39 minute read
Internet of Things e veicoli autonomi: le questioni aperte
Maria Cristina Gaeta
1. La connessione delle Smart Things
Advertisement
1.1. Dall’Internet of Things all’Internet of Everything
Con l’espressione “Internet of Things” si intende l’estensione di Internet anche al mondo degli oggetti. In particolare si tratta di un’evoluzione della rete Internet grazie alla quale gli oggetti interagiscono tra loro attraverso sensori e senza l’intervento umano, scambiandosi dati e accedendo a informazioni presenti nelle banche dati1 .
In seguito allo sviluppo dell’IoT, il nostro modo di vivere sta cambiando radicalmente. Attualmente sono così numerosi gli oggetti connessi che si è passati dal concetto di “Internet of Things” a quello di “Internet of Everything”. Inoltre, le interconnessioni aumenteranno ulteriormente e si prevede che entro il 2020 più di venti miliardi di oggetti saranno connessi tra loro2. Le smart things comportano
1 R.H. Weber, Internet of Things – New Security and Privacy Challenges, in Computer Law & Security Report, 2010, 23 ss.
2 Stime Gartner, Focus on Startups and Small Vendors as Drivers for IoT Innovation, in www.gartner.com, 2015. Inoltre, il McKinsey&Company ha evidenziato che entro il 2030 vi sarà un forte sviluppo dell’attuale realtà sociale che sarà fondato su tre modelli di mobilità urbana avanzata (clean and shared mobility, private autonomy and seamless mobility), applicabili in maniera diversa a seconda della città di riferimento, in quanto i contesti locali sono i più disparati. Infatti, in ogni città vi sono diversi livelli di trafico stradale e, conseguentemente, diversi livelli di inquinamento ambientale, differenti condizioni atmosferiche, particolari connotazioni dei luoghi e, inine, la forza degli organi esecutivi locali varia di territorio in territorio. In termini generali, la mobilità – con particolare riguar-
Nodi virtuali, legami informali: Internet alla ricerca di regole diversi vantaggi, sia a livello individuale (si pensi alla domotica e, in particolare, alla smart-home) che a livello collettivo (come nel caso delle smart-city e, in particolare, delle smart-grid). do all’autonomia e all’elettriicazione – sarà combinata con i sistemi integrati di energia, con i trasporti pubblici e con le infrastrutture. Notevoli saranno anche i vantaggi in termini di business. Per un maggiore approfondimento si veda
Tra le principali ragioni di sviluppo del IoT vi è il cloud computing, una modalità di memorizzazione di dati ricevuti su server remoti che sono gestiti da soggetti terzi. I server archiviano, elaborano e trasmettono ad altri oggetti intelligenti i dati ricevuti dall’utilizzo dei devices (come il grado di soddisfazione dell’utilizzatore del prodotto, ovvero la modalità e la quantità di utilizzazione del prodotto stesso).
Il cloud genera un lusso di dati personali che devono essere trattati nel rispetto della normativa privacy vigente3. Per tale motivo, la Commissione europea n. 2013/C174/04 aveva già istituito nel 2013 un gruppo di esperti dei contratti di cloud computing, al ine di deinire clausole contrattuali sicure ed eque4 .
E. Hannon, C. McKerracher, I. Orlandi, S. Ramkumar, An Integrated Perspective on the Future of Mobility, in www.mckinsey.it, 2016, 1 ss.
3 Il 4 maggio 2016 sono stati pubblicati sulla Gazzetta Uficiale dell’Unione Europea (GUUE) i testi normativi che costituiscono il c.d. pacchetto protezione dati: il Regolamento del Parlamento europeo e del Consiglio relativo alla protezione delle persone isiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, del 27 aprile 2016,n. 679; la Direttiva del Parlamento europeo e del Consiglio relativa alla protezione delle persone isiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a ini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, del 27 aprile 2016, n. 680; la Direttiva del Parlamento europeo e del Consiglio sull’uso dei dati del codice di prenotazione (PNR) a ini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, del 27 aprile 2016, n. 681, in www.eur-lex.europa.eu. Il Regolamento sarà applicabile in via diretta in tutti i Paesi membri dell’Unione europea a partire dal 25 maggio 2018, mentre le Direttive dovranno essere recepite dagli Stati membri entro entro 2 anni dal 5 maggio 2016.
4 Nel comunicato stampa della Commissione europea, Cloud computing: la Commissione europea avanza decisa, in www.europa.eu, 28 ottobre 2013, è stato sottolineato che l’obiettivo del gruppo di esperti di cloud computing è quello di individuare le prassi negoziali più adatte per rassicurare i consumatori e le piccole imprese – che molte volte non hanno iducia in questa tipologia di servizi – e
1.2. Internet of Things: le questioni aperte
L’IoT è senza dubbio la più importante innovazione della Information Technology (IT); tuttavia, oltre ai molteplici vantaggi, vi sono numerose questioni ancora aperte. Tra le principali vi è quella relativa ai nuovi proili di responsabilità conigurabili in caso di incidenti provocati dal malfunzionamento di smart things, come purtroppo avviene nelle ipotesi sempre più frequenti di incidenti stradali causati da veicoli autonomi5 .
Un’altra questione di estrema rilevanza è, come già accennato, quella relativa all’interconnessione degli oggetti intelligenti, la quale comporta – tramite il cloud computing – la raccolta, l’elaborazione e il trasferimento di dati personali6. Infatti, i produttori hanno già iniziato a raccogliere dati, non solo sulla performance dei propri prodotti, ma anche dati personali degli utenti, che ne sono spesso inconsapevoli. In tali casi appare naturale domandarsi se gli utenti non debbano ricevere un’adeguata informativa privacy per poi esprimere consapevolmente il consenso al trattamento dei dati personali e come ciò debba avvenire.
Sempre in tema di privacy si pongono, poi, problemi di proilazione degli utenti. I dati personali consentono di elaborare proili dettagliati degli utenti basati, tra l’altro, sui comportamenti, sulle abitudini, sulla salute, sull’età e sull’orientamento sessuale, politico o religioso degli stessi. In questo modo viene a crearsi un monitoraggio particolarmente invasivo della vita privata, che potrebbe condizionare la stessa libertà umana. Allo stesso tempo, però, la proilazione è molto importante per il mercato, in quanto grazie ad essa i produttori sarebbero in grado di individuare con precisione quali sono i prodotti maggiormente richiesti, in quali quantità e, inoltre, potrebbero migliorare gli stessi oggetti sfruttando i dati personali degli utenti. Pertanto, risulta necessario individuare il giusto bilanciamento tra anonimato e proilazione.
sviluppare la produttività economica in tutta Europa, creando un mercato unico per il cloud computing.
5 M.C. Gaeta, Automazione e responsabilità civile automobilistica, in Resp. civ. e prev., 2016, 5.
6 A. Wood, D.R. O’Brien, U. Gasser, Privacy and Open Data, in Networked Policy Series, in cyber.harvard.edu, 2016, 4.
Inine, un ulteriore problema legato all’Internet delle cose è quello della cybersecurity. In particolare, il 39% degli utenti intervistati sostiene che la sicurezza e la privacy siano i principali problemi legati all’IoT7. Il terrorismo e la criminalità costituiscono minacce sempre più gravi per le società a livello globale. Ad esempio, si potrebbe “hackerare” la rete di bordo di un veicolo completamente autonomo attaccando i dispositivi automatici di bordo per causare un incidente, oppure sarebbe possibile introdursi nei sistemi informatici di un’agenzia governativa e copiarne le informazioni in suo possesso.
Per le ragioni elencate e per le ulteriori questioni con le quali bisognerà confrontarsi nei prossimi anni, il Garante italiano per la protezione dei dati personali ha deciso di avviare una consultazione pubblica sul tema, al ine di deinire il fenomeno e introdurre nuove regole atte ad assicurare agli utenti la tutela dei dati personali e la massima trasparenza nell’utilizzo degli stessi8. Per lo stesso motivo il Global Privacy Enforcement Network (GPEN)9 l’11 aprile 2016 ha avviato il Privacy Sweep 2016 – un’indagine a carattere internazionale atta a veriicare il rispetto della privacy nell’Internet delle cose – rafforzando la cooperazione tra le Autorità privacy dei ventisei Paesi del mondo che hanno aderito all’iniziativa10. L’indagine si è conclusa il 22 settembre 2016
7 Stime del Business Insider, We Asked Executives About The Internet Of Things and Their Answers Reveal that Security Remains a Huge Concern, in uk.businessinsider.com, 30 gennaio 2015.
8 Comunicato stampa del Garante per la protezione dei dati personali, “Internet delle cose” sotto la lente delle Autorità garanti privacy, in www.garanteprivacy.it, 11 aprile 2016.
9 Nel 2007, il Consiglio dell’Organisation for Economic Co-operation and Development (OECD) ha adottato la Recommendation on Cross-border Cooperation in the Enforcement of Laws Protecting Privacy. La raccomandazione aveva imposto ai Paesi membri dell’OECD l’obbiettivo di creare un informal network di Autorità per la protezione dei dati personali, da cui è nato il Global Privacy Enforcement Network. Le Autorità garanti del GPEN devono cooperare nell’applicazione della legge sulla privacy, condividere le migliori strategie per affrontare le side transfrontaliere, lavorare congiuntamente per lo sviluppo di iniziative comuni e delle campagne di sensibilizzazione. Tale cooperazione deve avvenire nel rispetto delle disposizioni della raccomandazione e dei relativi ordinamenti giuridici.
10 Privacy Sweep 2016 analizza il funzionamento di dispositivi molto diversi fra loro: orologi che misurano il battito cardiaco e la pressione sanguigna, frigoriferi che segnalano la scadenza dei cibi riposti al loro interno, contatori che regolano
Internet of Things e veicoli autonomi: le questioni aperte con risultati preoccupanti. Infatti, più del 60% degli oggetti intelligenti connessi in rete non hanno superato l’esame del GPEN.11 automaticamente la temperatura, veicoli completamente autonomi che portano il conducente (o meglio il passeggero) direttamente a destinazione e così via. Cfr. Comunicato stampa del Garante per la protezione dei dati personali, “Internet delle cose” sotto la lente delle Autorità garanti privacy, cit.
Da ultimo appare necessario soffermarsi sulla scelta del metodo da seguire per la conduzione di una ricerca atta a risolvere le molteplici problematiche in qui individuate. Il metodo adottato è a carattere misto, dato che si avvale tanto del materiale tradizionale afferente all’area giuridica, quanto di analisi empiriche. Speciicamente, la ricerca è fortemente basata sullo studio della casistica e, in particolare, di casi pratici e simulazioni tecniche. Per la natura multidisciplinare della materia trattata è inoltre necessario che l’indagine scientiica sia supportata da esperti afferenti ad aree diverse da quella giuridica, come quella ingegneristica e quella della human-machine interface.
La ricerca ha carattere altamente sperimentale. Prende avvio dall’analisi dello stato dell’arte, con consapevolezza che la pervasività di Internet ha inciso sulla vita privata di ciascuno di noi, costantemente monitorato tramite la crescente quantità di tecnologie di identiicazione e tracciamento, sempre in rapido sviluppo.
11 Precisamente, il 59% delle smart things non offre adeguate informazioni su come siano raccolti, utilizzati e comunicati a terzi i dati personali degli utenti, il 68% non fornisce adeguate informazioni sulle modalità di conservazione dei dati stessi, il 72% non spiega agli utenti come cancellare i dati dal dispositivo e il 38% non garantisce agli utenti semplici chiarimenti in merito al rispetto della propria privacy. Migliori, invece, sono stati i risultati delle analisi condotte dal Garante italiano sul rispetto dei dati personali da parte di alcune delle principali aziende produttrici nel settore della domotica. Speciicamente è stato riscontrato che solo il 10% non fornisce agli utenti alcuna informazione su come i loro dati personali siano raccolti, utilizzati e comunicati a terzi. Per un maggiore approfondimento v. Comunicato stampa del Garante per la protezione dei dati personali, Privacy: “Internet delle cose”, utenti poco tutelati. I risultati dell’analisi internazionale svolta dalle Autorità garanti della privacy di 26 Paesi per il “Privacy Sweep 2016”, in www.garanteprivacy.it, 22 settembre 2016.
2. Autonomous and connected vehicles
2.1. Il panorama attuale
Nell’ambito dei veicoli autonomi la connessione è uno strumento essenziale per la comunicazione tra i veicoli e l’ambiente circostante. In particolare, sono conigurabili tre tipologie di comunicazione. La prima e più comune forma di comunicazione è quella che intercorre tra i veicoli (automatizzati) e le più disparate categorie di dispositivi12; si tratta della Vehicle to device communications (V2D). In secondo luogo, vi è la Vehicle to infrastructure communications (V2I), una tipologia di comunicazione più speciica che si instaura tra i veicoli e le infrastrutture come, ad esempio, i semafori stradali o gli strumenti di controllo della velocità (tutor e autovelox). Inine, la più soisticata tipologia di comunicazione è quella Vehicle to vehicle communications (V2V), in quanto presuppone che siano messi in circolazione veicoli completamente autonomi o, quantomeno, dotati di un elevato livello di automazione.
In tema di IoT, uno dei business in maggiore sviluppo è senza dubbio quello automobilistico. Infatti, entro il 2020 ci saranno circa 250 milioni di autoveicoli connessi in rete13 e il mercato automobilistico – che sarà fondato in prevalenza su sistemi di cloud computing – frutterà all’incirca 149 bilioni di dollari l’anno14. Prevedibilmente, entro tale data saranno ulteriormente sviluppate tutte le tipologie di connessione descritte, mentre intorno al 2025 si raggiungerà un livello di automazione tale che il conducente, durante lo svolgimento di funzioni di guida autonoma, non dovrà monitorare costantemente il veicolo, anche se dovrà essere in grado di riprenderne il controllo in ogni momento.
Conseguentemente allo sviluppo della guida autonoma e connessa, la mobilità si evolverà sempre più rapidamente con notevoli be-
12 Tra i più comuni vi sono gli smartphone, gli smart watch, i tablet e i personal computer, i quali possono essere connessi ai veicoli di ultima generazione tramite apposite applicazioni installabili su tali dispositivi.
13 Stime Gartner, Gartner Says By 2020, a Quarter Billion Connected Vehicles Will Enable New In-Vehicle Services and Automated Driving Capabilities, in www.gartner.com, 2015.
14 Stime Price Watherhouse Cooper, In the Fast Lane, the Bright Future of Connected Cars, in www.strategyand.pwc.com, 2014.
Internet of Things e veicoli autonomi: le questioni aperte neici. In special modo vi sarà il miglioramento delle condizioni del trafico stradale, la riduzione dell’inquinamento ambientale, lo sviluppo della sharing economy, la maggiore sicurezza dei trasporti15 e l’estensione della mobilità anche a favore di soggetti ai quali la guida è di regola preclusa – bambini, anziani e disabili – trasformando la mobilità in un vero e proprio servizio (mobility as a service).
2.2. I rischi delle auto connesse
In contrapposizione agli importanti vantaggi derivanti dallo sviluppo delle auto connesse in rete, sono conigurabili numerosi rischi che non vanno sottovalutati16. Alla luce dei recenti eventi17, il rischio che preoccupa maggiormente è quello della responsabilità automobilistica in caso di incidenti causati dal malfunzionamento di un autonomous vehicle, sia per problemi legati alla tecnologia meccanica che per problemi di connessione. In questi casi, la solu- zione preferibile è quella di considerare il veicolo come un prodotto, applicandone la relativa disciplina normativa, come già ampiamente affermato in altra sede18 .
15 Il Parlamento europeo ha approvato il Regolamento sull’e-call, dispositivo elettronico installato sul veicolo che fornisce un servizio pubblico gratuito in grado di effettuare automaticamente una chiamata di emergenza al 112 per allertare i servizi di soccorso in caso di incidente stradale. Il dispositivo e-call sembrerebbe tutelare la privacy degli utenti dato che i veicoli sono tracciabili solo in caso di incidente; inoltre la chiamata effettuata in caso di emergenza fornisce solo i dati necessari (come il tipo di veicolo, il combustibile utilizzato, il momento dell’incidente, la posizione esatta e il numero di passeggeri). Entro il 31 marzo 2018 dovranno essere installati i dispositivi e-call sui nuovi modelli di autoveicoli. Inoltre, il Parlamento europeo ha imposto alla Commissione l’obbligo di veriicare l’eventuale estensione di tali dispositivi ad altre categorie di veicoli (autobus, camion, pullman, ecc.), nei tre anni successivi al marzo 2018. Cfr. Regolamento del Parlamento Europeo e del Consiglio, relativo ai requisiti di omologazione per lo sviluppo del sistema e-call di bordo basato sul servizio 112 e che modiica la direttiva 2007/46/CE, del 29 aprile 2015, n. 758, in www.europarl.europa.eu.
16 Anche nella Declaration of Amsterdam, Cooperation in the ield of connected and automated driving, 14-15 aprile 2016, in english.eu2016.nl, è stata sancita la necessità di sviluppare e mantenere un programma comune con gli altri Stati europei interessati per sostenere gli obiettivi preissati e porre rimedio alle problematiche che derivano dallo sviluppo della guida autonoma e connessa. In tema di sicurezza si veda anche Federal Automated Vehicles Policy, U.S. Department of Transportation, settembre 2016, in www.transportation.gov.
17 Si fa riferimento ai due incidenti Tesla. Per un maggiore approfondimento sul caso Tesla model S si rimanda al post Road death puts the brakes on self-driving cars as laws are exposed, in www.lse.ac.uk, 2016.
In secondo luogo, appare particolarmente dificile la coesistenza di veicoli tradizionali con i veicoli autonomi, dato che il comportamento dei veicoli tradizionali – così come quello dei pedoni – è altamente imprevedibile e le self-driving cars non sono in grado di pronosticare ogni reazione possibile.
Da un punto di vista etico, poi, si teme che i veicoli autonomi possano essere programmati per effettuare una vera e propria scelta su chi salvare nell’ipotesi in cui sia inevitabile ferire o, peggio ancora, sacriicare qualcuno. Ad esempio, ci si chiede come dovrebbe agire l’autoveicolo che si trovi davanti alla scelta di salvare il conducente e la sua famiglia che sono a bordo del veicolo ovvero un gruppo di giovani studenti che stanno attraversando la strada19. Secondo alcuni bisognerebbe basarsi sul rispetto delle norme di legge in materia di circolazione stradale. Tuttavia ciò comporterebbe la programmazione di un robot dotato di poteri decisionali sulla vita delle persone in quanto, scegliendo chi salvare, inevitabilmente si sceglierebbe chi sacriicare. Pertanto, sembrerebbe preferibile la programmazione di un veicolo autonomo in modo tale che tenti di evitare la collisione in ogni modo possibile, senza però operare una scelta su chi salvare. La privacy è un altro aspetto di estrema rilevanza e attualità. Infatti, le auto sono sempre più connesse in rete e tale connessione genera il trasferimento di dati personali che permettono di comprendere le preferenze e le abitudini dei conducenti e degli eventuali passeggeri a bordo del veicolo. Non sempre tali soggetti sono opportunamente informati circa il trattamento dei propri dati personali e ciò comporta il mancato rispetto della normativa sulla privacy. Allo stesso tempo, però, recenti studi hanno evidenziato che gli utenti forniscono il con-
18 Per un maggiore approfondimento si rinvia a M.C. Gaeta, Automazione e responsabilità civile automobilistica, cit. In tal senso anche A. Bertolini, Robots as Products: The Case for a Realistic Analysis of Robotic Applications and Liability Rules, in Law, Innovation and Technology, 2013, 5, 2, 227 ss.
19 Il Massachusetts Institute of Technology ha ideato la Moral Machine, una piattaforma online in cui chiunque può esprimere le sue idee sul punto, soffermandosi sulle reazioni del veicolo autonomo in caso di situazioni estreme. Cfr.moralmachine.mit.edu senso al trattamento dei propri dati personali quasi sempre e senza prestare attenzione all’informativa privacy, dato che il consenso al trattamento è necessario per poter accedere a determinati servizi – ovvero a particolari funzioni degli stessi – dei quali altrimenti non potrebbero usufruire20. Quindi, la scelta preferibile risulta quella di fornire un’adeguata informativa sul trattamento dei dati personali, in modo che gli utenti sappiano esattamente cosa comporti il trattamento dei propri dati personali. In questo modo è prevedibile che, nella maggior parte dei casi, gli stessi scelgano ugualmente di fornire il consenso al trattamento ma – cosa molto importante – siano consapevoli della propria scelta. Allo stesso tempo, le aziende produttrici non potrebbero incorrere in responsabilità per illecito trattamento dei dati personali avendo informato l'utente nel rispetto della data protection.
Inine, i veicoli autonomi comportano sicuramente una maggiore sicurezza sotto molti punti di vista ma, al contempo, comportano anche forti rischi di manomissione dei dispositivi installati sui veicoli che – con lo sviluppo dell’automazione – aumentano esponenzialmente. Pertanto, appare essenziale adottare una tutela ex ante, fondata sull’adozione di tutte le precauzioni necessarie per evitare tali manomissioni, ad esempio tramite l’introduzione di appositi standard di sicurezza.
3. Gli obiettivi da raggiungere
L’IoT ha creato nuovi modelli di business i quali hanno modiicato il rapporto tra produttore e consumatore. Si è passati da un rapporto “istantaneo” tra produttore e consumatore a un rapporto “di durata” tra fornitore e consumatore. Il rapporto di durata si fonda sulla iducia del consumatore, il quale, dal canto suo, è il motore dell’IoT, dato che gli oggetti connessi raccolgono, elaborano e trasmettono i suoi dati personali. Da questo punto di vista, per tutelare gli utenti, devono essere previste nuove regole di responsabilità del produt-
20 La Fédération Internationale de l’Automobile ha promosso il progetto My car, My Data atto a informare e sensibilizzare i cittadini sul problema della tutela dei dati personali. In Italia l’iniziativa è sostenuta dall’Automobile club d’Italia. Cfr. www.aci.it
Nodi virtuali, legami informali: Internet alla ricerca di regole tore e del fornitore dei servizi ma, contemporaneamente, devono essere introdotte anche nuove cause di giustiicazione in modo che gli stessi produttori e fornitori siano incentivati a immettere sul mercato prodotti sempre più innovativi21. In effetti, lo sviluppo dell’Internet delle cose è fortemente legato agli obblighi normativi: il rischio per il produttore o il fornitore di incorrere in nuove forme di responsabilità derivanti dall’immissione sul mercato di prodotti o servizi tecnologici difettosi, comporterebbe il rallentamento del processo di produzione che, in alcuni casi, potrebbe paralizzarsi del tutto, impedendo lo sviluppo delle nuove tecnologie e la crescita economica delle aziende produttrici. È necessario, pertanto, sviluppare un’accurata analisi economica del diritto, basata sul rapporto costi-beneici e, in particolare, sul rapporto tra i rischi di incidenti provocati da smart things – con le conseguenti responsabilità – e i beneici dell’IoT.
Nel caso di prodotti e servizi considerati sicuri, invece, i rispettivi produttori e fornitori non potrebbero essere ritenuti responsabili. Per questo motivo risulta estremamente rilevante l’art. 3 della direttiva 2001/95/CE22 (art. 105 cod. cons.), che disciplina espressamente la fattispecie della presunzione di sicurezza del prodotto, stabilendo che un prodotto si presume sicuro nel caso in cui sia conforme alla normativa europea o, in mancanza, sia conforme alla normativa nazionale dello Stato membro in cui il prodotto è commercializzato; un prodotto è sicuro, inoltre, qualora rispetti le norme nazionali non cogenti che recepiscono la normativa europea. Inine, se la disciplina normativa europea o nazionale è assente, un prodotto viene deinito safe, tra l’altro, qualora rispetti il livello di sicurezza che i consumatori possono ragionevolmente aspettarsi (consumer expectations). Pertanto, qualora un prodotto sia al di sotto delle aspettative dei consumatori, appare conigurabile la responsabilità del produttore, dato che proprio quest'ultimo ha messo in commercio un prodotto non suficientemente sicuro.
21 Progetto di relazione del Parlamento Europeo recante raccomandazioni alla Commissione concernenti norme di diritto civile sulla robotica, 31 maggio 2016, in www.europarl.europa.eu
22 Direttiva del Parlamento europeo e del Consiglio relativa alla sicurezza generale dei prodotti, 3 dicembre 2001, n. 95, in www.eur-lex.europa.eu
In merito al fenomeno dell’Internet of Things, quale spazio in cui avviene lo scambio dei dati personali – con particolare attenzione alle problematiche in tema di privacy – appare necessaria l’elaborazione di un framework di regole giuridiche applicabile a livello internazionale, che disciplini le modalità attraverso le quali gli utenti debbano essere informati sul trattamento dei loro dati personali, nel caso speciico di uso di smart things. Tale regolamentazione, dovrà essere elaborata in vista del consenso al trattamento dei dati personali che gli stessi utenti devono necessariamente prestare per poter utilizzare il prodotto, tenendo presente il prevalente orientamento degli users a fornire il consenso quasi sempre23. In questo modo, da un lato si eviterà di incorrere nelle sanzioni previste dal nuovo Regolamento privacy 2016/679/UE sulla responsabilità del titolare del trattamento e del responsabile del trattamento dei dati personali e, dall’altro, si svilupperà il mercato unico digitale consentendo ai consumatori di beneiciare pienamente di una maggiore offerta di cloud computing.
Quanto alla questione della proilazione, è assolutamente necessario creare il giusto equilibrio tra proilazione e anonimato, con lo scopo di non impedire in via generale il trattamento dei dati ma di consentirlo in modo trasparente e solo se necessario24. È essenziale, pertanto, un approccio più selettivo, il quale eviti di catturare un’eccessiva quantità di dati che non si è neanche in grado di analizzare, limitandosi solo ai dati necessari per comprendere le esigenze
23 Si pensi banalmente ai servizi di ricerca e visualizzazione di mappe geograiche che forniscono indicazioni sulla strada da percorrere per raggiungere un determinato luogo i quali, per individuare più rapidamente il percorso migliore da seguire, hanno bisogno di geolocalizzare l’utente. Nella gran parte dei casi l’utente acconsente a comunicare la propria localizzazione al ine di poter godere di un servizio più rapido e preciso.
24 L’art. 3 del d.lgs. 196/2003 prevede il c.d. principio di necessità del trattamento dei dati, per il quale, i sistemi informativi – e prime tra tutti le Information and Communications Technology (ICT) – devono essere predisposti in modo da assicurare che i dati personali e i dati identiicativi siano trattati solo nei casi necessari, cioè quando per il raggiungimento delle inalità consentite non possano essere utilizzati dati anonimi o caratterizzati da una limitata identiicazione degli utenti. Il principio è stato ripreso nel nuovo Regolamento privacy che ha espressamente disciplinato la privacy by default
Nodi virtuali, legami informali: Internet alla ricerca di regole del mercato e far convergere quanto più possibile la domanda dei consumatori con l’offerta dei produttori. Inoltre, la necessità di proteggere la privacy richiede l’introduzione di nuove norme giuridiche che disciplinino le diverse forme di comunicazione tra gli utenti che spesso si trovano in Paesi diversi e, pertanto, sono assoggettati a leggi differenti25. A tal proposito è stato adottato il nuovo Privacy Shield26, in vigore dal 12 luglio 2016, che disciplina il trasferimento di dati personali a ini commerciali tra Europa e Stati Uniti d’America. Inine, relativamente alla cybersecurity, bisogna aumentare le tutele attualmente previste per gli utenti. Invero, in dalla fase di progettazione dei prodotti e dei servizi, gli operatori coinvolti nella produzione dovrebbero adottare soluzioni tecnologiche a garanzia, non solo della privacy, ma anche della sicurezza degli utenti per proteggerli dai cyber attacchi, conigurando le c.d. privacy by design e security by design27. Di conseguenza, appare opportuno prevedere, oltre alle regole ad hoc che disciplinino la privacy by default – stabilendo come impostazione predeinita di trattare solo i dati personali nella misura necessaria, per le inalità previste e per il periodo strettamente necessario a tali ini – anche la privacy by design e la security by design (quest’ultima ancora non espressamente riconosciuta dal Parlamento europeo), con particolare riguardo al limite dell’alternative design28 .
25 A proposito delle comunicazioni, in America è stato approvato l’International Communications Privacy Act, 25 maggio 2016, in www.hatch.senate.gov, che crea un quadro giuridico relativo alle facoltà delle forze dell’ordine di ottenere dati personali relativi alle comunicazioni elettroniche dei cittadini statunitensi, indipendentemente da dove si trovino o dal luogo in cui avvengano le loro comunicazioni. Inoltre, l’atto è applicabile anche ai cittadini stranieri ma solo (e fortunatamente!) in circostanze limitate e in linea con il diritto internazionale. Per un maggior approfondimento si vedano le Council conclusions on improving criminal justice in cyberspace, 9 giugno 2016, in www.consilium.europa.eu, che si soffermano sulla necessità di elaborare norme di legge sul cyberspace.
26 Decisione di esecuzione della Commissione europea, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy, del 12 luglio 2016, n. 1250, in www.eur-lex.europa.eu. Fin dalle rivelazioni del 2013 in materia di attività di sorveglianza, l’UE e gli USA hanno tentano di deinire un nuovo accordo per il trasferimento agli USA di dati personali inviati dall’UE per ini commerciali. Infatti, l’Unione europea è tenuta al rispetto dei trattati e della Carta dei diritti fondamentali dell’Unione europea, che ne proteggono tutti i cittadini e, di conseguenza, l’Unione europea deve adottare tutte le misure necessarie a garantire il rispetto della privacy in tutte le operazioni di trattamento dei dati, compresi i trasferimenti, soprattutto quelli transoceanici. Pertanto è stato concluso il Privacy Shield che segna un passo avanti nella tutela dei dati personali anche se l’accordo non pone rimedio a tutte le problematiche. In particolare non prevede in misura adeguata tutti i meccanismi di salvaguardia atti a tutelare i diritti dell’individuo. Per di più, l’autoregolamentazione appare una soluzione applicabile solo nel breve termine mentre, nel lungo termine, non sarebbe suficiente. Inine, il progetto di decisione è incentrato sull’attuale quadro normativo europeo, che sarà ben presto sostituito dal Regolamento privacy 2016/679/UE, applicabile dal 2018.
27 La privacy by design – così come la privacy by default – è espressamente prevista nel Regolamento privacy 2016/679/UE ed era già stata introdotta nella Proposta di Regolamento europeo del 25 gennaio 2012, concernente il c.d. pacchetto protezione dati, anche se non opportunamente disciplinata.
28 E. Al Mureden, Sicurezza "ragionevole" degli autoveicoli e responsabilità del produttore nell'ordinamento giuridico italiano e negli Stati Uniti, in Contratto e Impr, 2012, 1523 ss.
Quale statuto per i virus di Stato?
Rilessioni minime sulla compatibilità dei c.d. captatori informatici con i diritti fondamentali
Federico Ponte
1. Premessa sui captatori informatici e sulle
– innovative – potenzialità
Preliminarmente ad ogni trattazione in ordine al rapporto tra i captatori informatici e i diritti fondamentali è dirimente svolgere talune considerazioni volte ad inquadrare il fenomeno da un punto di vista tecnico per coglierne tanto le potenzialità quanto le peculiarità e, si anticipa, le ragioni che suggeriscono di sospettare della legittimità dell’attuale regime giuridico.
I captatori informatici, altrimenti detti trojan o virus di Stato, rappresentano un potente strumento in mano agli inquirenti per ottenere di elementi utili alle proprie indagini. Ciò emerge con chiarezza osservandone il funzionamento: essi altro non sono che un software che, all’insaputa dell’utente se non con la sua inconsapevole collaborazione, viene installato in un device target (potrà consistere tanto in pc portatile, smartphone e tablet quanto in wearable device) in uso al medesimo.
Ad installazione avvenuta, i predetti virus saranno in grado di prendere controllo – sempre all’insaputa della vittima dell’intrusione – del medesimo device, potenzialmente con i soli limiti tecnici a cui lo stesso è assoggettato. Conseguentemente sarà sia possibile fare copia dei dati contenuti nel medesimo sistema (si parla a tal proposito di online search) che monitorare il lusso che intercorre tra le periferiche e il microprocessore del dispositivo (online survelliance)1 .
Da ciò consegue che molteplici sono le operazioni che potranno compiersi, potendo prendere contezza non solo di quanto avviene all’interno del device, ma anche intorno ad esso: oltre a prendere cognizione di tutti i dati in esso contenuti (e di quelli a cui tramite di esso si può accedere, magari grazie alle password per i sistemi cloud ivi memorizzate), oltre a captare telefonate, videochiamate, sms e dati della navigazione in Internet, sarà possibile attivare il microfono e sentire quello che avviene nell’ambiente circostante, attivare la fotocamera e vedere ciò che accade intorno e, non meno importante, sarà possibile attivarne il GPS e sapere dove il soggetto si trova e in che direzione sta andando.
Ciò peraltro, com’è agevolmente intuibile, non è di per sé tecnicamente coninato a un luogo o a un tempo, ma può astrattamente dispiegarsi per tutta la durata delle indagini e seguire il soggetto che ha il device in uso in ogni sua situazione della vita, ovunque egli lo porti con sé.
Viste le potenzialità non stupisce che si sia acceso il dibattito in ordine all’opportunità di fornire un’adeguata copertura normativa a questi strumenti, essenziali per il perseguimento della ragione di Stato, ma che in assenza di una compiuta regolamentazione sembrano poter mettere a serio rischio le ragioni dei diritti fondamentali2 .
2. La recente giurisprudenza italiana in materia di captatori e le sue remote criticità
Questo attrito tra captatori informatici e diritti fondamentali emerge con chiarezza esaminando la giurisprudenza di legittimità che ino ad oggi si è trovata ad affrontare il tema con strumenti proces- suali che, congeniati per una realtà ben differente, applicati oggi iniscono per far pendere l’ago della bilancia più verso le ragioni degli inquirenti che verso quelle degli individui sottoposti ad indagini.
1 La dottrina ha a lungo osservato gli strumenti. Tra i più recenti si veda M. Torre, Il virus di Stato nel diritto vivente tra esigenze investigative e tutela dei diritti fondamentali, in Diritto penale e processuale, 2015, 1163 ss., A. Testaguzza, Digital forensics, Informatica giuridica e processo penale, Padova, CEDAM, 2014, 81 ss.
2 Di questo avviso diffusamente A. Gaito, S. Fùrfaro, Le nuove intercettazioni “ambulanti”: tra diritto dei cittadini alla riservatezza ed esigenze di sicurezza per la collettività, in Archivio penale, 2016, 2.
L’esame della realtà giurisprudenziale è d’altra parte essenziale dovendo prendere le mosse dall’assenza di una disciplina normativa ad hoc nel nostro ordinamento, di cui è riprova l’intenzione parlamentare di prevedere una loro puntuale disciplina: magari facendo rinvio a quella delle intercettazioni, oppure – e tra le due sembra potersi preferire – scomponendo i captatori in base alle loro singole funzioni e prevedendo una particolare disciplina per ognuna di esse3 .
Non è questa la sede opportuna per una rassegna della giurisprudenza in materia di captatori informatici, ma la menzione di taluni casi emblematici può aiutare a confermare l’affermazione fatta poco sopra. Ciò permetterà altresì di avvicinarsi al tema che si intende affrontare nello speciico e che sceglie, tra le molteplici applicazioni possibili dei captatori, quella della geolocalizzazione. Ai nostri ini interessa in particolar modo quel ilone giurisprudenziale che ha affrontato il problema delle intercettazioni tra presenti (altrimenti dette «ambientali») mediante virus informatico e, più nello speciico, se con riguardo alla criminalità organizzata (nozione invero giudicata assai ampia nel nostro ordinamento4) è necessaria l’espressa indicazione dei luoghi di privata dimora dove si svolgono le intercettazioni5 .
3 La prima proposta si deve all’On. Greco, a.C. 3470, Modiica all’articolo 266-bis del codice di procedura penale, in materia di intercettazione e di comunicazioni informatiche o telematiche, mentre il secondo approccio sembra quello adottato dall’On. Quintarelli, a.C. 3762 Modiiche al codice di procedura penale e alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, in materia di investigazioni e sequestri relativi a dati e comunicazioni contenuti in sistemi informatici o telematici. Più avanzato nell’iter legis è però l’a.S. 2067, attualmente al vaglio dell’Assemblea, recante (artt. 29 ss.) delega al Governo per il riordino della disciplina.
4 Si veda, proprio con riferimento alla sentenza Scurato di cui si dirà infra, M.T. Abbagnale, In tema di captatore informatico, in Archivio penale, 2016, 2, 9.
5 È appena il caso di ricordare che l’art. 13 del d.l. 13 maggio 1991 n. 152, conv. dalla l. 12 luglio 1991, n. 203 esclude, ai ini dell’ammissibilità delle intercettazioni di comunicazioni tra presenti in luoghi di privata dimora, il requisito del fondato motivo di ritenere che si stia svolgendo l’attività criminosa, quando si è in presenza di criminalità organizzata.
Un primo orientamento (caso Musumeci6) ha risposto positivamente, affermando con tenore quasi costituzionale che «le norme che prevedono la possibilità di intercettare comunicazioni tra presenti sono di stretta interpretazione, ragion per cui non può considerarsi giuridicamente corretto attribuire alla norma codicistica una portata applicativa così ampia da includere la possibilità di una captazione esperibile ovunque il soggetto si sposti.»
L’orientamento non ha tuttavia avuto fortuna in quanto solo un anno dopo niente di meno che le Sezioni Unite, nel caso Scurato7 , arrivano a sconfessarlo. Ritenendo che per le «cimici» l’indicazione del luogo fosse necessaria all’esclusivo ine di determinare concretamente le modalità tecniche attraverso cui espletare l’attività di intercettazione, per i captatori tale esigenza non si fa sentire. Si fa sentire, dice tra le maglie la Corte, solo laddove in luogo di criminalità organizzata si parli di reati «ordinari», giacché dovrà, a mente dell’art. 266 c. 2 c.p.p., mettersi in luce che nei luoghi di privata dimora vi sia fondato motivo di ritenere che vi si stia svolgendo l’attività criminosa.
A questa pronuncia ne ha subito fatto seguito un’altra che, recependo il principio di diritto enunciato, l’ha portato ad ulteriori conseguenze. È il caso Marino8 in cui si è fatto un passo avanti: oltre a lasciar intendere che una puntuale indicazione del device non è necessaria9, potendo essere suficiente il generico riferimento allo strumento in uso all’indagato, anche l’indagato stesso non è parso più di tanto necessario. Si sono infatti ammesse le intercettazioni anche quando questo era già stato arrestato, il device era rimasto in
6 Cass., sez. VI pen., sent. 26 maggio 2015, 27100.
7 Cass., SS.UU. pen., sent. 1 luglio 2016, 26889. I commenti, complessivamente piuttosto critici nei confronti della pronuncia, non si sono fatti attendere: si vedano A. Gaito, S. Fùrfaro, Le nuove intercettazioni “ambulanti”, cit.; A. Cisterna, Spazio ed intercettazioni, una liaison tormentata. Note ipogarantistiche a margine della sentenza Scurato delle Sezioni unite, in Archivio penale, 2016, 2; L. Filippi, L’ispe-perqui-intercettazione “itinerante”: le Sezioni unite azzeccano la diagnosi, ma sbagliano la terapia (a proposito del captatore informatico), ibid.; L. Picotti, Spunti di rilessione per il penalista dalla sentenza delle Sezioni unite relativa alle intercettazioni mediante captatore informatico, ibid possesso della sua compagna, e i successivi intercettati erano tutti non indagati.
8 Cass., sez. VI pen., sent. 4 luglio 2016, 27404.
9 Punto 2 del considerando in diritto.
Ecco dunque che, come ribadisce più volte la decisione sinteticamente esaminata, il decreto di autorizzazione deve trovare solo ed esclusivamente nel reato (di criminalità organizzata) la sua giustiicazione. Non rilevando più a questo punto luoghi, persone, speciicità del device. Le ragioni della ragione di Stato sembrano essere soddisfatte, con una piuttosto limitata attenzione per il bilanciamento10 .
Le decisioni ino ad ora esaminante non sembrano certo carenti in punto di diritto, al di là delle critiche che diffusamente sono state mosse dalla dottrina, infatti, il giudice di legittimità ha sempre posto in essere un ragionamento giuridico evolutivo. Non trovandosi nelle condizioni di prendere decisioni «a rime obbligate», per dirlo con le parole della Corte costituzionale, la Cassazione si è pienamente avvalsa del suo potere nomoilattico, adattando strumenti processuali congeniati per il passato (non troppo remoto, ma in rapidissima evoluzione) a nuovi strumenti tecnici.
Non meno signiicativa ai nostri ini è una pronuncia di pochi mesi antecedente11, invero non innovativa12, che ha ad oggetto l’attività di tracking satellitare attraverso il GPS collocato in un’autovettura. L’attività in questione, che permette di individuare in tempo reale dove il soggetto si trova, è stata inquadrata come «prova atipica» da una giurisprudenza pressoché costante, che non ne ha ravvisato gli estremi per qualiicarla come un’intercettazione ai sensi degli artt. 266 ss. A ciò consegue, se il ragionamento giuridico inora espresso dalla Corte sarà portato alle logiche conseguenze, che ai captatori informatici deputati alla geolocalizzazione non sarà richiesto, almeno nel nostro ordinamento13, di passare al preventivo vaglio della magi- stratura, essendo suficiente l’idoneità all’accertamento dei fatti e il rispetto della libertà morale della persona.
10 Anche la stessa Corte di Cassazione, nella sentenza in commento svolge sì un test di compatibilità verso i diritti costituzionalmente garantiti e quelli previsti dalla CEDU (punto 3 del considerando in diritto), ma lo fa prima di affrontare la questione delle intercettazioni dei non indagati (punto 4 del considerando in diritto), lasciando magari involontariamente intendere che essa sia già un «di più».
11 Cass., sez. V pen., sent. 10 febbraio 2016, 5550.
12 Si veda, di poco più risalente, Cass., sez. V pen., sent. 10 marzo 2010, 9667.
13 Ben diverso è il caso francese, come rileva P. Costanzo, Note preliminari sullo statuto giuridico della geolocalizzazione (a margine di recenti sviluppi giurisprudenziali e legislativi), in Il diritto dell’informazione e dell’informatica, 2014, 3, 334.
3. I diritti fondamentali presi sul serio?
Non resta a questo punto che da vedere come i diritti, alla luce della giurisprudenza che si è ino ad ora illustrata, siano stati «poco presi sul serio» o per meglio dire si sia fatta prevalere la già menzionata ragione di Stato, senza un’adeguata rilessione sulle implicazioni di questa opzione normativa.
È chiaro che i due termini su cui oscilla la questione, essendo esclusa anche in giurisprudenza ogni interpretazione che accosti le attività poste in essere dai captatori a perquisizioni, sequestri e intercettazioni14, anche in virtù delle sostanziali differenze, è quello dell’inquadramento nella disciplina delle intercettazioni o in quella delle prove atipiche.
Quello che si intende cercare di porre in evidenza in questa sede è l’inidoneità di questi istituti a legittimare l’utilizzo dei captatori informatici. A tal proposito, seppur sinteticamente, si cercherà di prendere in considerazione due distinti aspetti, attinenti rispettivamente alla compatibilità della disciplina con la riserva di legge in materia processualpenalistica e coi diritti fondamentali che primariamente vengono in gioco.
3.1. L’attuale giurisprudenza in tema di captatori e la stretta legalità processualpenalistica Appare evidente, per quanto si è avuto modo di sostenere inora, che l’attuale regime giurisprudenziale sconti di una certa «disinvolta aperta» nei confronti dei captatori. Questo deriva in primis dalla non corrispondenza tra il momento storico in cui sono state poste in essere le norme e quello attuale, in cui è evidentemente mutata la realtà tecnologica.
Attraverso le intercettazioni mediante captatori informatici è oggi possibile captare qualsiasi forma di comunicazione, anche non verbale, potenzialmente 24/24 e 7/7, con i soli limiti del decreto di autorizzazione o di esecuzione. Ben diverso dal contesto originario dell’intercettazione per cui, oltre all’intermediazione dell’operatore telefonico (a fronte oggi dell’utilizzo di agenzie private non diversamente qualiicate) per le intercettazioni telefoniche, le intercettazioni di tipo ambientale erano comunque severamente coninate al luogo in cui la cimice era isicamente collocata.
14 Si veda a tal proposito A. Testaguzza, I Sistemi di Controllo Remoto: fra normativa e prassi, in Diritto penale e processo, 2014, 6, 763. È altresì pertinente il richiamo a Cass., SS. UU., 28 maggio 2003, 36747.
L’utilizzo della prova atipica è parimenti molto discutibile, stante la sua ratio di norma di chiusura del sistema: oggigiorno è molto quello che viene afidato alla memoria dei nostri dispositivi elettronici o alle memorie in cui per tramite di essi possiamo accedere, tanto che possiamo considerarli un’estensione del nostro pensiero: accedervi senza un adeguato controllo vuol dire accedere indiscriminatamente a proili assai intimi dell’individuo.
È evidente pertanto lo scollamento tra il dato normativo e la realtà giurisprudenziale, in costanza di un’evoluzione tecnica non solo quantitativa ma anche qualitativa15 che costringe a parlare di un vero e proprio diritto processualpenalistico di matrice oramai giurisprudenziale. A tal riguardo è stato eficacemente affermato che «oggi il processo penale è spesso regolato in modo del tutto autonomo da pratiche giurisprudenziali devianti»16, lasciando così intendere il divario tra l’art. 111 della Costituzione, che sconta un basso tasso di effettività, e la prassi dei Tribunali e delle Procure.
L’art. 111 Cost. sembra infatti il grande escluso dalle rilessioni – specialmente giurisprudenziali – sui captatori informatici. Esso tuttavia si pone in un momento logico un passo prima degli stessi diritti fondamentali, che ne rappresentano sviluppo prevedendo limiti sostanziali alla legge.
La stretta legalità processuale infatti, che si desume dall’affermazione normativa per cui il giusto processo, quale unico modo per attuare la giurisdizione, è «regolato dalla legge» imporrebbe un certo rigore da doversi adottare nel momento in cui si disciplina la materia delle prove, se non altro quando in gioco vi siano diritti fondamentali.
15 Di «una nuova e diversa tipologia di mezzo di ricerca delle prove che invade stabilmente l’intera sfera di “riservatezza informatica” della persona o delle persone che entrino nel raggio d’azione dell’intrusore» parla L. Picotti, Spunti di rilessione per il penalista dalla sentenza delle Sezioni unite relativa alle intercettazioni mediante captatore informatico, in Archivio penale, 2016, 2, 9.
16 O. Mazza, I diritti fondamentali dell’individuo come limite della prova nella fase di ricerca e in sede di assunzione, in Diritto penale contemporaneo, 2013, 3, 5.
A questo stride non solo la giurisprudenza che non si fa più interprete ma autrice delle regole probatorie (è soprattutto il caso delle intercettazioni), ma anche la disciplina di matrice legislativa non suficientemente determinata17 (è il caso dei captatori geolocalizzanti quali prova atipica).
Interessanti spunti si rinvengono dalla pronuncia della Corte EDU Zakharov c. Russia18. Il caso trae origine dalla legge russa che obbliga i fornitori di reti mobili a installare apparecchiature che consentono ai servizi segreti di effettuare captazioni su Internet, senza necessità di alcuna autorizzazione preventiva.
Nel dichiarare il contrasto con l’art. 8 della Convenzione la Corte ha colto l’occasione per fare il punto in materia di intercettazioni, ribadendo tra l’altro e per quanto riguarda ai nostri ini che la legislazione nazionale deve chiaramente deinire l’ambito di applicazione dei captatori, dando modo ai consociati di comprendere la natura dei reati e dei potenziali destinatari, e che il contenuto dell’autorizzazione deve prevedere alternativamente o la speciica persona da porre sotto sorveglianza o l’insieme dei luoghi in cui viene disposta.
Nel nostro ordinamento come si è visto l’ambito di applicazione dei captatori informatici idonei a svolgere intercettazioni è attualmente il frutto di un diritto di matrice giurisprudenziale ma che a differenza dei paesi di common law non gode del principio dello stare decisis: di conseguenza se la natura dei reati è per la maggior parte data (si parla di criminalità organizzata), così non è per i destinatari (nell’arresto dell’indagato, è divenuta tale la coniuge) e anche dei luoghi non v’è certezza.
17 O. Mazza, I diritti fondamentali dell’individuo come limite, cit., 8. L’A. sembra qui sostenere l’illegittimità costituzionale dell’art. 189 c.p.p., almeno nella misura in cui questo viene «invocato per ammettere una prova lesiva dei diritti fondamentali». Critico sul rapporto tra GPS e art. 189 c.p.p. anche L. Monteverde, Le nuove «frontiere» delle intercettazioni, in Archivio penale, 2014, 3, 2.
18 Corte EDU, Grande Camera, Roman Zakharov c. Russia, 4 dicembre 2015. Per un commento si veda A. Balsamo, Le intercettazioni mediante virus informatico tra processo penale italiano e Corte europea, in Cassazione penale, 2016, 5, 2276 ss.
Quale statuto per i virus di Stato?
Peraltro, con riguardo ai GPS, il requisito della prevedibilità legislativa ricorreva nel già citato caso Uzun c. Germania: vero è che nel caso di specie una norma non espressamente dedicata ai captatori è stata fatta salva, ma questa era ben più circoscritta alludendo a «altri mezzi tecnici speciali destinati allo scopo della sorveglianza»19 .
Il nostro ordinamento al contrario sembra non accogliere questa impostazione tenendo in piedi, per i captatori, una norma dalle maglie assai più ampie di quella presente nell’ordinamento tedesco ai tempi della decisione.
L’impostazione inora accolta riporta alla mente l’idea del Panopticon di Bentham, e di come questo sia in grado di condizionare l’individuo che, nell’incertezza, «in ogni istante, avendo motivo di credersi sorvegliato, e non avendo i mezzi per assicurarsi il contrario, creda di esserlo»20 .
3.2. L’attuale giurisprudenza in tema di captatori (geolocalizzanti) e i diritti fondamentali
Un proilo altrettanto problematico che emerge è quello della compatibilità tra captatori e diritti fondamentali. Il tema è stato ampiamente analizzato con riferimento alle libertà degli artt. 13, 14 e 15 Cost., nonché con l’art. 8 CEDU e degli artt. 7 e 8 della Carta UE. Ciò signiica che si è prevalentemente posta l’attenzione sui captatori in grado di svolgere intercettazioni di comunicazioni o comunque di accedere ai dati contenuti nel device: in questa sede si svolgeranno invece talune considerazioni sulla geolocalizzazione che, usata come prova atipica ai sensi dell’art. 189 c.p.p., merita talune rilessioni speciiche. Non può in primis tacersi la possibilità di un uso virtuoso dei captatori informatici geolocalizzanti per ini di giustizia: si pensi all’ipotesi in cui di essi si faccia uso per contenere le intercettazioni,
19 Così può essere tradotto l’art. 100c § 1 n. 1 (b) del codice di procedura penale tedesco.
20 J. Bentham, Panopticon, ovvero la casa d’ispezione, Venezia, Marsilio Saggi, 1983, 36. Interessanti rilievi su Bentham e sulla sua possibile «attualizzazione» nella società tecnologica si rinvengono in G. Fioriglio, Sorveglianza e controllo nella società dell’informazione. Il possibile contributo dell’etica hacker, in Nomos, 2014, 2, 10 ss. Si veda altresì M. Surace, Analisi socio-giuridica del rapporto tra sorveglianza e diritto alla riservatezza nell’era di Internet, 2005, disponibile su www. altrodiritto.unii.it e, in particolare, cap. 1.3.
Nodi virtuali, legami informali: Internet alla ricerca di regole in quanto idonei a delimitare con precisione il loro campo d’azione e dunque escludendone l’uso nei luoghi di privata dimora nei casi non consentiti.
Tuttavia la potenzialità dell’invasività del GPS non deve essere sottovalutata. Sembra, ad avviso di chi scrive, esso ciò che attribuisce «dimensionalità » alla captazione. Se la differenza tra i captatori e le precedenti cimici è che i primi prescindono da ogni vincolo con un luogo isico, ecco che con l’avvallo dei sistemi di GPS il luogo isico riemerge in tutta la sua grave interezza. Non più un unico luogo determinato, ma ogni luogo è determinato proprio in quanto ogni luogo può essere sempre più precisamente determinato.
Ciò non fosse suficiente, dev’essere tenuto a mente quello che la Corte di Cassazione per prima, nelle precedenti pronunce, sembra aver dimenticato: il riferimento è al «domicilio informatico», la cui conigurabilità sfugge da ogni possibile obiezione21. Se già talune perplessità poteva sollevare la mancata attenzione della Corte al summenzionato domicilio, oggi dai più considerato ancor più rilevante del domicilio comunemente inteso, in quanto proiezione della mente dell’individuo, non può sollevare timore la possibile (e, stando ai trends giurisprudenziali, probabile) violazione del domicilio mediante GPS: s’ipotizzi il caso in cui la captazione avvenga in luoghi di privata dimora. Non sarà solo l’art. 16 Cost. a venire in discussione dunque, ma anche l’art. 14 della Costituzione con le relative garanzie. È certo che possa captarsi, mediante una mera prova atipica, il soggetto in sulla soglia del domicilio informatico? In sostanza, il GPS rappresenta il vero e proprio punto di contatto tra il mondo isico e quello informatico: ma non può ritenersi un mero «zerbino sulla porta», ed in quanto tale visibile dalla strada, in quanto va oramai più propriamente letto come punto di contatto tra due realtà la cui somma fa la persona umana. Non stupisce infatti che taluni invitino a un ripensamento della stessa libertà personale proprio in quest’ottica e a questi ini22 .
21 A tal riguardo l’insegnamento è noto. Cfr. Cass., sez. V pen., sent. 26 ottobre 2012, 42021.
22 L. Filippi, Il GPS è una prova “incostituzionale”? Domanda provocatoria, ma non troppo, dopo la sentenza Jones della Corte Suprema U.S.A., in Archivio penale, 2012, 1, 315.
