-
- Art. 3 Cost.
- Art. 5a Cost.
- Art. 6 Cost.
- Art. 10 Cost.
- Art. 13 Cost.
- Art. 16 Cost.
- Art. 17 Cost.
- Art. 20 Cost.
- Art. 22 Cost.
- Art. 26 Cost.
- Art. 29a Cost.
- Art. 30 Cost.
- Art. 31 Cost.
- Art. 32 Cost.
- Art. 42 Cost.
- Art. 43 Cost.
- Art. 43a Cost.
- Art. 45 Cost.
- Art. 51 Cost.
- Art. 52 Cost.
- Art. 55 Cost.
- Art. 56 Cost.
- Art. 60 Cost.
- Art. 68 Cost.
- Art. 69 Cost.
- Art. 74 Cost.
- Art. 75b Cost.
- Art. 77 Cost.
- Art. 81 Cost.
- Art. 96 cpv. 1 Cost.
- Art. 96 cpv. 2 lett. a Cost.
- Art. 110 Cost.
- Art. 117a Cost.
- Art. 118 Cost.
- Art. 119a Cost.
- Art. 122 Cost.
- Art. 123a Cost.
- Art. 123b Cost.
- Art. 136 Cost.
- Art. 130 Cost.
- Art. 164 Cost.
- Art. 166 Cost.
- Art. 170 Cost.
- Art. 176 Cost
- Art. 178 Cost.
- Art. 189 Cost.
- Art. 191 Cost.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 97 CO
- Art. 98 CO
- Art. 99 CO
- Art. 100 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 633 CO
- Art. 701 CO
- Art. 713 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Disposizioni transitorie per la revisione del diritto azionario del 19 giugno 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 PRA
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b LDP
- Art. 59c LDP
- Art. 60 LDP
- Art. 60a LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 64 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 73 LDP
- Art. 73a LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Art. 1 AIMP
- Art. 1a AIMP
- Art. 3 par. 1 e 2 AIMP
- Art. 8 AIMP
- Art. 8a AIMP
- Art. 11b AIMP
- Art. 16 AIMP
- Art. 17 AIMP
- Art. 17a AIMP
- Art. 32 AIMP
- Art. 35 AIMP
- Art. 47 AIMP
- Art. 48 AIMP
- Art. 54 AIMP
- Art. 55a AIMP
- Art. 56 AIMP
- Art. 67 AIMP
- Art. 67a AIMP
- Art. 74 AIMP
- Art. 74a AIMP
- Art. 80 AIMP
- Art. 80a AIMP
- Art. 80b AIMP
- Art. 80h AIMP
- Art. 63 AIMP
- Art. 80c AIMP
- Art. 80d AIMP
- Art. 80k AIMP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 4 LPD
- Art. 5 lett. d LPD
- Art. 5 lett. c LPD
- Art. 5 lit. f und g LPD
- Art. 6 cpv. 3-5 LPD
- Art. 6 cpv. 6 e 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 18 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 21 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 28 LPD
- Art. 29 LPD
- Art. 31 cpv. 2 lit. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 52 LPD
- Art. 54 LPD
- Art. 55 LPD
- Art. 57 LPD
- Art. 58 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 1 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 2 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 3 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 4 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 5 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 6 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 7 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 8 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 9 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 11 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 12 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 16 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 18 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 25 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 27 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 28 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 29 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 32 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 33 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 34 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
-
- Art. 2 cpv. 1 LRD
- Art. 2 cpv. 2 LRD
- Art. 2 cpv. 3 LRD
- Art. 2a cpv. 1-2 and 4-5 LRD
- Art. 3 LRD
- Art. 7 LRD
- Art. 7a LRD
- Art. 8 LRD
- Art. 8a LRD
- Art. 9 LRD
- Art. 11 LRD
- Art. 14 LRD
- Art. 15 LRD
- Art. 20 LRD
- Art. 23 LRD
- Art. 24 LRD
- Art. 24a LRD
- Art. 25 LRD
- Art. 26 LRD
- Art. 26a LRD
- Art. 27 LRD
- Art. 28 LRD
- Art. 29 LRD
- Art. 29a LRD
- Art. 29b LRD
- Art. 30 LRD
- Art. 31 LRD
- Art. 31a LRD
- Art. 32 LRD
- Art. 33 LRD
- Art. 34 LRD
- Art. 38 LRD
COSTITUZIONE FEDERALE
LEGGE FEDERALE SULL’IMPOSTA FEDERALE DIRETTA
ORDINANZA RELATIVA AI DISPOSITIVI MEDICI
CODICE DELLE OBBLIGAZIONI
LEGGE FEDERALE SUL DIRITTO INTERNAZIONALE PRIVATO
CONVENZIONE DI LUGANO
CODICE DI PROCEDURA PENALE
CODICE DI PROCEDURA CIVILE
LEGGE FEDERALE SUI DIRITTI POLITICI
CODICE CIVILE
LEGGE FEDERALE SUI CARTELLI E ALTRE LIMITAZIONI DELLA CONCORRENZA
LEGGE FEDERALE SULL’ASSISTENZA INTERNAZIONALE IN MATERIA PENALE
LEGGE FEDERALE SULLA PROTEZIONE DEI DATI
LEGGE FEDERALE SULLA ESECUZIONE E SUL FALLIMENTO
CODICE PENALE
CYBERCRIME CONVENTION
ORDINANZA SUL REGISTRO DI COMMERCIO
LEGGE SUL RICICLAGGIO DI DENARO
LEGGE SULLA TRASPARENZA
LEGGE FEDERALE SUL TRASFERIMENTO INTERNAZIONALE DEI BENI CULTURALI
LEGGE SUGLI AGENTI TERAPEUTICI
LEGGE FEDERALE SULL’ARMONIZZAZIONE DELLE IMPOSTE DIRETTE DEI CANTONI E DEI COMUNI
- I. Considerazioni generali
- II. Sistema informatico (Let. A)
- III. Dati informatici (lett. b)
- IV. Fornitore di servizi (lett. c)
- V. Dati relativi al traffico (lett. d)
- Bibliografia
- I materiali
I. Considerazioni generali
1La Convenzione sulla criminalità informatica inizia fornendo, all’articolo 1, quattro definizioni dei concetti fondamentali a cui fanno riferimento i vari articoli successivi. I redattori della Convenzione hanno certamente precisato nella loro Relazione esplicativa che le Parti non sarebbero tenute a riprodurre alla lettera, nelle loro leggi interne, i quattro concetti definiti all’art. 1 della Convenzione. Hanno tuttavia precisato che le leggi nazionali devono disciplinare tali concetti in modo compatibile con i principi della Convenzione e offrire un quadro equivalente per la sua attuazione. L’importanza di queste definizioni appare quindi chiara: mettere tutte le Parti su un piano di parità per garantire che facciano riferimento agli stessi concetti. Ciò consente in particolare dievitare controversie, ad esempio che una Parte si rifiuti di applicare determinate disposizioni con la motivazione di interpretare un concetto in modo diverso rispetto a un’altra Parte.
2 I redattori della Convenzione erano evidentemente consapevoli della rapida evoluzione dell’informatica. È senza dubbio per questo motivo che hanno deciso di formulare le definizioni dell’art. 1 CCC nel modo più neutro possibile dal punto di vista tecnologico, limitandosi alla descrizione funzionale di ciascun concetto. Questa strategia ha dato i suoi frutti, poiché, venticinque anni dopo, tali definizioni rimangono pertinenti nonostante la notevole evoluzione tecnologica avvenuta nel corso di questo periodo.
II. Sistema informatico (Let. A)
3La definizione adottata dagli autori della Convenzione sulla criminalità informatica si compone di tre aspetti. Essa presuppone, in primo luogo, l’esistenza di un dispositivo. Quest’ultimo può essere isolato o collegato in rete. La definizione comprende quindi sia il personal computer che gli ambienti informatici interconnessi. Il secondo elemento risiede nella presenza di un programma. È quindi necessario che il dispositivo funzioni sulla base di istruzioni prestabilite. Il dispositivo non può essere puramente meccanico. Un carillon o un orologio non sono quindi sistemi informatici. Infine, il trattamento dei dati deve avvenire in modo automatico. Non è sufficiente che il dispositivo si limiti a un’archiviazione passiva dei dati, ma deve eseguire automaticamente un processo di trasformazione di tali dati. Una macchina fotografica, un dittafono o una chiavetta USB non sono quindi sistemi informatici.
4Nelle sue linee guida, il Comitato della Convenzione sulla criminalità informatica ha precisato che la definizione di «sistema informatico» include, ad esempio, i moderni telefoni cellulari che sono multifunzionali e tra le loro funzioni hanno la capacità di produrre, elaborare e trasmettere dati, quali l’accesso a Internet, l’invio di e-mail, la trasmissione di allegati, il download di contenuti o documenti. Lo stesso vale per i personal digital assistant, con o senza funzionalità wireless, che producono, elaborano e trasmettono anch’essi dati.
5La definizione adottata considera volutamente il sistema informatico dal punto di vista della sua funzionalità, e non della sua forma. Questo approccio le conferisce una flessibilità sufficiente per evolversi nel tempo e includere tecnologie che nel 2001 non esistevano ancora, quali gli smartphone, l’Internet delle cose (IoT) o il cloud computing.
A. Un dispositivo
6 L’informatica si basa fondamentalmente sull’elaborazione dei dati. Quest’ultimo concetto sarà approfondito più avanti al punto III. A questo stadio, i dati possono essere definiti come informazioni digitali immateriali. Per poter essere elaborate, tali informazioni richiedono tuttavia un insieme di componenti hardware che ne consentano sia l’elaborazione che l’archiviazione.
7Sebbene non costituisca l’elemento più importante del sistema informatico, la scheda madre ne rappresenta comunque la struttura portante. Si tratta di una grande scheda elettronica che funge da supporto per tutti i componenti del sistema. L’elemento veramente centrale del sistema informatico è il processore. Esso rappresenta il cuore del sistema, in quanto elabora tutte le istruzioni e le richieste che gli pervengono dai vari componenti. Una volta elaborati i dati, il processore deve poterli memorizzare temporaneamente da qualche parte, poiché non è dotato di memoria propria. I dati vengono quindi memorizzati temporaneamente nella memoria RAM. Questa memoria, tuttavia, può conservare i dati solo quando il sistema informatico è acceso. Quando si spegne, tutti i dati contenuti in questa memoria vanno persi. È quindi necessario prevedere una memorizzazione duratura di questi dati su un dispositivo appropriato, come un disco rigido, un disco rigido esterno, una chiavetta USB, un DVD, ecc.
8Gli ultimi componenti indispensabili al funzionamento del sistema informatico sono le periferiche. Le periferiche di input consentono l’immissione dei dati nel sistema, come il mouse, la tastiera o lo scanner. A queste si contrappongono le periferiche di output che assicurano la restituzione dei dati elaborati dal sistema, come lo schermo, la stampante o il masterizzatore DVD. Tutti questi elementi materiali sono chiamati hardware e formano un dispositivo.
9Sarebbe tuttavia riduttivo pensare che tutti i componenti che formano il dispositivo debbano necessariamente trovarsi in un unico luogo in modo compatto, poiché ciò equivarrebbe a limitare il concetto di dispositivo a un personal computer o a uno smartphone. Eppure, attualmente esistono supercomputer che occupano ciascuno un intero capannone. Al contrario, esistono anche dispositivi i cui componenti sono sparsi in tutto il mondo.
10Il dispositivo può funzionare in modo isolato o interconnesso. Prima della diffusione di Internet a metà degli anni ’90, la maggior parte dei dispositivi funzionava in modo isolato. Da allora, questa modalità di funzionamento costituisce piuttosto l’eccezione, riservata a situazioni che richiedono un livello massimo di sicurezza, in particolare per evitare qualsiasi intrusione tramite connessioni esterne.
11I dispositivi sono interconnessi quando sono collegati tra loro tramite una connessione cablata o wireless, come onde radio, collegamenti a infrarossi, fibra ottica o collegamenti satellitari, formando così una rete. Questa può essere limitata a una determinata area geografica, ad esempio un’abitazione, un’azienda o un’università. Si tratta in questo caso di una rete locale (Local Area Network o LAN). Tale rete può tuttavia estendersi anche su un’area molto più vasta, ad esempio una città, un paese o un continente. Si parla allora di rete estesa (Wide Area Network o WAN). La rete estesa più grande è Internet, poiché si tratta di una rete formata da una moltitudine di reti interconnesse che si estendono in tutto il mondo.
12Infine, il concetto di dispositivo comprende anche gli altri apparecchi che consentono ai computer collegati alle reti di scambiarsi dati. A tal proposito, anche i server, i router, gli switch, i modem e i gateway devono essere considerati dispositivi.
