Articolo Pubblicazioni

Accesso ai dati dello smartphone sequestrato: la sentenza CGUE C-548/21

di · Pubblicato il 14 ottobre 2024

Abstract

Il 4 ottobre 2024 la Grande Sezione della Corte di giustizia dell’Unione europea si è pronunciata su un caso austriaco in cui la polizia aveva tentato di accedere ai dati di un telefono sequestrato senza autorizzazione. La Corte ha stabilito che l’accesso ai dati di un telefono in un’indagine penale deve essere proporzionato e, salvo urgenza, autorizzato da un giudice o da un’autorità amministrativa indipendente. L’articolo spiega la decisione e le sue conseguenze per le procedure di estrazione e analisi dei dispositivi mobili in Italia.

Vincenzo Calabrò | Accesso ai dati dello smartphone sequestrato: la sentenza CGUE C-548/21
 

Il caso

In Austria le autorità avevano intercettato un pacco contenente circa ottantacinque grammi di cannabis e avevano sequestrato il telefono del destinatario. La polizia aveva tentato di sbloccarlo per accedere ai dati, senza un’autorizzazione del pubblico ministero o di un giudice e senza informare l’interessato. Il tribunale amministrativo del Tirolo, chiamato a valutare il ricorso, ha chiesto alla Corte di giustizia se questo modo di procedere fosse compatibile con il diritto dell’Unione.

La norma applicabile

La Corte ha chiarito che il caso rientra nella direttiva (UE) 2016/680, che regola il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine e perseguimento dei reati. La direttiva 2002/58 sulla vita privata nelle comunicazioni elettroniche, invocata in molte sentenze sui tabulati, riguarda gli obblighi dei fornitori di servizi e resta estranea a questo caso. La Corte ha anche precisato che il semplice tentativo di accedere ai dati costituisce già un trattamento, anche se non riesce.

Che cosa ha deciso

La sentenza afferma questi principi:
  1. l’accesso ai dati di un telefono può costituire un’ingerenza grave, o anche particolarmente grave, nei diritti alla vita privata e alla protezione dei dati, perché consente di ricostruire aspetti molto intimi della vita di una persona;
  2. l’accesso è ammesso anche per reati che non rientrano nelle forme gravi di criminalità, purché la legge nazionale definisca con sufficiente precisione la natura o le categorie dei reati per cui è ammesso;
  3. in ogni caso va svolto un bilanciamento tra la gravità del reato, l’ingerenza nei diritti e le esigenze dell’indagine;
  4. salvo casi di urgenza debitamente giustificati, l’accesso deve essere sottoposto al controllo preventivo di un giudice o di un’autorità amministrativa indipendente;
  5. la persona interessata va informata dei motivi dell’accesso appena questa informazione non rischia più di compromettere l’indagine.

Perché è rilevante in Italia

Nel nostro ordinamento il sequestro di uno smartphone e l’estrazione dei suoi dati sono di regola disposti con decreto del pubblico ministero, ai sensi degli articoli 253 e seguenti del codice di procedura penale, con la possibilità di riesame. La Corte di giustizia, nella sentenza Prokuratuur del 2021 sui tabulati, aveva già affermato che il pubblico ministero che dirige le indagini non è un’autorità indipendente ai fini del controllo preventivo. Applicato ai dati del telefono, questo principio mette in discussione la prassi attuale. Al Parlamento è all’esame un disegno di legge, già approvato dal Senato ad aprile 2024, che introdurrebbe un articolo 254-ter con l’autorizzazione del giudice per il sequestro dei dispositivi.

Proporzionalità e tecnica

La sentenza parla il linguaggio del diritto, ma ha ricadute tecniche dirette. Se l’accesso deve essere proporzionato, conta quali dati si estraggono e quali si esaminano. Un telefono contiene anni di messaggi, fotografie, posizioni, dati sanitari, credenziali, comunicazioni con il difensore. L’estrazione integrale resta spesso necessaria per ragioni tecniche, perché molte prove si trovano in database o in aree che non si possono isolare a priori. L’esame successivo può e deve essere mirato.
Per chi esegue le estrazioni alcune pratiche aiutano a rispettare il principio:
  • indicare nel verbale il provvedimento che autorizza l’accesso e il suo perimetro, per reato, periodo e tipo di dati;
  • separare la fase di acquisizione, documentata con hash, dalla fase di esame;
  • applicare filtri documentati per periodo, interlocutori e categorie di dati, conservando i parametri usati;
  • registrare con un log ogni ricerca effettuata sui dati, in modo che le altre parti possano ricostruire che cosa è stato esaminato;
  • escludere dall’esame le comunicazioni coperte da tutele particolari, come quelle con il difensore, salvo diversa indicazione dell’autorità.

Il ruolo del giudice e dell’urgenza

La Corte ammette l’accesso senza controllo preventivo nei casi di urgenza debitamente giustificati, come il rischio concreto che i dati vengano cancellati da remoto o la necessità di prevenire un reato imminente. In questi casi il controllo deve avvenire a breve distanza di tempo. Per i laboratori significa predisporre procedure che consentano di mettere in sicurezza il dispositivo subito, con l’isolamento dalla rete e la conservazione dello stato, rinviando l’estrazione al momento in cui l’autorizzazione è disponibile. Le buste schermate e la modalità aereo, documentate con fotografie e orari, servono proprio a questo.
Il bilanciamento tra gravità del reato e ingerenza riguarda anche la scelta degli strumenti. Per un reato di modesta gravità un’estrazione limitata a una sola applicazione o a un periodo breve può essere la soluzione proporzionata, mentre per un’indagine di criminalità organizzata può giustificarsi un’analisi completa.

Il tentativo di accesso

Il fatto che anche il tentativo sia un trattamento ha una conseguenza pratica. Le operazioni di sblocco con strumenti di forza bruta o di sfruttamento di vulnerabilità, che possono durare settimane, sono a loro volta un accesso da autorizzare e documentare. Il verbale dovrebbe indicare lo strumento usato, la sua versione, il metodo, la durata e l’esito, anche quando lo sblocco non riesce.

L’informazione dell’interessato

L’obbligo di informare la persona sui motivi dell’accesso, quando questo non nuoce più all’indagine, va letto insieme al diritto di difesa. Una persona informata può chiedere quali dati sono stati estratti, contestarne l’uso e nominare un consulente. Per il consulente della difesa diventa importante ottenere la copia forense integrale e la documentazione delle ricerche effettuate, per verificare che l’esame sia rimasto nei limiti del provvedimento.
 
Vedi anche: l’articolo del 2025 Mobile forensics, l’articolo del 2021 Tabulati telefonici dopo il d.l. 132/2021 e l’articolo del 2023 La sentenza 170/2023.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn