Le Sezioni Unite del 2024 sulle chat Sky ECC

Le due sentenze

Sono le sentenze n. 23755 e n. 23756 del 2024 delle Sezioni Unite penali della Corte di cassazione, decise nella camera di consiglio del 29 febbraio 2024 e depositate il 14 giugno 2024, con lo stesso relatore e principi sovrapponibili. Entrambe nascono da ricorsi contro ordinanze del tribunale del riesame in procedimenti per associazione finalizzata al traffico di stupefacenti, nei quali i gravi indizi si fondavano anche su chat Sky ECC ottenute con ordini europei di indagine eseguiti dall'autorità giudiziaria francese. Entrambi i ricorsi sono stati rigettati.

Le questioni erano due in ciascun caso. Nella 23755: se l'acquisizione, tramite ordine europeo, di messaggi scambiati con sistema cifrato e decrittati dall'autorità straniera sia acquisizione di documenti ai sensi dell'art. 234-bis o dell'art. 234 c.p.p. o rientri in un'altra disciplina, e se debba essere oggetto di una verifica giurisdizionale preventiva o successiva. Nella 23756: se l'acquisizione di risultati di intercettazioni disposte da un'autorità straniera su una piattaforma criptata rientri nell'art. 270 c.p.p., e se, quando le intercettazioni sono state fatte con un captatore informatico inserito sui server della piattaforma, serva un controllo del giudice preventivo o successivo. Prima di queste sentenze la Cassazione era divisa tra l'art. 234-bis, con l'autorità straniera considerata «legittimo titolare» dei dati, e l'art. 254-bis.

Non è art. 234-bis: è circolazione delle prove

Il primo principio della sentenza 23755 è questo: «La trasmissione, richiesta con ordine europeo di indagine, del contenuto di comunicazioni scambiate mediante criptofonini, già acquisite e decrittate dall'autorità giudiziaria estera in un procedimento penale pendente davanti ad essa, non rientra nell'ambito di applicazione dell'art. 234-bis cod. proc. pen., che opera al di fuori delle ipotesi di collaborazione tra autorità giudiziarie, bensì nella disciplina relativa alla circolazione delle prove tra procedimenti penali, quale desumibile dagli artt. 238 e 270 cod. proc. pen. e 78 disp. att. cod. proc. pen.».

Il ragionamento parte dall'oggetto della richiesta: i messaggi erano già nella disponibilità dell'autorità francese prima dell'ordine italiano, quindi erano «prove già in possesso delle autorità competenti dello Stato di esecuzione» (art. 1, par. 1, della direttiva 2014/41/UE). In Italia, per le prove già formate in un altro procedimento, valgono l'art. 238 c.p.p. (verbali di prove di altri procedimenti), l'art. 270 c.p.p. (risultati di intercettazioni in procedimenti diversi) e l'art. 78 disp. att., secondo cui la documentazione di atti di un procedimento straniero «può essere acquisita a norma dell'articolo 238 del codice». In nessuna delle due sentenze la Corte ha scelto una qualificazione definitiva, perché non aveva a disposizione tutto il materiale trasmesso e perché l'esito non cambiava: nella 23755 ha esaminato le chat sia come documenti sia come dati di traffico e di contenuto; nella 23756 sia come documenti sia come risultati di intercettazioni, e per questa seconda ipotesi ha stabilito che l'acquisizione «è assoggettata alla disciplina di cui all'art. 270 cod. proc. pen.».

Serve l'autorizzazione di un giudice?

No, non prima. Le Sezioni Unite hanno affermato che «le prove già in possesso delle autorità competenti dello Stato di esecuzione possono essere legittimamente richieste ed acquisite dal pubblico ministero italiano senza la necessità di preventiva autorizzazione da parte del giudice del procedimento nel quale si intende utilizzarle». La ragione è la condizione dell'art. 6, par. 1, lett. b), della direttiva: l'atto deve poter essere disposto alle stesse condizioni in un caso interno analogo. E in Italia il pubblico ministero può ottenere prove formate in un altro procedimento, anche intercettazioni, senza alcuna autorizzazione preventiva del giudice del procedimento di destinazione: né l'art. 238, né l'art. 270 (che prevede il deposito di verbali e registrazioni e la facoltà delle parti di esaminarli), né l'art. 78 disp. att. la richiedono.

Lo stesso vale, per la sentenza 23755, per i dati di traffico e di ubicazione: l'art. 132 del d.lgs. 196/2003, che richiede l'autorizzazione del giudice, «si applica alle richieste rivolte ai fornitori del servizio, ma non anche a quelle dirette ad altra autorità giudiziaria che già detenga tali dati». Quanto al captatore, la sentenza 23756 ha escluso che il suo inserimento sui server di una piattaforma sia un mezzo di ricerca della prova atipico e vietato: il captatore è uno strumento tecnico per eseguire intercettazioni, e anche l'uso per acquisire le chiavi di cifratura custodite nei dispositivi è una modalità attuativa dell'intercettazione. Per questo l'ordine europeo è ammissibile, «perché attiene ad esiti investigativi ottenuti con modalità compatibili con l'ordinamento italiano».

La sentenza 23756 ha aggiunto un punto pratico: nessuna norma impone di acquisire e depositare nel procedimento italiano i provvedimenti con cui il giudice straniero ha autorizzato le operazioni; come per le intercettazioni di altri procedimenti, chi eccepisce la mancanza o l'illegittimità dell'autorizzazione deve produrla.

Il controllo del giudice italiano e i diritti fondamentali

Il giudice non sparisce: interviene quando il pubblico ministero gli presenta le prove, per esempio nella richiesta di misura cautelare o nel processo. In quel momento verifica se c'erano le condizioni per emettere l'ordine europeo (necessità, proporzionalità, caso interno analogo) e se c'è stata una violazione dei diritti fondamentali riconosciuti dalla Costituzione e dalla Carta dei diritti fondamentali dell'Unione, compresi il diritto di difesa e il giusto processo. Il principio è formulato così: l'utilizzabilità delle chat «deve essere esclusa se il giudice italiano rileva che il loro impiego determinerebbe una violazione dei diritti fondamentali, fermo restando che l'onere di allegare e provare i fatti da cui inferire tale violazione grava sulla parte interessata».

Due precisazioni delimitano il controllo. La prima: non si richiede che lo Stato di esecuzione abbia osservato tutte le regole del codice italiano sulla formazione dell'atto, ma che siano rispettati i diritti fondamentali; è la stessa linea seguita da tempo per le rogatorie. La seconda: opera una presunzione relativa di conformità ai diritti fondamentali dell'attività delle autorità degli altri Stati, che la Corte fonda sul considerando 19 della direttiva: la cooperazione «si fonda sulla fiducia reciproca e su una presunzione di conformità», ma «tale presunzione è relativa». Le questioni sulla fase di esecuzione, compresa la scelta dello Stato estero di eseguire l'ordine, si fanno valere in quello Stato, salvo che producano violazioni dei diritti fondamentali che si riflettono sull'uso delle prove in Italia.

Nel caso della sentenza 23756 la Corte ha esaminato le ordinanze del giudice istruttore di Parigi prodotte dalla difesa e ha concluso che le operazioni francesi erano state autorizzate da un giudice, per reati gravi, con provvedimenti motivati sui presupposti richiesti dalla giurisprudenza della Corte europea dei diritti dell'uomo, e che non si trattava di intercettazioni generalizzate e indiscriminate.

L'algoritmo, le chiavi e i dati grezzi

È il punto più discusso. Il principio dice: «L'impossibilità per la difesa di accedere all'algoritmo utilizzato nell'ambito di un sistema di comunicazioni per criptare il testo delle stesse non determina una violazione dei diritti fondamentali, dovendo escludersi, salvo specifiche allegazioni di segno contrario, il pericolo di alterazione dei dati in quanto il contenuto di ciascun messaggio è inscindibilmente abbinato alla sua chiave di cifratura, ed una chiave errata non ha alcuna possibilità di decriptarlo anche solo parzialmente».

