Articolo Pubblicazioni

Convenzione di Budapest (2001): il trattato sul cybercrime che fonda le indagini digitali

di · Pubblicato il 10 dicembre 2001

Abstract

Il 23 novembre 2001 a Budapest trenta Stati, fra cui l’Italia, hanno firmato la prima convenzione internazionale sulla criminalità informatica. L’articolo ne descrive la struttura in tre parti: i reati che ogni Stato dovrà prevedere, i poteri di indagine sui dati informatici, dalla conservazione rapida al sequestro, e gli strumenti di cooperazione internazionale. Indica poi che cosa comporterà la ratifica per il codice di procedura penale italiano e per chi svolge accertamenti tecnici sui computer.

Vincenzo Calabrò | Convenzione di Budapest (2001): il trattato sul cybercrime che fonda le indagini digitali
 

Un trattato atteso da anni

Il 23 novembre 2001 a Budapest il Consiglio d’Europa ha aperto alla firma la Convenzione sulla criminalità informatica. L’hanno sottoscritta trenta Stati, cioè ventisei membri del Consiglio, fra cui l’Italia, e quattro Paesi che hanno partecipato ai lavori pur non facendone parte, Stati Uniti, Canada, Giappone e Sudafrica. Il testo è il risultato di quattro anni di negoziato e arriva in un momento in cui gli attacchi informatici hanno ormai una dimensione globale. Il worm ILOVEYOU del maggio 2000 e Code Red e Nimda nell’estate e nell’autunno di quest’anno hanno colpito milioni di computer in pochi giorni, senza riguardo per i confini nazionali.
Il problema che la Convenzione vuole risolvere è semplice da descrivere. Un reato commesso con un computer può partire da un Paese, passare per server collocati in altri tre e produrre danni in un quinto. Le leggi nazionali sono diverse, le definizioni dei reati non coincidono e le procedure di assistenza giudiziaria richiedono mesi, mentre i dati utili alle indagini, come i log di un provider, possono essere cancellati in pochi giorni.

La struttura della Convenzione

Il testo si divide in tre parti, che riguardano il diritto penale sostanziale, il diritto processuale e la cooperazione internazionale. Gli Stati che la ratificheranno dovranno adeguare la propria legislazione su tutti e tre i fronti.

I reati

La prima parte elenca le condotte che ogni Stato dovrà punire. Sono raggruppate in quattro categorie:
  • i reati contro la riservatezza, l’integrità e la disponibilità dei dati e dei sistemi, cioè l’accesso illegale, l’intercettazione illegale, il danneggiamento dei dati, l’attentato all’integrità di un sistema e l’abuso di dispositivi, compresi i programmi e le password diffusi per commettere questi reati;
  • i reati informatici in senso stretto, cioè la falsificazione e la frode commesse attraverso un computer;
  • i reati legati ai contenuti, con la pornografia infantile diffusa attraverso sistemi informatici;
  • le violazioni del diritto d’autore e dei diritti connessi commesse su larga scala con strumenti informatici.
La Convenzione prevede anche la responsabilità delle persone giuridiche per i reati commessi a loro vantaggio da chi ha un ruolo direttivo, un tema che in Italia si collega al decreto legislativo 231 approvato a giugno di quest’anno sulla responsabilità amministrativa degli enti. Oggi quel decreto non comprende i reati informatici, e la Convenzione spinge in quella direzione.

I poteri di indagine

La seconda parte è quella che interessa di più chi lavora sulle prove digitali. Per la prima volta un testo internazionale riconosce che i dati informatici sono volatili e richiedono strumenti specifici. Gli Stati dovranno prevedere:
  • la conservazione rapida dei dati già memorizzati, compresi i dati di traffico, su ordine dell’autorità, per il tempo necessario a ottenerne l’acquisizione formale;
  • l’ordine di produzione, con cui l’autorità chiede a una persona o a un fornitore di servizi di consegnare dati che possiede;
  • la perquisizione e il sequestro di sistemi e supporti informatici, con la possibilità di copiare i dati e di mantenerne l’integrità;
  • la raccolta in tempo reale dei dati di traffico e, per i reati gravi, l’intercettazione del contenuto delle comunicazioni.
Questi poteri dovranno essere esercitati nel rispetto dei diritti fondamentali e del principio di proporzionalità. La Convenzione lascia agli Stati il compito di stabilire le garanzie, ma chiede che esistano e che siano controllate da un giudice o da un’autorità indipendente.

La cooperazione internazionale

La terza parte regola l’assistenza fra Stati. Le richieste di conservazione rapida potranno essere trasmesse prima della rogatoria vera e propria, così da evitare che i dati vengano cancellati mentre la procedura segue il suo corso. Ogni Stato dovrà designare un punto di contatto disponibile ventiquattro ore su ventiquattro, sette giorni su sette, per le richieste urgenti. È previsto inoltre l’accesso diretto ai dati pubblicamente disponibili, o a quelli per cui la persona autorizzata a divulgarli presta il consenso, anche se si trovano in un altro Stato.

Che cosa cambierà in Italia

La firma è il primo passo. La Convenzione entrerà in vigore quando sarà ratificata da cinque Stati, fra cui almeno tre membri del Consiglio d’Europa, e ogni Paese dovrà poi recepirla nel proprio ordinamento. Per l’Italia questo significherà rivedere la legge 547 del 1993 sui reati informatici, che già punisce l’accesso abusivo e il danneggiamento di sistemi, e soprattutto intervenire sul codice di procedura penale, che oggi non contiene regole specifiche per l’ispezione, la perquisizione e il sequestro di dati informatici.
Proprio su questo punto la Convenzione avrà gli effetti più concreti. Oggi le copie dei dischi vengono eseguite seguendo le prassi dei singoli operatori, e la loro validità dipende molto dalla documentazione prodotta. Un quadro normativo che imponga di preservare l’integrità dei dati acquisiti darà più certezza a chi indaga e a chi difende.

Che cosa significa per il lavoro tecnico

Anche prima della ratifica, la Convenzione indica alcune buone pratiche che chi svolge accertamenti su computer e reti dovrebbe adottare fin da ora:
  1. richiedere subito ai fornitori di servizi la conservazione dei log rilevanti, prima che vengano sovrascritti;
  2. acquisire i supporti con copie integrali, documentando gli strumenti usati e i valori di controllo calcolati sui dati;
  3. separare i dati pertinenti all’indagine da quelli estranei, a tutela della riservatezza delle persone coinvolte;
  4. annotare ogni passaggio, dal sequestro all’analisi, così che le operazioni possano essere verificate da un consulente di parte.
Sono regole di buon senso tecnico che la Convenzione trasforma in un obiettivo comune per tutti gli Stati firmatari. Il loro rispetto renderà le prove informatiche più solide anche nei procedimenti con risvolti internazionali, che saranno in crescita.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn