Ecco la legge sui captatori informatici

L’ultima volta che si è discusso della introduzione nella legge italiana dei captatori informatici era il marzo del 2015, quando durante la discussione del decreto legge antiterrorismo venne stralciato un passaggio votato in commissione che autorizzava il trojan di Stato in uno spettro di applicazioni pressoché infinito. Da quel giorno si è compreso che era necessario un percorso diverso, che disciplinasse l’uso di questi strumenti straordinariamente invasivi colmando un vuoto legislativo e nel rispetto delle garanzie individuali. Questo percorso sfocia in un progetto di legge, primo firmatario Stefano Quintarelli, che raccoglierà osservazioni in un forum pubblico prima di essere discusso in Aula.

Il progetto di legge (pdf) è un testo che ha visto l’interazione del lato parlamentare con oltre 40 esperti delle forze dell’ordine, magistratura, accademia (giuristi e tecnologhi) e movimenti di difesa dei diritti civili, in diverse sessioni di incontri che ruotano su una convinzione di fondo: non si può operare coi virus informatici a fin di bene – per indagare alcuni reati – senza un quadro di norme che ne riconoscano la natura, ne limitino l’azione e responsabilizzi chi li vende e chi li adopera. Fino ad oggi si è andati piuttosto casualmente, con le forze di polizia alla mercé dei vendor tecnologici e le procure che facevano ognun per sé. Ci è voluta la pronuncia della sezioni unite della Cassazione per limitare l’uso di captatori per i casi si mafia e terrorismo. Una legge ormai non è più rimandabile.

Nella conferenza stampa, Stefano Quintarelli, Giovanni Monchiero e Stefano Dambruoso, tutti e tre del gruppo Civici e Innovatori, sottolineano principi e applicabilità caratterizzanti la legge:

I captatori non sono un mezzo ordinario di acquisizione della prova: per estensione delle funzionalità attiene a diversi articoli del codice di procedura penale come perquisizione, ispezione, intercettazioni di comunicazioni. Con la legge abbiamo cercato di stabilire alcuni principi di garanzia.

Garanzie

Alcuni di questi princìpi farebbero una grande differenza rispetto allo stato attuale, ad esempio nella parte dove si chiarisce che i captatori non possono essere utilizzati da parti terze, e che tutto il processo dev’essere rintracciabile così che il dato catturato sia integro, mai contaminato né alterato, ovviamente autorizzato dal giudice per le indagini preliminari; le intercettazioni vanno conservate nei distretti giudiziari e ogni passaggio deve essere verificato.

La proposta di legge in questo ha un carattere garantista che non toglie nulla alle possibilità investigative: applica tutta la disciplina esistente sulle intercettazioni (l’esecuzione, lo stralcio delle parti che non attengono all’indagine, i verbali e la conservazione), specifica che vanno usati questi malware solo se tutte le altre tecniche risultano inadeguate, l’autorizzazione può durare al massimo un anno, viene istituito un sistema di omologazione. In soldoni, niente più giungla privata in un vuoto di legge, sarà il ministero a varare un regolamento dei requisiti tecnici e spetterà all’Iscom (un istituto che lavora per il MISE) occuparsi della conformità di questi software.

Consultazione pubblica

Il testo viene posto in consultazione pubblica sul forum di discussione di CivicieInnovatori.it per 45 giorni, al fine di ottenere ulteriori suggerimenti di miglioramento e proposte emendative concrete. Alla fine di questo iter la proposta di legge verrà calendarizzata. Inutile parlare di tempi di approvazione, visto che in primavera potrebbero anche essere sciolte le Camere. In ogni caso è un lavoro che servirà, anche a livello esecutivo e ministeriale, come sostiene Quintarelli:

Questa proposta è stata presentata a tutti e ha coinvolto tutte le parti, comprese quelle del governo che è sempre stato informato. Al Senato c’è ancora il testo sul terrorismo che contiene un passo sui captatori, dovesse andare avanti siamo sicuri che anche questo lavoro farebbe la sua parte, altrimenti questa proposta verrà calendarizzata e il Parlamento è sovrano. Questo oppure il prossimo.

Cosa dice la legge

La proposta di legge sui captatori è già molto cambiata rispetto alla sua prima forma e presumibilmente tra 45 giorni sarà ancora diversa. Per non parlare degli emendamenti prevedibili nelle commissioni e poi in Parlamento per l’approvazione. Alcuni punti però sono irrinunciabili.

• Limitazione negli ambiti di reato. Attualmente la legge prevede che il captatore sia uno strumento di “contrasto al terrorismo e ai reati di mafia“, a disposizione delle forze dell’ordine, nel rispetto dei diritti costituzionali. Potrebbero essere aggiunti altri reati (qualcuno pensa alla pedofilia), ma circoscrivere i reati è fondamentale. Il principio è quello di concentrarsi su reati che minaccino l’integrità dello Stato.
• Un registro nazionale. La legge propone di istituire un registro dei captatori informatici dove, in previsione di conformità e omologazione richieste e controllate dall’Iscom, si concretizzi l’obbligo del deposito dei codici sorgenti di questi software. Si tratta di un grande archivio delle “impronte digitali” di tutte le edizioni di captatori informatici omologati
  rilasciati dai produttori e installate sui dispositivi dalle forze di pubblica sicurezza.
• Immodificabilità. Un altro termine guida nella legge: i software non devono modificare i dati e non devono poter essere modificati i verbali e le registrazioni. Perché il processo sia garantito ed efficace, resistendo allo stress del vaglio dei legali delle persone “colpite” da questi provvedimenti, la catena dev’essere robusta in tutte le sue parti. Ecco perché questi strumenti possono essere soltanto utilizzati da personale della polizia giudiziaria (niente più consulenti) e identificabili, con un codice di riservatezza.
• Rispetto della persona. La legge adotta molte strategie per assicurare il rispetto della dignità della persona, sia riflettendo sulle potenzialità tecniche di questi software, sia facendo in modo che tutte le operazioni svolte, dalla sua installazione fino alla sua rimozione, siano messe integralmente a disposizione delle parti come allegato del fascicolo. La persona viene anche edotta, alla fine delle indagini, su come disinstallarli.