di Giovanni Nazzaro
Sulla base di evidenze relative alla manomissione involontaria di dati che rappresentano prove in tribunale, il 18 agosto 2019 il direttore dei procedimenti pubblici in Danimarca ha deciso di imporre un divieto temporaneo di 2 mesi sull’uso dei dati storici relativi alle comunicazioni mobili come prova nei processi penali e nei casi di detenzione preventiva. Ad agosto 2019 la polizia nazionale danese ha commissionato un’indagine esterna sulla gestione dei dati delle telecomunicazioni. Il rapporto è stato pubblicato il 3 ottobre 2019, insieme alle dichiarazioni della polizia nazionale danese, del direttore dei pubblici ministeri e del Ministero della giustizia.
La legge per la conservazione dei dati, che in origine recepiva la direttiva sulla conservazione dei dati dell’UE, in parte è ancora in vigore in Danimarca (come peraltro in Italia con il D.lgs 109/2008), nonostante le sentenze della Corte di giustizia dell’Unione europea (CGUE) del 2014 e 2016, che hanno dichiarato illegale la conservazione dei dati generale e indiscriminata in base al diritto dell’UE. La CGUE ha chiarito che è illegale qualsiasi legislazione che non limiti la gamma di obiettivi basati su un ragionevole sospetto.
Nel marzo 2017, in seguito alla sentenza su Tele2 Sverige, il ministro della giustizia danese informava il Parlamento della necessità di modificare la legge danese sulla conservazione dei dati. La modifica veniva rinviata più volte; l’ultimo annuncio risale al 1° ottobre 2019 dopo un periodo molto dibattuto.
Il tema della conservazione dei dati è stato quasi costantemente presente sui quotidiani danesi dal 17 giugno 2019 anche per altri motivi, quando è stato rivelato al pubblico che i dati errati sulle comunicazioni elettroniche sono stati utilizzati come prove in oltre 10.000 indagini di polizia e processi penali dal 2011. Le conseguenze del caso hanno rivelato pratiche di gestione dei dati gravemente inadeguate da parte della polizia danese per quasi dieci anni.
Secondo le relazioni iniziali di giugno 2019, i dati imperfetti erano causati da un sistema informatico utilizzato dalla polizia danese per convertire i dati forniti da diversi operatori di rete mobile in un formato comune. Da quanto è emerso sembra che il sistema informatico a volte scartasse parte di questi dati, ma durante l’estate del 2019 è stata identificata una nuova fonte di errore. In alcuni casi, il sistema di conversione dei dati aveva modificato la posizione di geolocalizzazione delle antenne mobili fino a 200 metri. Sulla base delle nuove informazioni sulla manomissione involontaria di dati che rappresentano prove in tribunale, il direttore dei procedimenti pubblici ha deciso il 18 agosto 2019 di imporre un divieto temporaneo di due mesi sull’uso dei dati storici relativi alle comunicazioni mobili come prova nei processi penali e nei casi di detenzione preventiva. Sappiamo ormai che i dati relativi alle comunicazioni mobili sono sempre più spesso utilizzati nei processi penali, ad esempio per provare che la persona accusata si trovasse in prossimità della scena del crimine.
Questa moratoria di due mesi ha causato il rinvio di numerosi processi penali in Danimarca. Inoltre, circa 30 persone sono state rilasciate dalla detenzione preventiva, circostanza che ha suscitato l’attenzione dei media anche al di fuori della Danimarca.
A fine agosto 2019, la polizia nazionale danese ha incaricato la società di consulenza Deloitte di condurre un’indagine esterna sulla gestione dei dati delle telecomunicazioni e di fornire raccomandazioni per migliorare le pratiche di gestione dei dati. Il rapporto di Deloitte è stato pubblicato il 3 ottobre 2019, insieme alle dichiarazioni della polizia nazionale danese, del direttore dei pubblici ministeri e del ministero della Giustizia.
Conservazione dei dati storici di rete mobile in Danimarca
L’ordine di registrazione (BEK n. 988 del 28/09/2006), che attua la direttiva 2002/58 / CE del Parlamento europeo e del Consiglio, rispettivamente, del 12 luglio 2002, poi modificato nel 2014 (BEK nr. 660 af 19/06/2014) impone agli operatori di telecomunicazioni di registrare e archiviare per 1 anno le informazioni relative alle comunicazioni.
