Prove digitali: usabili le chat criptate dall'estero

La Corte di Cassazione ha stabilito la piena utilizzabilità delle prove digitali consistenti in chat criptate acquisite da server esteri tramite Ordine Europeo di Indagine. La sentenza chiarisce che se i dati vengono estratti da copie di backup già archiviate, si qualificano come prova documentale e non come intercettazione. Di conseguenza, la loro acquisizione è legittima anche se il metodo di decrittazione è coperto da segreto di stato dall’autorità estera, non ledendo il diritto di difesa.

A cura di Carmine Paul Alexander TEDESCO - Avvocato

Prenota un appuntamento

Per una consulenza legale o per valutare una possibile strategia difensiva prenota un appuntamento.

La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza.

PRENOTA

02.37901052

8:00 – 20:00
(Lun - Sab)

Pubblicato il 10 settembre 2025 in Diritto Penale, Giurisprudenza Penale, Procedura Penale

Le Prove Digitali: Cassazione sull’Utilizzo di Chat Criptate da Server Esteri

Nell’era della comunicazione digitale, l’acquisizione e l’utilizzo di prove digitali sono diventati un tema centrale nel processo penale. Una recente sentenza della Corte di Cassazione ha affrontato una questione cruciale: l’ammissibilità delle conversazioni scambiate su piattaforme criptate, i cui dati sono stati ottenuti da autorità giudiziarie straniere. La decisione fornisce un chiarimento fondamentale, distinguendo nettamente tra l’intercettazione di un flusso di comunicazioni in tempo reale e l’acquisizione di dati già archiviati su un server.

Il Fatto

Il caso trae origine da un’ordinanza di custodia cautelare in carcere emessa nei confronti di un individuo, gravemente indiziato di tentato omicidio aggravato e detenzione illegale di armi. L’impianto accusatorio si basava in modo significativo su conversazioni ottenute da una nota piattaforma di messaggistica criptata.

La difesa dell’indagato aveva contestato la legittimità di tali prove, poiché acquisite dall’autorità giudiziaria italiana tramite un Ordine Europeo di Indagine (OIE) rivolto alla Francia. Le autorità francesi avevano precedentemente svolto una complessa operazione che includeva l’intercettazione dei dati e il sequestro dei server del provider del servizio. Successivamente, avevano eseguito una copia forense dei server, decriptato le conversazioni e fornito i dati rilevanti all’Italia.

Il fulcro del ricorso difensivo verteva sulla presunta violazione delle norme processuali italiane in materia di intercettazioni e sul mancato rispetto del diritto di difesa, aggravato dal fatto che le autorità francesi avevano opposto il segreto di stato sulle tecniche di decriptazione utilizzate.

La qualificazione delle prove digitali: Intercettazione o documento?

La Corte di Cassazione, nel respingere il ricorso, ha aderito ai principi stabiliti da recenti sentenze delle Sezioni Unite. Il punto dirimente è la distinzione tra la fase ‘dinamica’ della comunicazione (il flusso in tempo reale) e la sua fase ‘statica’ (i dati archiviati).

L’acquisizione di un flusso di comunicazioni in corso rientra nella disciplina delle intercettazioni (art. 270 cod. proc. pen.). Al contrario, l’acquisizione di trascrizioni di comunicazioni già avvenute e conservate nella memoria di un server costituisce acquisizione di prova documentale (art. 238 cod. proc. pen.).

La decisione del Tribunale del riesame e le sue implicazioni

Nel caso di specie, l’autorità francese aveva fornito all’Italia i risultati di un’analisi effettuata su una copia forense dei server sequestrati. Questi server contenevano il backup delle conversazioni. Pertanto, ciò che l’Italia ha acquisito non era il frutto di un’intercettazione in diretta, ma un insieme di dati ‘cristallizzati’, assimilabili a un documento informatico. Di conseguenza, la Corte ha ritenuto corretta la qualificazione come prova documentale, con l’applicazione del regime giuridico previsto dall’art. 238 c.p.p., e non quello, più stringente, delle intercettazioni.

Le Motivazioni

La Suprema Corte ha sviluppato il suo ragionamento su due pilastri fondamentali.

In primo luogo, ha chiarito la natura delle prove digitali acquisite. Basandosi sull’orientamento delle Sezioni Unite, ha ribadito che la modalità con cui l’autorità estera ottiene il dato è determinante. Poiché i dati forniti all’Italia provenivano da un server sequestrato e da un backup preesistente, essi rappresentano un ‘dato statico’. Questa qualificazione li sottrae alla disciplina delle intercettazioni, rendendo inapplicabili le relative garanzie procedurali previste dall’art. 270 del codice di procedura penale. L’operazione è stata quindi correttamente inquadrata come un’acquisizione di documenti, pienamente legittima ai sensi dell’art. 238 del codice.

In secondo luogo, la Corte ha affrontato la questione del segreto di stato opposto dalla Francia sulle tecniche di decriptazione. La difesa sosteneva che tale segretezza impedisse un controllo sulla correttezza e l’integrità del dato, ledendo il diritto di difesa. Anche su questo punto, la Cassazione ha respinto la doglianza. Citando ancora le Sezioni Unite, ha affermato che l’impossibilità di accedere all’algoritmo di decriptazione non comporta di per sé una violazione dei diritti fondamentali. Si presume, salvo prova contraria specifica e concreta fornita dalla difesa, che non vi sia stata alterazione dei dati. La natura stessa della crittografia rende inscindibile il messaggio dalla sua chiave: una chiave errata non produrrebbe un messaggio alterato, ma una sequenza di dati incomprensibile. L’onere di allegare elementi specifici che facciano dubitare della genuinità del dato ricade quindi sulla difesa.

Le Conclusioni

La sentenza consolida un principio di fondamentale importanza pratica per le indagini penali nell’era digitale. Stabilisce un chiaro criterio per la qualificazione e l’utilizzo delle prove digitali ottenute tramite cooperazione giudiziaria internazionale. La distinzione tra dato ‘dinamico’ e ‘statico’ definisce il perimetro applicativo delle garanzie previste per le intercettazioni, bilanciando le esigenze investigative con il diritto di difesa.

In conclusione, le chat criptate, una volta archiviate su un server e acquisite tramite copia forense, diventano a tutti gli effetti prove documentali. La loro utilizzabilità nel processo penale italiano è piena, anche qualora le modalità tecniche di accesso al loro contenuto non siano completamente accessibili alla difesa, a meno che non vengano sollevati dubbi concreti e specifici sulla loro integrità.

I messaggi di una chat criptata, acquisiti da un server estero, sono sempre utilizzabili come prova in Italia?
Sì, sono utilizzabili se vengono acquisiti come dati già archiviati su un server (ad esempio, da una copia di backup). In questo scenario, sono considerati prove documentali ai sensi dell’art. 238 del codice di procedura penale e non sono soggetti alle più stringenti regole previste per le intercettazioni in tempo reale.

Il segreto di stato posto da un’autorità straniera sul metodo di decriptazione rende le chat inutilizzabili?
No. Secondo la Corte di Cassazione, il segreto sulle procedure tecniche di decriptazione non costituisce di per sé una violazione del diritto di difesa. L’impossibilità di accedere all’algoritmo non determina l’inutilizzabilità della prova, a meno che la difesa non fornisca allegazioni specifiche e concrete che suggeriscano un’alterazione dei dati.

È necessaria l’autorizzazione di un giudice italiano per chiedere a un’autorità estera di trasmettere prove digitali che già possiede?
No. Quando il pubblico ministero italiano, tramite un Ordine Europeo di Indagine (OIE), richiede prove che sono già in possesso di un’autorità giudiziaria di un altro Stato membro, non è necessaria una preventiva autorizzazione del giudice italiano. Questa attività è considerata ‘circolazione della prova’ tra Stati e non un atto di acquisizione originaria.

Testo del provvedimento

Sentenza di Cassazione Penale Sez. 5 Num. 2137 Anno 2025

Penale Sent. Sez. 5 Num. 2137 Anno 2025

Presidente: COGNOME

Relatore: COGNOME

Data Udienza: 08/11/2024

SENTENZA

sul ricorso proposto da:

COGNOME NOME nato a CERIGNOLA il 03/07/1986

avverso l’ordinanza del 19/04/2024 del TRIB. RAGIONE_SOCIALE di BARI

visti gli atti, il provvedimento impugnato e il ricorso;

udita la relazione svolta dal Consigliere NOME COGNOME

letta la requisitoria del Pubblico ministero, in persona del Sostituto Procuratore generale COGNOME che ha concluso chiedendo la declaratoria di inammissibilità del ricorso.

RITENUTO IN FATTO

1. Con ordinanza del 22 giugno 2023, il Tribunale di Bari, in funzione di giudice del riesame, aveva rigettato il gravame proposto in relazione alla misura della custodia cautelare in carcere disposta dal Giudice per le indagini preliminari del Tribunale di Bari con ordinanza del 30 maggio 2023 nei confronti di NOME COGNOME gravemente indiziato di avere commesso, in concorso con NOME COGNOME il tentato omicidio aggravato ex art. 416-bis.1 cod. pen. di NOME COGNOME e NOME COGNOME (capo 1), nonché la detenzione illegale e il porto in luogo pubblico, anch’essi aggravati, della pistola utilizzata per il tentato omicidio (capo 2); fatti commessi in Foggia il 30 settembre 2020.
1.1. Con sentenza in data 12 marzo 2024, la Prima Sezione della Corte di cassazione annullò il provvedimento di riesame, evidenziando, alla stregua delle informazioni provvisorie pubblicate con riferimento alle decisioni assunte dalle Sezioni Unite in data 29 febbraio 2024, che il Tribunale del riesame aveva erroneamente ritenuto ininfluente accertare con quali modalità l’Autorità giudiziaria francese aveva acquisito alcune conversazioni criptate conservate in un server e trasmesse, in esecuzione dell’ordine europeo di indagine (OIE), al Pubblico ministero italiano che le aveva richieste; accertamento che avrebbe dovuto essere svolto per stabilire quale disciplina processuale fosse applicabile.
1.2. Con ordinanza del 19 aprile 2024, il Tribunale di Bari ha nuovamente rigettato la richiesta di riesame proposta dalla difesa di COGNOME. Secondo il Collegio, infatti, le comunicazioni criptate acquisite nel presente procedimento per il tramite dell’OIE inoltrato in Francia dovevano ritenersi pienamente utilizzabili. Benché nel corso di autonome indagini le Autorità giudiziarie di Francia, Olanda e Belgio avessero svolto attività di intercettazione e captazione dei dati grezzi relativi alle conversazioni intrattenute dagli utenti della piattaforma RAGIONE_SOCIALE e delle relative chiavi di decrittazione, al termine di esse era stato eseguito il sequestro dei server OVH presenti a Roubaix, su cui il provider del servizio RAGIONE_SOCIALE conservava il backup delle conversazioni in parola; del contenuto di tali server era stata fatta la copia forense e si era quindi proceduto alla relativa decrittazione, creando un data-set di conversazioni “in chiaro”. Successivamente, una volta analizzate, le migliaia di comunicazioni reperite erano state segnalate alle diverse Autorità giudiziarie comunitarie, tra cui quelle italiane, attivatesi con gli OEI per entrare in possesso delle informazioni rilevanti nei rispettivi procedimenti secondo uno schema riconducibile al sequestro di corrispondenza e non all’intercettazione telematica, che non aveva mai riguardato le comunicazioni rilevanti nel presente procedimento, come evidenziato dall’Autorità giudiziaria francese al punto 3.3 della nota inviata. Quanto, poi, alla eventuale compressione di diritti fondamentali, essa è stata esclusa dal Collegio barese, che ha sottolineato come nessuna
violazione dei diritti di difesa possa conseguire alla apposizione del segreto di Stato da parte delle autorità francesi sul procedimento di decrittazione, tenuto conto che quest’ultimo, per sua natura, non può alterare il dato acquisito, di modo che, se il procedimento viene eseguito correttamente, il dato stesso diviene intellegibile, mentre diversamente non lo è, come precisato dalle relazioni tecniche dell’Istituto forense olandese che aveva operato la decrittazione, attestandone la correttezza.

2. NOME COGNOME ha proposto ricorso per cassazione avverso l’ordinanza rescissoria per il tramite del difensore di fiducia, avv. NOME COGNOME deducendo, con un unico articolato motivo di impugnazione, di seguito enunciato nei limiti strettamente necessari per la motivazione ex art. 173 disp. att. cod. proc. pen., la motivazione apparente o carente ovvero la manifesta illogicità della motivazione ai sensi dell’art. 606, comma 1, lett. e), cod. proc. pen., la inosservanza o erronea applicazione della legge penale o di altre norme giuridiche di cui si deve tener conto nell’applicazione della legge penale ex art. 606, comma 1, lett. b), cod. proc. pen., l’inosservanza di norme processuali stabilite a pena di inutilizzabilità ai sensi dell’art. 606, comma 1, lett. c), cod. proc. pen., avendo il Tribunale di Bari ritenuto utilizzabili le comunicazioni acquisite tramite OEI senza rispettare i principi enunciati dalla sentenza rescindente.
Muovendo dal dato, ritenuto pacifico, che l’Autorità giudiziaria francese abbia proceduto, al termine di un’attività di captazione di conversazioni, al sequestro dei server OVH su cui il províder del servizio RAGIONE_SOCIALE conservava copia della cronologia delle conversazioni, tra cui quelle poste a disposizione dell’Autorità giudiziaria italiana, la motivazione presenterebbe un macroscopico vizio, non indicando le modalità iniziali con cui i dati grezzi erano stati acquisiti ovvero l’iter seguito ab initio per svolgere l’attività di intercettazione e captazione da parte dell’Autorità giudiziaria francese.
La sentenza di annullamento, traendo dalle informazioni provvisorie delle decisioni delle Sezioni unite il principio di diritto secondo cui l’acquisizione e utilizzazione dei messaggi in questione è sottoposta a regole, limiti e garanzie diversi che dipendono dalle modalità con cui l’autorità estera ha acquisito i dati conservati nel server, avrebbe affermato che in caso di captazione in tempo reale di un flusso di comunicazioni si sarebbe in presenza di un’attività di intercettazione in procedimento separato, con conseguente applicazione dell’art. 270 cod. proc. pen., spettando al giudice dello stato di emissione dell’ordine europeo di indagine valutare il rispetto dei diritti fondamentali, del diritto di difesa e della garanzia un equo processo. Per tale ragione, il Tribunale avrebbe dovuto accertare le modalità con cui l’Autorità giudiziaria francese aveva acquisito le conversazioni conservate nel server e trasmesse in esecuzione dell’ordine europeo di indagine, essendo le regole di acquisizione della messaggistica nel procedimento penale e i
limiti della sua utilizzabilità ai fini della decisione diversi a seconda che debba applicarsi l’art. 270 cod. proc. pen. o l’art. 238 dello stesso codice.

Secondo la Difesa, la Procura territoriale, non mettendo a disposizione delle parti la documentazione della Polizia giudiziaria che aveva preceduto l’acquisizione del materiale istruttorio, avrebbe di fatto impedito una valutazione sulle modalità di acquisizione dei dati, con violazione del diritto di difesa, non consentendo alcun sindacato sull’idoneità, necessità e proporzionalità del dato probatorio, nella prospettiva di garantire la minore lesione possibile dei diritti fondamentali. Peraltro, a pag. 9 del provvedimento, si leggerebbe: «invero, al di là della rituale acquisizione dei dati tramite OEI, rileva il Collegio come nessuna compressione dei diritti fondamentali.», sicché la frase, rimasta tronca, integrerebbe una motivazione apparente sul tema centrale del rispetto dei diritti dell’indagato. Del pari, l’ordinanza impugnata non avrebbe chiarito le modalità di analisi dei dati trasmessi dall’Autorità giudiziaria francese al fine di verificare l’affidabilità de attività svolte Oltralpe nella decriptazione e trascrizione dei dati, di cui nell’eseguire l’ordine di indagine europeo, l’Autorità giudiziaria francese avrebbe dovuto trasmettere anche i verbali, a pena di inutilizzabilità del materiale ai sensi dell’art. 191 cod. proc. pen., applicabile in ogni caso in cui l’elemento di prova sia stato acquisito in violazione di un principio fondamentale o di una norma inderogabile dell’ordinamento del Paese d’emissione, come il prindpio di legalità processuale (art. 111, comma primo, Cost.), il diritto al contraddittorio per la prova (art. 111, comma 4, cod. proc. pen.) e sulla prova (art. 111, comma secondo, Cost.), il diritto di difesa (art. 24, comma secondo, Cost.) e la libertà morale della persona nell’assunzione della prova (art. 188 cod. proc. pen.). Ora, dal momento che, per accertare se l’acquisizione delle chat da parte dell’Autorità giudiziaria francese sia stata rispettosa di quei principi e norme, sarebbe necessario conoscerne le modalità, la difesa dovrebbe poter verificare ex post la correttezza del procedimento acquisitivo; profilo di cui l’ordinanza impugnata non si sarebbe occupata, benché la Corte di cassazione abbia riconosciuto, in altra occasione, il diritto della difesa di acquisire la documentazione redatta da Europol a seguito dell’accesso ai server di RAGIONE_SOCIALE recante l’indicazione delle modalità di acquisizione dei dati dai server, con annessi verbali e files. Corte di Cassazione – copia non ufficiale
Con riferimento al diritto al contraddittorio di cui all’art. 111 Cost., il cui rispe sarebbe imposto anche dall’art. 1, d.lgs. 21 giugno 2017, n. 108, si ribadisce che esso presuppone la possibilità di un controllo sul procedimento di formazione della prova, di modo che dalla mancata partecipazione delle modalità acquisitive del dato deriverebbe, ai sensi dell’art. 191 cod. proc. pen., la sanzione processuale della inutilizzabilità patologica, che secondo la giurisprudenza consolidata ricorre non solo in caso di assunzione di atti in contrasto con i principi fondamentali dell’ordinamento, ma anche con modalità tali da pregiudicare il diritto di difesa.
In ogni caso, ove si intenda acquisire il dato informatico relativo al contenuto della messaggistica scambiata telematicamente e archiviata dal gestore di servizi di telecomunicazioni, sarebbe necessario che vi sia, in ossequio agli obblighi comunitari, un provvedimento giurisdizionale di autorizzazione, emesso sulla base di una normativa che individui preventivamente i reati e i presupposti per l’acquisizione. A opinare diversamente, si perverrebbe all’assurda conclusione di ritenere che, in virtù dell’art. 132, d.lgs. n. 196 del 2003 come modificato dall’art. 132, d.l. n. 132 del 2021, mentre per l’acquisizione dei tabulati è necessario un preventivo decreto di autorizzazione del giudice in presenza dei presupposti di legge, per l’acquisizione del contenuto dei messaggi scambiati telennaticamente e archiviati in un server dovrebbe ricorrersi allo schema dell’acquisizione documentale.
Nel caso in esame, in cui la copia dei files parrebbe essere stata estratta da un server in uso al fornitore di servizi di telecomunicazione, la conservazione del dato avverrebbe senza il consenso dell’interessato e l’acquisizione si porrebbe in contrasto con il diritto alla libertà e segretezza delle comunicazioni.

Né il Tribunale si sarebbe pronunciato sulle richieste, formulate nei motivi di riesame, di acquisire informazioni su quale autorità giudiziaria, con quali modalità e su quali presupposti abbia proceduto al sequestro del server e nell’ambito di quale procedimento; di precisare con quali procedure e modalità l’Interpol avesse già acquisito le comunicazioni della piattaforma criptata RAGIONE_SOCIALE in epoca antecedente all’emissione dell’OEI; né sul rilievo secondo cui i verbali relativi alla decisione dell’Autorità francese non sarebbero stati tradotti in lingua italiana.
Con riferimento all’ordine europeo di indagine, in base all’art. 6, comma 1, lett. b), della direttiva 2014/41/UE del Parlamento europeo e del Consiglio del 3 aprile 2014, l’autorità giudiziaria italiana può emettere un ordine europeo di indagine soltanto quando l’atto o gli atti di indagine richiesti avrebbero potuto essere disposti ed eseguiti alle stesse condizioni contemplate nel paese richiedente. Pertanto, ove l’acquisizione avvenga mediante la copiatura del dato informatico conservato nel server, sarebbe necessario rispettare le regole in materia di copia forense a garanzia della genuinità del dato informatico, con obbligo di previsione legislativa, da un lato, dei presupposti e delle modalità con cui può essere autorizzata la conservazione dei dati relativi al traffico telefonico o telematico e, dall’altro lato, di un preventivo provvedimento giurisdizionale che verifichi i presupposti di registrazione e archiviazione.
In data 19 ottobre 2024 è pervenuta in Cancelleria la requisitoria scritta del Procuratore generale presso questa Corte, con la quale è stata chiesta la declaratoria di inammissibilità del ricorso.

Ìt

CONSIDERATO IN DIRITTO

Il ricorso è infondato e, pertanto, deve essere respinto.

Nel recente passato, la questione relativa all’utilizzazione della messaggistica criptata – in particolare di quella scambiata sulla piattaforma SkyEcc, acquisita mediante ordine europeo di indagine (OIE) dall’autorità giudiziaria estera che ne aveva eseguito la decriptazione – aveva registrato, in seno alla giurisprudenza di legittimità, differenti indirizzi interpretativi.

Un primo orientamento aveva ritenuto che le chat non costituissero un flusso comunicativo sottoposto alla disciplina delle intercettazioni dettata dagli artt. 266 e 266-bis cod. proc. pen. e che dovessero essere, invece, qualificati come dati informativi presenti, in forma digitale, su un supporto materiale e, dunque, di natura sostanzialmente documentale, come tali acquisibili a sensi dell’art. 234-bis cod. proc. pen. (Sez. 3, n. 47201 del 19/10/2023, COGNOME, Rv. 285350 – 01; Sez. 1, n. 6364 del 13/10/2022, COGNOME Rv. 283998 – 01; Sez. 1, n. 34059 del 1/07/2022, COGNOME, non massimata).
Altro indirizzo, invece, aveva distinto l’ipotesi in cui l’attività acquisit riguardasse la fase “statica” delle comunicazioni, da quella in cui essa concernesse la fase “dinamica” di esse. Mentre nel primo caso si riteneva che trovassero applicazione le disposizioni in materia di perquisizione e sequestro e, in particolare, l’art. 254-bis cod. proc. pen., nel secondo caso l’attività si riteneva inquadrabile nella disciplina dettata dagli artt. 266 e ss. cod. proc. pen. in materia di intercettazioni telefoniche (Sez. 6, n. 44154 del 26/10/2023, lana, Rv. 285284 01; Sez. 6, n. 44155 del 26/10/2023, Kolgjokaj, Rv. 285362 – 01).
A fronte di tale contrasto interpretativo, con ordinanza n. 47798 del 3 novembre 2023, la Terza Sezione della Corte di cassazione aveva rimesso alle Sezioni Unite la questione della qualificazione giuridica del trasferimento del contenuto di comunicazioni effettuate mediante i cd. criptofonini, seguita da un’ulteriore ordinanza di rimessione da parte della Sesta Sezione, la n. 2329, in data 15 gennaio 2024.

