Articolo Pubblicazioni

Legge 48/2008: la ratifica della Convenzione di Budapest e le nuove regole sulla prova digitale

di · Pubblicato il 21 aprile 2008

Abstract

La legge 18 marzo 2008, n. 48, pubblicata in Gazzetta Ufficiale il 4 aprile e in vigore dal giorno successivo, ratifica la Convenzione del Consiglio d’Europa sulla criminalità informatica firmata a Budapest nel 2001. L’articolo, scritto a poche settimane dall’entrata in vigore, riassume le modifiche al codice di procedura penale, che per la prima volta chiede misure tecniche per conservare i dati originali e impedirne l’alterazione, i nuovi reati informatici, la responsabilità degli enti prevista dall’art. 24-bis del D.Lgs. 231/2001 e le conseguenze pratiche per polizia giudiziaria e consulenti.

Vincenzo Calabrò | Legge 48/2008: la ratifica della Convenzione di Budapest e le nuove regole sulla prova digitale
 

Sette anni dopo Budapest

A più di sei anni dalla firma, l’Italia ha ratificato la Convenzione di Budapest sulla criminalità informatica. La legge 18 marzo 2008, n. 48, è stata pubblicata in Gazzetta Ufficiale il 4 aprile ed è in vigore dal 5 aprile. Oltre alla ratifica, la legge modifica il codice penale, il codice di procedura penale e il decreto legislativo 231 del 2001, e interviene sul Codice in materia di protezione dei dati personali.
Per chi lavora sulle prove digitali è il cambiamento più importante degli ultimi anni. Finora il codice di procedura penale non conteneva regole specifiche per i dati informatici, e la qualità delle acquisizioni dipendeva dalle prassi dei singoli. Ora la legge fissa un principio generale.

Il principio di conservazione

In più articoli del codice compare la stessa formula. Quando le operazioni riguardano sistemi informatici o telematici, l’autorità deve adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. Il principio vale per:
  • le ispezioni (art. 244);
  • le perquisizioni (art. 247), anche quando sono eseguite dalla polizia giudiziaria di propria iniziativa (art. 352);
  • gli accertamenti urgenti sui luoghi e sulle cose (art. 354), per i quali la legge prevede anche, ove possibile, l’immediata duplicazione su adeguati supporti con una procedura che assicuri la conformità della copia all’originale;
  • la custodia delle cose sequestrate (art. 259) e la copia dei dati su supporti idonei (art. 260).
La legge non dice quali strumenti usare, e fa bene, perché la tecnologia cambia più in fretta delle norme. Indica però il risultato da raggiungere. Una copia bit a bit con write blocker e valori di hash è oggi il modo più diffuso per soddisfarlo.

Il sequestro presso i fornitori di servizi

Il nuovo art. 254-bis disciplina il sequestro di dati informatici presso i fornitori di servizi informatici, telematici e di telecomunicazioni. Per non interrompere il servizio, l’autorità può disporre che l’acquisizione avvenga mediante copia su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti a quelli originali, ordinando al fornitore di conservare e proteggere adeguatamente i dati originali. La corrispondenza informatica, compresa la posta elettronica, può essere sequestrata presso i gestori secondo le regole già previste per la corrispondenza (art. 254).

La conservazione dei dati di traffico

La legge interviene anche sul Codice in materia di protezione dei dati personali. Il Ministro dell’interno e i responsabili delle forze di polizia possono ora ordinare ai fornitori di servizi la conservazione e la protezione dei dati di traffico telematico, escluso il contenuto delle comunicazioni, per un periodo non superiore a novanta giorni, prorogabile, per svolgere investigazioni preventive o accertare reati. Il provvedimento deve essere comunicato al pubblico ministero, che lo convalida se ne ricorrono i presupposti. È la traduzione italiana della conservazione rapida prevista dalla Convenzione, pensata per evitare che i log vengano cancellati mentre si attende un decreto di acquisizione.
Per i consulenti che assistono le persone offese questa possibilità è preziosa. Una denuncia tempestiva permette di chiedere subito la conservazione dei dati presso il provider, prima che i tempi ordinari di cancellazione li facciano sparire.

I nuovi reati

Sul piano sostanziale la legge riscrive e completa i reati informatici introdotti nel 1993:
  • il danneggiamento di informazioni, dati e programmi informatici, distinto da quello di sistemi informatici, con ipotesi aggravate se riguardano sistemi di pubblica utilità (artt. 635-bis, ter, quater e quinquies c.p.);
  • la diffusione di apparecchiature, dispositivi o programmi diretti a danneggiare un sistema informatico (art. 615-quinquies);
  • la frode informatica del certificatore di firma elettronica (art. 640-quinquies);
  • la falsità in documenti informatici, ora riferita alla nuova definizione di documento informatico (art. 491-bis).
La competenza per molti di questi reati passa alle procure distrettuali, con l’obiettivo di concentrare competenze tecniche in uffici specializzati. È una scelta che dovrebbe favorire la formazione di magistrati e investigatori dedicati, anche se richiederà tempo e risorse.

La responsabilità degli enti

Con il nuovo art. 24-bis, i delitti informatici e il trattamento illecito di dati entrano nell’elenco dei reati presupposto del D.Lgs. 231/2001. Se commessi nell’interesse o a vantaggio di una società da chi vi lavora, possono comportare sanzioni pecuniarie e interdittive per l’ente. Per le imprese significa aggiornare i modelli di organizzazione e gestione con controlli sull’uso dei sistemi informatici, sulle credenziali e sul trattamento dei dati.

Che cosa cambia nella pratica

Le conseguenze per polizia giudiziaria e consulenti sono immediate:
  1. ogni operazione su un sistema acceso o su un supporto va pianificata pensando a come preservare i dati originali;
  2. il verbale deve descrivere gli strumenti usati, le misure adottate e i valori di controllo calcolati;
  3. quando un’operazione non può essere ripetuta, occorre valutare la disciplina degli accertamenti tecnici non ripetibili, con l’avviso alle parti;
  4. la difesa ha ora un parametro normativo per contestare acquisizioni eseguite senza cautele.
La legge non stabilisce sanzioni processuali esplicite per il mancato rispetto delle misure tecniche, e sarà la giurisprudenza a dire quali conseguenze avrà un’acquisizione eseguita male. È comunque prevedibile che le contestazioni sulla genuinità delle prove informatiche diventeranno più frequenti, e che le copie documentate con rigore faranno la differenza.
Per i consulenti di parte la legge è un riferimento utile anche in senso inverso. Davanti a una copia consegnata senza valori di controllo, senza descrizione degli strumenti o eseguita direttamente sul supporto originale, si potrà chiedere al giudice di valutare se le misure tecniche richieste dal codice siano state rispettate e quale affidabilità abbiano i dati.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn