Abstract.

Il contributo analizza l’evoluzione del quadro giuridico in tema di utilizzabilità probatoria delle comunicazioni provenienti da piattaforme criptate alla luce degli orientamenti giurisprudenziali maturati dopo il 2023. Se, tradizionalmente, il dibattito era prevalentemente incentrato sulla qualificazione processuale dei dati comunicativi decriptati e sulla riconducibilità degli stessi alle categorie probatorie più o meno note al sistema, gli sviluppi successivi hanno progressivamente spostato il baricentro dell’analisi verso la definizione di uno statuto giuridico della prova digitale transnazionale sempre più orientato alla “gestione” dei c.d. big data e basato sull’azione coordinata di diversi attori istituzionali.

The paper examines the evolution of the legal framework governing the evidentiary use of communications originating from encrypted platforms, in light of case law developments emerging after 2023. Whereas the debate had traditionally focused on the procedural classification of decrypted communication data and their subsumption within the established categories of evidence, more recent developments have progressively shifted the analytical focus toward the definition of a legal regime for transnational digital evidence, increasingly oriented toward the “management” of so-called big data and grounded in the coordinated action of multiple institutional actors.

Sommario: 1. Qualche indicazione metodologica. – 2. L’intervento della Corte di giustizia nel caso EncroChat. – 3. L’intervento chiarificatore delle Sezioni Unite. – 4. Gli sviluppi “istituzionali” europei sul caso EncroChat 5. La trasformazione del modello investigativo europeo. – 5.1. Segue. Il nuovo paradigma investigativo alla prova delle garanzie fondamentali. – 6. Verso un “diritto europeo” dell’accesso investigativo ai dati (lawful access).

1. Qualche indicazione metodologica

Nel marzo del 2023 prendeva avvio un articolato percorso di studio e collaborazione istituzionale tra il Dipartimento della Pubblica Sicurezza (Direzione Centrale della Polizia Criminale) e l’Università di Foggia, finalizzato all’approfondimento delle implicazioni processuali connesse all’impiego investigativo delle comunicazioni provenienti da piattaforme di messaggistica criptata e da dispositivi dedicati – i cosiddetti criptofonini –, sempre più utilizzati da organizzazioni criminali operanti su scala transnazionale^[1].

L’iniziativa si collocava in una fase particolarmente significativa del dibattito giuridico e investigativo nazionale^[2] ed europeo^[3]: le operazioni che avevano condotto alla compromissione delle piattaforme EncroChat^[4] e Sky ECC^[5] avevano infatti determinato un afflusso senza precedenti di dati comunicativi criptati nei procedimenti penali di numerosi ordinamenti^[6], sollevando questioni inedite tanto sul piano delle tecniche investigative impiegate quanto su quello dell’inquadramento giuridico dei risultati probatori acquisiti^[7].

Il confronto sviluppatosi in quella sede tra operatori delle forze dell’ordine e studiosi di diritto processuale penale era principalmente incentrato sulla possibilità di ricondurre i dati comunicativi estratti da piattaforme criptate alle categorie probatorie tradizionali del sistema processuale^[8], sui limiti da porre all’uso dell’Ordine europeo di indagine (O.E.I.)^[9] e sul bilanciamento tra tecnica investigativa, tassonomia probatoria e garanzie difensive^[10].

A distanza di alcuni anni il quadro giuridico e istituzionale entro il quale si colloca il fenomeno delle comunicazioni criptate appare profondamente mutato.  Gli sviluppi giurisprudenziali^[11] e normativi^[12] hanno progressivamente ridefinito i termini del dibattito, spostando l’attenzione sulla più ampia questione della circolazione e dell’utilizzazione della prova digitale in uno scenario investigativo sempre più caratterizzato dalla dimensione transnazionale^[13].

In questo contesto, la questione relativa all’impiego procedimentale dei dati comunicativi decriptati non è più limitata alla qualificazione giuridica da attribuire agli elementi probatori raccolti all’estero, estendendosi a un più complessivo processo di strutturazione di uno statuto giuridico europeo della prova digitale, nel quale le categorie tradizionali sono chiamate a confrontarsi con nuove modalità di acquisizione e circolazione delle informazioni investigative in un ambito caratterizzato da infrastrutture comunicative globali.

2. L’intervento della Corte di giustizia nel caso EncroChat

Un momento di particolare rilievo nell’evoluzione del quadro giuridico relativo alle investigazioni sulle piattaforme criptate è rappresentato dalla sentenza della Corte di giustizia dell’Unione europea nell’aprile 2024^[14].

La pronuncia trae origine da una questione pregiudiziale sollevata da un giudice tedesco nell’ambito di un procedimento penale fondato su comunicazioni criptate acquisite dalle autorità francesi nel corso delle operazioni investigative condotte sulla piattaforma EncroChat. Il rinvio pregiudiziale era volto a chiarire l’interpretazione della direttiva 2014/41/UE relativa all’O.E.I.^[15], con particolare riferimento alla qualificazione giuridica delle operazioni investigative consistenti nell’accesso ai sistemi informatici della piattaforma e nella captazione dei dati comunicativi degli utenti.

Nella sentenza in esame, la Corte ha individuato alcuni principi di particolare rilievo sistematico, destinati a incidere profondamente sugli ordinamenti nazionali.

In primo luogo, è stato chiarito che un O.E.I. avente a oggetto la trasmissione di dati già acquisiti dalle autorità dello Stato di esecuzione può essere emesso anche dal pubblico ministero, qualora l’ordinamento dello Stato di emissione attribuisca a tale autorità il potere di disporre misure investigative analoghe nell’ambito di procedimenti interni.

In secondo luogo, la Corte ha qualificato l’operazione investigativa realizzata nel caso EncroChat – consistente nell’installazione di un software sui dispositivi degli utenti al fine di acquisire i dati comunicativi prima della cifratura o dopo la decifratura – come una forma di intercettazione delle telecomunicazioni riconducibile all’ambito applicativo dell’art. 31 della direttiva 2014/41/UE. Ne consegue che, qualora l’operazione di intercettazione riguardi utenti situati in altri Stati membri, lo Stato che procede alla captazione è tenuto a notificare tale attività agli interessati secondo le modalità previste dalla direttiva.

Un ulteriore profilo affrontato dalla Corte ha riguardato il rapporto tra l’utilizzazione delle prove ottenute attraverso tali operazioni investigative e il diritto a un equo processo garantito dall’art. 47 della Carta dei diritti fondamentali dell’Unione europea.

In particolare, la Corte ha affermato che il giudice nazionale è tenuto a verificare se l’imputato abbia avuto una possibilità effettiva di contestare l’autenticità e l’affidabilità dei dati utilizzati come prova. Qualora tale possibilità risulti compromessa e la prova rivesta un ruolo determinante nell’accertamento della responsabilità penale, il giudice nazionale è tenuto ad escluderne l’utilizzabilità.

La decisione della Corte ha assunto, quindi, una rilevanza centrale nella ricostruzione del quadro giuridico delle investigazioni sulle piattaforme criptate, contribuendo a perimetrare i confini normativi entro i quali devono essere valutate tali operazioni captative: in questo modo, i giudici di Lussemburgo hanno delineato, da un lato, il ruolo degli strumenti di cooperazione giudiziaria previsti dalla direttiva sull’ O.E.I. e, dall’altro, i limiti derivanti dal rispetto delle garanzie fondamentali nel processo penale.

Inoltre, alla luce dei principi espressi dalla Corte, il fenomeno delle comunicazioni criptate non può più essere analizzato esclusivamente alla luce delle tradizionali categorie del diritto processuale penale nazionale, dovendo essere collocato all’interno di un sistema multilivello nel quale interagiscono – fino quasi a sovrapporsi – diritto interno, diritto dell’Unione europea e giurisprudenza delle Corti sovranazionali.