B. Un programma
13Agli elementi hardware si contrappongono gli elementi software, che raggruppano l’insieme dei programmi che consentono il funzionamento e l’utilizzo dei diversi componenti del sistema informatico.
14Un programma può essere definito come un insieme di comandi che, quando vengono eseguiti da un sistema informatico, consentono di ottenere un risultato determinato.
15Proprio come per i componenti hardware, è opportuno distinguere i programmi in base al compito che svolgono. Il programma di «avvio» di qualsiasi sistema informatico è il BIOS (Basic Input and Output System) o l’UEFI (Unified Extensible Firmware Interface). È contenuto in un chip collegato alla scheda madre e fornisce gli elementi necessari all’avvio del sistema. Inoltre, garantisce la gestione di base dei diversi componenti hardware del sistema informatico e funge da interfaccia tra questi componenti e il sistema operativo.
16Il sistema operativo costituisce, dal canto suo, il programma centrale del sistema informatico. Assicura il funzionamento globale e coerente del sistema coordinando le diverse richieste inviate al sistema informatico dall’utente, nonché le interazioni tra i componenti hardware e gli altri programmi. In altre parole, il sistema operativo funge da interfaccia essenziale tra i software applicativi e gli elementi hardware del sistema.
17Infine, i programmi applicativi svolgono ciascuno una funzione specifica. Ad esempio, Word© consente l’elaborazione di testi, Photoshop© l’elaborazione di immagini, Outlook© la ricezione e l’invio di e-mail. Questi programmi si avvalgono tuttavia del sistema operativo per accedere alle risorse hardware ed eseguire le attività per cui sono stati progettati.
C. Il trattamento automatico dei dati
18L’elaborazione automatizzata dei dati indica il fatto che i dati vengono elaborati in modo automatico da un programma, senza che sia necessario un intervento umano diretto. Tale elaborazione può riguardare sia l’acquisizione che l’archiviazione o la restituzione dei dati.
19Come si vedrà più avanti al punto III, i dati costituiscono informazioni digitali immateriali. Per poter essere elaborati da un sistema informatico, le informazioni provenienti dal mondo materiale devono essere convertite in un linguaggio comprensibile dal dispositivo. Pertanto, la pressione esercitata su un tasto della tastiera, su un pulsante del mouse o su un touchscreen viene tradotta in linguaggio binario e trasformata in segnali elettrici, logici o ottici.
20Una volta che l’informazione materiale è stata convertita in segnali elettrici, logici o ottici, il programma è in grado di procedere all’elaborazione automatizzata dei dati. Una volta completata l’elaborazione, i dati vengono nuovamente tradotti in un linguaggio comprensibile per l’utente. Il programma può così, ad esempio, visualizzare caratteri alfabetici su uno schermo quando un utente preme i tasti di una tastiera, trasmettere le informazioni visive visualizzate sullo schermo a una stampante affinché vengano riprodotte su carta quando l’ l’utente clicchi sull’icona «stampa» oppure stabilire una comunicazione telefonica quando l’utente preme il simbolo del telefono verde sul touchscreen del proprio smartphone. Ogni istruzione impartita dall’utente al sistema informatico genera la creazione di dati informatici, i quali vengono elaborati in modo automatizzato dai programmi e poi restituiti all’utente in una forma a lui comprensibile.
D. Prospettive
1. La dematerializzazione dei sistemi informatici
21Già a partire dagli anni ’80 è emersa l’idea dell’informatica distribuita, in particolare attraverso lo slogan lanciato da Sun Microsystems: «The network is the computer!» («La rete è il computer!»). Questo approccio si basa sulla condivisione delle risorse di calcolo al fine di elaborare volumi di dati più consistenti. In questa prospettiva, quando la rete in questione è Internet, il «computer» che essa rappresenta è costituito dall’insieme dei computer ad essa collegati, il che comporta una capacità di calcolo particolarmente considerevole. È in questo contesto che, a partire dalla fine degli anni ’90 e con la diffusione di Internet, sono emersi progetti di calcolo distribuito. Questi progetti consistono nell’offrire ai privati la possibilità di mettere a disposizione, tramite Internet, la potenza di calcolo dei propri computer personali quando non li utilizzano, al fine di eseguire calcoli che richiedono capacità di elaborazione molto elevate.
22 Con il passare del tempo, questa logica di condivisione non si è più limitata al solo processore. È l’intera architettura informatica che è stata progressivamente ripensata per diventare un’architettura distribuita, nel senso che le diverse risorse disponibili non si trovano più necessariamente nello stesso luogo né sulla stessa macchina. Un esempio emblematico di architettura distribuita che ha conosciuto un’ascesa fulminea all’inizio degli anni 2000 è il modello detto «peer-to-peer» (peer-to-peer). Questo modello consente la condivisione di file all’interno di un’architettura in cui ogni computer svolge contemporaneamente il ruolo sia di client che di server.
23Tra la fine degli anni 2000 e l’inizio degli anni 2010 è apparso il cloud computing («informatica in nuvola»), che consiste nel ricorrere a server informatici remoti, connessi a Internet, per archiviare, gestire ed elaborare dati, anziché affidarsi a un server locale o a un computer personale. Questa tecnica consente in particolare all’utente di creare un sistema informatico virtuale, di installarvi un sistema operativo e delle applicazioni e di generare, elaborare e salvare dati al suo interno. A tal fine è sufficiente disporre di un terminale connesso a Internet, poiché tutte le altre risorse vengono messe a disposizione in modo virtuale e decentralizzato, provenienti da luoghi e talvolta da diversi fornitori di servizi sparsi in tutto il mondo. In una configurazione di questo tipo, risulta facile comprendere che la qualifica di «sistema» possa diventare problematica, dal momento che non esiste più un’unità fisica dei componenti.
2. L’Internet delle cose (IoT)
24Da alcuni anni si assiste a una vera e propria esplosione del numero di oggetti connessi. Che si tratti di orologi, forni, televisori o veicoli, la quasi totalità degli oggetti di uso quotidiano esiste in una forma che può essere connessa a Internet.
25Negli anni ’90, SCHMID affermava, basandosi sul Messaggio del Consiglio federale, che i distributori automatici di cibo, benzina, biglietti, le fotocopiatrici o le slot machine non potessero essere qualificati come sistemi informatici, in quanto il legislatore federale aveva voluto limitare la nozione di sistema informatico ai soli dispositivi in grado di svolgere le cosiddette «funzioni superiori».
26 Questa opinione non è più sostenibile oggi. Gli oggetti connessi fanno ormai pienamente parte di Internet, possono essere controllati a distanza e sono in grado di eseguire così tante attività da soddisfare tutti i criteri che consentono di qualificarli come sistemi informatici ai sensi dell’art. 1 lett. a CCC. Questo cambiamento di paradigma solleva tuttavia seri problemi. Gli oggetti connessi, infatti, non beneficiano generalmente di misure di protezione equivalenti a quelle dei computer tradizionali. I criminali informatici possono quindi accedere più facilmente e indebitamente a un orologio connesso per estrarne i mezzi di pagamento che vi sono contenuti, sbloccare una porta collegata a un sistema domotico per introdursi in un’abitazione o ancora accedere a una rete aziendale collegandosi senza autorizzazione alla macchina da caffè connessa della propria mensa, rispetto all’accesso a un computer personale appositamente protetto contro qualsiasi accesso. Ne consegue che l’ambito di applicazione dell’art. 2 CCC, per gli Stati che non richiedono, come la Svizzera, che il reato sia commesso in violazione delle misure di sicurezza, risulta particolarmente ampio ed è destinato ad ampliarsi ulteriormente nei prossimi anni.
3. L’intelligenza artificiale
27Come visto in precedenza (al punto II, lettera B), la definizione di cui all’art. 1 lett. a CCC presuppone che un sistema informatico sia dotato di un programma. Tale programma esegue in linea di principio una serie di comandi predefiniti dall’uomo. Con l’affermarsi dell’intelligenza artificiale, il carattere immutabile dei programmi non è più necessariamente scontato. I sistemi basati sull’intelligenza artificiale sono infatti in grado di apprendere in modo autonomo e possono, in determinate configurazioni, modificare il proprio codice sorgente o adattare i parametri dell’ ambiente in cui operano. Si pone quindi la questione se il concetto di sistema informatico, così come è attualmente definito, rimanga sufficientemente ampio da comprendere tali evoluzioni tecnologiche o se sia necessaria una ridefinizione per tenere conto dei futuri sviluppi nel campo dell’intelligenza artificiale. A nostro avviso, la definizione attuale è formulata in modo sufficientemente ampio da includere le evoluzioni tecnologiche note fino ad oggi. Infatti, anche se l’intelligenza artificiale è in grado di riscrivere il codice sorgente di un programma per adattarsi al proprio ambiente, il sistema informatico continua a funzionare sulla base di un programma.
28Due problematiche emergenti potrebbero tuttavia richiedere una ridefinizione nei prossimi anni. La prima riguarda l’intelligenza artificiale agentica autonoma e distribuita, ovvero agenti in grado di negoziare, migrare tra ambienti, creare altri agenti o modificare la propria infrastruttura senza intervento umano. Ciò solleva il problema dell’unità del sistema informatico, poiché non si riuscirebbe più a determinare chiaramente a partire da quando uno sciame di agenti costituisca ancora un unico sistema informatico o più sistemi. Inoltre, la Convenzione non tiene conto del concetto di sistema informatico effimero, distribuito e auto-organizzato. La seconda problematica riguarda l’intelligenza artificiale neuromorfica, ovvero priva di programmi separati. Lo si vede, ad esempio, con i chip Loihi di Intel che imitano il cervello umano. A differenza dei processori tradizionali, questi chip elaborano le informazioni per eventi e integrano la memoria nel processore. Non esiste quindi più un «programma » distinto dall’hardware. L’esecuzione e l’apprendimento sono indissociabili, per cui l’attuale definizione di sistema informatico diventerebbe obsoleta.
29 A medio termine, sarebbe quindi necessario estendere la definizione di sistema informatico, da un lato, agli agenti autonomi dispiegati e, dall’altro, a qualsiasi dispositivo hardware o ibrido che effettui un’elaborazione dei dati tramite apprendimento, anche quando l’esecuzione non si basa su un programma distinto.
III. Dati informatici (lett. b)
30I dati informatici sono definiti come «qualsiasi rappresentazione di fatti, informazioni o concetti in una forma che si presti al trattamento informatico, compreso un programma atto a far sì che un sistema informatico esegua una funzione» (art. 1 lett. b CCC). Questa definizione, ripresa da quella dell’Organizzazione internazionale per la normazione (ISO), si caratterizza per la sua neutralità tecnologica. Ciò le conferisce il vantaggio di aver resistito in modo notevole alla fulminea evoluzione delle tecnologie dall’adozione della Convenzione nel 2001.
A. La forma dei dati
31 I sistemi informatici utilizzano un linguaggio fondamentalmente diverso da quello umano. Un testo, un’immagine o un’opera musicale realizzata dall’uomo non ha, di per sé, alcun significato per un computer. Per poter essere compresa ed elaborata, tale informazione deve essere convertita in un linguaggio comprensibile per la macchina. È in questa prospettiva che la definizione di «dati informatici» adottata nella Convenzione utilizza i termini «che si prestano a un trattamento». Ciò significa che la rappresentazione di fatti, informazioni o concetti deve poter essere trattata direttamente da un sistema informatico, senza richiedere una trasformazione preliminare volta a consentirne il riconoscimento da parte di quest’ultimo. I dati informatici sono quindi informazioni che possono essere direttamente comprese e utilizzate da un computer.
32L’informatica si basa su un sistema binario, il che significa che utilizza solo i numeri 0 e 1. Questa unità elementare di informazione è chiamata bit. Una sequenza di otto bit costituisce un byte (ad es. 10011101), che permette di rappresentare 28, ovvero 256 valori distinti. Questo sistema rende possibile la traduzione delle informazioni provenienti dal linguaggio umano in indicazioni comprensibili dalla macchina. A seconda del programma utilizzato, un byte può rappresentare una cifra, una lettera, un colore o persino un suono. Ad esempio, quando un utente preme il tasto «a» sulla tastiera del proprio computer in un programma di elaborazione testi, questa azione viene convertita in linguaggio binario sotto forma di «01100001». Questo byte costituisce un dato che il computer è in grado di elaborare visualizzando una «a» sullo schermo. Allo stesso modo, i colori vengono convertiti in valori distribuiti su tre assi: rosso, verde e blu. Il valore 0 indica che il colore è assente, mentre il valore 255 indica che il colore ha la massima intensità. Pertanto, un pixel di colore albicocca in un programma di disegno sarà rappresentato dai valori 230 sulla scala del rosso, 126 sulla scala del verde e 48 sulla scala del blu, ovvero, in linguaggio binario, «111001101111111011000000». Questo dato a 24 bit permette al programma di disegno di visualizzare un pixel color albicocca sulla pagina bianca.
33 Gli esempi precedenti illustrano che, nell’informatica, il dato informatico è l’unità elementare che contiene un’informazione. Al contrario, quando un insieme di dati viene riunito per formare un tutto coerente, si parla di file. Può trattarsi di un testo, di un’immagine, di un video o di una registrazione audio.
B. I tipi di dati
34La definizione dell’art. 1 lett. b CCC non opera alcuna distinzione tra i diversi tipi di dati. Sono interessati tutti i dati informatici, siano essi personali o meno, privati o pubblici, comprensibili dall’uomo o esclusivamente dalla macchina. Anche il contenuto dei dati è irrilevante, che si tratti di dati fattuali (date, ore, misure, ecc.), di informazioni (rapporti, analisi, ecc.) o di concetti astratti (modelli, algoritmi, codici, ecc.). Costituiscono quindi dati ai sensi dell’art. 1 lett. b CCC i dati memorizzati su supporti di archiviazione, i dati temporanei, i dati in transito, i metadati e persino i dati crittografati.
35Ai dati creati dall’uomo occorre, a nostro avviso, aggiungere quelli prodotti automaticamente da un sistema informatico a partire da dati preesistenti, denominati dati derivati o inferiti, in particolare mediante processi di trasformazione, di combinazione o di analisi algoritmica. A titolo di esempio, si possono citare i profili degli utenti, i punteggi, le previsioni o le classificazioni generate senza un intervento umano diretto. Sebbene non si tratti di dati inizialmente forniti da un utente, a nostro avviso devono essere inclusi nella definizione di cui all’art. 1 lett. b CCC, purché si prestino a un trattamento informatico e siano utilizzabili da un sistema informatico.
36La definizione di dati informatici si estende, a nostro avviso, anche ai dati volatili (o effimeri), in particolare quelli memorizzati temporaneamente nella memoria RAM di un sistema, generati dinamicamente durante l’esecuzione di un programma o destinati a scomparire automaticamente dopo un lasso di tempo molto breve. Sebbene la loro durata sia breve, rivestono particolare importanza nell’ambito delle indagini penali, in particolare in caso di accesso illegale (art. 2 CCC) o di violazione dell’integrità del sistema (art. 5 CCC) mediante un attacco di tipo «denial of service distribuito».
37Alla luce della definizione di dati informatici incentrata esclusivamente sulla funzione, è irrilevante che i dati siano comprensibili per un essere umano. I dati rimangono dati informatici anche quando sono crittografati, compressi, frammentati o archiviati in una forma che non ne consente la lettura immediata. La crittografia dei dati non è rilevante dal punto di vista giuridico, poiché costituisce solo una modalità tecnica di trattamento dei dati volta a limitarne l’accesso. Di conseguenza, lo status giuridico dei dati non cambia per il fatto che essi siano crittografati o resi temporaneamente inutilizzabili dai criminali informatici.
C. I programmi
38 La precisazione «compreso un programma», voluta dai redattori della Convenzione, mira a eliminare ogni ambiguità riguardo all’inclusione dei programmi nella definizione di cui all’art. 1 lett. b CCC. Questo approccio è del tutto coerente sotto due aspetti. Dal punto di vista informatico, un programma è un insieme di istruzioni contenute in un codice sorgente, a sua volta composto da una moltitudine di caratteri, ovvero dati, che determinano il modo in cui i dati che gli vengono forniti devono essere trattati. Da un punto di vista sistematico, l’inclusione dei programmi nella definizione di dati informatici rientra nella volontà chiaramente affermata dai redattori della Convenzione di non operare alcuna distinzione tra i diversi tipi di dati.
D. Prospettive
39Sebbene al momento della redazione della Convenzione fosse impossibile prevedere i futuri sviluppi dell’informatica, la scelta di una definizione tecnologicamente neutra ha permesso di includervi tutti i nuovi tipi di dati emersi dal 2001. È il caso, in particolare, delle criptovalute, dei dati generati dagli oggetti connessi e dei dataset, ovvero le raccolte strutturate di dati destinate all’addestramento di modelli di apprendimento automatico.
E. Excursus: la distinzione tra dati relativi all’abbonato, dati relativi al traffico e dati di contenuto nel diritto penale svizzero
40La rapida evoluzione delle tecnologie negli ultimi trent’anni ha reso necessari adeguamenti legislativi di grande rilevanza al fine di distinguere quali tipi di dati potessero essere ottenuti e a quali condizioni. La prima Legge sulla sorveglianza della corrispondenza postale e delle telecomunicazioni (LSCPT) è stata adottata il 6 ottobre 2000 ed è entrata in vigore il 1er gennaio 2002. È stata completamente rivista nel 2016, per poi subire diverse revisioni parziali, tra cui una particolarmente significativa nel 2024.
41Il legislatore ha ritenuto che non tutti i dati avessero la stessa importanza. È partito dal presupposto che quanto più grave fosse la violazione della sfera privata, garantita dall’art. 13 Cost., tanto più rigorose dovessero essere le condizioni alle quali tali dati potevano essere ottenuti. La legge opera quindi una distinzione tra tre tipi di dati: i dati relativi all’abbonato (Bestandesdaten), i dati relativi al traffico (Randdaten) e i dati di contenuto (Inhaltsdaten).
42La Convenzione sulla criminalità informatica opera la stessa distinzione al suo articolo 18.
1. I dati relativi all’abbonato
43I dati relativi all’abbonato comprendono le informazioni di identificazione del titolare di un allacciamento. Si tratta in particolare del cognome, del nome, della data di nascita, dell’indirizzo e, se nota, della professione dell’utente (art. 21 cpv. 1 lett. a LSCPT), nonché delle risorse di indirizzamento (art. 21 cpv. 1 lett. b LSCPT) e dei tipi di servizi (art. 21 cpv. 1 lett. c LSCPT) che sono stati utilizzati.
44Tali dati corrispondono a quelli elencati all’art. 18 cpv. 3 CCC, ovvero: il tipo di servizio di comunicazione utilizzato, le disposizioni tecniche adottate a tal fine e il periodo di servizio (lett. a); l’identità, l’indirizzo postale o geografico e il numero di telefono dell’abbonato, nonché qualsiasi altro numero di accesso, i dati relativi alla fatturazione e al pagamento, disponibili sulla base di un contratto o di un accordo di servizi (lett. b); qualsiasi altra informazione relativa all’ubicazione delle apparecchiature di comunicazione, disponibile sulla base di un contratto o di un accordo di servizi (lett. c) .
45Si tratta dei dati meno sensibili. Il loro ottenimento comporta solo una minima violazione della sfera privata. Nel diritto svizzero, il loro ottenimento è quindi soggetto esclusivamente alle condizioni di cui all’art. 197 cpv. 1 CPP e non richiede l’autorizzazione del Tribunale delle misure coercitive.
2. I dati relativi al traffico (o dati secondari)
46I dati relativi al traffico sono i dati che indicano con chi, quando, per quanto tempo e da dove la persona sorvegliata è stata o è in comunicazione, nonché le caratteristiche tecniche della comunicazione in questione (art. 8 lett. b LSCPT).
47In una sentenza di principio, il Tribunale federale ha in particolare ritenuto che la cronologia degli indirizzi IP degli utenti che si sono collegati a un social network rientri nei dati relativi al traffico e non in quelli relativi all’abbonato. Questa sentenza, che è stata oggetto di aspre critiche in dottrina, è stata recentemente confermata in una sentenza non pubblicata.
48La Convenzione sulla criminalità informatica li definisce all’art. 1 lett. d CCC. Essi saranno esaminati in dettaglio nel capitolo V che segue.
49Questi dati sono più sensibili rispetto ai dati relativi all’abbonato. Il legislatore svizzero ha quindi deciso di imporre requisiti più rigorosi per il loro ottenimento. È quindi necessario che siano soddisfatte cumulativamente le condizioni di cui all’art. 197 cpv. 1 e 273 cpv. 1 CPP. L’ottenimento di tali dati è quindi possibile solo in presenza di gravi sospetti che facciano presumere che sia stato commesso un crimine o un delitto. Semplici supposizioni o vaghi sospetti non sono sufficienti. L’ottenimento di tali dati non è possibile nemmeno in caso di contravvenzione. A ciò si aggiunge che l’ottenimento deve essere giustificato alla luce della gravità del reato (principio di proporzionalità) e che le misure adottate fino a quel momento nell’ambito dell’istruttoria siano rimaste senza esito oppure che le indagini non avrebbero alcuna possibilità di successo o sarebbero eccessivamente difficili in assenza di sorveglianza (principio di sussidiarietà).
50L’acquisizione di tali dati è inoltre possibile solo con l’autorizzazione del Tribunale delle misure coercitive (art. 274 CPP).
3. I dati di contenuto
51I dati di contenuto corrispondono alla sostanza stessa delle comunicazioni (art. 8 lett. a LSCPT). Si tratta dell’espressione scritta o orale del pensiero umano, in particolare del testo redatto dall’autore di un’e-mail o di un messaggio oppure delle parole pronunciate da un interlocutore durante una conversazione telefonica.
52La sorveglianza dei dati di contenuto è la forma di sorveglianza più invasiva e costituisce la violazione più grave del segreto delle telecomunicazioni e della sfera privata. È quindi ovvio che i requisiti stabiliti dal legislatore svizzero siano i più elevati tra i tre tipi di dati.
53I dati di contenuto sono menzionati all’art. 21 CCC. Anche i redattori della Convenzione ritenevano che tali dati non potessero essere ottenuti per perseguire qualsiasi reato. Hanno quindi integrato il principio di proporzionalità, prevedendo che tali dati potessero essere raccolti solo per perseguire determinati reati gravi che dovevano essere definiti nel diritto interno.
54La raccolta dei dati di contenuto è disciplinata dall’art. 269 CPP. Essa richiede l’esistenza di gravi sospetti che facciano presumere la commissione di un crimine o di un delitto elencati in modo esaustivo all’art. 269, comma 2, del CPP. Anche in questo caso, semplici supposizioni o vaghi sospetti non sono sufficienti. L’acquisizione di tali dati deve inoltre essere giustificata alla luce della gravità del reato (principio di proporzionalità). Non è quindi sufficiente che il reato perseguito figuri nell’elenco di cui all’art. 269 cpv. 2 CPP, ma occorre inoltre che la gravità concreta del reato nel caso di specie giustifichi la misura di sorveglianza. Infine, le misure adottate fino a quel momento nell’ambito dell’istruttoria devono essersi rivelate infruttuose oppure le indagini non avrebbero alcuna possibilità di esito positivo o risulterebbero eccessivamente difficili in assenza di sorveglianza (principio di sussidiarietà).
55Proprio come per i dati relativi al traffico, l’acquisizione dei dati di contenuto è possibile solo con l’autorizzazione del Tribunale delle misure coercitive (art. 274 CPP).
IV. Fornitore di servizi (lett. c)
56Ai sensi dell’art. 1 lett. c CCC, « per « fornitore di servizi » si intende qualsiasi ente pubblico o privato che offra agli utenti dei propri servizi la possibilità di comunicare tramite un sistema informatico, nonché qualsiasi altro ente che tratti o conservi dati informatici per tale servizio di comunicazione o per i suoi utenti ». Questa definizione opera una distinzione tra due tipi di fornitori: i fornitori di accesso e i fornitori di archiviazione o di contenuti.
A. I fornitori di accesso
57I fornitori di servizi di cui all’art. 1 lett. c n. 1 CCC sono i fornitori di accesso (access provider), ovvero coloro che consentono agli utenti di connettersi a una rete e di comunicare tra loro tramite un sistema informatico.
58Si tratta in primo luogo degli operatori di telecomunicazioni (ad es. Swisscom, SFR, Deutsche Telekom, Vodafone, TIM) che consentono ai privati di connettersi a Internet. A nostro avviso, questa definizione deve essere intesa in senso molto più ampio ed estendersi a tutte le entità che forniscono l’accesso a una rete tramite un sistema informatico. Sono quindi interessate le imprese private o gli enti pubblici che mettono a disposizione degli utenti punti di accesso a Internet (ad es. le compagnie ferroviarie, gli alberghi, i comuni, ecc.), le imprese private o gli enti pubblici che gestiscono una rete privata e forniscono ai propri utenti l’accesso a tale rete, nonché i privati che dispongono di un punto di accesso a Internet o a una rete domestica, in particolare sotto forma di hotspot Wi-Fi, e che offrono a terzi la possibilità di connettersi ad essa.
59 Questa interpretazione estensiva è confermata dai redattori della Convenzione, i quali sottolineano nella loro Relazione esplicativa che è irrilevante che gli utenti costituiscano un gruppo chiuso o che il fornitore offra o meno i propri servizi al pubblico, gratuitamente o a pagamento. Il gruppo chiuso può essere costituito dai dipendenti di un’impresa privata ai quali i servizi sono forniti tramite una rete aziendale.
60A nostro avviso, la formulazione «che offre agli utenti dei propri servizi la possibilità di comunicare» comprende non solo gli enti pubblici o privati che forniscono l’accesso alla rete, ma anche tutti coloro che rendono materialmente possibile la comunicazione. Il concetto di «fornitore di accesso» si estende quindi a tutti i soggetti che mettono a disposizione un’infrastruttura o un servizio che consenta la trasmissione, l’instradamento o l’inoltro dei dati attraverso la rete, purché offrano agli utenti un servizio funzionale di comunicazione. Non rientrano invece in tale ambito gli attori puramente tecnici o industriali, che si limitano alla fabbricazione, alla fornitura o alla manutenzione di apparecchiature senza offrire essi stessi un servizio di comunicazione.
61Da un punto di vista puramente funzionale, la definizione di cui all’art. 1 lett. c n. 1 CCC riguarda anche alcune categorie disoggetti intermedi della rete che, pur non fornendo un accesso classico a Internet, svolgono un ruolo determinante nell’effettiva possibilità di comunicare tramite un sistema informatico. È il caso, in particolare, dei fornitori di servizi di reti private virtuali (Virtual Private Network o VPN), che garantiscono ai propri utenti un accesso sicuro e anonimo alle risorse accessibili tramite la rete, combinando funzioni di instradamento, trasmissione e crittografia delle comunicazioni.
62Sempre dal punto di vista funzionale, possono rientrare nell’ambito di applicazione dell’art. 1 lett. c n. 1 CCC anche gli operatori di servizi di infrastruttura essenziali per la comunicazione su Internet, quali i fornitori di servizi di risoluzione dei nomi di dominio (DNS) accessibili al pubblico o gli operatori di punti di scambio Internet (Internet Exchange Points o IXP), purché offrano un servizio che consenta l’instradamento o l’interconnessione delle comunicazioni tra utenti o fornitori di reti.
B. I fornitori di spazio di archiviazione o di contenuti
63I fornitori di servizi di cui all’art. 1 lett. c n. 2 CCC sono coloro che mettono a disposizione, a titolo gratuito o a pagamento, spazi di archiviazione (hosting providers) o contenuti per i siti web (content providers).
64I fornitori di spazio di archiviazione (hosting provider) sono soggetti che offrono agli utenti di Internet server che consentono l’archiviazione o il trattamento dei dati. Si suddividono in due categorie: quelli che archiviano o trattano dati per conto dei soggetti di cui al punto (i) e quelli che archiviano o trattano dati per conto degli utenti dei servizi offerti dai soggetti di cui al punto (ii):
65La prima categoria comprende i fornitori di servizi di archiviazione che trattano o conservano i dati dei fornitori di accesso. Si tratta in particolare dei dati relativi al traffico (cfr. punto V di seguito), dei dati del sistema dei nomi di dominio (Domain Name System o DNS) che associa i nomi di dominio all’indirizzo IP dei server su cui sono ospitati, nonché dei dati relativi ai diversi server attraverso i quali transitano le e-mail.
66La seconda categoria riguarda i fornitori che archiviano o trattano i dati degli utenti dei fornitori di accesso. Sono interessati, in particolare, i soggetti che ospitano siti web, che offrono spazi per l’implementazione di sistemi informatici virtuali, o ancora ambienti in cui i dati possono essere salvati, gestiti o trattati a distanza (cloud computing).
67Nel contesto del cloud computing, la qualifica di fornitore di servizi ai sensi dell’art. 1 lett. c n. 2 CCC si applica indifferentemente ai diversi modelli di servizi comunemente distinti, vale a dire l’infrastruttura come servizio (Infrastructure as a Service o IaaS), la piattaforma come servizio (Platform as a Service o PaaS) e il software come servizio (Software as a Service o SaaS). Indipendentemente dalla forma scelta, questi modelli comportano tutti l’archiviazione, l’elaborazione o la messa a disposizione di dati informatici per conto di terzi, il che ne giustifica l’inclusione nella definizione di fornitori di servizi di cui all’art. 1 lett. c n. 2 CCC.
68Rientrano inoltre tra i fornitori di servizi i soggetti che gestiscono reti di distribuzione di contenuti
(Content Delivery Networks o CDN). Questi soggetti garantiscono la memorizzazione nella cache, l’archiviazione temporanea e la distribuzione ottimizzata dei dati tramite server distribuiti geograficamente.
69La definizione di cui all’art. 1 lett. c n. 2 CCC non è tuttavia destinata ad applicarsi a un semplice fornitore di contenuti (ad es. a una persona che stipula un contratto con un fornitore di hosting affinché questo ospiti il suo sito web), qualora quest’ultimo non offra inoltre servizi di comunicazione o altri servizi di trattamento dei dati. Al contrario, rientrano a nostro avviso nell’ambito di applicazione della definizione di cui all’art. 1 lett. c n. 2 CCC i siti web che, oltre alla messa a disposizione di contenuti, forniscono servizi di comunicazione, quali i siti web che mettono a disposizione caselle di posta elettronica, servizi di messaggistica istantanea o forum di discussione. Lo stesso vale per i siti web che offrono servizi di trattamento dei dati, in particolare la crittografia dei dati, la traduzione di testi, l’analisi finanziaria dei dati o ancora la raccolta automatizzata di dati non strutturati e la loro conversione in dati organizzati (web scraping).
70Questa analisi si applica anche alle piattaforme online e ai social network che, oltre alla diffusione di contenuti, offrono funzionalità strutturate di comunicazione e interazione tra gli utenti. Tali servizi comportano generalmente la creazione di account, lo scambio di messaggi, la pubblicazione di contenuti, nonché il trattamento automatizzato dei dati a fini di classificazione, pubblicità mirata o moderazione.
C. Prospettive
71Infine, analogamente alla definizione adottata per i dati informatici, la definizione di fornitore di servizi è concepita in modo tecnologicamente neutro. Questo approccio ha permesso di integrare i nuovi tipi di servizi emersi dal 2001, in particolare i soggetti che offrono servizi basati sull’intelligenza artificiale per elaborare o generare dati. È tuttavia opportuno precisare che non è l’intelligenza artificiale in quanto tale ad essere oggetto della definizione, bensì le funzioni di archiviazione, trattamento o comunicazione dei dati informatici che essa consente di garantire.