La sezione 4 dell’Ordine di registrazione fornisce l’indicazione delle informazioni sulla telefonia fissa e mobile, compresi gli SMS / EMS / MMS, che devono essere prodotti, quali:
- Numero chiamante e indirizzo dell’abbonato o dell’utente registrato;
- Numero chiamato e nome e indirizzo dell’abbonato o dell’utente registrato;
- Numero selezionato (interpretabile come numero composto) e nome e dell’indirizzo dell’abbonato o dell’utente registrato;
- Ricevuta per la ricezione di messaggi;
- IMSI della SIM;
- IMEI del dispositivo utilizzato;
- Le celle a cui è collegato il dispositivo cellulare all’inizio e alla fine della comunicazione, nonché la loro posizione geografica
- I tempi della comunicazione (anche in termini di inizio e fine);
- Il momento della prima attivazione di eventuali servizi anonimi (talk time card);
Sintesi del rapporto sull’indagine effettuata
La metodologia adottata durante l’indagine ha interessato 4 ambiti distinti:
- Infrastruttura di telecomunicazione, generalmente descritta al fine di chiarire la catena del valore generale delle telecomunicazioni e le caratteristiche dei dati.
- Analisi dei dati dei metadati storici, eseguita per confrontare i dati grezzi forniti dagli operatori di telecomunicazioni con i dati convertiti dalla polizia nazionale nel periodo dal 23 novembre 2011 al 27 agosto 2019.
- Infrastruttura di sistema, utilizzata per elaborare e archiviare i dati storici delle telecomunicazioni e analizzata sulla base dello standard di qualità ISO 27001: 2013 e sugli strumenti del quadro ITIL.
- Governance, ruoli e processi applicati alla conversione dei dati storici delle telecomunicazioni, inclusi dati e controllo di qualità.
La prima parte del rapporto identifica le principali cause tecniche e organizzative all’origine dei dati considerati errati. Il sistema informatico utilizzato per convertire i dati delle telecomunicazioni in un formato comune conteneva un timer che a volte inviava i dati convertiti al referente della polizia prima che il lavoro di conversione fosse completato. Ciò spiega, almeno a livello tecnico, il motivo per cui alcune parti dei dati ricevuti dai fornitori di servizi mobili sono state a volte scartate. L’errore del timer ha interessato principalmente set di dati di grandi dimensioni (come l’elenco di tutti i dispositivi mobili in una determinata area geografica e periodo di tempo) e l’accesso ai dati storici sulla posizione per i singoli abbonati.
Gli operatori di rete mobile in Danimarca utilizzano due diversi sistemi per le coordinate geografiche e la polizia utilizza internamente un terzo sistema. Durante un breve periodo nel 2016, l’algoritmo di conversione è stato applicato due volte ad alcuni dati di antenne, che hanno spostato le posizioni di geolocalizzazione di un paio di centinaia di metri.
Alla luce di ciò, questi errori nel sistema informatico dovevano essere relativamente semplici da correggere, ma il rapporto identifica anche carenze più profonde nelle pratiche e nella gestione dei dati delle telecomunicazioni da parte della polizia.
Il rapporto descrive i sistemi e l’infrastruttura IT associata come complessi, obsoleti e difficili da manutenere. Il sistema informatico utilizzato per convertire i dati di telecomunicazione è stato sviluppato internamente alla polizia e gestito da un singolo dipendente.
Prima di dicembre 2018 non esistevano pratiche amministrative per il controllo di qualità del sistema di conversione dei dati, nemmeno semplici controlli per garantire che l’intero set di dati ricevuto dagli operatori di rete mobile fosse stato adeguatamente convertito.
L’unica soluzione praticabile per la polizia danese, secondo la valutazione contenuta nella relazione, è adesso quella di sviluppare un’infrastruttura completamente nuova per la gestione dei dati di telecomunicazione. Viene raccomandato che la nuova infrastruttura sia basata su elementi software standard accettati a livello globale, piuttosto che su sistemi sviluppati internamente che non possono essere certificati.
