Protocollo di Budapest: implicazioni per le indagini digitali

Secondo Protocollo di Budapest: nuove regole per l’acquisizione transfrontaliera delle prove digitali, cooperazione giudiziaria e tutela dei dati personali.

Convenzione di Budapest e Secondo Protocollo: perché cambia la cooperazione giudiziaria

La geografia del dato ha definitivamente messo in crisi i tradizionali strumenti della cooperazione giudiziaria internazionale.

La prova digitale, per sua natura volatile, delocalizzata e immediatamente trasferibile, sfugge infatti ai modelli investigativi costruiti attorno ai confini statali e ai tempi delle rogatorie internazionali, imponendo un ripensamento delle categorie classiche dell’assistenza giudiziaria.

In tale contesto si inserisce la Convenzione di Budapest del 2001 sulla criminalità informatica, primo strumento internazionale organico volto a disciplinare il contrasto al cybercrime, successivamente rafforzata dal Secondo Protocollo Addizionale del 2022, destinato a incidere in maniera significativa sulle modalità di acquisizione delle prove elettroniche e sulla cooperazione investigativa transnazionale.

Il testo è stato approvato dal Consiglio d’Europa il 17 novembre 2021 e aperto alla firma a Strasburgo il 12 maggio 2022: ad oggi risulta sottoscritto da 52 Paesi, di cui 35 membri del Consiglio d’Europa e 17 non membri.

L’accordo entrerà in vigore solo quando almeno cinque Paesi lo avranno ratificato e, per il momento, quattro soli lo hanno fatto (la Serbia e il Giappone nel 2023, l’Ungheria nel febbraio del 2026 e, da ultimo, la Costa Rica nell’aprile del 2026).

Il Protocollo nasce dall’esigenza, ormai non più rinviabile, di superare alcune evidenti insufficienze della Convenzione originaria; il sistema delineato nel 2001, pur innovativo per l’epoca, restava difatti ancorato a una logica territoriale che mal si conciliava con l’attuale ecosistema digitale, caratterizzato dalla costante frammentazione geografica dei dati e dalla centralità operativa dei grandi service provider privati.

La questione assume particolare rilievo ove si consideri che gran parte delle evidenze elettroniche di interesse investigativo risulta oggi nella disponibilità di soggetti privati – provider di servizi internet, piattaforme digitali o società di telecomunicazioni – spesso sottoposti a giurisdizioni straniere e collocati al di fuori dell’ambito territoriale dell’autorità procedente.

Secondo Protocollo di Budapest: accesso alle prove elettroniche e cooperazione con i provider

È proprio questo il terreno sul quale il Secondo Protocollo introduce gli elementi di maggiore innovazione.

L’obiettivo perseguito non è soltanto quello di accelerare la cooperazione tra Stati, ma, soprattutto, quello di consentire forme più rapide ed efficaci di accesso ai dati elettronici, riducendo il ricorso ai tradizionali canali diplomatici e favorendo meccanismi di interlocuzione diretta con i prestatori di servizi.

Già la Convenzione del 2001 prevedeva strumenti di cooperazione volti alla conservazione rapida dei dati informatici e allo svolgimento di specifiche attività investigative, pur tuttavia, la concreta efficacia di tali misure presupponeva la preventiva individuazione del luogo fisico di conservazione del dato, condizione che l’attuale struttura del cloud computing rende sempre più difficile da soddisfare.

Non è un caso che l’art. 32 della Convenzione avesse già tentato di attenuare tali rigidità, consentendo l’accesso ai dati pubblicamente disponibili ovunque localizzati e, in determinate ipotesi, anche a quelli situati all’estero, previo consenso del soggetto legittimato alla loro divulgazione.

Il Secondo Protocollo compie però un ulteriore salto di qualità: rafforza la cooperazione diretta con i provider esteri, agevolando l’acquisizione di informazioni relative agli abbonati, ai dati di traffico e alla registrazione dei nomi di dominio, oltre a introdurre procedure accelerate per le richieste investigative urgenti.

Particolarmente rilevante appare inoltre la previsione di strumenti di cooperazione rafforzata in situazioni emergenziali, mediante l’impiego di squadre investigative comuni, indagini congiunte e forme di assistenza reciproca tecnologicamente avanzate, quali l’audizione da remoto tramite videoconferenza.

Indagini digitali transnazionali: il nuovo ruolo dei service provider

La progressiva centralità dei prestatori di servizi privati nell’ambito delle indagini digitali segna, sotto questo profilo, un cambiamento strutturale nella stessa architettura della cooperazione giudiziaria internazionale.

Il provider non rappresenta più soltanto il soggetto presso cui reperire il dato, ma diviene interlocutore diretto dell’autorità investigativa, con evidenti implicazioni tanto sul piano operativo quanto su quello delle garanzie.

EU e-Evidence e Secondo Protocollo di Budapest: strumenti e problemi di coordinamento

Parallelamente, il quadro normativo europeo si è recentemente arricchito del c.d. pacchetto EU e-Evidence, volto a rafforzare e accelerare l’accesso alle prove elettroniche nei procedimenti penali.

Il Regolamento (UE) 2023/1543 ha introdotto gli ordini europei di produzione e conservazione delle prove elettroniche, consentendo alle autorità giudiziarie degli Stati membri di rivolgersi direttamente ai prestatori di servizi operanti nell’Unione europea, indipendentemente dal luogo di conservazione dei dati.

Ad esso si affianca la Direttiva (UE) 2023/1544, recentemente recepita nell’ordinamento italiano, che impone ai provider la designazione di stabilimenti o rappresentanti legali, incaricati di ricevere ed eseguire gli ordini provenienti dalle autorità nazionali.

Sebbene tali provvedimenti perseguano finalità sostanzialmente convergenti rispetto a quelle del Secondo Protocollo di Budapest, non può escludersi il rischio di future sovrapposizioni applicative o tensioni interpretative, soprattutto con riguardo al coordinamento tra discipline sovranazionali differenti e ai livelli di tutela riconosciuti agli interessati.

Come è facile arguire dalla recentissima (e, allo stato, incompleta) formalizzazione normativa degli strumenti sopra individuati, deve riconoscersi che i tempi non sono maturi per immaginarne le possibili, fruttuose intersezioni ed evitarne le inutili sovrapposizioni.

Cooperazione internazionale contro il cybercrime: il caso Europol EMMA

Si può tuttavia guardare ad “esempi virtuosi” che nel recente passato delle indagini digitali hanno assunto il ruolo di case history.

Uno di questi è rappresentato dalla campagna EMMA (European Money Mule Action), iniziativa coordinata da Europol, Eurojust e dalla European Banking Federation, a tutt’oggi considerata come uno dei più significativi esempi di cooperazione internazionale nel contrasto al cybercrime finanziario.

Le attività di EMMA si concentrano sul fenomeno dei c.d. money mules, soggetti utilizzati dalle organizzazioni criminali per trasferire o occultare proventi illeciti derivanti da phishing, ransomware, frodi online e ulteriori attività di criminalità informatica.

In molti casi si tratta di individui reclutati mediante false offerte di lavoro o inconsapevoli della natura illecita delle operazioni richieste; in altri, di soggetti pienamente inseriti nei circuiti criminali.

In entrambe le ipotesi, la rapidità nella circolazione transnazionale dei flussi finanziari rende essenziale un livello di cooperazione investigativa incompatibile con i tempi dell’assistenza giudiziaria tradizionale.

È proprio in tale contesto che il Secondo Protocollo può rivelare la propria effettiva portata operativa.

La possibilità di acquisire tempestivamente dati digitali presso provider esteri e di favorire uno scambio accelerato di informazioni tra autorità competenti, consentirebbe proprio di ricostruire con maggiore efficacia le reti di movimentazione dei proventi illeciti e di individuare i soggetti coinvolti nelle frodi informatiche.

Secondo Protocollo di Budapest e GDPR: garanzie per la protezione dei dati personali

L’espansione dei poteri investigativi in ambito digitale pone tuttavia questioni particolarmente delicate sotto il profilo della tutela dei diritti fondamentali.

L’accesso transfrontaliero ai dati personali impone un costante bilanciamento tra esigenze di efficienza repressiva e garanzie individuali, soprattutto alla luce della crescente quantità di informazioni sensibili trattate nell’ambito delle indagini informatiche.

Non sorprende, pertanto, che il Secondo Protocollo dedichi ampio spazio alle salvaguardie in materia di protezione dei dati personali.

Gli articoli 13 e 14 richiamano espressamente il rispetto dei diritti fondamentali, del principio di proporzionalità e delle garanzie già previste dall’art. 15 della Convenzione di Budapest, introducendo al contempo significativi punti di contatto con i principi elaborati dal GDPR.

Vengono così valorizzati il principio di finalità del trattamento, la qualità del dato, la tutela rafforzata dei dati sensibili, i limiti temporali di conservazione e il divieto di decisioni integralmente automatizzate.

Particolarmente significativo appare inoltre il richiamo ai principi di accountability e trasparenza, imponendo agli Stati-parti obblighi di tracciabilità delle operazioni effettuate sui dati personali e specifici doveri informativi nei confronti degli interessati.

Prove digitali e diritti fondamentali: il futuro della cooperazione investigativa

Resta tuttavia aperta una questione di fondo: fino a che punto l’esigenza di velocizzare l’acquisizione delle prove elettroniche può comprimere le tradizionali garanzie poste a tutela della sovranità statale e della riservatezza individuale?

È probabilmente su questo delicato equilibrio che si giocherà, nei prossimi anni, la reale tenuta del nuovo modello di cooperazione investigativa digitale, delineato dal Secondo Protocollo di Budapest e dal sistema europeo e-Evidence.