3. L’intervento chiarificatore delle Sezioni Unite

Parallelamente agli sviluppi delle Corti europee, la giurisprudenza nazionale ha affrontato in modo “definitivo” la questione con  “sentenze gemelle” del giugno 2024^[16].

Il primo quesito che è stato posto al Supremo Collegio attiene alla qualificazione dell’attività di acquisizione dei dati giacenti o transitanti su server al fine di individuare il regime processuale applicabile^[17].

In tale contesto, la Corte si è preliminarmente confrontata con la disciplina relativa all’acquisizione di documenti e dati informatici prevista dall’art. 234-bis c.p.p.^[18]. Tale disposizione non è stata ritenuta applicabile al caso di specie, considerato che la sua operatività prescinde da qualsiasi forma di cooperazione con lo Stato estero di esecuzione, poiché l’acquisizione è realizzata direttamente dall’autorità giudiziaria italiana.

Peraltro, la medesima disposizione – prosegue la Corte – consente l’acquisizione di documenti e dati informatici qualora essi siano pubblicamente disponibili oppure quando vi sia il consenso del legittimo titolare, ove non si tratti di fonti aperte; presupposti che, nell’attività acquisitiva di chat criptate non sono risultate sussistenti^[19].

L’inapplicabilità di tale disciplina ha pertanto imposto di confrontarsi con il diverso quadro normativo rappresentato dall’O.E.I. che, nel disciplinare le modalità di acquisizione di prove in ambito transfrontaliero, presuppone forme di cooperazione tra autorità giudiziarie di diversi Stati membri dell’Unione europea^[20], configurando così un rapporto di reciproca esclusione rispetto al meccanismo previsto dall’art. 234-bis c.p.p.^[21].

Peraltro, come chiarito dai giudici, l’O.E.I. può essere emesso anche al fine di acquisire prove già nella disponibilità delle autorità competenti dello Stato di esecuzione (art. 1 direttiva 2014/41/UE), ponendosi come lo strumento ordinario e tendenzialmente prevalente per la circolazione delle prove nello spazio giudiziario europeo^[22].

Muovendo da tale ricostruzione, le Sezioni Unite hanno ritenuto applicabile la disciplina dell’O.E.I., considerando che l’oggetto dell’acquisizione era costituito da elementi di prova autonomamente raccolti dalle autorità straniere indipendentemente dalla sussistenza di forme di cooperazione investigativa^[23].

Dunque, esclusa l’applicabilità dell’art. 234-bis c.p.p., il regime probatorio di riferimento è stato individuato nel combinato disposto degli artt. 238 c.p.p. e 78 disp. att. c.p.p.; ove, invece, le prove risultino acquisite mediante captazione di comunicazioni, troverebbero applicazione gli artt. 270 c.p.p. e 78 disp. att. c.p.p.^[24].

4. Gli sviluppi “istituzionali” europei sul caso EncroChat

Accanto agli sviluppi giurisprudenziali e agli approdi delle Corti nazionali ed europee, il caso EncroChat ha progressivamente assunto rilievo anche sul piano istituzionale, divenendo oggetto di una crescente attenzione nell’ambito delle politiche dell’Unione europea.

Un primo indice di tale evoluzione si rinviene nel First Report on Encryption dell’EU Innovation Hub^[25] pubblicato nel giugno 2024, nel quale viene dedicato uno specifico approfondimento all’impiego investigativo dei dati rinvenuti sulle piattaforme EncroChat e Sky ECC, nonché alle implicazioni giuridiche e tecniche connesse all’acquisizione e all’utilizzazione di comunicazioni cifrate in ambito processuale.

In tale documento, il dettato della sentenza della Corte di giustizia del 2024^[26] è elevato a principio guida per regolare la richiesta, la trasmissione e l’impiego probatorio dei dati comunicativi acquisiti mediante complesse operazioni investigative transnazionali, configurandosi come parametro ermeneutico essenziale per l’interpretazione delle dinamiche acquisitive della prova digitale.

Parallelamente, anche Eurojust ha continuato a porre particolare attenzione al tema de qua, qualificandolo come un asse stabile della cooperazione giudiziaria europea. L’Annual Report 2023^[27] segnala infatti iniziative specificamente dedicate al tema dell’ammissibilità delle prove ottenute attraverso le reti EncroChat e Sky ECC; inoltre, nel contesto del progetto Western Balkans Criminal Justice^[28], vengono affrontate le problematiche connesse alla gestione processuale delle evidenze probatorie derivanti da tali piattaforme.

Particolarmente significative è anche la pubblicazione, nel giugno 2025, della Roadmap for lawful and effective access to data for law enforcement da parte della Commissione europea^[29]. Nel documento l’esperienza EncroChat viene richiamata quale caso paradigmatico della crescente rilevanza che l’accesso ai contenuti comunicativi riveste nelle indagini relative alla criminalità organizzata transnazionale, evidenziando  le criticità che gli attuali strumenti di cooperazione investigativa incontrano nel contesto delle infrastrutture digitali globali.

Vanno inoltre richiamate la Roadmap del 2025, le raccomandazioni dell’High-Level Group on Access to Data^[30] e le attività di monitoraggio svolte da Eurojust nel biennio 2024-2025^[31], le quali mostrano come la questione delle piattaforme criptate sia stata progressivamente ricondotta alla più ampia problematica dell’accesso lecito ai dati da parte delle autorità di contrasto, coinvolgendo temi particolarmente sensibili quali la cifratura delle comunicazioni, i servizi di messaggistica over-the-top, le tecniche di digital forensics, la conservazione dei dati e le tensioni giurisdizionali derivanti dalla dimensione transnazionale delle infrastrutture digitali.

In tale prospettiva assume rilievo anche l’evoluzione del contesto tecnologico nel quale tali fenomeni si collocano. Dopo le operazioni condotte nei confronti delle piattaforme EncroChat e Sky ECC, Europol ha annunciato nel dicembre 2024 il takedown della piattaforma MATRIX^[32], ulteriore servizio di messaggistica criptata utilizzato da reti criminali operanti su scala internazionale^[33].

Proprio in ragione di tali sviluppi, la Commissione europea ha osservato come, a seguito della compromissione di alcune grandi reti di comunicazione dedicate, numerosi gruppi criminali abbiano progressivamente ricominciato a utilizzare servizi di messaggistica end-to-end cifrati di uso comune^[34].

Questo fenomeno contribuisce a spostare l’attenzione dal singolo dispositivo o dalla specifica piattaforma dedicata al più ampio processo di migrazione delle reti criminali tra diversi ecosistemi comunicativi, oscillanti tra infrastrutture chiuse e piattaforme commerciali mainstream. Ne emerge un quadro nel quale il rapporto tra innovazione tecnologica e strategie investigative appare caratterizzato da una dinamica di costante adattamento reciproco che rende sempre più complessa la definizione degli strumenti giuridici e operativi idonei ad affrontare le nuove forme di comunicazione criminale.

5. La trasformazione del modello investigativo europeo

Alla luce della ricostruzione offerta, emerge che le operazioni investigative condotte sulle piattaforme EncroChat e Sky ECC hanno rappresentato un punto di svolta nel modello investigativo europeo, segnando una profonda evoluzione nelle modalità di raccolta, gestione e impiego probatorio dei dati digitali.

Come è noto, fino a tempi relativamente recenti, la cooperazione giudiziaria penale europea si è sviluppata prevalentemente secondo un paradigma reattivo e bilaterale, nel quale le autorità giudiziarie di uno Stato richiedevano a un altro Stato l’esecuzione di atti investigativi specifici – perquisizioni, sequestri, intercettazioni – attraverso strumenti di assistenza giudiziaria o, più recentemente, mediante l’O.E.I.^[35].

Le investigazioni sulle piattaforme criptate hanno invece determinato l’emergere di un modello investigativo radicalmente diverso, caratterizzato da tre elementi fondamentali: centralizzazione operativa delle indagini, gestione transnazionale dei dati investigativi; cooperazione strutturale tra autorità giudiziarie e organismi europei.

Lo si è visto ampiamente analizzando il caso EncroChat, per cui l’attività investigativa non si è limitata alla raccolta di prove relative a singoli procedimenti penali nazionali ma ha comportato l’acquisizione e l’analisi di un enorme volume di dati comunicativi relativi a decine di migliaia di utenti distribuiti in numerosi Stati membri^[36]. Ciò ha reso necessario lo sviluppo di un nuovo modello di cooperazione investigativa basato sull’azione coordinata di diversi attori istituzionali. Da un lato, le autorità giudiziarie nazionali hanno operato attraverso lo strumento delle Joint Investigation Teams (c.d. Squadre investigative comuni)^[37] che hanno consentito di superare i tradizionali limiti territoriali delle indagini penali; dall’altro, agenzie europee come Europol ed Eurojust hanno svolto un ruolo sempre più centrale nella gestione operativa delle investigazioni transnazionali^[38].

Dunque, se nel modello tradizionale l’indagine era organizzata attorno a un singolo procedimento nazionale, nel nuovo assetto investigativo essa tende a svilupparsi secondo una logica data-driven, nella quale il punto di partenza non è più il singolo fatto di reato ma l’acquisizione di grandi volumi di dati; di conseguenza, l’oggetto dell’analisi si sposta dall’individuo all’infrastruttura comunicativa utilizzata dalle organizzazioni criminali.

Questo fenomeno potrebbe essere interpretato come l’emergere di un nuovo paradigma investigativo che si potrebbe definire platform-based investigation; un paradigma in cui non ci si limita a captare le comunicazioni di singoli individui “sospettati”, mirando a penetrare e monitorare l’intera infrastruttura tecnologica attraverso la quale le organizzazioni criminali comunicano e coordinano le proprie attività.

5.1. Segue.Il nuovo paradigma investigativo alla prova delle garanzie fondamentali

Dal punto di vista giuridico, un simile modello procedimentale pone numerosi interrogativi: se le categorie probatorie tradizionali sono state concepite per disciplinare attività investigative rivolte a soggetti o dispositivi determinati, le indagini su larga scala possono riguardare migliaia o decine di migliaia di utenti contemporaneamente, molti dei quali potrebbero non essere nemmeno sospettati di alcun reato.

Si pone, in questo contesto, una questione imprescindibile di conformità alle garanzie fondamentali: non si tratta solo di confrontarsi con i precetti costituzionali e convenzionali in materia di segretezza delle comunicazioni, riservatezza e privacy^[39] ma anche di comprendere se e in che termini l’acquisizione indiscriminata e la conservazione incontrollata di tutti le informazioni transitati o giacenti sul server possa collidere con i principi europei che, di fatto, neutralizzano il rischio di sorveglianza di massa^[40].

Intanto, va rammentato che ogni accesso in uno spazio informatico – indipendentemente dalla natura delle informazioni in esso ospitati – determina un’interferenza nella vita privata «non auspicabile e difficilmente compatibile in una società democratica»^[41] e, di conseguenza, una potenziale violazione delle prerogative fondamentali^[42].

Ancor di più, quando si ha a che fare con indagini informatiche su larga scala, si corre il rischio di collidere con il diritto alla «riservatezza informatica»^[43], da intendersi quale potere di esercitare «un controllo sui propri dati»^[44] e – ragionando a contrario – quale divieto di acquisizione indiscriminata di informazioni conservate su sistemi informatici o in Rete, pena la violazione delle garanzie di libertà dell’individuo che proietta sempre più spesso la sua personalità  nell’etere digitale^[45].

Ciò significa che qualsivoglia intromissione generalizzata nella vita privata “digitalizzata” entra in conflitto con il canone di proporzione^[46] tutte le volte in cui viene meno l’equilibrio che sempre deve sussistere tra esigenze di indagine e tutela delle libertà fondamentali^[47].

Alla luce di tali considerazioni, non può non ammettersi che ogni indagine sulle piattaforme criptate rischia di eccedere i limiti consentiti, trasformandosi in una sorveglianza indiscriminata di una pluralità indistinta di soggetti che, potenzialmente, nulla ha a che fare con le indagini^[48]. Dovendo, infatti, ritenere esclusa la possibilità di effettuare a monte una cernita tra le risultanze rilevanti e irrilevanti per l’indagine in corso, il principio di proporzione ne esce seriamente compromesso: in questi casi, infatti, l’acquisizione dei dati informatici non può essere circoscritta a precisi scopi di prevenzione o repressione di ipotesi di reato predeterminate ma si estende inevitabilmente a ogni comunicazioni di ogni utente che fa uso di quel sistema operativo.

Sotto altro aspetto, l’acquisizione della messaggistica su piattaforme criptate – in qualunque forma la si voglia intendere – determina una potenziale violazione dei principi comunitari che regolano il trattamento, la conservazione e la cancellazione delle comunicazioni elettroniche.

Ci si riferisce, in particolare, agli artt. 5 e 6 della direttiva 2002/58/CE^[49], che – ferma restando la possibilità per gli Stati di adottare disposizioni legislative diverse per prevenire, accertare e perseguire reati, ex art. 15, § 1^[50]–  prevedono il divieto di captare, memorizzare, intercettare o sorvegliare le comunicazioni senza consenso degli utenti, prescrivendo altresì l’obbligo di cancellazione e anonimizzazione quando i dati non sono più necessari ai fini della trasmissione della comunicazione^[51].

Proprio tali obblighi di trattamento “selettivo” e cancellazione pongono problemi di compatibilità dell’acquisizione della messaggistica crittografata conservata in un server con il diritto alla riservatezza delle comunicazioni garantito dalla normativa comunitaria che, come anche precisato dalla Corte di Lussemburgo, impone un divieto di procedere a «una conservazione generalizzata e indifferenziata dei dati relativi al traffico […] degli utilizzatori dei servizi telefonici»^[52], sempre nel rispetto del principio di proporzione dell’ingerenza rispetto allo scopo da raggiungere.

Tuttavia, nonostante l’evidente menomazione delle più elementari prerogative individuali e collettive che tali strumenti possono comportare, va evidenziato il ruolo centrale che le attività investigative in esame ricoprono nel processo di neutralizzazione della minaccia criminale, sicché non appare realisticamente ipotizzabile che il sistema penale possa farne completamente a meno^[53]. Va infatti considerato che il ricorso alle moderne tecniche di captazione risponde all’esigenza di fronteggiare i “nuovi” fenomeni criminali, tutelando il più generale bisogno di sicurezza^[54] individuale e collettiva, quale bene costituzionale «imprescindibilmente legato alla vita, all’incolumità fisica, al benessere dell’uomo e alla qualità della sua esistenza, nonché alla dignità della persona»^[55].

In questa prospettiva, la questione non può essere ridotta a una contrapposizione astratta tra esigenze investigative e diritti fondamentali, richiedendo piuttosto la costruzione di un assetto normativo e interpretativo capace di ricondurre l’impiego di tali strumenti entro un quadro di legalità, necessità e proporzionalità, nel quale l’efficacia dell’azione di contrasto alla criminalità si concili con la salvaguardia delle garanzie che presidiano il giusto processo.

6. Verso un “diritto europeo” dell’accesso investigativo ai dati (lawful access)

Alla luce delle evoluzioni più recenti, è possibile formulare alcune ipotesi circa le traiettorie future del “diritto probatorio europeo”^[56].