Con la sentenza n. 23755 del 29 febbraio 2024, le Sezioni Unite hanno affermato: che il suddetto trasferimento rientra nell’acquisizione di atti di un procedimento penale, il quale, a seconda della loro natura, trova alternativamente il suo fondamento negli artt. 78 disp. att cod. proc. pen., 238 e 270 cod. proc. pen.; che detta acquisizione rientra nei poteri del pubblico ministero; che l’autorità giurisdizionale dello stato di emissione dell’ordine europeo di indagine deve verificare il rispetto dei diritti fondamentali, compresi il diritto di difesa garanzia di un equo processo (Sez. U, n. 23755 del 29/02/2024, COGNOME COGNOME Rv. 286573 – 01 – 02 – 05). Inoltre, con la sentenza n. 23756, emessa in pari data,
le Sezioni Unite hanno statuito: che l’acquisizione dei risultati di intercettazioni su una piattaforma informatica criptata e su criptofonini è riconducibile all’art. 270 cod. proc. pen. e che l’ordine europeo di indagine può essere richiesto dal pubblico ministero; che l’autorità giurisdizionale dello stato di emissione dell’ordine europeo di indagine deve verificare il rispetto dei diritti fondamentali, compresi il diritto difesa e la garanzia di un equo processo (Sez. U, n. 23756 del 29/02/2024, COGNOME Rv. 286589 – 01 – 02 – 04)
Dunque, le Sezioni Unite hanno superato il principio secondo cui la messaggistica in esame può essere, sempre, acquisita ai sensi dell’art. 234-bis cod. proc. pen., ritenendo che l’acquisizione e l’utilizzazione dei messaggi sia sottoposta a regole, limiti e garanzie diversi a seconda delle modalità con cui l’autorità estera abbia, a sua volta, acquisito i dati. Di modo che, in caso di captazione, in tempo reale, di un flusso di comunicazioni, si è realizzata attività di intercettazione in procedimento separato, sicché troverà applicazione l’art. 270 cod. proc. pen., mentre in caso di acquisizione di trascrizioni di comunicazioni già avvenute e conservate nella memoria dei supporti utilizzati dai dialoganti ovvero nel server in cui il provider le custodisca, i relativi dati sarebbero documenti acquisibili ai sensi dell’art. 238 cod. proc. pen. Ferma restando, in entrambi i casi, la valutazione, da parte del giudice dello stato di emissione dell’ordine europeo di indagine, dell’avvenuto rispetto dei diritti fondamentali e, in particolare, del diritt di difesa e della garanzia di un equo processo.
Per tale ragione, come affermato dalla Prima Sezione penale nella pronuncia rescindente, l’autorità nazionale che intende acquisire il dato deve conoscere le modalità con cui l’autorità estera lo ha a sua volta acquisito; ciò che, nel caso in esame, è avvenuto grazie all’azione del Membro nazionale di RAGIONE_SOCIALE, il quale, con una richiesta del dicembre 2023, aveva posto alla competente Autorità giudiziaria francese una serie di quesiti, che hanno trovato puntuale esplicazione nella nota di risposta del 15 dicembre 2023, con cui è stato anche autorizzato l’utilizzo, in tutti i procedimenti pendenti, delle informazioni fornite.
Così, come esposto nella sintetica esposizione che precede (v. § 1.2 del «ritenuto in fatto»), l’Autorità giudiziaria francese ha riferito di avere proceduto a delle operazioni di intercettazione e captazione di messaggi effettuati mediante la piattaforma RAGIONE_SOCIALE, grazie alle quali, nel periodo dal 15 febbraio 2021 al 9 marzo 2021, è stato possibile visualizzare, in tempo reale, alcuni messaggi scambiati dagli utenti, ottenendo i dati grezzi e le relative chiavi di decrittazione; elementi passati attraverso 3 server ospitati dalla OVH a Roubaix, sui quali il flusso di dati è stato intercettato in tempo reale. Successivamente, i 3 server sono stati sequestrati e si è proceduto all’analisi del loro contenuto, costituito anche dal backup delle conversazioni intrattenute dagli utenti RAGIONE_SOCIALE e della loro cronologia, che il pro vider del servizio RAGIONE_SOCIALE conservava in copia sui server stessi e di cui è
stata fatta la copia forense. Successivamente, il contenuto dei messaggi è stato integralmente decrittato ad opera della SIC, creando un data-set di conversazioni “in chiaro”, da cui la polizia giudiziaria francese, su delega dell’Autorità giudiziaria d’Oltralpe, a sua volta investita dall’OEI emesso dall’Autorità giudiziaria italiana, ha poi estratto i dati richiesti, inviandoli a Eurojust per la successiva trasmissione alla stessa Autorità giudiziaria delle prove cristallizzate già raccolte, oggetto di sequestro secondo le modalità tipiche del sequestro di corrispondenza.
Quanto alla possibilità dell’indagato di accedere alle chat criptate, tale possibilità è stata riconosciuta già dall’Autorità giudiziaria francese, che ha però evidenziato come, nella specie, il segreto di Stato opposto dalle autorità francesi coprisse sia il dispositivo tecnico utilizzato per recuperare le chiavi di decrittazione, sia il relativo processo di decrittazione. Nondimeno, secondo un rapporto del laboratorio forense olandese le tecniche utilizzate per decriptare i dati Sky-Ecc forniti alle autorità italiane sono del tutto affidabili, non essendovi la possibilit tecnica di discrepanze tra il contenuto delle chat criptate e quello che costituisce il risultato della decriptazione; ciò che, pertanto, non consente di configurare alcun vulnus al diritto di difesa dell’indagato, posto che, se il processo di decrittazione è eseguito correttamente, il dato diviene intellegibile, diversamente esso non lo è.
Alla stregua delle considerazioni che precedono, deve, dunque, ritenersi che il Tribunale del riesame abbia adempiuto all’onere imposto dalla pronuncia rescindente, accertando che, nel caso in esame, l’oggetto dell’acquisizione non riguardava materiale probatorio conseguito attraverso l’intercettazione di comunicazioni, essendosi al cospetto di documenti contenenti la trascrizione di comunicazioni criptate, attuata dopo che era stata effettuata la copia forense del server utilizzato dal provider che gestiva la piattaforma RAGIONE_SOCIALE, oggetto di sequestro in altro procedimento penale, attraverso un procedimento di decrittazione di cui lo Stato estero ha attestato la correttezza, pur avendo disposto la segretezza del modello di decriptazione. Tali documenti, dunque, sono stati acquisiti e valutati ai sensi dell’art. 238 cod. proc. pen., senza alcuna lesione dei diritti costituzionali dell’indagato, in particolare dei suoi diritti di difesa, attes possibilità di esercitare il necessario controllo, sia pure ex post, sull’attività di acquisizione che è stata compiuta.
3.1. A fronte del puntuale ragionamento svolto da parte del Tribunale del riesame, il ricorso ha, di fatto, riproposto le doglianze originarie, sia pure ricalibrate sulla nuova motivazione adottata dal Collegio di merito, attraverso la generica prospettazione di asserite lesioni dei diritti dell’indagato che non sono, però, collegate a specifiche violazioni delle sue prerogative difensive, né si sostanziano in indiscriminate aggressioni al diritto costituzionale alla segretezza delle sue comunicazioni.

