E-evidence, quali regole in UE per le prove elettroniche in materia penale

Nell’era digitale si ricorre sempre più spesso ai servizi e agli strumenti tecnologici per pianificare e per commettere reati. Dato che internet non conosce frontiere, tali servizi possono essere prestati da qualsiasi luogo del mondo e non richiedono necessariamente un’infrastruttura fisica né la presenza di un’azienda o di personale negli Stati membri in cui sono offerti o nel mercato interno nel suo insieme. Gli stessi non richiedono nemmeno un luogo specifico in cui conservare i dati: spesso il prestatore di servizi sceglie tale luogo in base a considerazioni legittime quali la sicurezza dei dati, le economie di scala e la rapidità di accesso.

Di conseguenza, in un numero crescente di procedimenti penali riguardanti qualsiasi tipo di reato, le autorità degli Stati membri richiedono l’accesso ai dati che potrebbero servire da prove e che sono conservati al di fuori del loro Paese e/o da internet service provider situati in altri Stati membri o in Paesi terzi.

Prove elettroniche: cosa deve cambiare in Italia per adeguarsi alle norme Ue

Il 29 novembre 2022, la Commissione europea, il Parlamento europeo e il Consiglio hanno raggiunto un accordo politico provvisorio sulla legislazione diretta ad accelerare l’accesso da parte delle autorità ai dati digitali necessari per indagare e perseguire illeciti penali, indipendentemente dal luogo dove sono situati i dati. Tale accordo, facendo seguito alla proposta della Commissione, porterà all’emanazione di un Regolamento sugli ordini europei di produzione e di conservazione di prove elettroniche in materia penale e di una Direttiva sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali. L’iniziativa legislativa è il risultato di un percorso durato quasi due anni di valutazioni su come adattare al meglio la giustizia penale alle sfide poste dall’era digitale.

E-evidence, come funzionano

Prova elettronica o e-evidence o electronic evidence è come ogni dato che può servire come prova, indipendentemente da dove è conservato o generato, elaborato o trasmesso da un dispositivo elettronico. La stessa comprende content data, quali e-mail, SMS o fotografie, non-content data, come l’abbonamento e il traffico dei dati, per esempio routing e timing di un messaggio.

In altri termini, la prova elettronica comprende fra l’altro:

• e-mail;
• SMS o contenuti provenienti dalle applicazioni di messaggistica;
• contenuti audiovisivi;
• informazioni sull’account online degli utenti. Questi dati possono essere utilizzati per identificare una persona od ottenere maggiori informazioni sulle sue attività.

Tali dati sono tenuti da diversi service provide: mentre le investigazioni penali (sia transfrontaliere che nazionali) tendono a essere dipendenti da questo tipo di prova, le autorità giudiziarie e di polizia spesso incontrano difficoltà nell’accedervi. In più, la volatilità dei dati elettronici è un ulteriore problema, poiché essi possono facilmente essere cancellati, alterati o trasferiti.

Il principio di minimizzazione dei dati impone che i dati siano adeguati, rilevanti e limitati a ciò che è necessario a uno specifico scopo: il dato dovrebbe essere conservato solo il tempo necessario a raggiungere tale scopo. Considerando il predetto principio, specialmente in assenza di conservazione obbligatoria per legge, i service providers tendono a cancellare i dati in loro possesso il prima possibile, a scapito delle autorità pubbliche che raccolgono prove nel contesto di una investigazione penale o di un procedimento penale. Il progresso di internet, compreso l’emersione del cloud computing, ha portato ulteriori difficoltà, aggiungendo uno strato di complessità al già complicato problema della interazione di giurisdizioni. Molti service providers hanno i propri centri o depositi dei dati societari fuori della nazione in cui vengono svolte le indagini (specialmente in USA e in Irlanda). In alcuni casi, è perfino difficile individuare dove i dati sono situati; in altri casi, i dati possono essere sparsi fra nazioni, dando adito a problemi sulla legge nazionale applicabile.

Come le nuove regole miglioreranno l’accesso alle e-evidence

L’accesso alle prove elettroniche o e-evidence può tradursi in un lungo e complicato procedimento per le autorità compenti, perché spesso le prove elettroniche sono conservate in un altro Paese. Gli online service providers conservano i dati degli utenti in server che possono essere situati in diversi Stati, sia all’interno che fuori dalla UE. Ciò rende molto più difficile per le autorità giudiziarie raccogliere e-evidence, perché devono affrontare lunghe e complicate procedure per poter accedere ai dati.

Attualmente gli Stati membri hanno approcci diversi per quanto riguarda gli obblighi imposti ai prestatori di servizi, specialmente nei procedimenti penali. La frammentazione riguarda soprattutto le prove elettroniche, dal momento che alcuni prestatori di servizi conservano informazioni che possono essere utili per l’indagine e il perseguimento di reati. Tale frammentazione crea incertezza giuridica per i soggetti coinvolti e può sottoporre i prestatori di servizi a obblighi e regimi sanzionatori differenti e talvolta in conflitto tra loro a tale riguardo, a seconda del fatto che forniscano i loro servizi a livello nazionale, a livello transnazionale all’interno dell’Unione o al di fuori dell’Unione.

Le nuove norme consentono alle autorità giudiziarie di un paese UE di chiedere direttamente l’accesso alle prove elettroniche conservate da qualsiasi prestatore di servizi che offra servizi nell’Unione europea e sia stabilito o rappresentato in un altro Stato membro. La nuova normativa è costituita da due proposte legislative:

1. il Regolamento del Parlamento europeo e del Consiglio relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale COM(2018) 225 final 2018/0108 (COD);
2. la Direttiva del Parlamento e del Consiglio recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali COM(2018) 226 final 2018/0107 (COD).

La proposta di Regolamento sulle prove elettroniche

Il Regolamento affronta il problema specifico dalla natura volatile delle prove elettroniche e della loro dimensione internazionale, mirando ad adattare i meccanismi di cooperazione all’era digitale. Lo stesso fornisce alle autorità gli strumenti per stare al passo con le attuali modalità di comunicazione dei criminali e combattere le forme moderne di criminalità. Tali strumenti garantiscono in ogni caso la tutela dei diritti fondamentali.

Le previsioni del nuovo Regolamento si affiancheranno agli attuali strumenti di cooperazione giudiziaria, i quali rimangono pertinenti e possono essere usati dalle autorità competenti in caso di necessità. In sintesi, l’attuale quadro giuridico dell’UE si compone:

1. degli strumenti di cooperazione dell’UE in materia penale:
   1. la direttiva 2014/41/UE relativa all’ordine europeo di indagine penale (direttiva OEI);
   2. la convenzione relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea;
   3. la decisione 2002/187/GAI del Consiglio che istituisce l’Eurojust;
   4. il regolamento (UE) 2016/794 su Europol;
   5. la decisione quadro 2002/465/GAI del Consiglio relativa alle squadre investigative comuni;
2. degli accordi bilaterali tra l’Unione e Paesi terzi, quali gli accordi sull’assistenza giudiziaria con gli USA e con il Giappone.

Introducendo l’ordine europeo di produzione e l’ordine europeo di conservazione, il Regolamento rende più facile, nell’àmbito di un procedimento penale, assicurare e raccogliere prove elettroniche conservate o detenute da internet service providers in un’altra giurisdizione.

La direttiva OEI (la quale ha in larga misura sostituito la convenzione relativa all’assistenza giudiziaria in materia penale) riguarda qualsiasi atto d’indagine, disciplinando anche l’accesso alle prove elettroniche; tuttavia, essa non contiene disposizioni specifiche sulla e-evidence. Il nuovo Regolamento non sostituirà la direttiva OEI per l’ottenimento di prove elettroniche ma fornirà alle autorità un ulteriore strumento.