A sostegno la Corte richiama la giurisprudenza precedente e la sentenza della Grande Camera della Corte europea dei diritti dell'uomo del 26 settembre 2023, Yüksel Yalçınkaya c. Turchia, in cui Strasburgo, secondo la lettura delle Sezioni Unite, per un sistema di messaggistica cifrata si era limitata a dire che dare all'imputato la possibilità di conoscere il materiale decifrato che lo riguardava sarebbe stato un passo importante per i diritti di difesa. Nei casi concreti le Sezioni Unite hanno aggiunto che le modalità di consegna dei file e l'indisponibilità delle chiavi non riguardano l'acquisibilità o l'utilizzabilità delle chat, ma la verifica della loro affidabilità; e che l'alterazione era stata solo ipotizzata, senza allegare né provare elementi concreti. Nella 23756 hanno dichiarato inammissibile una richiesta di perizia sulla decifrazione proposta per la prima volta in udienza.

La formula «salvo specifiche allegazioni di segno contrario» è lo spazio che resta alla difesa: contestazioni tecniche concrete sui file ricevuti, sulla loro completezza, sulla corrispondenza tra messaggi e utenze. È il lavoro del consulente tecnico di parte.

Che cosa resta aperto

• La sentenza della Corte di giustizia. Il 30 aprile 2024, due mesi dopo la decisione delle Sezioni Unite, la Corte di giustizia ha deciso il caso EncroChat (C-670/22): l'infiltrazione nei telefoni è un'intercettazione soggetta alla notifica dell'art. 31 della direttiva, che tutela anche gli utenti, e il giudice deve escludere le prove su cui l'imputato non è in grado di svolgere efficacemente le proprie osservazioni, se possono influire in modo preponderante sulla valutazione dei fatti. Le motivazioni delle Sezioni Unite, depositate dopo, non la citano. Come le due letture convivono è spiegato nella pagina sulla sentenza EncroChat.
• L'onere della prova. La difesa deve allegare e provare i fatti da cui deriva la violazione, ma gli atti che li dimostrano, come le autorizzazioni straniere, stanno spesso in un altro Stato. Nella 23756 le ordinanze francesi erano agli atti perché le aveva prodotte la difesa.
• Intercettazioni o documenti. Se le chat sono risultati di intercettazioni, l'art. 270 c.p.p. ne consente l'uso in un procedimento diverso solo se «rilevanti e indispensabili» per delitti con arresto obbligatorio in flagranza. La qualificazione può quindi pesare, a seconda del reato per cui si procede.
• La fase cautelare. Entrambe le sentenze sono state pronunciate in sede cautelare, dove il tribunale del riesame non ha poteri istruttori sui fatti: vedi chat criptate e misure cautelari.

Le eccezioni sollevate dalla difesa dopo il 2024 sono nella pagina sulle chat inutilizzabili; il percorso delle chat in quella sull'ordine europeo di indagine.

Casi frequenti

• «Le Sezioni Unite hanno detto che le chat Sky ECC valgono sempre?» No. Hanno detto con quali regole entrano nel processo e che il giudice le esclude se il loro uso viola i diritti fondamentali; in quei due casi hanno ritenuto che la violazione non fosse stata dimostrata.
• «La difesa può avere l'algoritmo o le chiavi?» Per le Sezioni Unite non averli non basta, da solo, a rendere inutilizzabili le chat; servono allegazioni specifiche su un rischio concreto di alterazione.

Fonti

Cass. pen., Sezioni Unite, sentenza n. 23755 del 2024 e sentenza n. 23756 del 2024, camera di consiglio del 29 febbraio 2024, depositate il 14 giugno 2024, testo integrale e principi di diritto; direttiva 2014/41/UE, artt. 1, 6, 14, 31 e considerando 19; d.lgs. 21 giugno 2017, n. 108; codice di procedura penale, artt. 234-bis, 238, 270; norme di attuazione del c.p.p., art. 78; d.lgs. 30 giugno 2003, n. 196, art. 132; Corte europea dei diritti dell'uomo, Grande Camera, 26 settembre 2023, Yüksel Yalçınkaya c. Turchia (come citata dalle Sezioni Unite); Corte di giustizia dell'Unione europea, Grande Sezione, sentenza 30 aprile 2024, causa C-670/22. Verificato il 23 settembre 2026.