Un campo tutto da scoprire: cyberspace

Dati elettronici, terrorismo e indagini criminali  Tommaso De Zan 20/12/2016

Fra gli addetti ai lavori, che a voler essere sinceri non sono moltissimi, sembra non si parli d’altro. In questi mesi si sono susseguite varie ed importanti conferenze, rilevanti fatti di cronaca, sentenze con possibili ripercussioni internazionali e processi di riforma nel tentativo di regolare una problematica tanto importante quanto complessa. Parliamo della cooperazione giudiziaria internazionale per l’accesso a dati elettronici nel contesto di indagini criminali, che in termini anglofoni è indicato con l’espressione cross-border data requests. Che cosa si intende? Cross-border data requests Oggigiorno è ampiamente risaputo che criminali e organizzazioni terroristiche scientemente utilizzino rete e strumenti Ict per raggiungere i loro scopi delinquenziali. Questo comporta che essi lascino tracce digitali più o meno evidenti delle loro azioni criminali su sistemi informatici e in Rete. La cosiddetta prova digitale, ovvero la prova di natura elettronica che può essere utilizzata a fini probatori durante un processo penale, sta quindi assumendo un’importanza crescente per perseguire tutti i tipi di crimini, non solo quelli informatici. Attualmente, si può affermare senza particolari rimorsi che il sistema di cooperazione internazionale giudiziaria riguardante lo scambio di prove digitali fra autorità nazionali competenti non sia adatto a garantire un’ efficace azione di persecuzione dei crimini che vengono commessi per mezzo di strumenti Ict e il web. Quali sono queste problematiche? Innanzitutto va considerata la natura senza confini di internet, che fa sì che un dato con possibile valore probatorio possa passare da uno stato all’altro nell’arco di pochissimi secondi ed essere conservato in server dislocati anche in continenti diversi. La conseguenza è che, per esempio, la vittima e l’indagato possono essere italiani, il crimine può essere stato “commesso” in Italia, ma la prova digitale si trovi nei server di Facebook negli Stati Uniti. In tale situazione, per poter ottenere la prova digitale del reato in questione, le autorità italiane devono fare richiesta alle autorità statunitensi attraverso lo strumento della rogatoria internazionale. È cosa nota che queste rogatorie siano, e non solo fra Italia e Usa, lente e complesse. Per superare questo scoglio, spesso le autorità nazionali hanno richiesto l’invio di queste prove digitali direttamente ai fornitori di servizi internet come Facebook e Google. Il problema è che questi fornitori, pur offrendo i loro servizi ovunque proprio per la natura senza confini di internet, solitamente devono seguire la legge del Paese dove si trova la loro sede legale, che spesso e volentieri è diverso da quello delle autorità richiedenti la prova digitale. Ne consegue che non sempre sono nelle condizioni per poter soddisfare le esigenze investigative delle varie autorità nazionali senza infrangere la legge del Paese dove hanno la propria sede. A giugno di quest’anno il Consiglio dell’Unione europea (Ue) ha chiesto alla Commissione di proporre delle soluzioni comuni da adottare per risolvere questo caos. Un recente rapporto dell’Istituto Affari Internazionali, discusso a Bruxelles in una conferenza organizzata in collaborazione con il Ceps, si è posto come obiettivo di fornire delle soluzioni concrete a queste problematiche. La giurisdizione nello spazio cibernetico Il rapporto ha messo al primo posto la questione della determinazione e dell’imposizione della giurisdizione nello spazio cibernetico. Secondo gli autori, si dovrebbe passare dall’attuale approccio basato sull’oggetto - è il luogo dove si colloca la prova digitale che determina quale autorità nazionale abbia la legittimità di chiedere al fornitore di servizi di fornire tale prova - ad uno basata sul soggetto - è l’autorità nazionale del Paese di residenza abituale della persona di cui si richiedono i dati, sia essa la vittima o l’indagato, che ha la legittimità di chiedere al fornitore di servizi la prova digitale necessaria per mandare avanti le indagini. In primo luogo, questo cambiamento permetterebbe che, in casi come quelli descritti sopra, non siano le autorità nazionali di Paesi che hanno poco a che fare con le indagini a dover determinare la disponibilità o meno della prova digitale. In secondo luogo, che Paesi terzi non possano accedere maniera indiscriminata ai dati di cittadini a cui non avrebbero accesso nel mondo fisico, come si teme dopo le rilevazioni fatte da Edward Snowden. Prova digitale e fornitori di servizi, alla ricerca di definizioni comuni In secondo luogo, il rapporto sostiene l’adozione di definizioni comuni e condivise di “prova digitale”, “fornitori di servizi”, che dovrebbe includere anche i cosiddetti fornitori Over-The-Top come Facebook, Youtube e Instagram, e “offrire i propri servizi in Europa”, di modo da creare la base legale secondo la quale questi fornitori dovrebbero rispettare le richieste di invio di dati provenienti dalle autorità nazionali competenti. Queste novità potrebbero essere attuate abbastanza agevolmente nell’Unione europea attraverso un processo legislativo comune. Tuttavia, è necessario che anche negli Stati Uniti, che sono lo stato sotto la cui giurisdizione si trovano i fornitori di servizi che hanno il controllo della maggior parte dei dati in questione, si debba insistere per promuovere certi cambiamenti legislativi. In particolare, come dimostrato da recenti iniziative quali l’International Communications Privacy Act (ICPA), anche oltre oceano sembra ci siano le condizioni per apportare delle modifiche ai principi imposti dall’Electronic Communications Privacy Act (ECPA), e permettere così ai fornitori di servizi la trasmissione di dati alle autorità nazionali europee nel contesto di indagini criminali. Dal rapporto intermedio della Commissione, che dovrà presentare i suoi risultati finali entro giugno 2017, si evince che siano molte le possibilità al vaglio delle autorità europee. Al di là delle soluzioni che verranno adottate, è importante che il processo decisionale continui a coinvolgere un ampio gruppo di attori rilevanti che, una volta stabilite le nuove regole, sia disponibile a lavorare congiuntamente con l’obiettivo di garantire la privacy e la sicurezza online dei cittadini, senza gli strilli e gli schiamazzi che hanno finora caratterizzato il dibattito in materia. Tommaso De Zan è Assistente alla ricerca presso l'Area Sicurezza e Difesa dello IAI (Twitter @tdezan21).