Cosa prevede la normativa

Per agevolare la raccolta di prove elettroniche, il nuovo Regolamento si basa sui princìpi del reciproco riconoscimento. Ai fini della notifica e dell’esecuzione dell’ordine non occorrerà coinvolgere direttamente l’autorità del Paese in cui si trova il destinatario dell’ordine, tranne se il destinatario non vi ottempera spontaneamente, nel qual caso l’ordine sarà fatto eseguire e sarà necessario l’intervento dell’autorità competente del Paese in cui si trova il rappresentante. Lo strumento richiede, pertanto, una serie di solide garanzie, come la convalida da parte di un’autorità giudiziaria in ogni singolo caso. I dati personali rientranti nell’àmbito di applicazione del Regolamento sono protetti e possono essere trattati solo in conformità con il GDPR e la Direttiva sulla protezione dei dati nelle attività di polizia e giustizia.

La Convenzione di Budapest del Consiglio d’Europa sulla criminalità informatica, ratificata dalla maggior parte degli Stati membri dell’UE, stabilisce meccanismi internazionali di cooperazione contro la criminalità informatica. Essa riguarda i reati commessi tramite internet e altre reti informatiche. Fa obbligo alle parti di definire i poteri e le procedure per ottenere prove elettroniche e prestarsi assistenza giudiziaria, non solo in relazione ai reati informatici. In particolare, la convenzione impone alle parti di istituire ordini di produzione per ottenere dati informatici da prestatori di servizi presenti sul loro territorio e dati relativi agli abbonati da prestatori di servizi che offrono servizi sul loro territorio. Prevede inoltre la possibilità di ordinare la conservazione di dati qualora sussistano motivi per ritenere che i dati informatici siano particolarmente a rischio di perdita o modificazione. La notificazione e l’esecutività degli ordini nazionali di produzione nei confronti di prestatori stabiliti al di fuori del territorio di una delle parti sollevano problematiche. A tale proposito, sono attualmente all’esame ulteriori misure per migliorare l’accesso transfrontaliero alle prove elettroniche.

Gli ordini europei vincolanti

Il Regolamento istituisce ordini europei di produzione e di conservazione vincolanti. Entrambi gli ordini devono essere emessi o convalidati da un’autorità giudiziaria di uno Stato membro. Un ordine può essere emesso per chiedere di conservare o produrre dati che sono conservati da un prestatore di servizi situato in un’altra giurisdizione e che sono necessari come prova in indagini o procedimenti penali. Tali ordini possono essere emessi solo se una misura dello stesso tipo è disponibile per lo stesso reato in una situazione nazionale comparabile nello Stato di emissione.

Entrambi gli ordini possono essere notificati ai prestatori di servizi di comunicazione elettronica, alle reti sociali, ai mercati online, ad altri prestatori di servizi di hosting e ai fornitori di infrastrutture internet quali l’indirizzo IP e registri di nomi di dominio, o ai loro rappresentanti legali, se esistenti. L’ordine europeo di conservazione, analogamente all’ordine europeo di produzione, è rivolto al rappresentante legale al di fuori della giurisdizione dello Stato membro di emissione affinché provveda alla conservazione di dati in vista di una successiva richiesta di produzione dei medesimi, ad esempio tramite i canali di assistenza giudiziaria in caso di paesi terzi o attraverso un OEI tra gli Stati membri partecipanti.

A differenza delle misure di sorveglianza e degli obblighi legali di conservazione dei dati, che non sono previsti dal Regolamento oggetto di esame, l’ordine europeo di conservazione è un ordine emesso o convalidato da un’autorità giudiziaria in un procedimento penale previa valutazione della proporzionalità e necessità nel singolo caso. Al pari dell’ordine europeo di produzione, esso si riferisce a specifici autori, noti o sconosciuti, di un reato che è già stato commesso. L’ordine europeo di conservazione consente di chiedere la conservazione solo di dati che sono già conservati al momento della ricezione dell’ordine, e non di accedere a dati in una fase successiva alla ricezione dell’ordine.

Entrambi gli ordini possono essere usati solo nell’àmbito di un procedimento penale, dalla fase preprocessuale delle indagini preliminari fino alla chiusura del procedimento con sentenza o altra decisione. Gli ordini per la produzione di dati relativi agli abbonati o agli accessi possono essere emessi per qualsiasi reato, mentre quelli per la produzione di dati relativi alle operazioni o al contenuto possono essere emessi solo per reati punibili nello Stato di emissione con una pena detentiva della durata massima di almeno 3 anni o per specifici reati precisati nella proposta e se vi è un collegamento specifico con gli strumenti elettronici e i reati rientranti nel campo di applicazione della Direttiva (UE) 2017/541 sulla lotta contro il terrorismo.

Tenuto conto dei diversi livelli di invasività delle misure imposte in relazione ai dati ricercati, il Regolamento stabilisce una serie di condizioni e garanzie, tra cui l’obbligo di una convalida ex ante dell’ordine da parte di un’autorità giudiziaria. Lo stesso si applica solo ai dati conservati. Esulano dal suo àmbito di applicazione le intercettazioni in tempo reale delle telecomunicazioni. La misura è limitata a quanto necessario e proporzionato ai fini del procedimento penale cui l’ordine si riferisce. Essa consente ai prestatori di servizi di ottenere chiarimenti dalle autorità di emissione, se necessario. Se i problemi sollevati non possono essere risolti e l’autorità di emissione decide di far eseguire l’ordine, il prestatore di servizi può avvalersi degli stessi motivi per opporsi all’esecuzione da parte delle proprie autorità.

Il problema della tutela dei diritti fondamentali

La legislazione dell’UE tutela i diritti degli indagati e degli imputati nei procedimenti penali, e vi sono norme che proteggono i dati personali. Tuttavia, per le persone i cui dati sono ricercati, le garanzie supplementari previste nel Regolamento riconoscono diritti procedurali sia all’interno che all’esterno del procedimento penale, come la possibilità di contestare la legittimità, la necessità o la proporzionalità dell’ordine, che vanno ad aggiungersi ai motivi di impugnazione previsti dal diritto nazionale. I diritti riconosciuti dalla legge dello Stato di esecuzione sono pienamente rispettati poiché i privilegi e le immunità che proteggono i dati ricercati nello Stato membro del prestatore di servizi devono essere presi in considerazione nello Stato di emissione. È il caso, in particolare, di quando la legge dello Stato di esecuzione garantisce una protezione maggiore rispetto a quella garantita dalla legge dello Stato di emissione.

Gli ordini emessi ai sensi del Regolamento sono eseguiti allo stesso modo degli ordini nazionali comparabili nella giurisdizione in cui il prestatore di servizi riceve l’ordine. Il Regolamento prevede che gli Stati membri devono poter irrogare sanzioni efficaci e proporzionate. La base giuridica per le azioni in questo settore è l’art. 82, par. 1, del Trattato sul funzionamento dell’Unione europea (TFUE), il quale autorizza l’adozione, secondo la procedura legislativa ordinaria, di misure intese a definire norme e procedure per assicurare il riconoscimento in tutta l’Unione di qualsiasi tipo di sentenza e decisione giudiziaria, e di misure intese a facilitare la cooperazione tra le autorità giudiziarie o autorità omologhe degli Stati membri in relazione all’azione penale e all’esecuzione delle decisioni.

Il Regolamento potrebbe potenzialmente incidere su una serie di diritti fondamentali:

1. i diritti delle persone fisiche ai cui dati è previsto l’accesso:
   1. il diritto alla protezione dei dati personali;
   2. il diritto al rispetto della vita privata e familiare;
   3. il diritto alla libertà di espressione;
   4. il diritto alla difesa;
   5. il diritto a un ricorso effettivo e a un giudice imparziale;
2. i diritti del prestatore di servizi: il diritto alla libertà d’impresa;
3. il diritto a un ricorso effettivo;
4. i diritti di tutti i cittadini: il diritto alla libertà e alla sicurezza.

