Trojan di Stato estero

Il trojan di Stato estero, ossia il captatore informatico impiegato da un'autorità straniera, solleva nei procedimenti di estradizione una domanda precisa: i dati raccolti con uno strumento tanto invasivo possono essere usati contro una persona che si trova in Italia? La risposta dipende da due piani di legalità, quello dello Stato che ha agito e quello dei principi italiani.

Che cos'è il captatore informatico e come funziona?

Il captatore informatico è un software, noto come trojan, che viene installato su un dispositivo elettronico all'insaputa del titolare. Una volta attivo può intercettare comunicazioni, copiare dati, registrare le conversazioni con il microfono, scattare immagini, rilevare la posizione e sorvegliare le attività digitali.

Il carattere invasivo dello strumento è la ragione per cui l'ordinamento italiano lo ammette con cautele. La riforma introdotta dal d.lgs. 29 dicembre 2017 n. 216 ha disciplinato il captatore nelle intercettazioni tra presenti, con motivazione rafforzata e limiti legati ai luoghi e ai reati. Le regole straniere possono essere molto diverse, e proprio la differenza genera il contenzioso.

Perché si parla di «hacking di Stato»?

L'espressione indica l'accesso occulto a sistemi informatici da parte di autorità pubbliche, non solo l'intercettazione di comunicazioni ma anche la copia di dati, l'accesso a cloud, la perquisizione da remoto. È un modo di indagare che non lascia traccia fisica e coinvolge dispositivi che contengono gran parte della vita privata.

Le autorità di alcuni Stati dispongono di poteri ampi per questo tipo di attività, spesso con autorizzazioni più semplici. Quando i dati vengono poi trasmessi ad altri Stati, il problema è stabilire se l'atto originario fosse legittimo e se l'autorità ricevente possa farlo proprio. La difesa parte quindi dal documento che autorizza l'accesso, cioè dal provvedimento che ha disposto il captatore.

Come tutela la Costituzione il domicilio informatico?

L'art. 14 della Costituzione tutela il domicilio, l'art. 15 la libertà e la segretezza della corrispondenza e di ogni forma di comunicazione. Entrambi consentono limitazioni solo con atto motivato dell'autorità giudiziaria e con le garanzie stabilite dalla legge. Si discute da tempo come applicare questi principi allo spazio digitale.

Lo smartphone contiene messaggi, fotografie, dati sanitari, spostamenti e comunicazioni con il difensore. Accedervi equivale per molti aspetti a una perquisizione domiciliare congiunta a un'intercettazione. Per questo la difesa sostiene che l'inviolabilità del domicilio informatico debba valere come limite insuperabile anche per gli atti compiuti all'estero, quando i risultati sono utilizzati in Italia.

Tabella – Piani di tutela rispetto al captatore informatico

Piano	Fonte	Cosa tutela	Uso difensivo
Costituzionale	Artt. 14 e 15 Cost.	Domicilio e comunicazioni	Principi fondamentali dell'ordinamento
Processuale	Codice di procedura penale	Presupposti e limiti dell'intercettazione	Inutilizzabilità dell'atto
Europeo	Convenzione europea dei diritti dell'uomo	Vita privata e corrispondenza	Ricorso alla Corte EDU
Protezione dei dati	Normativa sulla privacy	Trattamento di dati personali	Segnalazione al Garante
Stato estero	Legge locale	Presupposti dell'atto all'estero	Verifica con difensore locale

Quando i dati captati sono inutilizzabili?

I dati captati sono inutilizzabili quando l'atto è stato compiuto senza autorizzazione, senza motivazione adeguata, oltre i limiti temporali o di oggetto, o quando ha invaso aree protette come le comunicazioni tra imputato e difensore. L'art. 191 del codice di procedura penale, che sanziona le prove acquisite in violazione di divieti di legge, è la base dell'eccezione.

Quando il captatore è stato usato da un'autorità estera, la difesa chiede i decreti che lo autorizzano e verifica se sono stati trasmessi con i dati. L'assenza di tali documenti impedisce di controllare la legalità, ed è un argomento autonomo di inutilizzabilità. Sul meccanismo generale si veda la pagina sull'inutilizzabilità degli atti OEI, applicabile per analogia agli atti trasmessi con altri strumenti.

Che cosa dicono i diritti fondamentali sull'uso dei dati captati?

La Corte EDU ha affermato in più occasioni che le misure di sorveglianza segreta richiedono una base legale chiara, controlli effettivi e garanzie contro gli abusi. Per i casi di estradizione, l'orientamento di Othman (Abu Qatada) c. Regno Unito ricorda che le prove ottenute con tortura non possono sostenere un processo equo, e che il rischio di un uso di tali prove nello Stato richiedente è rilevante.

Il tema si collega alla valutazione delle garanzie del processo nello Stato che chiede la consegna, descritta nella pagina sull'equo processo nello Stato richiedente. Se la prova decisiva proviene da una sorveglianza illegittima, la difesa può sostenere che la persona rischi un processo privo di garanzie.

Quali dati può acquisire un captatore e quali sono più delicati?

Il captatore può acquisire il contenuto delle comunicazioni, i metadati, i file memorizzati, la cronologia di navigazione, i contatti e la posizione. Non tutti questi dati hanno lo stesso regime: l'ascolto di una conversazione richiede garanzie diverse dalla copia di un archivio fotografico, e la legge italiana distingue l'intercettazione dalla perquisizione informatica.

Sono particolarmente delicati i dati che riguardano la salute, le opinioni, i rapporti con il difensore e i dati di terzi estranei. Le comunicazioni con il difensore godono di protezione speciale: la loro captazione, anche involontaria, può portare all'inutilizzabilità e comporta il dovere di non utilizzarle. Se i dati trasmessi dall'estero comprendono queste comunicazioni, la difesa lo segnala subito e ne chiede lo stralcio.

Un ulteriore profilo è la durata. Un captatore lasciato attivo oltre il termine autorizzato produce dati inutilizzabili per la parte eccedente. La verifica delle date nel decreto, nei verbali e nei file trasmessi è quindi un controllo di routine che la difesa compie su ogni fascicolo con captazioni.

Cosa fare subito se si sospetta di essere stati intercettati con un trojan?

L'obiettivo nelle prime ore è conservare la prova dell'eventuale intrusione senza alterarla. I passi consigliati sono questi.

1. Non cancellare messaggi, applicazioni o dati dal dispositivo.
2. Non reinstallare il sistema operativo né cambiare telefono senza aver consultato il difensore.
3. Annotare comportamenti anomali: surriscaldamento, batteria, attività del microfono.
4. Informare il difensore e chiedere l'accesso agli atti sui decreti di autorizzazione.
5. Valutare una consulenza tecnica informatica per verificare la presenza del captatore.
6. Evitare di comunicare con il difensore da dispositivi sospetti, preferendo canali diversi.
7. Preparare l'eccezione di inutilizzabilità e valutare eventuali segnalazioni a organismi di tutela.

Quali errori evitare?

• Distruggere o formattare i dispositivi, perché si perde la prova tecnica.
• Parlare delle indagini per telefono o per messaggio con familiari e coindagati.
• Presumere che l'atto estero sia valido solo perché proviene da un Paese europeo.
• Non chiedere i decreti autorizzativi, limitandosi a contestare le trascrizioni.
• Dimenticare di verificare se sono state captate comunicazioni con il difensore.
• Confondere la contestazione dell'atto con la difesa sul merito dei fatti.

Caso pratico (esempio illustrativo)

Situazione. Un cittadino italiano è arrestato in Italia per un mandato d'arresto europeo. Dagli atti emerge che la prova principale è costituita da conversazioni captate con un software installato sul suo telefono da un'autorità di un altro Stato. Non sono allegati i provvedimenti che hanno autorizzato il captatore.

Strategia difensiva. Il difensore chiede alla Corte d'Appello e allo Stato emittente la documentazione di autorizzazione, nomina un consulente informatico per l'analisi del dispositivo, eccepisce l'inutilizzabilità delle captazioni e sottolinea la violazione dell'inviolabilità del domicilio digitale e della segretezza delle comunicazioni.

Esito possibile. La Corte d'Appello può considerare insufficiente il quadro probatorio, chiedere informazioni complementari oppure ritenere i requisiti della consegna comunque soddisfatti. Non è possibile prevedere l'esito.

Leggi anche: Violazione del segreto difensivo nell'estradizione

Quando contattare l'avvocato

Il sospetto di un captatore va affrontato subito, perché la prova tecnica può perdersi con l'uso quotidiano del dispositivo. L'Avv. Francesco Gargiulo assiste in procedimenti di estradizione e mandato d'arresto europeo dagli studi di Napoli, Roma e Milano. Telefono e WhatsApp +39 338 568 1354, con reperibilità notturna e nei giorni festivi per arresti ed estradizioni in corso. Per un quadro generale delle prove illegittime si veda anche la pagina sulle prove illegittime in estradizione.