Cassazione Penale, Sentenza n. 33876/2024 del 06/09/2024

Esito

La controversia

Ricorso per cassazione avverso l'ordinanza del 29/06/2023 che aveva rigettato l'istanza di riesame contro l'applicazione degli arresti domiciliari disposta dal GIP. I motivi principali: (i) vizio di applicazione dell'art. 234-bis c.p.p.: i dati informatici sarebbero stati acquisiti mediante Ordine Europeo di Indagine (O.E.I.) e non direttamente presso un privato all'estero; mancata verifica del "consenso del legittimo titolare"; (ii) violazione degli artt. 191 c.p.p., 27 Cost. e 6 CEDU per impossibilità di verificare la fase di formazione della prova (mancata messa a disposizione dei file criptati e dell'algoritmo); (iii) richiesta di rinvio pregiudiziale alla Corte di Giustizia UE (art. 267 TFUE) per questioni di compatibilità tra disciplina UE e normativa italiana in materia di acquisizione di dati di traffico, ubicazione e contenuto; (iv) censura sulla motivazione circa la partecipazione al sodalizio ex art. 74 DPR 309/90 per presunta insufficienza probatoria e carattere equivoco delle conversazioni.

La decisione

Il ricorso è stato rigettato. La Corte ha ritenuto infondati o inammissibili i motivi: ha statuito che l'acquisizione tramite O.E.I. di contenuti/decrittazioni già in possesso dell'autorità giudiziaria esecutrice non rientra nell'ambito di applicazione dell'art. 234-bis c.p.p. ma nella disciplina della circolazione delle prove (artt. 238 e 270 c.p.p., 78 disp. att.). L'O.E.I. diretto a ottenere prove già acquisite all'estero è ammissibile senza preventiva autorizzazione del giudice italiano; resta però salva la possibilità per il giudice italiano di escludere l'utilizzabilità se risulta violazione di diritti fondamentali, onere della difesa allegarne e provarne i fatti. La mancata disponibilità dell'algoritmo di decriptazione non costituisce di per sé violazione dei diritti fondamentali salvo allegazioni concrete contrarie. La questione pregiudiziale dichiarata non necessaria; quarto motivo inammissibile per genericità.

Norme richiamate

• art. 234-bis cod. proc. pen.

  «È sempre consentita l'acquisizione di documenti e dati informatici conservati all'estero, anche diversi da quelli disponibili al pubblico, previo consenso, in quest'ultimo caso, del legittimo titolare»

  La norma disciplina l'acquisizione diretta dall'Italia di dati conservati all'estero e non si applica, per incompatibilità, alle acquisizioni realizzate tramite O.E.I.; quindi non è il parametro primario per i casi di cooperazione giudiziaria UE.

• Direttiva 2014/41/UE (Ordine europeo di indagine), art. 6, par. 1

  l'autorità richiedente può emettere un o.e.i. solo quando ritiene soddisfatte le seguenti condizioni: a) l'emissione è necessaria e proporzionata; b) l'atto richiesto avrebbe potuto essere emesso alle stesse condizioni in un caso interno analogo

  Fissa i requisiti di ammissibilità dell'O.E.I.; il principio è applicato richiedendo che, se l'atto richiesto è ammissibile nello Stato di emissione secondo condizioni analoghe, l'O.E.I. è legittimo. Non impone necessariamente preventiva autorizzazione del giudice italiano quando le prove sono già formate nello Stato di esecuzione.

• art. 238 cod. proc. pen.

  Regola la circolazione dei verbali e delle prove provenienti da altri procedimenti: consente l'acquisizione di prove formate altrove senza preventiva autorizzazione del giudice del procedimento di destinazione, stabilendo i limiti per la loro utilizzazione.

• art. 270 cod. proc. pen.

  Disciplina l'utilizzazione dei risultati di intercettazioni provenienti da altri procedimenti: anch'essa non prevede preventiva autorizzazione del giudice di destinazione per l'acquisizione delle copie, riservando al giudice il potere di valutare ammissibilità e utilizzabilità.

• art. 78 disp. att. cod. proc. pen.

  Prevede l'acquisizione nel fascicolo di atti di un procedimento penale straniero secondo art. 238 c.p.p.; per atti non ripetibili impone l'esame in contraddittorio o il consenso delle parti.

• art. 132 d.lgs. 196/2003

  Regola l'acquisizione dei dati relativi al traffico e all'ubicazione conservati dal fornitore nazionale: richiede tipicamente autorizzazione giudiziaria per l'accesso ai gestori nazionali, ma non si applica quando i dati sono già stati acquisiti da un'autorità giudiziaria estera e trasmessi tramite O.E.I.

• Direttiva 2002/58/CE, art. 15 par. 1

  Tutelando la riservatezza delle comunicazioni, limita l'accesso ai dati di traffico e ubicazione: secondo la Corte di Giustizia (es. C-706/18) l'accesso deve essere circoscritto e controllato, e l'origine e le modalità di acquisizione rilevano ai fini della tutela dei diritti fondamentali.

• Giurisprudenza Corte di Giustizia UE (es. C‑706/18 H.K., C‑724/19 HP)

  Ha affermato limiti e condizioni per l'accesso e l'utilizzo di dati di traffico/ubicazione e la necessità, in astratto, di controllo giudiziario/indipendente quando si acquisiscono dati presso provider; ma non impedisce l'uso di dati già acquisiti legittimamente da autorità estere e trasmessi tramite O.E.I., salva verifica di violazioni gravi dei diritti fondamentali.

Massime di principio

• Quando i contenuti o i dati (inclusi messaggi da sistemi criptati) sono già stati acquisiti e decrittati da un'autorità giudiziaria di uno Stato membro, la loro trasmissione mediante O.E.I. rientra nella disciplina della circolazione delle prove (artt. 238, 270 c.p.p.) e non nell'art. 234-bis c.p.p.
• Un O.E.I. diretto a ottenere prove già in possesso dello Stato di esecuzione è in linea di principio ammissibile senza preventiva autorizzazione del giudice italiano; il giudice italiano conserva però il potere di escluderne l'utilizzabilità se emergono violazioni dei diritti fondamentali.
• Sussiste una presunzione relativa di regolarità dell'attività svolta dall'autorità giudiziaria estera: spetta alla difesa allegare e provare fatti concreti da cui inferire la violazione di diritti fondamentali per ottenere l'esclusione della prova.
• L'assenza della messa a disposizione dell'algoritmo di decriptazione non costituisce, in linea di principio, una violazione automatica del diritto di difesa; occorrono deduzioni specifiche e prove del rischio di alterazione o inaffidabilità.
• I dati di traffico/ubicazione acquisiti direttamente presso i provider nazionali sono soggetti a regole più rigide (autorizzazione giudiziaria/indipendente), ma se gli stessi dati sono già stati acquisiti legittimamente in un procedimento estero e trasmessi tramite O.E.I., il loro utilizzo nello Stato di destinazione può essere ammesso salvo violazioni fondamentali dimostrate.
• In casi analoghi, la difesa deve richiedere e indicare specificamente quale diritto fondamentale sarebbe stato violato e in che modo; censure generiche o astratte sono normalmente inammissibili o infondate.