Estradizione reati informatici, cybercrime e hacker: la difesa

L'estradizione per reati informatici riguarda chi è accusato all'estero di intrusioni in sistemi digitali, frodi online, diffusione di malware o attacchi a infrastrutture. Il procedimento si svolge davanti alla Corte d'Appello italiana, che verifica le condizioni di legge e non giudica la colpevolezza. L'avvocato lavora sulla documentazione estera, sulla prova digitale e sui limiti posti dai diritti fondamentali.

Che cosa significa estradizione per reati informatici?

L'estradizione per reati informatici è la procedura con cui uno Stato chiede a un altro la consegna di una persona accusata di condotte commesse con strumenti digitali o contro sistemi digitali. In Italia è regolata dagli artt. 697 e seguenti c.p.p. e, per gli Stati UE, dalla legge 22 aprile 2005 n. 69 sul mandato d'arresto europeo.

La procedura non ha nulla di informatico nella forma: si svolge con atti cartacei, traduzioni, udienze e provvedimenti della Corte d'Appello. La specificità sta nel contenuto della richiesta. Lo Stato estero descrive un'attività che si è svolta in rete, spesso attraverso più Paesi, e deve collegarla a una persona determinata. È qui che la difesa trova spazio, perché l'identificazione di chi sta dietro un indirizzo IP, un account o un wallet è un passaggio tecnico che non si può dare per scontato.

Quali reati informatici possono fondare una richiesta di estradizione?

Possono fondare una richiesta tutte le condotte che sono punite anche dalla legge italiana con una pena sufficientemente grave. Per l'estradizione passiva vale il principio della doppia incriminazione, che si applica al fatto nella sua descrizione concreta e non al nome del reato.

Le ipotesi più frequenti hanno un corrispondente nel codice penale italiano:

• accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.);
• detenzione e diffusione abusiva di codici di accesso (art. 615-quater c.p.);
• intercettazione illecita di comunicazioni informatiche (art. 617-quater c.p.);
• danneggiamento di informazioni, dati e programmi (art. 635-bis c.p.) e di sistemi informatici (art. 635-quater c.p.);
• frode informatica (art. 640-ter c.p.).

Per approfondire il requisito si legga la pagina sulla doppia incriminazione nell'estradizione. Quando la condotta consiste in truffe commesse online, la qualificazione si sovrappone a quella delle truffe internazionali, con regole probatorie in parte simili.

Estradizione per cybercrime e hacker: che cosa cambia per chi è accusato?

Chi è accusato di cybercrime ha gli stessi diritti di ogni altra persona sottoposta a procedura di estradizione, ma la qualifica di hacker espone a richieste di misure cautelari più rigide. Le autorità estere tendono a rappresentare il pericolo di reiterazione e di fuga come elevato, e la difesa deve confutarlo con elementi concreti.

Un primo punto è la qualificazione. Lo Stato richiedente può usare etichette molto ampie, come «cyber-terrorismo», «sabotaggio» o «spionaggio industriale», che il diritto italiano non conosce in quella forma. La Corte d'Appello deve ricondurre il fatto a una fattispecie italiana e non è vincolata dalla denominazione straniera. Un secondo punto riguarda l'attività di chi svolge ricerca di sicurezza, test di vulnerabilità o consulenza: la condotta può apparire illecita in un ordinamento e lecita, o esimente, in un altro. La difesa documenta il contesto, i contratti, le autorizzazioni e le comunicazioni con i committenti.

Un terzo punto è la pluralità di Stati interessati. Un attacco che colpisce vittime in più Paesi può generare più richieste concorrenti. Se arrivano più domande per fatti diversi o per lo stesso fatto, l'art. 710 c.p.p. disciplina la preferenza tra le richieste, tenendo conto della gravità dei reati e della data delle domande.

Come si svolge il procedimento davanti alla Corte d'Appello?

Il procedimento comincia con l'arresto o con la notifica della richiesta e prosegue con l'udienza davanti alla Corte d'Appello nel cui distretto la persona si trova. La Corte decide con sentenza sulla sussistenza delle condizioni; poi, per gli Stati terzi, interviene il Ministro della Giustizia con la decisione politico-amministrativa.

Nell'estradizione verso Stati terzi, la persona arrestata viene sentita dal presidente della Corte d'Appello entro i termini di legge e viene fissata un'udienza in camera di consiglio. La difesa deposita memorie, produce documenti e può chiedere la sostituzione della misura cautelare. La sentenza è impugnabile con ricorso per cassazione, art. 706 c.p.p. Su questa fase si può consultare la guida all'udienza davanti alla Corte d'Appello.

Nel mandato d'arresto europeo, invece, la decisione spetta alla sola Corte d'Appello e non c'è il passaggio ministeriale. Per la criminalità informatica, che rientra tra le categorie dell'elenco europeo, il controllo della doppia incriminazione non è richiesto. Restano però attivi i motivi di rifiuto previsti dalla legge italiana, tra cui la violazione dei diritti fondamentali. Il quadro è illustrato nella pagina sul mandato d'arresto europeo.

Quali strumenti internazionali si applicano?

Gli strumenti dipendono dallo Stato richiedente. La Convenzione di Budapest sulla criminalità informatica del Consiglio d'Europa contiene una disposizione sull'estradizione e la considera possibile tra le Parti per i reati che essa disciplina, purché puniti con una pena minima nei due ordinamenti. Per gli altri Stati si guarda al trattato bilaterale, se vigente, o alla convenzione multilaterale.

Tabella – Strumenti applicabili alle richieste per reati informatici

Stato richiedente	Strumento di riferimento	Autorità che decide	Aspetto da verificare
Stato membro UE	Mandato d'arresto europeo (l. 69/2005, decisione quadro 2002/584/GAI)	Corte d'Appello	Motivi di rifiuto e condizioni detentive
Stato parte della Convenzione europea di estradizione (Parigi, 1957)	Convenzione e artt. 697 ss. c.p.p.	Corte d'Appello e Ministro della Giustizia	Doppia incriminazione, specialità
Stati Uniti	Trattato Italia-Stati Uniti del 13 ottobre 1983	Corte d'Appello e Ministro della Giustizia	Pene richieste, garanzie sul trattamento
Altri Stati terzi	Trattato bilaterale se vigente, altrimenti cortesia internazionale	Corte d'Appello e Ministro della Giustizia	Reciprocità, rischio per i diritti fondamentali

Lo studio verifica lo strumento effettivamente applicabile al singolo caso e controlla che la richiesta rispetti le condizioni che esso pone.

Come si contesta la prova digitale nella procedura di estradizione?

La prova digitale si contesta dimostrando che gli atti dello Stato richiedente non raggiungono il livello di gravità indiziaria richiesto, o che l'attribuzione a una persona determinata è incerta. Nell'estradizione per scopi processuali la Corte d'Appello verifica gli indizi sulla base degli atti allegati, senza istruttoria sul merito.

Gli argomenti ricorrenti sono quattro. Il primo è l'attribuzione: un indirizzo IP identifica una connessione e non una persona, e le reti condivise, i proxy e le VPN rendono incerto il collegamento. Il secondo è l'integrità: copie forensi senza hash verificabile, catene di custodia incomplete o dispositivi analizzati senza garanzie rendono fragile il dato. Il terzo è la legalità dell'acquisizione, per esempio quando i dati provengono da perquisizioni a distanza o da intercettazioni di cui non è chiara la base giuridica. Il quarto è la lingua e la traduzione: i log tecnici tradotti male possono alterare il senso degli atti. In questi casi si rivela utile una perizia difensiva estera sul materiale informatico.

Quali limiti di legge possono impedire la consegna?

Possono impedire la consegna il difetto di doppia incriminazione, la prescrizione, il rischio di trattamenti inumani o degradanti, la mancanza di un processo equo e le violazioni dei diritti fondamentali previste dall'art. 698 c.p.p. Contano anche il principio di specialità e il divieto di consegna per fatti diversi da quelli indicati.

Nei reati informatici assume rilievo la proporzionalità della pena. Alcuni ordinamenti prevedono per le intrusioni in sistemi sensibili pene molto lunghe, anche cumulative per ogni singolo accesso. Quando la sanzione attesa è manifestamente sproporzionata, o comporta ergastolo senza prospettiva di liberazione, si possono chiedere garanzie allo Stato richiedente. La giurisprudenza della Corte EDU, a partire da Soering c. Regno Unito e da Vinter c. Regno Unito, offre i parametri per queste verifiche. Sul punto può essere utile la pagina sulle pene sproporzionate nell'estradizione.

Un ulteriore profilo riguarda le condizioni di detenzione. Per la consegna a Stati dell'Unione, la Corte di giustizia UE con Aranyosi e Căldăraru ha richiesto una verifica in due fasi: prima si accerta il rischio generale, poi quello individuale per la persona richiesta.

Cosa fare subito se si riceve una richiesta o si viene arrestati

I primi giorni determinano gran parte della strategia. Si tratta di raccogliere gli atti, evitare dichiarazioni affrettate e verificare le segnalazioni attive.

1. Chiamare subito un difensore di fiducia e chiedere di essere assistiti in ogni atto.
2. Non rilasciare dichiarazioni sul merito prima di avere letto la richiesta e la documentazione allegata.
3. Non cancellare né modificare dispositivi, account, wallet o archivi: la distruzione di dati può essere letta come ostacolo e aggravare la misura cautelare.
4. Ottenere copia di mandato, richiesta di estradizione, descrizione dei fatti e traduzione in italiano.
5. Verificare l'esistenza di segnalazioni Interpol o SIS, anche con una richiesta di accesso ai dati.
6. Raccogliere elementi sul radicamento in Italia: residenza, lavoro, famiglia, contratti.
7. Individuare documenti che dimostrino l'estraneità o il diverso ruolo dell'accusato nell'attività contestata.
8. Informare l'autorità consolare se la persona è straniera, ai sensi dell'art. 36 della Convenzione di Vienna del 1963.

Sulle segnalazioni internazionali si veda la pagina dedicata a Interpol e Red Notice.

Errori da evitare

Alcuni comportamenti, spesso dettati dal timore, peggiorano la posizione del richiesto e riducono gli spazi della difesa.

• Cancellare o formattare computer, telefoni, account o archivi cloud dopo la notizia di un'indagine.
• Contattare i presunti complici o le vittime per «chiarire» o risarcire senza assistenza legale.
• Lasciare il Paese di residenza per evitare l'arresto, che rafforza il giudizio sul pericolo di fuga.
• Fornire password o chiavi di cifratura alle autorità senza avere compreso quali conseguenze ha la consegna.
• Affidarsi a traduzioni non ufficiali degli atti esteri, che possono contenere errori sostanziali.
• Sottovalutare la fase amministrativa e rinunciare a memorie scritte alla Corte d'Appello.
• Accettare la consegna semplificata senza avere valutato i vantaggi e gli svantaggi per il processo estero.

Caso pratico (esempio illustrativo)

Situazione. Un cittadino italiano che lavora come sviluppatore viene fermato in aeroporto sulla base di un mandato emesso da uno Stato dell'Unione. L'accusa riguarda l'accesso abusivo a una piattaforma di pagamento e la sottrazione di credenziali di migliaia di utenti. Il mandato indica un indirizzo IP, ma non dice come sia stato collegato alla persona.

Strategia difensiva. La difesa chiede copia degli atti e verifica che il mandato contenga le informazioni previste dalla legge. Contesta l'attribuzione dell'indirizzo IP, producendo documenti sulla rete condivisa dell'epoca e sull'uso di servizi di rete privata. Chiede informazioni complementari all'autorità emittente e propone la sostituzione della custodia con una misura meno afflittiva, in base ai legami con l'Italia.

Esito possibile. La Corte d'Appello può consegnare la persona, rifiutare la consegna per un motivo previsto dalla legge oppure sospendere la decisione in attesa di informazioni. L'esito dipende dagli atti e non può essere promesso.

Leggi anche: Mandato d'arresto europeo con l'Estonia · Estradizione criptovalute e frodi

Quando contattare l'avvocato

Il momento giusto è l'arresto, la notifica di un mandato o la prima notizia di una segnalazione internazionale. Chi teme una richiesta può chiedere una verifica preventiva dell'esistenza di segnalazioni a proprio carico, prima di viaggiare.

L'Avv. Francesco Gargiulo si occupa di procedimenti di estradizione dalle sedi di Napoli, Roma e Milano ed è reperibile anche di notte e nei festivi per arresti in corso. Si può telefonare o scrivere su WhatsApp al numero +39 338 568 1354, indicando Stato richiedente, reato contestato e luogo di detenzione. Per le questioni più delicate è possibile fissare un colloquio riservato.