Tenuto conto delle pertinenti disposizioni dell’acquis in materia di protezione dei dati, nel Regolamento sono incluse garanzie sufficienti e importanti per garantire che i diritti di tali soggetti siano tutelati.

Le garanzie procedurali penali

Poiché gli ordini possono essere emessi solo nell’ambito di un procedimento penale, sia durante la fase preprocessuale che durante quella processuale, e se vi sono situazioni nazionali comparabili, tutte le garanzie procedurali di diritto penale sono applicabili, tra cui, in particolare:

1. il diritto a un equo processo sancito dall’art. 6 della Convenzione europea dei diritti dell’uomo e dagli artt. 47 e 48 della Carta dei diritti fondamentali della UE;
2. la legislazione pertinente dell’UE in materia di diritti procedurali nei procedimenti penali:
   1. la Direttiva 2010/64/UE sul diritto all’interpretazione e alla traduzione nei procedimenti penali;
   2. la Direttiva 2012/13/UE sul diritto a ricevere informazioni relative ai diritti e all’accusa e ad accedere al fascicolo;
   3. la Direttiva 2013/48/UE relativa al diritto di avvalersi di un difensore e di comunicare con familiari al momento dell’arresto e della detenzione;
   4. la Direttiva 2016/343 sul rafforzamento di alcuni aspetti della presunzione di innocenza e del diritto di presenziare al processo;
   5. la Direttiva 2016/800 sulle garanzie procedurali per i minori;
   6. la Direttiva 2016/1919 sull’ammissione al patrocinio a spese dello Stato per indagati e imputati nell’àmbito di procedimenti penali e per le persone ricercate nell’àmbito di procedimenti di esecuzione del mandato d’arresto europeo.

Più specificamente, il previo intervento di un’autorità giudiziaria ai fini dell’emissione dell’ordine garantisce che siano verificate la legittimità della misura e la sua necessità e proporzionalità nel caso di specie. Garantisce, inoltre, che l’ordine non abbia effetti indebiti sui diritti fondamentali, ivi compreso su princìpi giuridici come il segreto professionale dell’avvocato. L’autorità di emissione è tenuta ad assicurarsi che nel caso concreto la misura sia necessaria e proporzionata, anche in considerazione della gravità del reato oggetto dell’indagine. Il Regolamento prevede, inoltre, delle soglie per i dati relativi alle operazioni e al contenuto, garantendo che, per tali dati, l’ordine europeo di produzione sia usato solo per i reati più gravi.

Il Regolamento prevede, espressamente, il diritto a un ricorso effettivo per le persone i cui dati sono richiesti. Le immunità e i privilegi di talune professioni, come quella di avvocato, nonché gli interessi fondamentali connessi alla sicurezza o alla difesa nazionali nello Stato del destinatario devono parimenti essere presi in considerazione nel corso del processo nello Stato di emissione. Il riesame da parte di un’autorità giudiziaria costituisce un’ulteriore garanzia.

Essendo una misura vincolante, l’ordine incide anche sui diritti dei prestatori di servizi, in particolare sulla libertà d’impresa. La proposta comprende il diritto del prestatore di servizi di sollevare obiezioni nello Stato membro di emissione, per esempio se l’ordine non è stato emesso o convalidato da un’autorità giudiziaria. Se l’ordine è trasmesso allo Stato di esecuzione per esecuzione, l’autorità di esecuzione può decidere, previa consultazione dell’autorità di emissione, di non riconoscere o non eseguire l’ordine qualora i motivi di opposizione sollevati siano evidenti. Inoltre, in caso di avvio della procedura di esecuzione, il destinatario può opporsi all’ordine dinanzi all’autorità di esecuzione sulla base di uno di tali motivi limitati, tra cui, ad esempio, se è evidente che l’ordine non è stato emesso o convalidato da un’autorità competente, se ottemperare all’ordine significa violare manifestamente la Carta o se l’ordine è manifestamente arbitrario. Ciò non esclude il diritto del destinatario a un ricorso giurisdizionale effettivo contro l’eventuale decisione che infligge una sanzione.

