Il Consiglio d’Europa ha adottato, il 14 febbraio 2023, una decisione che autorizza gli Stati membri a ratificare il secondo protocollo addizionale alla Convenzione sulla criminalità informatica, anche nota come Convenzione di Budapest.
Il protocollo, al momento firmato da 34 Paesi, dei quali 18 membri dell’UE, intende fornire gli strumenti per rafforzare la cooperazione tra gli Stati nel contrasto alla criminalità informatica.
In un momento in cui le operazioni criminali online sono in aumento, gli Stati si trovano a confrontarsi con la difficoltà di ottenere prove elettroniche (e-evidence), mentre i confini territoriali costituiscono un limite all’azione delle forze dell’ordine e solo una quota molto piccola della criminalità informatica segnalata alle autorità va incontro a procedimenti giudiziari.
Indice degli argomenti
Le prove elettroniche nella lotta al cyber crime
Le prove elettroniche sono dati digitali, come messaggi di testo, contenuti audiovisivi e informazioni sugli account, che potrebbero essere utilizzati all’interno di un processo giudiziario. Questi dati possono essere utilizzati per identificare una persona o ottenere informazioni sulle sue attività.
Nel 2016, dopo gli attentati terroristici di Bruxelles, si è imposta la necessità di trovare modalità per ottenere più rapidamente ed efficacemente prove digitali.
Nell’aprile 2018 furono quindi proposte delle norme per consentire alle autorità giudiziarie di un Paese UE di chiedere direttamente l’accesso alle prove elettroniche conservate da qualsiasi prestatore di servizi nell’Unione europea, sia esso stabilito o rappresentato in un altro Stato membro, senza passare per le autorità dello Stato in questione. In questo senso, nel settembre 2019 sono iniziati anche i negoziati con gli Stati Uniti
Gli obiettivi del protocollo
Il protocollo intende ovviare a questi problemi, fornendo degli strumenti per agevolare la divulgazione di prove elettroniche, come la collaborazione diretta con i fornitori di servizi e le autorità di registrazione, e la cooperazione immediata in caso di emergenza con squadre investigative comuni e indagini congiunte. Allo stesso tempo intende mantenere un sistema di salvaguardia dei diritti umani e dello Stato di diritto, anche per quanto riguarda la protezione dei dati personali.
Per favorire queste procedure, il Consiglio definisce gli attori che andranno a operare in questo contesto:
- “autorità centrale”: l’autorità o le autorità designate ai sensi di un trattato o di un accordo di assistenza reciproca sulla base della legislazione uniforme o reciproca in vigore tra le Parti interessate o, in mancanza di questa, l’autorità o le autorità designate da una Parte;
- “autorità competente”: un’autorità giudiziaria, amministrativa o un’altra autorità preposta all’applicazione della legge che è abilitata dal diritto nazionale a ordinare, autorizzare o intraprendere l’esecuzione di misure di misure ai sensi del Protocollo ai fini della raccolta o della produzione di prove in relazione a specifiche indagini o procedimenti penali;
- “parte trasferente”: la Parte che trasmette i dati in risposta a una richiesta o nell’ambito di una squadra investigativa comune o una Parte nel cui territorio si trova un fornitore di servizi di trasmissione o un’entità che fornisce servizi di registrazione di nomi di dominio.
L’accesso transfrontaliero alle prove elettroniche
Il 25 gennaio, in un comunicato stampa, è stata resa nota la conferma di un accordo tra la Presidenza del Consiglio dell’UE e il Parlamento Europeo su dei progetti relativi all’accesso transfrontaliero delle prove elettroniche. Questi progetti intendono consentire alle autorità competenti di trasmettere ordini giudiziari, relativi alle prove reperite, direttamente ai prestatori di servizi di un altro Stato membro.
La prima proposta è costituita dal regolamento relativo agli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali. Questa mira a introdurre un meccanismo alternativo agli attuali strumenti di cooperazione internazionale e assistenza giudiziaria reciproca, affrontando i problemi derivanti dalla natura volatile delle e-evidence e dall’aspetto collegato alla “delocalizzazione” delle stesse.
Il regolamento intende istituire ordini europei di produzione e di conservazione che possono essere emessi dalle autorità giudiziarie per ottenere o conservare le prove a prescindere dall’ubicazione dei dati.
È stata fissata una soglia per i dati relativi al traffico (esclusi quelli richiesti al solo scopo di identificare l’utente) e per i dati relativi al contenuto, che possono essere richiesti solo per reati punibili nel Paese di emissione con una pena detentiva della durata massima di tre anni o per reati legati alla criminalità informatica, alla pedopornografia, alle falsificazioni di mezzi di pagamento diversi dai contanti o al terrorismo.
Oltre al regolamento è stata proposta una direttiva che stabilisce le norme applicabili alla nomina dei rappresentanti legali dei prestatori di servizi o alla designazione dei loro stabilimenti incaricati di rispettare tali ordini. Questo a causa della mancanza di obblighi giuridici per i prestatori di servizi di Paesi terzi di essere fisicamente presenti nell’UE. Inoltre, i rappresentanti legali o gli stabilimenti designati a norma della direttiva potrebbero essere coinvolti anche nelle procedure nazionali.
Il ruolo cardine dell’European Union Cybercrime Task Force
Oltre al nuovo protocollo emanato dal Consiglio d’Europa, la collaborazione europea per il contrasto alle minacce cibernetiche ha come elemento cardine l’European Union Cybercrime Task Force (EUCTF). Si tratta di un’agenzia creata nel 2010 dall’EUROPOL insieme alla Commissione Europea e agli Stati Membri.
L’EUCTF è composto dai capi delle unità nazionali per la criminalità informatica dei singoli Paesi e da rappresentanti dell’EUROPOL, della Commissione Europea, dell’Unità di Cooperazione Giudiziaria dell’Unione Europea (EUROJUST) e dell’Agenzia dell’Unione Europea per la Formazione delle Autorità di Contrasto (CEPOL).I suoi obiettivi principali sono:
- prevenire e individuare il crimine informatico;
- promuovere un’efficace governance di Internet;
- smantellare le infrastrutture criminali;
- combattere l’economia sommersa in rete;
- migliorare la condivisione delle informazioni e la cooperazione operativa con le forze dell’ordine nazionali;
- collaborare con l’industria della sicurezza informatica;
- supervisionare lo sviluppo della formazione;
- fornire consulenza alle istituzioni dell’UE sugli sviluppi relativi alla criminalità informatica;
- cooperare con EUROPOL su questioni relative alla cybersecurity;
- coadiuvare EUROJUST e la Rete Giudiziaria Europea per la Criminalità Informatica (EJCN);
- favorire le buone pratiche investigative internazionali;
- sostenere una legislazione efficace per combattere la criminalità informatica.
Le novità per gli scambi delle prove tra paesi terzi
Altrettanto importanti in questo ambito sono gli scambi con i Paesi terzi, soprattutto con quelli dell’Associazione delle Nazioni del Sud-Est Asiatico (ASEAN). Nell’agosto 2019, l’UE e l’ASEAN hanno rilasciato la Dichiarazione sulla Cooperazione in materia di Sicurezza Informatica. Il documento sottolinea l’onere delle due parti di rispettare il diritto internazionale, in particolare la Carta delle Nazioni Unite, al fine di garantire la pace e la stabilità e promuovere un cyberspazio aperto, sicuro, stabile, accessibile e pacifico.
Allo stesso tempo, le due organizzazioni si impegnano a facilitare l’attenuazione delle minacce informatiche e a implementare misure regionali per aumentare la cooperazione interstatale, la trasparenza, la prevedibilità dei rischi e la sicurezza internazionale.
Infine, viene messa in risalto l’importanza dello scambio di migliori pratiche riguardanti, tra le varie cose, le norme di comportamento responsabile nel cyberspazio tra gli Stati.
Secondo Eugenio Benincasa, Research Fellow presso il Pacific Forum di Honolulu, nonostante i progressi fatti, permarrebbero ancora diversi ostacoli nel partenariato ASEAN-UE per prevenire e combattere la criminalità informatica. Tra questi ci sarebbero la cooperazione nelle indagini, il perseguimento dei crimini e la condivisione delle prove elettroniche.
La Convenzione di Budapest è attualmente l’unico strumento giuridico multilaterale che affronta i crimini informatici e la cooperazione internazionale in rete. Sebbene gli Stati membri dell’UE abbiano attuato le sue disposizioni, la Convenzione non è riuscita a raggiungere un consenso universale. Infatti, solo 67 Stati l’hanno ratificata ed è stata respinta dai principali attori globali per varie ragioni, come la sua percepita violazione del principio della sovranità nazionale. Le Filippine sono state l’unico Paese dell’ASEAN a ratificarla.
Nuove sfide strutturali nella lotta al cyber crime
Il rafforzamento della cooperazione ASEAN-UE presenterebbe anche sfide strutturali. Mentre gli Stati Membri dell’UE hanno adottato un quadro comune, le capacità e le priorità nazionali variano notevolmente all’interno dell’ASEAN, creando una disparità nella legislazione e nell’applicazione delle norme tra gli Stati. Esistono inoltre importanti differenze nella definizione di condotta criminale nel cyberspazio e nella raccolta di prove.
Qualora gli Stati membri dell’ASEAN armonizzassero le loro leggi e i loro standard, prosegue Benincasa, l’UE dovrebbe prendere in considerazione la possibilità di negoziare un trattato di assistenza legale reciproca (MLA). Un accordo di questo tipo dovrebbe facilitare le indagini e i procedimenti relativi a reati informatici in tutta l’ASEAN e l’UE, superando le divergenze riscontrate nell’ambito della Convenzione di Budapest.
Queste misure, conclude Benincasa, consentirebbero alle due parti di colmare importanti lacune e di migliorare la resilienza informatica complessiva. Poiché le due organizzazioni regionali sono sempre più interconnesse e sono state ambedue fondate per promuovere la pace e la formazione di un mercato unico, sarebbe fondamentale costruire un ambiente in rete più sicuro che possa fungere da fattore abilitante per il progresso economico di entrambe le parti.
Secondo Miguel Alberto Gomez, Ricercatore Senior presso il Centro per gli Studi sulla Sicurezza (CSS) del Politecnico di Zurigo, l’azione dell’UE nella regione dell’Indo-Pacifico potrebbe risultare incisiva nel rafforzamento della fiducia tra forze dell’ordine, istituzioni militari e civili. Queste attività consentirebbero ai partecipanti di osservare come gli altri percepiscono il cyberspazio e la sicurezza e di far emergere le loro preferenze.
Analogamente, l’UE potrebbe offrire sostegno nella risposta agli incidenti. A differenza di quanto avviene nelle esercitazioni, suggerisce Gomez, l’assistenza dovrebbe essere estesa a tutti gli Stati in presenza di una chiara violazione della legge. L’Unione dovrebbe infatti evitare interazioni in cui la parte colpita utilizza questa opportunità per promuovere i propri interessi a scapito della reputazione dell’UE, come la ricerca illecita di dissidenti.