Una prima linea di indirizzo riguarda la progressiva centralizzazione delle operazioni investigative volte all’acquisizione di prove digitali su larga scala.

Le indagini condotte negli ultimi anni hanno mostrato come la gestione dei big data richieda infrastrutture tecnologiche e competenze difficilmente sviluppabili a livello esclusivamente nazionale, con la diretta conseguenza di trasformare l’assetto unionale in un modello tendenzialmente accentrato, nel quale capacità tecniche, piattaforme di analisi e processi decisionali tendono a concentrarsi in pochi poli dotati delle risorse necessarie per sostenere tali attività.

Di talché, il trattamento e l’elaborazione dei dati comunicativi si spostano progressivamente verso strutture sovranazionali o verso attori istituzionali dotati di maggiore capacità tecnologica, con effetti rilevanti sia sul piano dell’efficienza operativa sia su quello della governance e del controllo delle informazioni.

 In questa prospettiva, appare plausibile ipotizzare un rafforzamento del ruolo delle agenzie europee, e in particolare di Europol, nella gestione delle informazioni provenienti dalle comunicazioni digitali; non a caso, tale agenzia – da centro di supporto analitico –  sta sempre più assumendo il ruolo di vero e proprio hub investigativo europeo per l’analisi delle comunicazioni digitali^[57], operando in sinergia con le autorità giudiziarie nazionali nell’ambito delle indagini relative alla criminalità organizzata transnazionale.

Una seconda linea di sviluppo riguarda il progressivo consolidamento di un diritto transfrontaliero all’accesso investigativo ai dati digitali. L’esigenza di un’interazione tra livello giurisdizionale nazionale e livello sovranazionale evidenzia come le indagini penali stiano progressivamente evolvendo verso una struttura multilivello^[58] nella quale le regole relative all’acquisizione e all’utilizzazione delle prove digitali non possono più essere comprese esclusivamente alla luce delle categorie del diritto interno.

Questa impellente necessità di cooperazione trova espressione nella recente stratificazione normativa europea in materia di circolazione delle prove elettroniche^[59], culminata nel c.d. pacchetto e-Evidence^[60] che istituisce strumenti procedurali uniformi per la richiesta e la trasmissione di dati elettronici tra Stati membri, rafforzando il ruolo delle autorità nazionali nell’accesso transfrontaliero ai dati digitali.

Per onestà intellettuale, va considerato che una simile prospettiva, sebbene suggestiva, non riesce a superare le criticità esistenti.

Da una parte, va rilevata l’assenza di strumenti ad hoc per procedere a investigazioni transazionali per l’acquisizione di dati su larga scala. L’attuale assetto normativo (sia interno che unionale), infatti, è stato concepito prevalentemente per richieste di prove “mirate”, risultando strutturalmente inadeguato rispetto a fenomeni investigativi che implicano la raccolta massiva di informazioni digitali, spesso distribuite su molteplici giurisdizioni e detenute da una pluralità di fornitori di servizi.

In tali contesti, non solo manca una base giuridica chiara che consenta alle autorità di operare in modo coordinato ed efficace ma difettano anche protocolli operativi condivisi che definiscono modalità, limiti e responsabilità nell’acquisizione dei dati. Ne deriva una situazione di incertezza applicativa in cui le autorità nazionali sono costrette a ricorrere a strumenti pensati per la cooperazione bilaterale o a soluzioni interpretative estensive, con evidenti rischi di illegittimità e di inutilizzabilità della prova^[61].

Dall’altro, vanno considerate le persistenti disomogeneità tra gli ordinamenti nazionali in materia di acquisizione e trattamento della prova digitale; il che genera incertezza nella scelta dello strumento più appropriato cui ricorrere nel caso concreto, rendendo ancora necessario il ricorso a strumenti di armonizzazione più incisivi a livello sovranazionale in materia de qua^[62]. Non di rado, infatti, accade che attività investigative analoghe siano qualificate in modo diverso nei vari ordinamenti nazionali; un’operazione di acquisizione di dati digitali può essere considerata, a seconda del sistema giuridico, come intercettazione, sequestro di dati informatici, acquisizione documentale o semplice richiesta di informazioni. Queste divergenze incidono sui livelli di autorizzazione, sulle garanzie procedurali e sull’utilizzabilità delle prove.

Al fine di superare le criticità evidenziate, sarebbe auspicabile un intervento del legislatore, chiamato a delineare il perimetro entro cui possono essere esperite le attività di captazioni di big data su server operanti in territori unionali^[63].

Un simile intervento non potrebbe che collocarsi, in via prioritaria, a livello sovranazionale, attesa la natura intrinsecamente transfrontaliera dei flussi di dati digitali, traducendosi nella definizione di una cornice normativa comune idonea a legittimare e regolamentare, in termini generali, il ricorso a forme di acquisizione di dati su larga scala.

In altri termini, spetterebbe al legislatore europeo individuare i presupposti, i limiti e le garanzie fondamentali entro cui tali attività possono essere svolte, delineando un modello unitario di riferimento che consenta di superare le attuali incertezze qualificatorie e applicative.

All’interno di tale cornice, i legislatori nazionali sarebbero quindi chiamati a dare concreta attuazione alle previsioni unionali, disciplinando in modo puntuale gli strumenti investigativi per acquisire flussi di big data su scala transnazionale, adattandoli alle specificità dei rispettivi sistemi processuali.

Nell’ordinamento interno si potrebbe parlare di una inedita categoria di intercettazioni (c.d. captazioni infrastrutturali) volte all’acquisizione non di comunicazioni tra soggetti determinati ma all’accesso investigativo ai sistemi digitali che fungono da infrastrutture di comunicazione per reti criminali organizzate^[64].

Ne deriverebbe un assetto nel quale il livello sovranazionale non si sostituisce a quello interno ma ne orienta e ne legittima l’azione, rendendo possibile l’utilizzo di tecniche investigative avanzate in un contesto di certezza giuridica e di garanzie uniformi. Solo in tal modo, infatti, le attività di captazione su larga scala possono trovare un fondamento normativo solido e condiviso, evitando tanto il rischio di vuoti di tutela quanto quello di prassi applicative disomogenee tra gli Stati membri.

---

^[1] I risultati dello studio condotto sono stati compendiati in D. Curtotti, V. Rizzi, W. Nocerino, A. Russitto, G. Giliberti, G. Scarpa, Piattaforme criptate e prove penali, in Sist. pen., 6/2023, p. 173; V. Rizzi, A. Russitto, G. Giliberti, G. Scarpa, D. Curtotti, W. Nocerino, Piattaforme criptate e prova penale. L’etere digitale alla sfida del codice di rito, in Polizia Moderna, agosto-settembre 2023.

^[2] Ricostruiscono i termini del dibattito, M. Daniele, Ordine europeo di indagine penale e comunicazioni criptate: il caso Sky ECC/Encrochat in attesa delle Sezioni Unite, in Sist. pen., 11 dicembre 2023; E. Lorenzetto, L’acquisizione all’estero di comunicazioni digitali criptate nella fucina dell’ordine europeo di indagine penale, in Cass. pen., 2024, p. 182; L. Ludovici, I criptofonini: sistemi informatici criptati e server occulti, in Sist. pen., 3/2023, p. 420.

^[3] Ex multis, M. Caianiello, International Judicial Cooperation and the EU Principle of Mutual Recognition – towards a Convergence of Systems?, in G. Lasagni – G. Contissa – M. Caianiello (a cura di), Facilitating Judicial Cooperation in the EU. A Computable Approach to Mutual Recognition in Criminal Matters, Leida, 2025, p. 29 ss.; A. Venegoni, EncroChat evidence and European criminal justice, in New Journal of European Criminal Law, 2022, 13, 3, p. 377 ss.

^[4] EncroChat era una rete di comunicazioni e un fornitore di servizi con sede in Europa che offriva smartphone modificati consentendo comunicazioni crittografate tra gli abbonati (circa 60 mila utenti). Si trattava di un App di messaggistica basata su OTR che instradava le conversazioni attraverso un server centrale con sede in Francia, EncroTalk, un servizio di chiamate vocali basato su ZRTP e EncroNotes, che consentiva agli utenti di scrivere note private crittografate. Il servizio di messaggistica crittografata EncroChat e i relativi telefoni personalizzati sono stati scoperti dalla gendarmeria francese nel 2017 che, poco dopo, ha provveduto a disattivare la piattaforma.

^[5] Sky Global era una rete di comunicazioni e un fornitore di servizi con sede a Vancouver, in Canada: uno dei suoi prodotti più importanti era l’applicazione di messaggistica sicura Sky Ecc e i criptotelefoni. Nel 2021 erano oltre 171.000 gli apparati registrati, principalmente in Europa, Nord America, diversi Paesi del Centro e Sud America – principalmente Colombia – e Medio Oriente. Un quarto degli utenti attivi si trovava in Belgio (6.000) e nei Paesi Bassi (12.000). Una delle sue caratteristiche era l’autodistruzione dei messaggi dopo un periodo di scadenza definito dall’utente. Il 9 marzo 2021 Francia, Belgio ed Olanda, attraverso un’attività di indagine svolta a seguito della costituzione, sul canale giudiziario, di una squadra investigativa comune, sono riusciti a violare i server sui quali sono conservate le comunicazioni. Sui dettagli dell’indagine transnazionale, per tutti, Procura Generale della Corte di Cassazione, Memoria per l’udienza delle Sezioni Unite penali del 29 febbraio 2024, disponibile su Sist. pen., 1° marzo 2024, p. 16.

^[6] Per una ricostruzione della vicenda nei diversi ordinamenti europei, V. Bajovic, EncroChat i SKY ECC komunikacija kao dokaz u krivičnom postupku, in Crimen, 2022, 13, 2, p. 165 ss.; V. Bajovic-V. Coric, Encrochat and Sky ecc Data as Evidence in Criminal Proceedings in Light of the cjeu Decision, in European journal of crime, criminal law and criminal justice, 2025, 33, p. 257 ss.; C. Pallante, Investigations into encrypted platforms in the French context and their evidentiary implications across Europe, in Computer, law & security review, 2026, 60, 106271, p. 5 ss.

^[7] M. Daniele, La mappa del controllo giurisdizionale quando l’OEI ha ad oggetto prove già in possesso dell’autorità straniera, in Sist. pen., 17 luglio 2024. Volendo, cfr. pure W. Nocerino-O. Murro, Più luci che ombre nelle sentenze delle Sezioni Unite sui criptofonini, in Penale. Diritto e procedura, 2024, 4, p. 635.

^[8] Sul punto, ex multis, F. Nicolicchia, A passi incerti nel solco di categorie evanescenti: riflessioni a partire dalla querelle giurisprudenziale sull’acquisizione della messaggistica criptata dell’estero, in Sist. pen., 2/2024, p. 189. Volendo, v. anche W. Nocerino, L’acquisizione della messaggistica su sistema criptati: intercettazioni o prova documentale?, in Cass. pen., 2023, p. 2786 ss.

^[9]  Non va tuttavia trascurato che, in conformità a quanto previsto dall’art. 6 della direttiva 2014/41/UE, gli atti di indagine richiesti mediante ordine europeo di indagine devono presentare un contenuto analogo a quello di atti investigativi che avrebbero potuto essere disposti nello Stato di emissione. In argomento, M. Daniele, I chiaroscuri dell’OEI e la bussola della proporzionalità, in R.E. Kostoris – M. Daniele (a cura di), L’ordine europeo di indagine penale. Il nuovo volto della raccolta transnazionale delle prove nel d.lgs. n. 108 del 2017, Torino, 2018, p. 55 ss.; E. Lorenzetto, L’acquisizione all’estero di comunicazioni digitali criptate, cit., p. 162; M. Daniele, Le “sentenze gemelle” delle Sezioni Unite, in Sist. pen., 17 luglio 2024.

^[10] L. Ludovici, I criptofonini: sistemi informatici criptati e server occulti, cit. Più in generale, sul tema de qua, ex multis, S. Allegrezza, Collecting Criminal Evidence Across the European Union: The European Investigation Order Between Flexibility and Proportionality, in S. Ruggeri (a cura di), Transnational Evidence and Multicultural Inquiries in Europe. Developments in EU Legislation and New Challenges for Human Rights-Oriented Criminal Investigations in Cross-border Cases, Cham, 2014, p. 59 s.; F. Caprioli, Tecnologie investigative e garanzie processuali, in Riv. it. dir. proc. pen., 2022, p. 1121 ss.

^[11] Cass., Sez. Un., 14 giugno 2024, n. 23755, in C.E.D. Cass., n. 286573; Cass., Sez. Un., 14 giugno 2024, n. 23756, ivi, n. 286589. Per un’analisi delle pronunce de quibus, cfr. § 2. A livello unione, vanno considerate sentenze della Corte giust. UE, Grande Camera, 30 aprile 2024, M.N., C-670/22; Corte giust. UE, Grande Camera, 4 ottobre 2024, CG, C-548/21. Sul punto, cfr. § 3.

^[12] Sul piano normativo, va considerato il rafforzamento del filone “access to data / e-evidence / lawful interception”, culminato nel giugno 2025 con la tabella di marcia della Commissione del giugno 2025, scaturito nel Reg. (UE) 2023/1543 “relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali” e nella dir. (UE) 2023/1544 “recante norme armonizzate sulla designazione di stabilimenti designati e sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove elettroniche nei procedimenti penali”. Sul punto, Commissione europea, Roadmap for lawful and effective access to data for law enforcement. Communication to the European Parliament and the Council, in www.eur-lex.europa.eu, 24 giugno 2025; A. Juszczak, E. Sason, The use of electronic evidence in the European Area of Freedom, Security, and Justice. An introduction to the new EU package on E-evidence, in Eucrim, 2023, 2, p. 182 ss.; F. Sanvitale, La tutela dei diritti nel c.d. e-evidence package: il lato oscuro della cooperazione diretta, in Cass. pen., 2025, p. 1475 ss.

^[13] In tema, fra gli altri, M. Caianiello, Criminal process faced with the challenges of scientific and technological development, in European journal of crime, criminal law and criminal justice, 2019, 27, 4, p. 267 ss.; S. Ruggeri (a cura di), Transnational evidence and multicultural inquiries in Europe, cit., passim.

^[14] Corte giust. UE, Grande Camera, 30 aprile 2024, M.N., cit. Sul punto, per tutti, V. Bajovic-V. Coric, Encrochat and Sky ecc Data as Evidence in Criminal Proceedings in Light of the cjeu Decision, cit., p. 257 ss.; M. Daniele, Le “sentenze gemelle” delle Sezioni Unite, cit.; S. RAZZI-F. SPIEZIA, Decifrare, acquisire e utilizzare le comunicazioni criptate in uso alla criminalità organizzata: uno sguardo europeo, in attesa del count-down italiano, in Sist. pen., 26 febbraio 2024.

^[15] Sulla direttiva, ex multis, M. Caianiello, La nuova direttiva UE sull’ordine europeo di indagine penale tra mutuo riconoscimento e ammissione reciproca delle prove, in Proc. pen. giust., 2015, 3, p. 5 s. Sul decreto attuativo interno, v. Daniele, Kostoris (a cura di), L’ordine europeo di indagine. Il nuovo volto della raccolta transnazionale delle prove nel d.lgs. n. 198 del 2017, Torino, 2018, passim.

^[16] Cfr. Cass., Sez. Un., 14 giugno 2024, n. 23755, cit.; Cass., Sez. Un., 14 giugno 2024, n. 23756, cit. Per i primi commenti, si vedano, M. Daniele, La mappa del controllo giurisdizionale quando l’OEI ha ad oggetto prove già in possesso dell’autorità straniera, cit.; G. Guagliardi, Utilizzo nel processo penale di messaggi criptati ottenuti tramite una operazione di hacking massiva all’estero e acquisiti in Italia tramite Ordine Europeo di Indagine. Il fine giustifica i mezzi?, in Giur. pen., 2024, 6, p. 1; S. Pignata, Le Sezioni unite sull’utilizzabilità della messaggistica criptata acquisita mediante ordine europeo di indagine, in Penale. Diritto e procedura, 1 luglio 2024; G. Spangher, Le Sezioni Unite precisano le condizioni di utilizzabilità della messaggistica dei criptofonini, in Dir. e giust., 18 giugno 2024; Id., Criptofonini: le sentenze delle Sezioni Unite, in Giust. insieme, 20 giugno 2024. Per un esame delle questioni rimesse alle Sezioni unite e del delicato tema della sicurezza globale, G. Spangher, Criptofonini: sono “in gioco” diritti fondamentali, in Cass. pen., 2024, p. 173.

^[17] Analizza tale aspetto, G. SPANGHER, Chat. Saranno le Sezioni Unite a decriptare le questioni giuridiche, in Giustizia insieme, 13 novembre 2023.

^[18] Tale inquadramento viene proposta, tra le molte, da Cass., Sez. III, 19 ottobre 2023, n. 47201, in C.E.D. Cass., n. 285350.

^[19] Cfr., E. Lorenzetto, L’acquisizione all’estero di comunicazioni digitali criptate, cit., p. 182.

^[20] M. Daniele, Ordine europeo di indagine penale e comunicazioni criptate: il caso Sky ECC/Encrochat in attesa delle Sezioni Unite, in Sist. pen., 11 dicembre 2023.

^[21] Più precisamente, i due istituti attengono ad ipotesi e presupposti diversi, nei quali gioca un ruolo dirimente la sussistenza o meno di una collaborazione tra Stati. M. Daniele, Ordine europeo di indagine penale, cit., p. 3.

^[22] Per un approfondimento, M. Caianiello, La nuova direttiva UE sull’ordine europeo di indagine penale, cit., p. 5 s.

^[23] Si trattava, in altri termini, di informazioni già formate secondo la lex loci e successivamente trasmesse nell’ambito della cooperazione giudiziaria tra Stati membri.

^[24] Sull’utilizzabilità degli esiti delle intercettazioni nel procedimento diverso, con riferimento alla disciplina vigente per effetto delle modifiche recate dalla L. 9 ottobre 2023, n. 137, su tutte, Cass., Sez. I, 14 novembre 2023, n. 48622, in C.E.D. Cass., n. 2855579. Per dovere di completezza, si segnala che le Sezioni Unite sono state chiamate a risolvere una seconda questione attinente al “se per l’emissione di un O.E.I. finalizzato all’acquisizione di comunicazioni criptate già autonomamente raccolte all’estero, sia necessaria l’autorizzazione preventiva di un giudice dello Stato di emissione”. Considerato il dictum della Corte di Giustizia relativa al caso EncroChat (C-670/22) – per cui il pubblico ministero figura tra i soggetti che possono costituire un’autorità di emissione dell’O.E.I., la Corte esclude la necessità di un controllo giurisdizionale da parte del giudice italiano, salvo che questi rilevi una violazione dei diritti fondamentali. Soluzione che risulta conforme alla consolidata elaborazione giurisprudenziale, in tema di rogatoria internazionale, per la quale l’atto investigativo gode di una presunzione relativa di conformità ai diritti fondamentali, con conseguente onere, gravante sulla difesa, di allegare e provare fatti da cui inferire la violazione di detti diritti fondamentali. Tra le molte, Cass., Sez. II, 22 dicembre 2016, n. 2173, in C.E.D. Cass., n. 269000, dove si precisa che l’unico limite all’acquisizione di un atto compiuto all’estero è la violazione dei diritti fondamentali dell’ordinamento giuridico italiano e del diritto di difesa. Nel contempo, come chiarito dalla Corte di Giustizia, l’impiego dell’O.E.I., ai fini della trasmissione di prove già autonomamente raccolte all’estero, non può avere l’effetto di eludere le condizioni previste dalla lex fori; così, DANIELE, Le “sentenze gemelle” sui criptofonini, cit., in cui l’Autore precisa che se da un lato rivive il criterio di “no inquiry” nei confronti delle attività istruttorie compiute negli altri Stati; sotto altro aspetto, c’è il pericolo di prassi eccessivamente lassiste, ovvero il rischio «che si consolidi, l’idea per cui le prove già autonomamente raccolte all’estero sulla base della lex loci potrebbero essere automaticamente ed acriticamente recepite nel nostro sistema, fidandosi ciecamente dell’operato delle autorità straniere». Per un approfondimento su tali questioni, volendo, W. Nocerino-O. Murro, Più luci che ombre nelle sentenze delle Sezioni Unite sui criptofonini, cit.

^[25] Cfr. EU Innovation Hub, First report on encryption, in www.europol.europa.eu, 2024.

^[26] Corte giust. UE, Grande Camera, 30 aprile 2024, M.N., cit.

^[27] Cfr. Eurojust, Eurojust annual report 2023, in www.eurojust.europa.eu, 26 settembre 2024.

^[28] Cfr. Eurojust, Eurojust annual report 2023, cit., p. 79 s.

^[29] Commissione europea, Roadmap for lawful and effective access to data for law enforcement, cit.

^[30] Commissione europea, High-level group on access to data for effective law enforcement – concluding report, in www.home-affairs.ec.europa.eu, 15 novembre 2024.

^[31] Cfr. Eurojust, Eurojust annual report 2024, in www.eurojust.europa.eu, 15 maggio 2025.

^[32] Europol, Global crackdown on encrypted communication platform MATRIX, in www.europol.europa.eu, 4 dicembre 2023.

^[33] Europol, Serious and Organised Crime Threat Assessment (SOCTA) report, in www.europol.europa.eu, 27 maggio 2025.

^[34] Commissione europea, Roadmap for lawful and effective access to data for law enforcement, cit.

^[35] In argomento, ex multis, R. Belfiore, Su alcuni aspetti del decreto di attuazione dell’ordine europeo di indagine penale, in Cass. pen., 2018, p. 400 ss.; Ead., The European investigation order in criminal matters: developments in evidence-gathering across the EU, in European criminal law review, 2015, 5, p. 312 ss.; O. Calavita, L’ordine europeo di indagine. Presente e futuro della cooperazione probatoria nell’Unione europea, Milano, 2024, passim; F. Ertola, L’ordine europeo di indagine penale, Milano, 2025, passim.

^[36] Come precisato nel First Report on Encryption, le operazioni EncroChat e Sky ECC possono essere considerate i primi esempi di indagini penali data-driven nello spazio giudiziario europeo, nelle quali l’oggetto dell’attività investigativa non è tanto il comportamento di un singolo individuo, quanto l’intero ecosistema comunicativo utilizzato da una rete criminale. Cfr. EU Innovation Hub, First report on encryption, cit.

^[37] In tema, fra gli altri, R. Geraci, Le squadre investigative comuni. Uno studio introduttivo, Torino, 2017, passim; L. Pulito, Le squadre investigative comuni. Prodromi, prospettive, avanguardie, Bari, 2023, passim.

^[38]In particolare, Europol ha svolto un ruolo fondamentale nell’analisi dei dati comunicativi acquisiti dai server delle piattaforme criptate, mettendo a disposizione degli Stati membri infrastrutture tecnologiche avanzate per il trattamento dei cosiddetti big data investigativi; Eurojust ha invece svolto una funzione di coordinamento giudiziario, facilitando la cooperazione tra le autorità giudiziarie dei diversi Stati membri e contribuendo alla gestione delle problematiche giuridiche connesse alla circolazione delle prove digitali.

^[39] Ci si riferisce alla libertà delle comunicazioni (art. 15 Cost.), nonché alla tutela della privatezza e della riservatezza, di cui all’art. 8 della Convenzione europea dei diritti dell’uomo e delle libertà fondamentali, che rappresentano – si sa – il fulcro di quel complesso di prerogative della personalità cui la Carta costituzionale e convenzionale riconoscono il carattere dell’intangibilità. Seppur condivisibile la concezione per cui l’art. 15 Cost. «è uno dei riferimenti utilizzabili per fondare e delimitare costituzionalmente la stessa nozione di riservatezza» (G. Salerno, La protezione della riservatezza e l’inviolabilità della corrispondenza, in R. Nania-P. Ridola (a cura di), I diritti costituzionali, Torino, 2006, p. 415), il diritto alla segretezza delle comunicazioni non va confuso con il diritto alla riservatezza su quanto è comunicato. Elemento distintivo della libertà di comunicare segretamente rispetto al diritto alla privacy è l’aspetto dinamico: vi deve essere un messaggio che un soggetto (mittente) voglia far pervenire nella sfera conoscitiva del destinatario senza che terzi ostacolino il rapporto comunicativo. La tutela della segretezza della comunicazione vuole evitare l’illegittima conoscenza del contenuto della comunicazione, «[…] mentre la tutela della riservatezza è rivolta particolarmente contro l’abuso che consegue alla legittima conoscenza sia del contenuto sia degli elementi esteriori della corrispondenza». Così V. Italia, Libertà e segretezza della corrispondenza e delle comunicazioni, Milano, 1963,p. 87. La segretezza è, dunque, funzionale all’azione comunicativa intersoggettiva e solo quelle situazioni di fatto astrattamente riconducibili alla libertà di comunicare riservatamente potranno godere della riserva di giurisdizione espressamente prevista dall’art. 15 Cost. Cfr. P. Balducci, Le garanzie nelle intercettazioni tra costituzione e legge ordinaria, Milano, 2002, p. 73 s.; A. Camon, Le intercettazioni nel processo penale, Milano, 1996, p. 33 ss. Sui rapporti tra investigazioni digitali e tutela della riservatezza, ex multis, S. Allegrezza, Giustizia penale e diritto all’autodeterminazione dei dati personali nella regione Europa, in D. Negri (a cura di), Protezione dei dati e accertamento penale. Verso la creazione di un nuovo diritto fondamentale?, Roma, 2007, p. 59 ss.; L. Luparia, Privacy, diritti della persona e processo penale, in Riv. dir. proc., 2019, p. 1448 ss. Sul tema, inoltre volendo, W. Nocerino, Le intercettazioni e i controlli preventivi. Riflessi sul procedimento probatorio, Padova, 2018, p. 231 ss.

^[40] Come precisa la Corte EDU, sussiste una violazione dell’art. 6, comma 2, Cedu tutte le volte in cui l’autorità giudiziaria non ha indicato in maniera esaustiva i motivi che hanno determinato la compressione delle libertà fondamentali. Corte EDU, 26 giugno 2016, Mugosa c. Montenegro; Corte EDU, 10 novembre 2015, Slavov e altri c. Bulgaria. Inoltre, sussiste una violazione dell’art. 8 Cedu ogni qualvolta il provvedimento con cui vengono disposte le intercettazioni non viene corredato da una solida motivazione quanto ai suoi presupposti; nondimeno, è compito dell’autorità monitorare con costanza la permanenza delle ragioni che, ai tempi, imponevano la captazione occulta. Da ultimo, Corte EDU, 12 gennaio 2023, Potoczka and Adamco c. Slovacchia.

^[41] Così Corte EDU, Grande Camera, 2 agosto 1984, Malone c. Regno Unito, n. 8691/79, § 67. Il principio è stato ribadito anche in diverse successive pronunce. Ex plurimis, 18 maggio 2010, Kennedy c. Regno Unito, n. 26839/05, § 118-129 e 151.

^[42] Si pensi quali l’art. 13 Cost., baluardo della libertà di ogni individuo, l’art. 14 Cost., posto a protezione del domicilio, l’art. 15 Cost., che tutela la libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione. nonché – spostando lo sguardo oltre i confini nazionali – l’art. 8 CEDU, in materia di riservatezza della vita privata e familiare nel suo complesso. In questo senso G. Ubertis, Sistema di procedura penale. Principi generali, Giuffrè, 2013, p. 202 ss.

^[43] Per tutti, R. Flor, voce Riservatezza informatica (tutela penale della), in Diritto online, www.treccani.it, 2017. Altri Autori parlano di «intangibilità della vita digitale» che che a differenza della garanzia della segretezza ed integrità dei sistemi informatici, non focalizza la propria sfera di protezione sullo strumento informatico in sé considerato ma si concentra sull’individuo in rapporto a qualunque dato o attività svolta nell’ambito di un sistema informatico e della Rete. Cfr. R. Orlandi, La riforma del processo penale fra correzioni strutturali e tutela “progressiva” dei diritti fondamentali, in Riv. it. dir. proc. pen., 2014, p. 1151; S. Signorato, Le indagini penali informatiche. Lessico, tutela dei diritti fondamentali. Questioni generali, Torino, 2017, p. 71.

^[44] S. Rodotà, voce Riservatezza, in Enc. italiana, VII, 2007, in www.treccani.it.

^[45] D. Negri, Compressione dei diritti di libertà e principio di proporzionalità, in Diritti della persona e nuove sfide del processo penale, Atti del XXXII Convegno dell’Associazione tra gli Studiosi del processo penale, Milano, 2019, p. 55; S. Signorato, Le indagini penali informatiche. Lessico, tutela dei diritti fondamentali. Questioni generali, Torino, 2017, p. 71.

^[46] Sul tema, senza pretese di completezza, D. Negri, Compressione dei diritti di libertà e principio di proporzionalità davanti alle sfide del processo penale contemporaneo, in Riv. it. dir. proc. pen., 2020, f. 1, p. 3 ss.; F. Nicolicchia, Il principio di proporzionalità nell’era del controllo tecnologico e le sue implicazioni processuali rispetto ai nuovi mezzi di ricerca della prova, in Dir. pen. cont., 8 gennaio 2018; G. Trogu, Intrusioni segrete nel domicilio informatico, in A. Scalfati (a cura di), Le indagini atipiche, II ed., Torino, 2019, p. 579.

^[47] Come precisato, «[L]a proporzionalità evoca […] una correlazione del mezzo rispetto al fine, nel senso che tra strumento normativo regolatore e realizzazione del fine che con esso si intende perseguire, l’opera di “bilanciamento” deve condurre ad un equilibrato componimento dei sacrifici». Così A. Macchia, Il controllo costituzionale di proporzionalità e ragionevolezza, in Cass. pen., 2020, p. 19 ss. Il principio è evocato a più riprese dalla Corte di Strasburgo. Cfr., più di recente, Corte EDU, 16 maggio 2023, Ships Waste Oil Collector B.V. c. Paesi Bassi, n. 2799/16; 12 gennaio 2023, Potoczka and Adamco c. Slovacchia, n. 7286/16. In dottrina, ampiamente, L. Parlato, Libertà della persona nell’uso delle tecnologie digitali: verso nuovi orizzonti di tutela nell’accertamento penale, in Proc. pen. giust., 2020, f. 2, p. 291.