Il rapporto coi Paesi terzi

Un potenziale problema connesso alle misure dell’UE in questo settore è la possibilità che esse spingano Paesi terzi a imporre ai prestatori di servizi dell’UE obblighi di reciprocità incompatibili con le condizioni dei diritti fondamentali dell’Unione, tra cui l’alto livello di protezione dei dati garantito dall’acquis dell’UE. Il Regolamento affronta tale situazione in due modi:

1. prevedendo una misura che contiene solide garanzie e riferimenti espliciti alle condizioni e garanzie già previste dall’acquis dell’UE e che funge così da modello per la legislazione straniera;
2. prevedendo una specifica clausola di “contrasto di obblighi” che consente ai prestatori di servizi di identificare e segnalare eventuali obblighi contrastanti e far scattare un controllo giurisdizionale. Tale clausola serve per garantire il rispetto sia di disposizioni di legge generali di divieto, quali l’Electronic Communications Privacy Acta (EPA) degli Stati Uniti che vieta la divulgazione di dati relativi al contenuto che rientrano nel suo àmbito di applicazione geografico tranne casi limitati, sia di leggi che non vietano in generale la divulgazione ma possono farlo in singoli casi.

La proposta: una direttiva sui rappresentanti legali in UE

Per ridurre gli ostacoli alla libera prestazione di servizi, la Direttiva in esame rende obbligatorio per i prestatori di servizi designare un rappresentante legale nell’Unione europea, incaricato di ricevere decisioni volte ad acquisire prove emesse dalle autorità nazionali competenti nei procedimenti penali, ottemperare a tali decisioni e farle eseguire.

L’obbligo di designare un rappresentante legale per tutti i fornitori di servizi che operano nell’Unione garantisce che gli ordini volti ad acquisire prove nei procedimenti penali abbiano sempre un destinatario chiaro. Ciò rende più semplice per i prestatori di servizi conformarsi a tali ordini, poiché i rappresentanti legali sono competenti per ricevere tali ordini, ottemperare agli stessi e farli eseguire per conto del prestatore di servizi.

La Direttiva si basa essenzialmente sulla normativa del mercato interno: la base giuridica è costituita dagli artt. 53 e 62 TFUE, i quali prevedono l’adozione di misure di coordinamento delle disposizioni legislative, regolamentari o amministrative degli Stati membri concernenti lo stabilimento e la prestazione di servizi. L’obbligo di nominare un rappresentante legale nell’Unione europea contribuirebbe specialmente a sopprimere le restrizioni alla libera prestazione di servizi sancita all’art. 56 TFUE. L’art. 1 della Direttiva stabilisce l’oggetto della normativa, ossia la definizione di regole sulla rappresentanza legale nell’Unione di alcuni prestatori di servizi ai fini dell’acquisizione di prove nei procedimenti penali.

Gli obblighi imposti ai prestatori di servizi possono assumere diverse forme: per esempio, ricevere da un pubblico ministero o da un giudice, nell’àmbito di un procedimento penale, un ordine che comporta conseguenze giuridiche, fornire i dati necessari in tali procedimenti penali, adottare misure per la conservazione di dati nei procedimenti penali o essere destinatario di una procedura di esecuzione in caso di mancato rispetto degli obblighi. A causa delle loro politiche commerciali e territoriali, i prestatori di servizi possono incontrare difficoltà nell’ottemperare a questi diversi tipi di richieste, sempre più frequenti. D’altra parte, le autorità competenti devono sapere a quali prestatori di servizi rivolgersi, tra quelli stabiliti o che offrono servizi sul territorio dell’Unione, e in che modo.