Messaggistica criptata Sky-Ecc acquisita via OIE: utilizzabili le trascrizioni documentali (Cass. pen. Sez. V n. 2137 del 17.01.2025)

Principi di diritto (Massima)
Il trasferimento, all’esito di un ordine europeo di indagine, del contenuto di comunicazioni effettuate mediante piattaforme criptate non integra di per sé una intercettazione. Quando l’autorità estera abbia acquisito il dato mediante copia forense del server del provider e successiva decrittazione, si è in presenza di documenti contenenti la trascrizione di comunicazioni già avvenute, acquisibili e valutabili ai sensi dell’art. 238 cod. proc. pen. e non dell’art. 270 cod. proc. pen. L’autorità giurisdizionale dello Stato di emissione dell’OIE deve verificare il rispetto dei diritti fondamentali, del diritto di difesa e della garanzia di un equo processo. Il controllo difensivo può essere differito ed ex post, senza che l’accesso all’algoritmo di decrittazione sia condizione di utilizzabilità, salva l’allegazione di concreti elementi di segno contrario.

Il Fatto

Il ricorrente era sottoposto a custodia cautelare in carcere per un tentato omicidio aggravato ex art. 416-bis.1 cod. pen. e per la detenzione e il porto illegali dell’arma utilizzata. Il Tribunale del riesame di Bari aveva respinto il gravame. La Prima Sezione della Cassazione aveva annullato quel provvedimento, rilevando che il Collegio non aveva accertato con quali modalità l’autorità giudiziaria francese avesse acquisito alcune conversazioni criptate conservate su un server e trasmesse in esecuzione di un OIE.

Investito nuovamente del riesame, il Tribunale di Bari ha confermato la misura, qualificando il dato come documentale. Il ricorrente ha impugnato per cassazione, deducendo motivazione carente o apparente, violazione di norme processuali a pena di inutilizzabilità e il mancato accertamento delle modalità acquisitive iniziali.

La Motivazione della Corte

La Corte ricostruisce il contrasto interpretativo sulla messaggistica criptata. Un primo orientamento riconduceva le chat a dati informativi di natura sostanzialmente documentale, acquisibili ex art. 234-bis cod. proc. pen.; un secondo distingueva la fase statica da quella dinamica delle comunicazioni, applicando nel secondo caso la disciplina delle intercettazioni. Il contrasto è stato composto dalle Sezioni Unite n. 23755 e n. 23756 del 29.02.2024, secondo cui regole e garanzie variano in base alle modalità di acquisizione estera: intercettazione in procedimento separato ove vi sia captazione in tempo reale, con applicazione dell’art. 270 cod. proc. pen.; documenti acquisibili ex art. 238 cod. proc. pen. ove si tratti di trascrizioni di comunicazioni già avvenute e conservate.

Nel caso concreto, l’autorità francese ha riferito di avere dapprima intercettato in tempo reale il flusso su tre server, ottenendo dati grezzi e chiavi di decrittazione, e di avere poi sequestrato i server, eseguito la copia forense e decrittato integralmente il contenuto, creando un data-set di conversazioni in chiaro. Da lì la polizia giudiziaria ha estratto i dati richiesti tramite l’OIE. L’acquisizione, conclude la Corte, segue lo schema del sequestro di corrispondenza.

La Corte ritiene che il Tribunale abbia adempiuto all’onere imposto dalla pronuncia rescindente, qualificando il materiale come documenti ex art. 238 cod. proc. pen., senza lesione dei diritti di difesa. Il segreto di Stato opposto dalle autorità francesi sulle procedure tecniche di decrittazione non integra alcun vulnus: secondo le Sezioni Unite, l’impossibilità di accedere all’algoritmo di cifratura non viola i diritti fondamentali, salvo allegazione di concreti elementi di segno contrario, poiché una chiave errata non consente di decrittare il messaggio.

Quanto alla necessità di un’autorizzazione del giudice italiano, la Corte la esclude. L’OIE del pubblico ministero per ottenere comunicazioni già acquisite e decrittate dall’autorità estera non richiede l’autorizzazione ex art. 6 direttiva 2014/41/UE, né si applica la disciplina dell’art. 132 d.lgs. n. 196/2003, che riguarda le richieste ai fornitori e non quelle ad altra autorità giudiziaria già detentrice dei dati. Il ricorso, che ripropone doglianze generiche, è infondato e viene rigettato, con condanna alle spese processuali.