Inutilizzabilità delle mail recuperate dalla memoria del server con virus trojan: quadro generale
La questione dell’inutilizzabilità delle mail recuperate dalla memoria del server con virus trojan rappresenta uno dei nodi più delicati nel crocevia tra diritto processuale penale, tutela della privacy e tecniche investigative digitali. Capire dove si colloca il confine tra legittima acquisizione probatoria e violazione delle garanzie costituzionali permette di orientarsi in un settore in continua evoluzione giurisprudenziale. Il caso emblematico che ha portato alla ribalta questo problema è l’ordinanza del Tribunale di Modena, emessa nell’ambito dell’indagine denominata «Camici sporchi» relativa al Policlinico locale, con cui il giudice ha dichiarato l’inutilizzabilità di tutte le mail ripescate dalla memoria del server tramite un virus «investigativo» trojan.
Il caso «Camici sporchi»: i fatti e la decisione del Tribunale di Modena
Il Tribunale di Modena, con un’ordinanza che ha segnato un punto di svolta nella materia, ha statuito la inutilizzabilità di tutte le mail ripescate dalla memoria del server tramite un virus «investigativo» trojan. La vicenda riguardava una dottoressa sospettata di corruzione: il pubblico ministero aveva disposto l’acquisizione della sua casella di posta elettronica ricorrendo all’articolo 132 del Codice della privacy (d.lgs. 196/2003), firmando un decreto di acquisizione poi eseguito dai Nas dei Carabinieri mediante un programma di intrusione informatica.
La difesa ha eccepito l’illegittimità della procedura, sottolineando che la norma richiamata fa riferimento al «traffico telematico» escludendo esplicitamente «i contenuti delle comunicazioni». In altri termini, dalla memoria del server sarebbe consentito estrarre soltanto i dati «esterni» della comunicazione — i soggetti coinvolti e l’orario dell’invio — ma non quelli «interni» relativi al contenuto dei messaggi. Con quel decreto, il pm avrebbe potuto acquisire l’equivalente del tabulato telefonico, non effettuare una ricerca a strascico del contenuto delle e-mail e di eventuali ulteriori reati. La forzatura investigativa era stata resa necessaria, peraltro, dalla mancata collaborazione del gestore del servizio di posta (Gmail), con sede all’estero e poco disposto ad aprire l’archivio dell’utente.
Il Tribunale di Modena, ribaltando le conclusioni del giudice preliminare che aveva già respinto l’eccezione in fase di indagini, ha accolto la tesi della difesa, cancellando dal processo centinaia di migliaia di mail acquisite illegittimamente.
Il fondamento normativo: art. 132 del Codice della privacy e limiti all’acquisizione dei dati
L’articolo 132 del d.lgs. 196/2003 — Codice della privacy — disciplina la conservazione dei dati di traffico per finalità di accertamento e repressione dei reati. La norma consente all’autorità giudiziaria di acquisire i dati relativi al traffico telematico, ma esclude espressamente i contenuti delle comunicazioni. Questa distinzione non è meramente tecnica: riflette una precisa scelta del legislatore di graduare le garanzie in funzione dell’invasività dello strumento investigativo.
Acquisire i metadati di una comunicazione (mittente, destinatario, data e ora) è operazione meno invasiva rispetto alla lettura del contenuto del messaggio, che attinge direttamente alla sfera della corrispondenza privata tutelata dall’articolo 15 della Costituzione. Utilizzare un virus trojan per forzare il server di posta elettronica e recuperare il contenuto delle mail significa aggirare le garanzie difensive previste per le intercettazioni, in particolare il requisito dell’autorizzazione giurisdizionale del GIP.
Il ruolo del trojan investigativo: cosa dicono le Sezioni Unite
Il Tribunale di Modena non ha messo in discussione la legittimità in assoluto del captatore informatico (trojan) nel nostro ordinamento — questione già affrontata dalle Sezioni Unite della Corte di Cassazione nella celebre sentenza del 28 aprile — ma ne ha precisato i limiti applicativi, aggiungendo un corollario fondamentale.
Secondo le Sezioni Unite, l’utilizzo del trojan è consentito nel rispetto di due condizioni essenziali:
- Tipologia ristretta di reati: l’art. 51 c.p.p. circoscrive l’impiego del captatore informatico ai reati di mafia, terrorismo, associazione per delinquere e poche altre fattispecie gravi.
- Criterio di sorveglianza online: l’intercettazione tramite trojan è legittima solo a partire dal momento in cui è autorizzata dal provvedimento giurisdizionale del GIP, atto strutturalmente diverso dal decreto «unilaterale» del pm.
Nel caso di Modena, il trojan è stato impiegato non per intercettare comunicazioni in corso, ma per accedere retroattivamente alla memoria del server e recuperare mail già archiviate. Questa modalità operativa eccede i limiti fissati dalla giurisprudenza delle Sezioni Unite e viola il precetto costituzionale della riservatezza della corrispondenza sancito dall’articolo 15 della Costituzione.
Inutilizzabilità delle mail recuperate tramite trojan: le ragioni giuridiche
La dichiarazione di inutilizzabilità delle mail recuperate dalla memoria del server con virus trojan si fonda su una pluralità di ragioni giuridiche convergenti:
- Violazione dell’art. 132 del Codice della privacy: il decreto del pm autorizzava l’acquisizione dei dati di traffico, non del contenuto delle comunicazioni. L’utilizzo del trojan per estrarre il contenuto delle mail ha travalicato i limiti del provvedimento.
- Assenza di autorizzazione giurisdizionale: l’acquisizione del contenuto delle comunicazioni richiede un provvedimento del GIP, non un semplice decreto del pm. Il mancato rispetto di questa garanzia processuale determina l’inutilizzabilità della prova ai sensi dell’art. 191 c.p.p.
- Violazione dell’art. 15 Cost.: la libertà e la segretezza della corrispondenza possono essere limitate solo nei casi e nei modi stabiliti dalla legge, con le garanzie previste per le intercettazioni. L’accesso forzato al server di posta tramite trojan, in assenza di tali garanzie, integra una violazione costituzionale.
- Superamento dei limiti fissati dalle Sezioni Unite: il captatore informatico non può essere impiegato per acquisire comunicazioni già avvenute e archiviate, ma solo per intercettare comunicazioni in corso, nei reati e con le modalità previste dall’art. 51 c.p.p.
Distinzioni operative per il professionista: quando la prova digitale è utilizzabile
Per il professionista che si trova a valutare la solidità probatoria di un fascicolo che include comunicazioni elettroniche, è essenziale distinguere tra modalità di acquisizione legittime e illegittime. La tabella concettuale che segue sintetizza i criteri applicativi:
- Dati di traffico (metadati): acquisibili con decreto del pm ex art. 132 Codice della privacy, senza necessità di autorizzazione del GIP. Includono mittente, destinatario, data e ora, ma non il contenuto.
- Contenuto delle comunicazioni in corso: acquisibile solo tramite intercettazione autorizzata dal GIP, nei reati previsti dall’art. 266 c.p.p. e, per il trojan, nei reati ex art. 51 c.p.p.
- Contenuto delle comunicazioni archiviate sul server: non acquisibile tramite trojan. Richiede rogatoria internazionale se il gestore è estero, oppure sequestro con le garanzie previste per la corrispondenza.
- Mail aziendali su server del datore di lavoro: soggette a disciplina specifica in materia di controllo a distanza (art. 4 Stat. Lav.) e alle indicazioni del Garante per la protezione dei dati personali.
Rilevanza nel diritto del lavoro: mail aziendali e controlli del datore
Il tema dell’inutilizzabilità delle mail recuperate tramite trojan non è confinato al processo penale: riversa effetti significativi anche nel contenzioso lavoristico. Quando un datore di lavoro — o l’autorità giudiziaria nell’ambito di un procedimento che coinvolge il rapporto di lavoro — acquisisce il contenuto delle comunicazioni elettroniche di un dipendente ricorrendo a strumenti informatici invasivi privi delle necessarie autorizzazioni, le prove così ottenute sono inutilizzabili anche in sede disciplinare e nel giudizio civile.
L’articolo 4 dello Statuto dei Lavoratori, come riformato dal d.lgs. 151/2015, disciplina i controlli a distanza e impone precisi limiti e procedure. Le indicazioni del Garante per la protezione dei dati personali in materia di posta elettronica aziendale rafforzano ulteriormente il quadro di tutela. Un licenziamento fondato su mail acquisite in violazione di queste norme è esposto al rischio di illegittimità per difetto di giustificazione probatoria.
Il testo dell’ordinanza: la ricostruzione del Sole 24 Ore
A illustrare nel dettaglio la portata della decisione del Tribunale di Modena è anche l’articolo pubblicato dal Sole 24 Ore (firma: Alessandro Galimberti; titolo: «Inutilizzabilità delle email ripescate dal virus trojan»), che ricostruisce con precisione i passaggi argomentativi dell’ordinanza. Di seguito il testo integrale.
Inutilizzabilità di tutte le e-mail ripescate dalla memoria del server mediante un virus «investigativo» trojan. Il Tribunale di Modena, con l’ordinanza depositata ieri, assesta un duro colpo al versante «corruzione» dell’inchiesta Camici sporchi nel Policlinico locale, ma soprattutto rimarca il perimetro sull’utilizzo del trojan disegnato dalle Sezioni Unite nella famosa sentenza del 28 aprile scorso.
A cadere sotto la censura del giudice dibattimentale è tutta l’attività di acquisizione della casella di posta elettronica di una dottoressa sospettata di corruzione. Il pubblico ministero aveva infatti utilizzato per lo scopo l’articolo 132 del Codice della privacy (dlgs 196/2003) firmando il decreto di acquisizione, poi eseguito dai Nas dei carabinieri mediante appunto un programma di intrusione informatica.
Secondo la difesa, però si tratta di una procedura illegittima, considerato che la norma fa riferimento al «traffico telematico» escludendo esplicitamente «i contenuti delle comunicazioni». Di fatto, sostenevano i legali dell’indagata nell’atto di impugnazione — peraltro già respinto dal Gip in corso d’indagine preliminare — dalla memoria del server è consentito estrarre solo i dati «esterni» della comunicazione, cioè i soggetti interessati e l’orario dell’invio, ma non quelli «interni» relativi appunto al contenuto. In sostanza con quel decreto il pm, aggirando le garanzie difensive previste per le intercettazioni, avrebbe potuto acquisire solo l’equivalente del «tabulato telefonico» e non invece effettuare una ricerca a strascico della prova e, oltretutto, di ulteriori reati e di altri compartecipi nelle presunte azioni criminose. Il legale dell’indagata sottolineava infine, a margine, che la forzatura investigativa era dipesa dalla mancata collaborazione del gestore di posta (Gmail), basato all’estero e poco disposto ad aprire l’archivio del cliente.
Il tribunale modenese ieri, ribaltando le conclusioni sul punto del giudice preliminare, ha accolto l’eccezione della difesa, cancellando dal processo centinaia di migliaia di mail acquisite illegittimamente. Lungi dal mettere in discussione l’indirizzo delle Sezioni Unite, il giudice emiliano gli ha solo messo un corollario. Se è vero che l’utilizzo del captatore/intrusore informatico (trojan) è consentito nel nostro ordinamento, i limiti da rispettare sono la ristretta tipologia di reati (art. 51 cpp: mafia, terrorismo, associazione per delinquere e pochi altri) e il criterio di sorveglianza online, che decorre solo dal momento in cui l’intercettazione è autorizzata dal provvedimento giurisdizionale del Gip (atto peraltro diverso dal decreto «unilaterale» del pm). L’utilizzo del trojan per forzare il server di posta elettronica, in definitiva, viola il precetto costituzionale della riservatezza della corrispondenza (articolo 15).
FAQ — Domande frequenti sull’inutilizzabilità delle mail recuperate tramite trojan
Cosa si intende per inutilizzabilità delle mail recuperate dalla memoria del server con virus trojan?
Si intende la sanzione processuale che impedisce al giudice di fondare la propria decisione su prove acquisite in violazione di divieti stabiliti dalla legge (art. 191 c.p.p.). Nel caso specifico, le mail estratte dal server tramite un captatore informatico (trojan) senza la necessaria autorizzazione del GIP e al di fuori dei reati consentiti non possono essere utilizzate né in sede penale né, di riflesso, in sede disciplinare o civile.
Il trojan investigativo è sempre illegittimo?
No. Le Sezioni Unite della Cassazione ne hanno riconosciuto la legittimità nel nostro ordinamento, ma entro limiti precisi: deve essere autorizzato dal GIP, può essere impiegato solo per i reati indicati dall’art. 51 c.p.p. (mafia, terrorismo, associazione per delinquere e altri gravi reati) e opera come strumento di intercettazione in tempo reale, non come mezzo per accedere retroattivamente ad archivi di comunicazioni già avvenute.
Quali dati si possono acquisire legittimamente dalla memoria del server?
Con decreto del pm ex art. 132 del Codice della privacy è possibile acquisire i dati di traffico telematico, ossia i metadati: mittente, destinatario, data e ora dell’invio. Il contenuto delle comunicazioni è escluso da questa procedura e richiede le garanzie previste per le intercettazioni o, se il server è all’estero, una rogatoria internazionale.
Quali conseguenze ha l’inutilizzabilità delle mail nel contenzioso lavoristico?
Se un licenziamento o un provvedimento disciplinare si fonda esclusivamente su mail acquisite in violazione delle norme sulla privacy e sui controlli a distanza, la prova è inutilizzabile anche in sede civile. Il giudice del lavoro non può tenerne conto, con il rischio che il provvedimento datoriale sia dichiarato illegittimo per difetto di prova.
Cosa deve fare il difensore che rileva mail acquisite tramite trojan nel fascicolo?
Deve sollevare tempestivamente l’eccezione di inutilizzabilità, verificando: il tipo di provvedimento che ha autorizzato l’acquisizione (decreto del pm o ordinanza del GIP), la modalità tecnica di acquisizione (metadati o contenuto), la tipologia di reato per cui si procede e la conformità ai limiti fissati dall’art. 51 c.p.p. e dalla giurisprudenza delle Sezioni Unite.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
