Atto Acquisito: garanteprivacy.it

Dati captati e perimetro delle intercettazioni giudiziarie

garanteprivacy.itItalia2026public

#investigation#document#giustizia#intercettazioni#privacy

Fonte di Approfondimento Investigativo Validata: garanteprivacy.it — Italia

Clausola di Trasparenza & Diritto di Cronaca

Dossier e analisi redatti dalla redazione di Unclessify a partire da atti pubblici, registri ufficiali e documentazione declassificata rilasciati da garanteprivacy.it. La contestualizzazione storico-giudiziaria, la sintesi analitica e il commento critico sono a cura di Unclessify nel rispetto dell'art. 21 della Costituzione (diritto di informazione) e della dottrina del Fair Use / Pubblico Interesse.

Consulta la Politica Editoriale e la Trasparenza delle Fonti →

Documentazione & Atti Ufficiali

Rilevanza e interesse pubblico del dossier

La circolazione non controllata di conversazioni private registrate nel corso di indagini penali rappresenta uno dei punti di maggiore attrito tra esigenze di accertamento dei reati e tutela dei diritti fondamentali. L’impatto della diffusione di dati riguardanti soggetti del tutto estranei alle contestazioni giudiziarie impone una ridefinizione rigorosa dei filtri procedurali e dei criteri di selezione delle prove.

L’evoluzione tecnologica degli strumenti di captazione, in particolare l’impiego di captatori informatici su dispositivi mobili, ha dilatato a dismisura la quantità di informazioni personali e sensibili raccolte negli archivi giudiziari. Definire confini precisi per la trascrizione, la pubblicazione e l’eventuale distruzione di tali risultanze costituisce una priorità democratica per la salvaguardia dello Stato di diritto.

Contesto normativo ed evoluzione dei sistemi di captazione

Il quadro normativo italiano sulle intercettazioni telefoniche e telematiche è stato oggetto di ripetuti interventi legislativi volti a bilanciare la segretezza istruttoria con il diritto di cronaca e la riservatezza individuale. Nel tempo, la prassi giudiziaria ha evidenziato come le comunicazioni di terzi non indagati finissero frequentemente trascritte e allegate ai fascicoli processuali, esponendole a fughe di notizie prima ancora del vaglio dibattimentale.

Un momento di svolta nell’impiego dei software spia è coinciso con le vicende legate all’uso di applicativi commerciali per finalità investigative, culminate nel caso Exodus del 2019. Tale episodio ha rivelato gravi vulnerabilità nelle modalità di conservazione e gestione dei flussi di dati da parte delle società fornitrici incaricate dalle procure ai sensi dell’articolo 348 del codice di procedura penale.

Successivamente, il legislatore è intervenuto con il decreto-legge 132 del 2021, convertito con modificazioni nella legge 178 del 2021, introducendo l’obbligo di indicare nel decreto autorizzativo le ragioni di indispensabilità del trojan. Tale disciplina ha imposto la determinazione preventiva di luoghi e tempi di attivazione del microfono per i delitti non affidati alle direzioni distrettuali antimafia o non rientranti tra le fattispecie più gravi contro la pubblica amministrazione.

Parallelamente, l’ordinamento europeo ha aggiornato i requisiti di trattamento dei dati giudiziari attraverso il Regolamento generale e la direttiva recepita nell’ordinamento interno con il decreto legislativo 51 del 2018. Questo quadro ha superato la nozione tradizionale di dati sensibili a favore di quella di categorie particolari di dati personali, evidenziando la necessità di armonizzare le formule linguistiche e i rimedi azionabili.

Attori e soggetti istituzionali coinvolti

Il panorama istituzionale e operativo coinvolto nella regolamentazione e gestione delle intercettazioni comprende molteplici organi dello Stato e soggetti tecnici specializzati:

Garante per la protezione dei dati personali: Autorità indipendente preposta alla vigilanza sul trattamento dei dati personali e alla formulazione di rilievi tecnici sugli schemi normativi che impattano sulle libertà individuali.
Ministero della Giustizia: Dicastero responsabile della definizione dei decreti ministeriali sui requisiti di sicurezza, efficacia e affidabilità dei programmi informatici captativi e della tenuta dell’archivio digitale.
Procura della Repubblica: Uffici inquirenti competenti per la direzione delle indagini, la richiesta di autorizzazione all’uso del trojan e il conferimento di incarichi a soggetti terzi per l’esecuzione tecnica.
Società fornitrici di software investigativo: Enti privati ausiliari di polizia giudiziaria ai sensi dell’articolo 348, comma 4, c.p.p., incaricati dello sviluppo, rilascio e gestione delle infrastrutture di captazione.

Analisi critica delle evidenze e nodi irrisolti

L’analisi tecnica delle riforme relative all’articolo 2 del disegno di legge evidenzia una stratificazione di interventi diretti a modificare l’articolo 114, l’articolo 268 e l’articolo 369 del codice di rito penale. Uno degli assi portanti è il divieto generale di pubblicazione del contenuto delle intercettazioni che non sia stato riprodotto dal giudice nella motivazione di un provvedimento o impiegato nel corso del dibattimento.

La protezione delle comunicazioni dei terzi e lo stralcio processuale

La revisione dell’articolo 268, comma 2-bis, c.p.p. stabilisce che i verbali di trascrizione non debbano includere espressioni lesive della reputazione o relative a categorie particolari di dati, estendendo il divieto ai dati riguardanti soggetti estranei alle parti del procedimento. Tuttavia, resta aperto il nodo della concreta valutazione della rilevanza investigativa di tali informazioni in sede di prima redazione da parte della polizia giudiziaria.

L’articolo 268, comma 6, c.p.p. viene modificato per includere nella procedura di stralcio, oltre alle registrazioni vietate dalla legge o relative a categorie particolari di dati prive di rilevanza, anche le conversazioni che riguardano soggetti diversi dalle parti.

Per assicurare coerenza all’intero impianto, l’archivio digitale delle intercettazioni previsto dall’articolo 89-bis delle disposizioni di attuazione del codice di procedura penale deve allinearsi perfettamente alle fattispecie soggette a stralcio. La mancata inclusione esplicita dei dati dei terzi nel testo dell’articolo 89-bis genererebbe un disallineamento tra il materiale processuale escluso e quello riversato nell’archivio informatico.

La distruzione degli atti e i rimedi del decreto legislativo 51 del 2018

Un ulteriore profilo critico riguarda la sorte dei dati archiviati una volta terminato il procedimento penale. L’applicazione di un modello analogo all’articolo 262 c.p.p. consentirebbe di disporre in sentenza la distruzione provvisoria dei verbali e dei supporti conservati nell’archivio digitale con identificativo RIT, con esecuzione subordinata al passaggio in giudicato della decisione ai sensi dell’articolo 269, comma 2, c.p.p.

Sotto il profilo dei rimedi esperibili, l’articolo 14 del decreto legislativo 51 del 2018 offre uno strumento incisivo riconoscendo a chiunque vi abbia interesse la facoltà di richiedere al giudice la rettifica, la cancellazione o la limitazione del trattamento dei propri dati. Questa tutela speciale, tuttavia, rischia di rimanere inefficace qualora il terzo non venga tempestivamente informato dell’esistenza di registrazioni che lo riguardano, apprendendone l’esistenza soltanto a seguito di fughe di notizie.

La memoria procedimentale richiama in tal senso le proposte storiche, come l’articolo 10 del disegno di legge AS 1512 della XV legislatura, volto a inserire l’articolo 268-sexies c.p.p. per notiziare i terzi della captazione prima della conclusione delle fasi di stralcio. Senza un raccordo operativo tra notifica preventiva e cancellazione, il diritto di rettifica perde la propria tempestività.

Garanzie di sicurezza informatica e catena di custodia dei malware

La regolamentazione dei captatori informatici richiede prescrizioni rigorose in merito alla conformità tecnologica. L’articolo 89, comma 4, delle disposizioni di attuazione c.p.p. pone il vincolo dei requisiti di affidabilità, sicurezza ed efficacia dei software impiegati, i quali devono rigorosamente operare entro i limiti dell’autorizzazione disposta dal giudice.

Resta tuttavia non disciplinata la sorte processuale degli elementi probatori acquisiti mediante applicativi che risultino privi dei requisiti di sicurezza fissati dal decreto ministeriale. L’assenza di un regime esplicito di inutilizzabilità per le captazioni eseguite con strumenti non certificati crea una zona d’ombra nella catena di custodia della prova informatica, indebolendo la tenuta dell’intero impianto accusatorio e la tutela dei diritti dei cittadini.

La riservatezza nell’informazione di garanzia

Il provvedimento interviene altresì sull’articolo 369 c.p.p., introducendo al comma 1-quater il principio per cui la notificazione dell’informazione di garanzia, anche ove effettuata a mani di soggetto terzo, debba avvenire garantendo la riservatezza del destinatario. Il raccordo espresso con l’articolo 114, comma 2, c.p.p. rafforza il divieto di divulgazione anticipata dell’atto investigativo, contrastando la strumentalizzazione mediatica della fase preliminare.

Trasparenza, fonti ufficiali e base giuridica

Le valutazioni analitiche contenute in questo documento traggono origine dall’esame degli atti ufficiali relativi all’iter di riforma del codice di procedura penale e delle disposizioni di attuazione. Il parere istituzionale formulato dall’Autorità Garante costituisce un atto pubblico volto a garantire l’armonizzazione della normativa interna con i principi di necessità, proporzionalità e protezione delle comunicazioni.

La documentazione è accessibile per finalità di verifica civica e trasparenza istituzionale attraverso l’archivio telematico ufficiale dell’Autorità: Parere su disegno di legge in materia di intercettazioni e informazione di garanzia (Docweb n. 9927390). I testi degli atti ufficiali dello Stato sono consultabili in regime di pubblico dominio ai sensi dell’articolo 5 della legge 22 aprile 1941, n. 633.

Su cosa si regge questo pezzo

Atto di partenza

garanteprivacy.it/home/docweb/-/docweb-display/docweb/992…

Il testo è stato verificato contro i fatti elencati, estratti dall'atto qui sopra. Non ha ancora una corroborazione da fonti indipendenti.

I 20 fatti verificati nel testo

Per quanto riguarda le competenze di questa Autorità rilevano, in maniera particolare, le disposizioni introdotte dall’articolo 2, in materia di intercettazioni e informazione di garanzia, di seguito esposte.
RILEVATO Le lettere da a) a d), n.1, ed e), n.2), del comma 1 dell’articolo 2, introducono una significativa riforma del regime di pubblicità del contenuto delle intercettazioni e alcune, rilevanti, modifiche sulla disciplina della loro trascrizione, volte a rafforzare le garanzie di riservatezza dei soggetti le cui conversazioni siano state oggetto di captazione e, in particolare, dei terzi.
In primo luogo la lettera a), nel novellare l’art. 114 c.p.p., introduce il divieto generale di pubblicazione, anche parziale, del contenuto delle intercettazioni che non sia riprodotto dal giudice nella motivazione di un provvedimento o utilizzato nel corso del dibattimento.
La lettera c), nel novellare il comma 2-bis dell’articolo 268 c.p.p. include nella categoria di espressioni che non devono essere riportate nei verbali di trascrizione (oltre a quelle lesive della reputazione delle persone o che riguardano dati personali “definiti sensibili dalla legge”, salvo che risultino rilevanti ai fini delle indagini), anche quelle che riguardano dati relativi a soggetti diversi dalle parti.
Sul punto, è opportuno rilevare, incidentalmente, che la qualifica di “sensibili” dei dati personali soggetti a maggiore tutela è stata modificata in quella, di cui all’articolo 9 del Regolamento, di dati appartenenti a “categorie particolari”, cui peraltro si riferisce, correttamente, il comma 6 del medesimo articolo 268, il cui testo andrebbe dunque, sotto questo profilo, uniformato.
Dell’articolo 268 è modificato anche il comma 6, per includere nella procedura di stralcio ivi prevista (oltre alle registrazioni e ai verbali di cui è vietata l'utilizzazione e di quelli che riguardano “categorie particolari” di dati personali, sempre che non ne venga dimostrata la rilevanza), anche quelli che riguardano soggetti diversi dalle parti.
Per altro verso, per quanto concerne la disciplina dell’informazione di garanzia, meritevole di apprezzamento è la previsione, introdotta al comma 1-quater dell’articolo 369 c.p.p., del vincolo di effettuazione della notificazione, anche mediante consegna a persona diversa dal destinatario, “in modo tale da garantire la riservatezza del destinatario”.
Si riconduce inoltre, espressamente, l’informazione di garanzia alla disciplina della pubblicità degli atti d’indagine di cui all’articolo 114, c.2, c.p.p. (art. 369, c. 1-quinquies, c.p.p., introdotto dalla lettera m), n.2, del comma 1 dell’articolo 2 del disegno di legge).
In tal senso, all’articolo 89-bis, c.2, primo periodo, disp. att. c.p.p., si potrebbero aggiungere, in fine, le seguenti parole: “o, comunque, dati personali relativi a soggetti diversi dalle parti”.
Tale modifica è necessaria per allineare il novero delle intercettazioni da includere nell’archivio digitale con quello relativo alle intercettazioni oggetto di stralcio (art. 268, c.6, c.p.p.).
In tal senso si potrebbe, in particolare, valutare di disporre in sentenza, sul modello dell’articolo 262 c.p.p., la distruzione provvisoria- da effettuarsi tuttavia solo dopo che la pronuncia sia divenuta inoppugnabile: art. 269, c.2, c.p.p. - dei verbali e delle registrazioni conservati nell’archivio digitale, con indicazione del numero RIT (registro intercettazioni telefoniche).
Per altro verso, al fine di garantire l’effettivo rispetto del divieto di circolazione endoprocessuale dei dati captati dei terzi che risultino irrilevanti, si potrebbero agevolare i presupposti di azionabilità della tutela speciale accordata, anche ai terzi e con forme innovative, dall’articolo 14 del d.lgs. 51 del 2018.
Tale norma legittima, infatti, “chiunque vi abbia interesse” (non, dunque, solo le parti processuali, al pari dell’articolo 269, c.2, c.p.p.) a richiedere al giudice, sussistendone i presupposti, la rettifica, cancellazione o la limitazione dei dati che lo riguardano, anche durante il procedimento penale.
Si tratta di una norma dalle notevoli potenzialità che, combinandosi con la procedura di distruzione di cui all’articolo 269, potrebbe contribuire a rafforzare sensibilmente le garanzie di riservatezza soprattutto dei terzi, le cui conversazioni siano state indirettamente captate.
Naturalmente, l’effettività della norma sarebbe rafforzata con un sistema analogo a quello previsto dall’art. 268-sexies c.p.p. - di cui l’art. 10 AS 1512, XV legislatura, prospettava l’introduzione- per evitare che il soggetto apprenda dell’esistenza, in atti processuali, di proprie conversazioni, direttamente dalla stampa, quando ormai l’intervento ablativo sarebbe tardivo.
In tal modo, tramite la connessione procedimentale tra il diritto di cui all’articolo 14 d.lgs. 51, l’istituto della distruzione di cui all’articolo 269 c.p.p. e i proposti limiti alla circolazione endoprocedimentale dei dati dei terzi, potrebbe essere accordata una tutela realmente effettiva alla riservatezza.
La necessità di tali garanzie sembra, peraltro, asseverata da alcune vicende (si pensi al caso Exodus del 2019), relative a particolari modalità di realizzazione delle captazioni mediante malware, da parte delle società incaricate ai sensi dell’articolo 348, comma quarto, c.p.p.
Si potrebbe esplicitare, in questo senso, il requisito, di cui all’articolo 89, c.4, disp. att. c.p.p., della “affidabilità, sicurezza ed efficacia” dei software utilizzabili a fini captativi (che devono appunto limitarsi alle sole operazioni autorizzate), garantendo così effettivamente la completezza della catena di custodia della prova informatica.
Sarà peraltro opportuno chiarire, all’articolo 89, c.2, disp. att. c.p.p., le conseguenze del ricorso a programmi informatici non conformi ai requisiti di sicurezza previsti con il d.M.
Certamente positiva è la previsione della necessità d’indicazione, nel decreto autorizzativo, delle ragioni di indispensabilità dell’utilizzo del trojan (introdotta dal d.l. 132 del 2021, convertito, con modificazioni, dalla legge n. 178 del 2021) e, per i delitti diversi da quelli di competenza delle Procure distrettuali o dai più gravi contro la p.a., dei luoghi e dei tempi di attivazione del microfono.

Clicca per cambiare tema: