Il Decreto Trojan ha innescato polemiche feroci per il fatto che, secondo alcuni, avrebbe consentito di acquisire automaticamente, durante un’intercettazione, anche dati “statici” come l’elenco dei contatti e i contenuti memorizzati in uno smartphone. A seguito di queste polemiche sarebbe stato raggiunto un compromesso politico in base al quale i contenuti di un apparato mobile possono essere acquisiti solo previa perquisizione e sequestro e che questo non possa essere fatto a distanza.

In realtà non c’era bisogno di ribadire l’ovvio. Il Codice di procedura penale già disciplina, al comma I bis dell’articolo 247, la perquisizione e il sequestro informatico a distanza come stabilito dalla Legge 48/2008 che recepisce la Convenzione di Budapest sul crimine informatico.

Il problema, dunque, non è se il pubblico ministero si possa servire di un trojan per raccogliere prove da remoto, ma come mai per intercettare con il captatore informatico serve il provvedimento del Gip mentre per “esfiltrare” i file usando lo stesso strumento basta il decreto del Pm (che, giova ricordarlo, in materia di perquisizione e sequestro non ha bisogno della supervisione del Gip).

Oppure ci si potrebbe chiedere in che modo sono garantiti i diritti dell’indagato sulla non alterazione di quanto sequestrato a distanza, se nemmeno sa di essere sottoposto alla misura cautelare probatoria. Oppure ancora ci si sarebbe potuto chiedere come sia possibile eseguire una perquisizione e un sequestro a distanza senza notificare contestualmente il provvedimento all’indagato. Ma di questo non si è parlato.

Anche le preoccupazioni espresse sulla possibile estensione delle modalità di utilizzo del trojan tramite il decreto sui costi delle prestazioni obbligatorie sono difficilmente comprensibili. Un decreto ministeriale, infatti, è fonte secondaria che non ha il potere di derogare una legge dello Stato. In altri termini, un atto dell’esecutivo non può contenere frasi come “fermo restando quanto previsto dalla legge XYZ” perché non c’è modo che possa modificare un atto del Parlamento. Aggiungere un periodo di questo tenore al Decreto Trojan è, dunque, inutile. Questa scarsa dimestichezza con il sistema delle fonti giuridiche, tuttavia, non è un fatto nuovo.

Per esempio, anche il Dpcm 131/2020 in materia di sicurezza nazionale cibernetica utilizzava all’articolo 4 una frase come Fermo restando quanto previsto per gli organismi di informazione per la sicurezza dall’articolo 1, comma 2, lettera a), del decreto-legge come se un provvedimento del presidente del Consiglio potesse derogare a una legge dello Stato. C’è da chiedersi se siamo di fronte ad una svista o a una precisa scelta tecnica evidentemente diretta ad ampliare, se non ora, in futuro, il potere dell’esecutivo come è già accaduto lo scorso anno con i Dpcm usati per gestire la pandemia e il caso Huawei.

Tornando al punto, il fatto che il listino delle prestazioni obbligatorie fissi un prezzo per l’acquisizione dei contenuti di una periferica mobile non elimina la necessità che questa venga eseguita nel rispetto delle regole (già esistenti) del Codice di procedura penale.

Concludendo:
– un decreto ministeriale non può modificare una legge dello Stato, che già prevede il decreto del pubblico ministero anche per perquisizione e sequestro a distanza;
– sarebbe piuttosto il caso di porsi il problema di come garantire il diritto di difesa dell’indagato sia in fase di perquisizione e sequestro a distanza. Mentre nel sequestro in presenza, infatti, egli riceve la notifica del provvedimento e ha diritto di partecipare alle operazioni facendosi assistere anche da persona di fiducia, nel caso di perquisizione e sequestro a distanza siamo di fronte ad atti compiuti all’insaputa dell’indagato.