V. Dati relativi al traffico (lett. d)
72 L’ultima definizione fornita dalla convenzione figura all’art. 1 lett. d CCC, secondo cui i dati relativi al traffico « indicano tutti i dati relativi a una comunicazione che transita attraverso un sistema informatico, prodotti da quest’ultimo come elemento della catena di comunicazione, che indicano l’origine, la destinazione, l’itinerario, l’ora, la data, la dimensione e la durata della comunicazione o il tipo di servizio sottostante». Questi dati rivestono uno status giuridico particolare, nella misura in cui possono fungere da indizi, o addirittura da prove, nelle indagini penali. Essi sono generati dai diversi sistemi informatici che intervengono nella catena di comunicazione al fine di instradare quest’ultima dal punto di origine alla destinazione. Costituiscono quindi elementi ausiliari della comunicazione stessa stessa.
73 I dati relativi al traffico sono necessari per individuare la fonte della comunicazione; costituiscono un punto di partenza che consente di raccogliere ulteriori prove o un elemento costitutivo della prova del reato. Tuttavia, a causa del notevole volume di comunicazioni scambiate quotidianamente, i dati relativi a tali comunicazioni hanno una durata di conservazione molto limitata. È quindi essenziale agire con rapidità per ricostruire il percorso della comunicazione sospetta prima che le tracce scompaiano. Tenuto conto della durata spesso significativa delle procedure ordinarie di assistenza giudiziaria internazionale in materia penale, la Convenzione prevede la possibilità di ricorrere alla procedura di divulgazione rapida di cui all’art. 17 CCC. Questa consente di ottenere senza indugio informazioni sul percorso della comunicazione e di raccogliere altre prove prima che vengano cancellate, oppure di identificare un indagato. Questa procedura accelerata e meno formale rimane compatibile con il principio di proporzionalità, nella misura in cui l’ottenimento di dati relativi al traffico comporta una violazione sensibilmente minore dei diritti della personalità rispetto all’ottenimento di dati relativi al contenuto, poiché non rivela il contenuto della comunicazione, ma solo il suo percorso.
74 L’art. 1 lett. d CCC elenca in modo esauriente le categorie di dati relativi al traffico soggette a un regime particolare nella Convenzione, ovvero: l’origine, la destinazione, l’itinerario, l’ora, la data, la dimensione e la durata della comunicazione o il tipo di servizio sottostante.
75 L’origine e la destinazione corrispondono ai punti della rete da cui una comunicazione viene emessa e ricevuta. Essi sono identificati, a seconda della modalità di comunicazione utilizzata, da numeri di telefono o, più in generale, da indirizzi IP assegnati ai sistemi informatici interessati in un determinato momento. Tali identificativi non consentono necessariamente di identificare direttamente un utente finale, in particolare in presenza di indirizzi IP dinamici, condivisi o occultati da procedure quali la traduzione degli indirizzi di rete (NAT), i servizi di relay (ad es. la rete TOR) o le reti private virtuali (VPN). Essi rivestono particolare importanza per le indagini penali, poiché consentono di individuare il sistema informatico o il punto di accesso alla rete all’origine o alla destinazione della comunicazione.
76L’itinerario descrive il percorso seguito dalla comunicazione attraverso i diversi punti di transito della rete, in particolare router, server intermedi o altre infrastrutture di transito. Corrisponde alla successione dei sistemi informatici attraverso i quali i dati vengono instradati dal loro punto di origine alla loro destinazione. In pratica, tale percorso può essere ricostruito parzialmente o totalmente a partire dai dati generati da questi diversi sistemi, fatte salve le limitazioni tecniche legate in particolare all’architettura della rete, all’utilizzo di servizi intermedi o alla crittografia delle comunicazioni.
77L’ora e la data sono espresse in tempo universale coordinato (UTC). Queste informazioni sono essenziali in presenza di indirizzi IP dinamici. Poiché tali indirizzi vengono riassegnati continuamente in base alle esigenze degli utenti, è indispensabile disporre di queste informazioni per poter chiedere al fornitore di accesso a quale sistema informatico abbia assegnato un indirizzo IP in un determinato momento. Tali informazioni devono essere ottenute nel più breve tempo possibile, poiché, a seconda degli Stati, vengono conservate solo per un periodo compreso tra sei e ventiquattro mesi al massimo. Una volta trascorso tale termine, i dati vengono distrutti e diventa impossibile identificare l’utente a cui è stato assegnato un indirizzo IP. Tale difficoltà non sussiste invece con gli indirizzi IP statici, poiché questi sono assegnati in modo permanente agli stessi utenti.
78La dimensione della comunicazione è espressa in bit o in byte e corrisponde al volume di dati scambiati. Può costituire un indizio per gli investigatori sul tipo di dati scambiati, nella misura in cui alcuni tipi di contenuti, quali immagini, registrazioni sonore o contenuti audiovisivi, generano in linea di principio volumi di dati più consistenti rispetto ai semplici messaggi di testo. Tale indicatore deve tuttavia essere interpretato con cautela, tenendo conto delle attuali tecniche di compressione, frammentazione e crittografia dei flussi di dati.
79La durata della comunicazione è misurata in ore, minuti e secondi. Corrisponde al lasso di tempo durante il quale è stata stabilita una comunicazione o ha avuto luogo uno scambio di dati tra i sistemi informatici interessati. Questa informazione può fornire elementi contestuali utili alle indagini, in particolare per distinguere le comunicazioni sporadiche dalle connessioni prolungate o ripetute, senza tuttavia rivelare il contenuto degli scambi avvenuti durante tale periodo.
80Infine, il tipo di servizio sottostante si riferisce alla modalità di comunicazione o alla categoria funzionale del servizio utilizzato nell’ambito dello scambio di dati, quali la posta elettronica, i servizi di messaggistica istantanea, la visualizzazione di contenuti audiovisivi online o il download di dati. Si tratta di una qualificazione generale del servizio utilizzato, che può risultare difficile da stabilire con precisione quando più servizi sono combinati all’interno dello stesso flusso di comunicazione o quando i dati sono incapsulati o crittografati.
Bibliografia
Schmid Niklaus, Computer- sowie Check- und Kreditkartenkriminalität, Zurich 1994.
I materiali
Conseil de l’Europe, Explanatory Report to the Convention on Cybercrime, Budapest 23.11.2001, disponible sous https://rm.coe.int/16800cce5b, visité le 10.01.2026 (cité : Rapport explicatif de la Convention sur la cybercriminalité).
Comité de la Convention cybercriminalité (T-CY), Guidance Notes, disponible sous https://www.coe.int/fr/web/cybercrime/guidance-notes, visité le 10.01.2026 (cité : Note d’orientation).