Quale statuto per i virus di Stato?
Ma d’altra parte resta aperto un ulteriore interrogativo, accompagnare l’individuo ino alla soglia della sua abitazione, non sarebbe già una forma di ingerenza? Dev’essere rilevato che ad oggi la Suprema Corte non sembra essersi occupata del GPS mediante captatore, confrontandosi con cimici inserite nelle autovetture degli indagati. Resta pertanto aperto l’interrogativo se l’orientamento resterà immutato con riferimento alla captazione della posizione mediante agente intrusore su un personal device: divenendo questa sempre più precisa, e elevandosi ormai a seconda pelle, ben al di là di quanto un agente di polizia potrebbe fare: la captazione sull’autovettura – non volendo accogliere l’impostazione che riconosce in essa un domicilio – era coninata ai luoghi pubblici ed aperti al pubblico, mentre oggi potrà porsi in maniera estremamente più invasiva.23
A questo punto non sembra del tutto infondata l’emersione a un vero e proprio «diritto a non essere localizzati»24, discendente direttamente dall’art. 16 della Costituzione.
E allora a non convincere è evidentemente la disciplina dell’art. 189 c.p.p., laddove ammetta il pedinamento elettronico. A tal proposito non sembra ragionevole che requisito dell’impregiudicatezza della «libertà morale» richiesto dall’art. 189 c.p.p. venga interpretato come mera «non consapevolezza dell’essere oggetto del mezzo di ricerca della prova».25 La non consapevolezza, espressa nei termini dell’incertezza che deriva dalla portata applicativa della norma probatoria, non sembrerebbe idonea a consentire a una norma di
23 Anche il celebre caso posto all’attenzione della Corte eur. dir. uomo, sez. V, 2 settembre 2010, Uzun c. Germania, che ha ammesso mezzi tecnici particolari anche in presenza di una formulazione normativa generica, faceva riferimento a captatori geolocalizzanti collocati nel veicolo.
24 Cfr. A. Camon, L’acquisizione dei dati sul trafico delle comunicazioni, in Rivista italiana di diritto e procedura penale, 2005, 2, 599. L’A. con riferimento all’art. 16 Cost. afferma che «calato nel XXI secolo, nei ritmi mozzaiato dell’evoluzione tecnologica, il precetto svela ben altre implicazioni e si mostra capace d’abbracciare anche i controlli sui tragitti degli individui: pure queste forme di sorveglianza comprimono la libertà di circolare, anche perché possono fungere da remora, scoraggiando certi spostamenti».
25 Di questo avviso espressamente A. Laronga, Il pedinamento satellitare: un atto atipico lesivo dei diritti inviolabili?, in Questione giustizia, 2002, 5, 1155.
Nodi virtuali, legami informali: Internet alla ricerca di regole chiusura di divenire una valvola di sfogo e di acritica ammissione di prove non altrimenti disciplinate dalla legge.
Assumendo come paciica l’idoneità ad accertare i fatti26, la libertà morale dell’individuo è evidentemente tutelata non laddove non sa che i suoi diritti vengono continuamente lesi da una sorta di grande fratello orwelliano, ma dove questi diritti sono effettivamente limitati solo da norme rispettose del dettato costituzionale.
4. Conclusioni: recenti tendenze negli altri ordinamenti
Il 27 febbraio 2008 il Bundesverfassungsgericht27, a fronte della possibilità, per un organismo di intelligence governativo, di accedere in maniera segreta ai sistemi informatici collegati in rete, prendendo anche coscienza delle comunicazioni, ha innanzitutto rilevato come questa ingerenza costituisca qualcosa di «diverso» dalle intercettazioni di comunicazioni per cui l’ancoraggio costituzionale della posizione tutelata dev’essere rinvenuto nel diritto generale alla personalità che, con riferimento al tema in oggetto, si declina in un «diritto fondamentale alla garanzia dell’integrità e della riservatezza dei sistemi informatici».
Con ciò non escludendo a priori l’utilizzo dei captatori informatici ai ini del perseguimento dei reati, affermando che le limitazioni a questo diritto (che possono essere fatte tanto per ini di prevenzione che di perseguimento dei reati) devono fondarsi – anche in questo caso – sul rispetto dei principi di chiarezza, precisione e determinatezza della legge.
La pronuncia della Corte costituzionale federale tedesca rappre- senta forse uno dei momenti, negli ultimi anni, di più alta attenzione per i diritti fondamentali in ambiente tecnologico. Da allora, esigenze ascrivibili a un percepito bisogno di sicurezza sembrano aver mutato la tendenza sul piano internazionale.
26 Sebbene non manca chi sottolinea come non poche questioni si pongano in ordine alla genuinità e l’immodiicabilità dei sistemi vittima di captatori informatici, proprio in quanto aggrediti da un agente esterno. Cfr. P. Tonini, Documento informatico e giusto processo, in Diritto penale e processo, 2009, 405.
27 A tal riguardo si può vedere R. Flor, Investigazioni ad alto contenuto tecnologico e tutela dei diritti fondamentali della persona nella recente giurisprudenza del Bundesverfassungsgericht: la decisione del 28 febbraio 2008 sulla Online Durchsuchung e la sua portata alla luce della sentenza del 2 marzo 2010 sulla data redention, in Ciberspazio e diritto, 2010, 2, 359 ss.
Due esempi recentissimi valgano su tutti: la Corte Suprema degli Stati Uniti, sulla base della sezione 2072 dell’US Code, ha proposto regole di procedura penale che, salvo intervento legislativo del Congresso, entreranno in vigore il 1 dicembre 201628. Tra queste si può citare quello per cui, su richiesta della polizia giudiziaria o del pubblico ministero, un giudice, nel cui distretto si sono veriicare attività connesse a un reato, potrà emettere un mandato di accesso da remoto a – anche plurimi – device elettronici anche al di fuori del suo distretto al solo ricorrere del presupposto che la posizione isica risulti celata mediante l’uso di mezzi tecnologici. Peraltro la perquisizione telematica potrebbe anche non essere mai conosciuta dalla “vittima”, in quanto – stando alla nuova normativa – l’autorità dovrà fare ogni “ragionevole” sforzo per metterla a conoscenza.
Scenario non meno signiicativo è quello svizzero per cui il popolo elvetico (e non un organo giurisdizionale come negli USA) ha approvato alle urne la legge federale sulle attività informative29 che prevede in maniera puntuale, tra l’altro, la possibilità per un’autorità amministrativa di iniltrarsi in sistemi e reti informatiche per acquisire le informazioni disponibili o da lì trasmesse, nonché per perturbare, impedire o rallentare l’accesso alle informazioni.
Sono misure certamente assistite da un adeguato apparato di garanzie legislative e giurisdizionali, ma in ampia parte inedite e che fanno spostare l’ago della bilancia tra privacy e sicurezza certamente a favore di quest’ultima.
In conclusione non può che sostenersi l’importanza di un costante ancoraggio al principio di legalità e ai diritti fondamentali, sia in chiave valoriale che di rispetto della riserva di legge e di giurisdizio-
28 Corte Suprema degli Stati Uniti, Proposed Amendments to the Federal Rules of Criminal Procedure, 28 aprile 2016. Le regole sono volte ad emendare la rule 41 delle Federal rules of criminal procedure
29 Legge federale sulle attività informative (LAIn) del 25 settembre 2015, approvata con voto referendario il 25 settembre 2016.
Nodi virtuali, legami informali: Internet alla ricerca di regole ne, specie nel momento in cui si intende disciplinare un portato della tecnica tanto ingombrante come quello dei captatori informatici. Il rischio alle porte infatti è quello di una «democrazia totalitaria»30 per cui la sicurezza diventa l’«unico ine ultimo» dello Stato, anche a discapito delle più elementari libertà caratterizzanti una società civile. seconda sessione
30 La formulazione si deve a J.L. Talmon, The Origins of Totalitarian Democracy, London, Secker & Warburg, 1960.