^[48] Sul punto, I. Neroni Rezende, Criminal justice and data protection, Torino, 2026, p. 151 ss.; W. Nocerino, Le intercettazioni e i controlli preventivi, cit., p. 231 ss.

^[49] Direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002 relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche.

^[50] Secondo la previsione di cui all’art. 15, § 1, direttiva 2002/58/CE, «gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli artt. 5 e 6, qualora tale restrizione costituisca […] una misura necessaria, opportuna e proporzionata […] per […] l’accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica».

^[51] In un già affastellato contesto normativo, si aggiungono le previsioni di cui agli artt. 132 Cod. privacy e 24, l. 20 novembre 2017, n. 167, per cui si impongono doveri di cancellazione dei dati di traffico telefonico, telematico e delle chiamate senza risposta entro un periodo massimo di settantadue mesi. Sul tema, per tutti, A. Malacarne – G. Tessitore, La ricostruzione della normativa in tema di data retention e l’ennesima scossa della Corte di giustizia: ancora inadeguata la normativa interna?, in Arch. pen., 2022, 3, p. 1.

^[52] CGUE, Grande Sezione, sentenza 20 settembre 2022, n. 793; Grande Sezione, sentenza 5 aprile 2022, n. 140.

^[53] Come evidenziato, «[I]l rito penale deve certo ispirarsi alle innovazioni tecnologiche: la criminalità si evolve, si attrezza, diventa sempre più subdola e pericolosa; a tale progresso deve adeguarsi il processo, pena la trasformazione in un’arma spuntata, inidonea a raggiungere lo scopo». Così C. Conti, Prova informatica e diritti fondamentali: a proposito di captatore e non solo, in Dir. pen. proc., 2019, p. 1210.

^[54] La dottrina, in particolare quella costituzionalistica, si è lungamente interrogata sulla definizione di “sicurezza” e sul suo fondamento costituzionale. Secondo G. Cerrina Feroni – G. Morbidelli, La sicurezza: un valore superprimario, La sicurezza: un valore superprimario, in Percorsi costituzionali, 2018, 1, p. 1 ss., la sicurezza non è solo un diritto costituzionale, ma «un valore superprimario», che, in quanto tale, non si presta al bilanciamento secondo i canoni tradizionali. Secondo P. Zanon, Un diritto fondamentale alla sicurezza?, in Dir. pen. proc., 2019, 11, p. 1555, anche la sicurezza rientra a pieno titolo tra i diritti personali e primari, perfettamente conformi allo Stato di diritto. Sul tema, diffusamente, M. Dogliani, Il volto costituzionale della sicurezza, in AA. VV., I diversi volti della sicurezza, a cura di G. Cocco, Giuffrè, 2012, p. 1 ss.; S.W. Brenner, Cybercrime, cyberterrorism and cyberwarfare, in Revue internationale de droit penal, 2007, p. 453 ss; A. Pace, Libertà e sicurezza. Cinquant’anni dopo, in AA. VV., Costituzioni e sicurezza dello Stato, a cura di A. Torre, Maggioli, 2014, p. 551 ss.; C. Sarzana Di Sant’Ippolito, Sicurezza informatica e lotta alla cybercriminalità: confusione di competenze e sovrapposizione di iniziative amministrative e legislative, in Dir. internet, 2005, f. 5, p. 437 ss. Con precipuo riferimento alla sicurezza informatica quale nuovo bene protetto, per tutti, R. Flor, Riservatezza informatica e sicurezza informatica quali nuovi beni giuridici penalmente protetti, in Aa. Vv., Mobilità, sicurezza e nuove frontiere tecnologiche, a cura di V. Militello-A. Spena, Giappichelli, 2018, p. 463 s.

^[55] Così G. Cerrina Feroni – G. Morbidelli, La sicurezza: un valore superprimario, cit., p. 3 s.

^[56] Come sottolinea S. Allegrezza, Prova scientifica e dimensione europea, in G. Canzio – L. Lupária (a cura di), Prova scientifica e processo penale, III ed., Padova, 2025, p. 136, il diritto delle prove europeo è ormai polarizzato esclusivamente sui meccanismi di cooperazione tra gli Stati membri.

^[57] La trasformazione del ruolo di Europol in pieno hub investigativo è già riscontrabile all’interno del Reg. (UE) 2016/794, in cui l’all. II tende ad ampliare la mole di dati di cui può disporre l’Agenzia, avvicinandola progressivamente ai compendi informativi dei servizi nazionali di intelligence. In argomento, fra gli altri, T. Quintel, Europol’s data dominance: the multifaceted involvement and impact of data analytics across sectors, in European papers, 2025, 10, 3, p. 747 ss.

^[58] In tema, Kostoris (a cura di), Manuale di diritto processuale penale europeo, VI ed., Milano, 2025, passim.

^[59] Tra le normative europee stratificatesi sul punto, si ricordano la dir. 2014/41/UE relativa all’O.E.I. e il Secondo Protocollo addizionale alla Convenzione di Budapest del 2021.

^[60] In argomento, A. Juszczak, E. Sason, The use of electronic evidence in the European Area of Freedom, Security, and Justice, cit., p. 182 ss.; F. Sanvitale, La tutela dei diritti nel c.d. e-evidence package, cit., p. 1475 ss.

^[61] In tema, fra gli altri, R. Belfiore, Su alcuni aspetti del decreto di attuazione dell’ordine europeo di indagine penale, cit., p. 400 ss.; Ead., The European investigation order in criminal matters: developments in evidence-gathering across the EU, cit., p. 312 ss.; O. Calavita, L’ordine europeo di indagine. Presente e futuro della cooperazione probatoria nell’Unione europea, cit., p. 289 ss.; F. Ertola, L’ordine europeo di indagine penale, cit., p. 333 ss.

^[62] Sul punto, ex multis, V. Bajovic-V. Coric, Encrochat and Sky ecc Data as Evidence, cit., p. 260; D. Curtotti-V. Rizzi-W. Nocerino-A.M. Russitto-G. Giliberti-G. Scarpa, Piattaforme criptate e prova penale, cit., p. 196; W. Nocerino, L’acquisizione della messaggistica su sistema criptati: intercettazioni o prova documentale?, in Cass. pen., 2023, p. 2801; C. Pallante, Investigations into encrypted platforms, cit., p. 7.

^[63] Secondo G. Spangher, Criptofonini: le sentenze delle Sezioni Unite, cit., p.  3, «occorre riscrivere lo statuto delle prove penali stante l’inadeguatezza dell’attuale disciplina sia sotto il profilo della necessità di accrescere la riserva di giurisdizione, sia alla luce a questa collegata delle implicazioni dello sviluppo scientifico e tecnologico, anche nella prospettiva dell’IA». Secondo F. Nicolicchia, A passi incerti nel solco di categorie evanescenti, cit., p. 201, non bisogna per forza “salvare” la prova (e quindi lo strumento di cooperazione con cui questa circola), risultando più opportuno stimolare il legislatore ad intervenire in materia.

^[64] Una simile categoria si distinguerebbe dalle intercettazioni tradizionali per almeno due profili: in primo luogo, per il fatto che l’attività investigativa è rivolta all’infrastruttura comunicativa e non esclusivamente ai singoli utenti; in secondo luogo, per la dimensione necessariamente transnazionale delle operazioni che richiede il coordinamento tra autorità giudiziarie di diversi Stati e il ricorso agli strumenti di cooperazione previsti dal diritto dell’UE.