Quanto alla mancata esplicazione delle modalità attraverso cui era stata realizzata l’iniziale attività intercettativa compiuta dall’Autorità giudiziar francese, deve invero ribadirsi che essa, secondo quanto si evince dal provvedimento impugnato, non ha alcun legame con quella successiva, consistita nel sequestro della copia forense del contenuto dei server in cui erano state custodite le conversazioni criptate. Fermo restando che quand’anche detto legame vi fosse, osterebbe alla denunciata inutilizzabilità l’affermazione, sempre ribadita nella giurisprudenza di legittimità, dell’estraneità al sistema processuale penale italiano della cd. inutilizzabilità derivata (Sez. 2, n. 24492 del 19/04/2023, COGNOME, Rv. 284826 – 01; Sez. 6, n. 4119 del 30/04/2019, dep. 2020, RAGIONE_SOCIALE, Rv. 278196 – 03; Sez. 6, n. 5457 del 12/09/2018, dep. 2019, COGNOME, Rv. 275029 – 02).
Quanto, poi, alla inaccessibilità, da parte della Difesa di Valletta, rispetto alle modalità di decrittazione delle chat conseguente alla apposizione, da parte delle Autorità francesi, del segreto di stato in relazione alle relative procedure tecniche, deve ribadirsi quanto recentemente affermato dalle Sezioni unite in materia di comunicazioni digitali, ovvero che l’impossibilità per la difesa di accedere all’algoritmo utilizzato nell’ambito di un sistema di comunicazioni per criptare il testo delle stesse non determina una violazione dei diritti fondamentali, dovendo escludersi, salvo specifiche allegazioni di segno contrario, il pericolo di alterazione dei dati in quanto il contenuto di ciascun messaggio è inscindibilmente abbinato alla sua chiave di cifratura, e una chiave errata non ha alcuna possibilità di decriptarlo, anche solo parzialmente (Sez. U, n. 23755 del 29/02/2024, COGNOME Rv. 286573 – 06; Sez. U, n. 23756 del 29/02/2024, COGNOME, Rv. 286589 05; in termini, Sez. 6, n. 46482 del 27/09/2023, COGNOME, Rv. 285363 – 04; Sez. 6, n. 46390 del 26/10/2023, COGNOME, Rv. 285494 – 01). Principio questo, che costituisce la riaffermazione di quanto in passato ritenuto in relazione al sistema di decrittazione della nnessaggistica inviata tramite Blackberry, ovvero che «in assenza dell’algoritmo necessario alla decriptazione, secondo la scienza informatica risulta impossibile ottenere un testo difforme dal reale, potendosi, al più, imbattersi in una sequenza alfanumerica o simbolica (della “stringa”) priva di senso alcuno»; sicché, «salva l’allegazione di specifici e concreti elementi di segno contrario», deve «escludersi a priori la ricorrenza di alterazioni o manipolazioni dei testi captati» (cfr. Sez 6, n. 14395 del 27/11/2018, dep. 2019, Testa, Rv. 275534 – 01; Sez. 4, n. 30395 del 21/04/2022, Chianchiano, Rv. 283454 – 01). Corte di Cassazione – copia non ufficiale
Infondata deve, poi, ritenersi la deduzione difensiva che richiama la necessità di un’autorizzazione del giudice alla acquisizione, nel procedimento italiano, delle trascrizioni di cui si discute, avendo le Sezioni unite recentemente ribadito, con arresto che si condivide e riafferma, che in materia di ordine europeo di indagine, la sua emissione, da parte del pubblico ministero, diretta ad ottenere il contenuto

