La Cassazione ribadisce il principio di proporzionalità per il sequestro di dispositivi informatici

Massima

La Corte di cassazione prescrive come necessario che il P.M. illustri nel decreto di sequestro probatorio: a) le ragioni per cui è necessario disporre un sequestro esteso onnicomprensivo o, in alternativa, le specifiche informazioni oggetto di ricerca; b) i criteri che devono presiedere alla selezione del materiale informatico archiviato nel dispositivo, giustificando, altresì, l'eventuale perimetrazione temporale dei dati di interesse in termini sensibilmente difformi dal perimetro temporale dell'imputazione provvisoria; c) i tempi ragionevoli entro cui verrà effettuata tale selezione con conseguente restituzione anche della copia informatica dei dati non rilevanti.

Il caso

Il Tribunale aveva rigettato, con l'ordinanza impugnata, la richiesta di riesame proposta dall' indagato per il delitto di cui all'art. 326, comma 3, c.p., avverso il decreto di sequestro probatorio emesso dal Pubblico Ministero del Tribunale «della copia forense del telefono cellulare in uso allo stesso indagato giàa disposizione della polizia giudiziaria operante nonché delle caselle e-mail e e-c/oud». Contro l'ordinanza di rigetto, l'indagato propone ricorso in cassazione.

La questione

La problematica affrontata dalla sentenza, riguardando l'acquisizione di dati personali contenuti nel device, ruota attorno alla questione se sia sufficiente nel provvedimento del P.M. di sequestro dei dispositivi informatici l'indicazione solamente delle prescrizioni sulle modalità di ricerca, di acquisizione e di conservazione dei dati o se, invece, sia necessario precisare ulteriormente l'oggetto della ricerca al fine di garantire la proporzionalità dell'ingerenza nella libertà di habeas data.

Le soluzioni giuridiche

La Corte di cassazione è giunta alla conclusione che il provvedimento del P.M. che dispone il sequestro di dispositivi informatici deve necessariamente indicare sia le ragioni per cui è necessario disporre un sequestro esteso onnicomprensivo o, in alternativa, le specifiche informazioni oggetto di ricerca, sia i criteri che devono presiedere alla selezione del materiale informatico archiviato nel dispositivo, giustificando, altresì, l'eventuale perimetrazione temporale dei dati di interesse in termini sensibilmente difformi dal perimetro temporale dell'imputazione provvisoria, sia i tempi ragionevoli entro cui verrà effettuata tale selezione con conseguente restituzione anche della copia informatica dei dati non rilevanti.

La Corte di cassazione ribadisce il principio di proporzionalità – definito «canone di legittimità delle ingerenze lesive dei diritti fondamentali» – nel caso di sequestro di dispositivi informatici.

Secondo la Corte di legittimità, il sequestro di tali dispositivi «costituisce una misura particolarmente invasiva della sfera personale in quanto l'accesso a tale supporto fornisce, non solo informazioni relative a particolari condotte degli interessati oggetto di indagine, ma un quadro completo di aspetti significativi della loro vita passata e attuale».

Questo peculiare sequestro «rende possibile un'esaustiva “profilazione” basata sulla personalità e sui movimenti degli interessati e consente di trarre conclusioni dettagliate su loro comportamenti, inclinazioni personali e idee; tali dati, inoltre, possono riguardare anche terzi estranei all'illecito penale, per cui la misura può incidere anche sulla loro sfera personale».

Di conseguenza, «al fine di consentire una adeguata valutazione della proporzionalità è, dunque, necessario che il P.M. illustri nel decreto di sequestro probatorio: a) le ragioni per cui è necessario disporre un sequestro esteso onnicomprensivo o, in alternativa, le specifiche informazioni oggetto di ricerca; b) i criteri che devono presiedere alla selezione del materiale informatico archiviato nel dispositivo, giustificando, altresì, l'eventuale perimetrazione temporale dei dati di interesse in termini sensibilmente difformi dal perimetro temporale dell'imputazione provvisoria; c) i tempi ragionevoli entro cui verrà effettuata tale selezione con conseguente restituzione anche della copia informatica dei dati non rilevanti».

Pertanto, «deve ritenersi in contrasto con tali principi un'eventuale decisione che – come nel caso di specie – si sia limitata a richiamare l'impossibilità di ricorrere a chiavi di ricerca, la peculiarità del caso di specie (che avrebbe imposto un'attenta analisi della messaggistica tra le parti) e i rapporti vicendevolmente intessuti tra gli indagati».

Conclude la Corte di cassazione che «sono state, infatti, affermate in modo puramente apodittico, in quanto potrebbero essere poste a fondamento di qualsiasi provvedimento di apprensione dei dati telematici di un indagato. Né si può obiettare che le censure del ricorrente possano essere “derubricate” a questioni meramente esecutive, posto che la proporzionalità del sequestro ne costituisce specifico requisito di legittimità e fondamento costituzionale».

Osservazioni

L'argomento, riguardando i dati personali custoditi in un dispositivo informatico e quindi un diritto “inviolabile” dell'uomo ex art. 2 Cost., è stato oggetto di interventi da parte sia della Corte EDU, sia della Corte giust. UE sia, ovviamente, della Corte di cassazione.

La Corte EDU ha riconosciuto la violazione, da parte della Romania, dell'art. 8 Conv. EDU, che tutela il diritto al rispetto della vita privata, del domicilio e della corrispondenza, dichiarando illegittimi perquisizione e sequestro di computer e documenti disposti dal pubblico ministero in un istituto di credito, nell'ambito di un'indagine penale in materia di concorrenza, in esito alla quale furono stampate ed acquisite diverse e-mail (Corte EDU, sez. IV, 18 marzo 2025, BRD. – G.S.G. e SA. v. Romania, secondo cui l'assenza di un controllo giurisdizionale, la durata dell'indagine penale, le garanzie previste e applicate nel caso di specie, non hanno garantito un'efficace tutela del diritto della società al rispetto del suo domicilio e della sua corrispondenza, per cui l'ingerenza nei suoi diritti non poteva essere considerata proporzionata all'obiettivo perseguito, con conseguente violazione dell'art. 8 Conv. EDU). La Corte EDU ha anche statuito il principio di proporzionalità, affermando che «ogni misura cautelare, per dirsi proporzionata all'obiettivo da perseguire, dovrebbe richiedere che ogni interferenza con il pacifico godimento dei beni trovi un giusto equilibrio tra i divergenti interessi in gioco» [Corte EDU, 13.10.2015, Unspead Paket Servisi SAN Ve TIC. A. S. v. Bulgaria]. La Corte EDU, ai fini della valutazione delle misure limitative del diritto di proprietà, richiede non solo che le stesse abbiano una “base legale” e rispondano ad una finalità di interesse di pubblica utilità (art. 1, par. 2, del Prot. n. 1 alla Conv. EDU), ma anche che siano il frutto di un equo bilanciamento tra tale interesse pubblico e quello del privato (Corte EDU, G. C., 5 gennaio 2000, Beyeler v. Italia), inteso in termini di rapporto di proporzionalità tra la misura adottata e l'interesse perseguito, che non potrebbe considerarsi soddisfatto se la persona interessata subisse un sacrificio eccessivo nel suo diritto di proprietà (Corte EDU, 13 dicembre 2016, S.C. Fiercolet Impex s.r.l. v. Romania).

Anche la Corte giust. UE si è pronunciata sull'interpretazione dell'art. 15, par. 1, della Direttiva 2002/58/CE, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, come modificata dalla Direttiva 2009/136/CE del 25 novembre 2009. Secondo la Corte giust. UE, il legislatore dell'U.E. ha inteso attribuire una portata ampia alla nozione di «trattamento», nel cui ambito rientra anche «un tentativo di accesso ai dati contenuti in un telefono cellulare, da parte delle autorità di polizia ai fini di un'indagine in materia penale». Infatti, «ai sensi dell'articolo 4, § 1, lettera b), di tale direttiva, gli Stati membri dispongono che i dati personali siano raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità. Quest'ultima disposizione sancisce il principio di limitazione delle finalità […]. Orbene, l'effettività di tale principio esige necessariamente che la finalità della raccolta sia determinata sin dalla fase in cui le autorità competenti tentano di accedere a dati personali, poiché un siffatto tentativo, qualora si riveli proficuo, è tale da consentire a tali autorità, in particolare, di raccogliere, estrarre o consultare immediatamente i dati in questione» (p. 73). Secondo la Corte, la Direttiva 2016/680 consente il trattamento dei dati, inteso nel senso sopra indicato, nell'ambito di un'indagine diretta alla repressione di un reato, a condizione che, in primo luogo, la limitazione dei diritti fondamentali al rispetto della vita privata e alla protezione dei dati di carattere personale che esso necessariamente implica sia “necessaria” – e «tale requisito non è soddisfatto quando l'obiettivo di interesse generale perseguito sia ragionevolmente conseguibile in modo altrettanto efficace con altri mezzi, meno pregiudizievoli» (p. 87). In secondo luogo, la limitazione suddetta deve essere prevista dalla legge, requisito che implica che «la base giuridica che autorizza una simile limitazione ne definisca la portata in modo sufficientemente chiaro e preciso» e, infine, deve rispettare il criterio di proporzionalità, insito nella previsione di cui all'art. 4, lett. c), sopra riportato che richiede il rispetto, da parte degli Stati membri, del principio di «minimizzazione dei dati», che di quel criterio costituisce espressione (p. 79). Al fine di garantire che i presupposti per il trattamento ai dati siano rispettati è necessario che l'accesso «sia subordinato a un controllo preventivo effettuato da un giudice o da un organo amministrativo indipendente» (p. 102). Tale controllo deve intervenire prima di qualsiasi tentativo di accesso ai dati, salvi i casi di urgenza, in cui deve intervenire in tempi brevi. In sostanza, quindi, la Corte di giustizia ha ritenuto che il trattamento di dati personali, inteso in senso ampio, debba essere apprezzato da un giudice o da un organo amministrativo indipendente. In quell'occasione il quesito sottoposto alla Corte era se tale disposizione dovesse essere interpretata nel senso che può considerarsi come un'autorità amministrativa indipendente anche il pubblico ministero. La Corte giust. UE ha chiarito che il requisito di indipendenza che l'autorità incaricata di esercitare il controllo preventivo deve soddisfare «impone che tale autorità abbia la qualità di terzo rispetto a quella che chiede l'accesso ai dati, di modo che la prima sia in grado di esercitare tale controllo in modo obiettivo e imparziale al riparo da qualsiasi influenza esterna. In particolare, in ambito penale, il requisito di indipendenza implica […] che l'autorità incaricata di tale controllo preventivo, da un lato, non sia coinvolta nella conduzione dell'indagine penale di cui trattasi e, dall'altro, abbia una posizione di neutralità nei confronti delle parti del procedimento penale. Ciò non si verifica nel caso di un pubblico ministero che dirige il procedimento di indagine ed esercita, se del caso, l'azione penale. Infatti, il pubblico ministero non ha il compito di dirimere in piena indipendenza una controversia, bensì quello di sottoporla, se del caso, al giudice competente, in quanto parte nel processo che esercita l'azione penale» (Corte giust. UE, G.C., 2 marzo 2021, C-746/18, Prokuratuur, p. 54-57).

In definitiva, l'accesso ai dati contenuti in un dispositivo informatico a fini di indagine penale richiede il controllo di un giudice o di un organo amministrativo indipendente, che – secondo la giurisprudenza della Corte giust. UE – devono essere terzi rispetto all'organo che richiede l'accesso. Ne consegue che tale funzione di controllo non può essere esercitata dal pubblico ministero, per la sua natura di parte processuale, a prescindere dal suo statuto di autonomia.

Successivamente la Grande Camera della Corte giust. UE ha ribadito tali principi, e cioè la necessaria autorizzazione del giudice o di un'autorità amministrativa indipendente per accedere ai dati contenuti in un telefono cellulare, nonché dell'altrettanto indispensabilità dell'informazione alla persona interessata del tentativo di accedere a tali dati. Infatti la Grande Camera ha affermato che l'art. 4, par. 1, lett. c), della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, accertamento, indagine e perseguimento di reati o di esecuzione di sanzioni penali, e alla libera circolazione di tali dati, e che abroga la decisione quadro 2008/977/GAI del Consiglio, letto alla luce degli artt. 7 e 8, nonché dell'art. 52, par. 1, della Carta dei diritti fondamentali dell'Unione europea, deve essere interpretato nel senso che non si oppone a una normativa nazionale che concede alle autorità competenti la possibilità di accedere ai dati contenuti in un telefono cellulare, a fini di prevenzione, accertamento, rilevazione e perseguimento di reati in generale, a condizione che tale normativa: definisca in modo sufficientemente preciso la natura o le categorie di reati interessati,  garantisca il rispetto del principio di proporzionalità, e subordini l'esercizio di tale possibilità, salvo casi di emergenza debitamente giustificati, a un controllo preventivo di un giudice o di un'entità amministrativa indipendente. Inoltre, gli artt. 13 e 54 della direttiva 2016/680, letti alla luce dell'art. 47 e dell'art. 52, par. 1, della Carta dei diritti fondamentali, devono essere interpretati nel senso che si oppongono a una normativa nazionale che autorizza le autorità competenti a tentare di accedere ai dati contenuti in un telefono cellulare senza informare la persona interessata, nell'ambito delle procedure nazionali applicabili, dei motivi su cui si basa l'autorizzazione di accesso a tali dati, rilasciata da un giudice o da un'entità amministrativa indipendente, dal momento in cui la comunicazione di tali informazioni non sia più idonea a compromettere i compiti affidati a tali autorità ai sensi di tale direttiva [Corte giust. UE, G. C., 4.10.2024, Tribunale amministrativo regionale del Tirolo (Austria) v. Bezirkshauptmannschaft Landeck, causa C- 548/21].

In Italia, dove finora è ancora consentito al P.M. disporre il sequestro di dispositivi informatici, nella giurisprudenza interna si è affermato che la motivazione in ordine alla strumentalità della res rispetto all'accertamento penale è requisito indispensabile affinché il decreto di sequestro, per sua vocazione inteso a comprimere il diritto della persona a disporre dei propri beni, si mantenga appunto nei limiti costituzionalmente e convenzionalmente prefissati e resti assoggettato al principio di legalità (Cass. pen., sez. un., 19 aprile 2018, n. 36072, Bicchiri e altri, Rv. 273548). Dunque, solo valorizzando l'onere della motivazione è possibile tenere sotto controllo l'intervento penale quanto al rapporto con le libertà fondamentali ed i beni costituzionalmente protetti, quali la proprietà e la libera iniziativa economica privata, riconosciuti dall'art. 42 Cost. e dall'art. 1 del primo Protocollo addizionale alla Conv. EDU, come interpretato dalla Corte EDU.

La Corte di cassazione riconosce che, in un sistema rigorosamente ispirato al principio di legalità, il principio di non sostituibilità non consente alla polizia giudiziaria di scostarsi dalle previsioni legislative per compiere atti atipici i quali, permettendo di conseguire risultati identici o analoghi a quelli conseguibili con gli atti tipici, eludano tuttavia le garanzie costituzionali dettate dalla legge per questi ultimi (fattispecie in cui la p.g. aveva acquisito dall'indagato, su suo consenso ma senza autorizzazione dell'autorità giudiziaria, lo screenshot dei messaggi compromettenti contenuti nel suo cellulare) (Cass. pen., sez. VI, 20 novembre 2024, n.1269/2025, Lato).

Si afferma ancora che l'accesso ai dati contenuti in un dispositivo informatico a fini di indagine penale richiede il controllo di un giudice o di un organo amministrativo indipendente, che devono essere terzi rispetto all'organo che richiede l'accesso, per cui tale funzione di controllo non può essere esercitata dal pubblico ministero, per la sua natura di parte processuale, a prescindere dal suo statuto di autonomia (Cass. pen., sez. VI, 1 aprile 2025, n. 13585, Campanile).

La giurisprudenza ritiene illegittimo, per violazione del principio di proporzionalità ed adeguatezza, il sequestro a fini probatori di un sistema informatico, che, in assenza di specifiche ragioni, comporti una indiscriminata apprensione di tutte le informazioni ivi contenute (Cass. pen., sez. VI, 24 febbraio 2015, n. 24617, R., CED 264092 – 01; Cass. pen., sez. VI, 19 gennaio 2018, n. 9989, CED 272539 – 01; Cass. pen., sez. VI, 9 dicembre 2020, n. 6623/2021, CED 280838 – 01; Cass. pen., sez. VI, 22 settembre 2020, n. 34265, A, CED 279949 – 01; Cass. pen., sez. VI, 15 febbraio 2024, n. 17312, CED 286358 – 03).

La Corte di cassazione ha ribadito l'illegittimità, per violazione del principio di proporzionalità e adeguatezza, del sequestro a fini probatori di un dispositivo elettronico che conduca, in difetto di specifiche ragioni, alla indiscriminata apprensione di una massa di dati informatici, senza alcuna previa selezione di essi e comunque senza l'indicazione degli eventuali criteri di selezione (Cass. pen., sez. III, 4 luglio 2024, n. 36775, P.M. e Ferrero in proc. Elkann). La sentenza afferma che il principio di proporzionalità, sancito, anche in riferimento alle misure cautelari reali, dall'art. 275 c.p.p. (in questi termini, Cass. pen., sez. II, 28 maggio 2019, n. 29687, Rv. 276979; Cass. pen., sez. III, 7 maggio 2014, n. 21271, Rv. 261509) e, a livello sovranazionale, dalle fonti del diritto dell'U.E. (art. 5, par. 2 e 4, Trattato U.E.; art. 49, par. 3, e art. 52, par.1, della Carta dei diritti fondamentali U.E.) e dagli artt. 7 e 8 della Conv. EDU, così come interpretata dalla Corte EDU, assolve ad «una funzione strumentale per un'adeguata tutela dei diritti individuali in ambito processuale penale, e ad una funzione finalistica, come parametro per verificare la giustizia della soluzione presa nel caso concreto» (in termini, Cass. pen., sez. IV, 14 ottobre 2020, n. 29956, Rv. 279716; Cass. pen., sez. VI, 12 febbraio 2020, n. 9776).