenti

• «Se la polizia chiede a WhatsApp le mie chat, le ottiene?» Secondo WhatsApp, no: dichiara di non poter consegnare il contenuto dei messaggi. I messaggi però restano sui telefoni di chi li ha scritti e ricevuti e, se attivato, nel backup: lì la legge li può raggiungere, con il sequestro e le sue regole.
• «Le chiamate WhatsApp compaiono nei tabulati?» WhatsApp presenta il suo servizio di chiamata come chiamate via Internet: viaggiano come dati sulla connessione, non come una telefonata ordinaria. Che cosa resta presso l'operatore e presso l'app lo spiega la pagina I dati di WhatsApp e delle app.
• «Per qualsiasi reato possono mettere un trojan nel telefono?» No. Il captatore segue l'elenco dei reati dell'art. 266 c.p.p. e ha limiti ulteriori nel domicilio: vedi Il captatore informatico.
• «Come faccio a sapere se sono intercettato?» Questo sito non tratta come accorgersene. Dal punto di vista della procedura, lo si scopre con il deposito degli atti: la pagina Quando si scopre di essere stati intercettati spiega quando e che cosa puoi chiedere.

Fonti

Costituzione, art. 15. Codice di procedura penale, artt. 103, 253, 266, 266-bis, 267, 268, 270, 271. D.lgs. 30 giugno 2003, n. 196 (Codice privacy), art. 132. Regolamento (UE) 2023/1543, artt. 1, 4, 5, 34. D.lgs. 30 dicembre 2025, n. 215, art. 2. Corte costituzionale, sentenza 27 luglio 2023, n. 170. Corte di cassazione, Sezioni Unite penali, sentenza n. 36747 del 2003 (come richiamata dalla Corte costituzionale nella sentenza n. 170 del 2023). Corte di giustizia UE, Grande Sezione, 30 aprile 2024, C-670/22, M.N. (EncroChat). WhatsApp Help Center (faq.whatsapp.com): Information for Law Enforcement Authorities e About government requests for user data. Telegram, FAQ (telegram.org), voce Do you process data requests? e sezione sulla cifratura. Verificato il 23 settembre 2026.