di comunicazioni scambiate mediante criptofonini, già acquisite e decrittate dall’autorità giudiziaria estera in un procedimento penale pendente davanti ad essa, non deve essere preceduta da un’autorizzazione del giudice italiano, quale condizione necessaria a norma dell’art. 6 Direttiva 2014/41/UE, posto che tale autorizzazione, nella disciplina nazionale relativa alla circolazione delle prove, non è richiesta per conseguire la disponibilità del contenuto di comunicazioni già acquisite in altro procedimento (Sez. U, n. 23755 del 29/02/2024, COGNOME Rv. 286573 – 03; Sez. U, n. 23756 del 29/02/2024, COGNOME Rv. 286589 – 03) e in quanto la disciplina di cui all’art. 132, d.lgs. 30 giugno 2003, n. 196, relativa all’acquisizione dei dati concernenti il traffico di comunicazioni elettroniche e l’ubicazione dei dispositivi utilizzati, si applica alle richieste rivolte ai fornitori servizio, ma non anche a quelle dirette ad altra autorità giudiziaria che già detenga tali dati (Sez. U, n. 23755 del 29/02/2024, COGNOME Rv. 286573 – 04); e che, nella stessa prospettiva, le prove già in possesso delle autorità competenti dello Stato di esecuzione possono essere legittimamente richieste e acquisite dal pubblico ministero italiano senza la necessità di una preventiva autorizzazione da parte del giudice del procedimento nel quale si intende utilizzarle (Sez. U, n. 23755 del 29/02/2024, COGNOME Rv. 286573 – 02; Sez. U, n. 23756 del 29/02/2024, COGNOME Rv. 286589 – 02).
Alla luce delle considerazioni che precedono, il ricorso deve essere rigettato, con condanna del ricorrente al pagamento delle spese processuali.

4.1. Non comportando la presente decisione la rimessione in libertà del ricorrente, la Cancelleria provvederà agli adempimenti di cui all’art. 94, comma Iter, disp. att. cod. proc. pen.

PER QUESTI MOTIVI

Rigetta il ricorso e condanna il ricorrente al pagamento delle spese processuali. Manda alla cancelleria per gli adempimenti di cui all’art. 94, comma 1-ter, disp. att. cod. proc. pen.

Così deciso in data 8 novembre 2024

Il Consigliere estensore

Il Pvesi Hente

La selezione delle sentenze e la raccolta delle massime di giurisprudenza è a cura di Carmine Paul Alexander TEDESCO, Avvocato a Milano, Pesaro e Benevento.

Desideri approfondire l'argomento ed avere una consulenza legale?

Prenota un appuntamento. La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza / conference call e si svolge in tre fasi.

Prima dell'appuntamento: analisi del caso prospettato. Si tratta della fase più delicata, perché dalla esatta comprensione del caso sottoposto dipendono il corretto inquadramento giuridico dello stesso, la ricerca del materiale e la soluzione finale.

Durante l’appuntamento: disponibilità all’ascolto e capacità a tenere distinti i dati essenziali del caso dalle componenti psicologiche ed emozionali.

Al termine dell’appuntamento: ti verranno forniti gli elementi di valutazione necessari e i suggerimenti opportuni al fine di porre in essere azioni consapevoli a seguito di un apprezzamento riflessivo di rischi e vantaggi. Il contenuto della prestazione di consulenza stragiudiziale comprende, difatti, il preciso dovere di informare compiutamente il cliente di ogni rischio di causa. A detto obbligo di informazione, si accompagnano specifici doveri di dissuasione e di sollecitazione.

Il costo della consulenza legale è di € 150,00.