Il rapporto raccomanda anche un sistematico controllo di qualità indipendente e validazione dei dati da parte di enti terzi o singoli fornitori esterni.
La polizia nazionale danese ha accettato tutte le raccomandazioni contenute nel rapporto e anche l’organizzazione di un breve briefing sull’uso dei dati di telecomunicazione nei processi penali. La nota informativa, destinata a investigatori di polizia, pubblici ministeri, avvocati difensori e giudici, spiega i casi d’uso di base dei dati sulle telecomunicazioni nelle indagini di polizia, nonché informazioni su come i dati vengono generati nelle reti mobili. Sono anche menzionate le possibili incertezze e limitazioni dei dati sulle telecomunicazioni.
Ad esempio, si sottolinea che i dispositivi mobili non si collegano necessariamente alla antenna mobile più vicina, quindi, non si può semplicemente supporre che l’utente del dispositivo sia vicino all’antenna di rete mobile con una precisione quasi a “livello GPS”.
La nota informativa menziona anche la possibilità di spoofing del numero del telefono, in modo che la telefonata o il messaggio di testo in arrivo possano provenire da una fonte diversa rispetto al numero di telefono registrato dal fornitore di servizi di telefonia mobile ai sensi del suo obbligo di conservazione dei dati.
Ultimi aggiornamenti
Il 16 ottobre 2019, il direttore dei pubblici ministeri ha deciso di non estendere oltre la moratoria all’uso di dati di telecomunicazione. Insieme a questa decisione, il direttore ha impartito nuove e più specifiche istruzioni ai pubblici ministeri in merito all’uso dei dati di telecomunicazione.
La nota informativa che è scaturita dal rapporto dovrebbe far parte del procedimento penale (nel senso che andrebbe distribuita alla figura dell’avvocato difensore) e gli investigatori della polizia dovrebbero essere tenuti a presentare un rapporto di controllo di qualità ai pubblici ministeri con una valutazione di possibili fonti di errore e incertezza nell’interpretazione dei dati delle telecomunicazioni usati nel caso. La documentazione delle prove sui dati delle telecomunicazioni dovrebbe, per quanto possibile, basarsi sui dati grezzi ricevuti dagli operatori di rete mobile e non sui dati convertiti.
Per le forze dell’ordine, la decisione del 16 ottobre 2019 segna la fine della crisi della conservazione dei dati in Danimarca. Tuttavia, solo i problemi più gravi a livello tecnico sono stati realmente affrontati mentre molte altre cause restano da gestire, come ad esempio l’infrastruttura IT gravemente inadeguata ed utilizzata dalla polizia danese per la gestione dei dati delle telecomunicazioni.
Il ministro della giustizia ha però annunciato ulteriori iniziative, tra cui investimenti in nuovi sistemi informatici, modifiche organizzative per migliorare l’attenzione sulla gestione dei dati, una migliore formazione degli investigatori della polizia sull’uso e l’interpretazione corretti dei dati delle telecomunicazioni e la creazione di una nuova autorità di controllo indipendente per i metodi di indagine tecnica utilizzati dalla polizia.
Ad inizio del 2020 il caso relativo al trattamento dei dati storici delle telecomunicazioni da parte della polizia nazionale danese è approdato anche all’ European Data Protecion Board ed il 31 marzo 2020 Andrea Jelinek, chair dell’EDPB, ha risposto così all’eurodeputato Patrick Breyer politico del Partito Pirata della Germania:
“Caro signor Breyer, desidero ringraziarla per la sua email datata 22 gennaio 2020 sul caso di conservazione dei dati presso la polizia nazionale danese.
L’agenzia danese per la protezione dei dati ha informato l’EDPB di aver avviato un procedimento per indagare sulla questione. I membri dell’EDPB terranno debitamente conto delle conclusioni dell’indagine dell’Agenzia danese per la protezione dei dati.
Per quanto riguarda la questione della necessità di ulteriori indagini sui sistemi informatici di altri Stati membri utilizzati nel trattamento dei dati di comunicazione, l’EDPB rileva che i dati di falsa comunicazione in questo caso si riferivano a carenze in un sistema informatico sviluppato internamente dalla polizia nazionale danese.
Tuttavia, il contenuto del caso evidenzia l’importanza e la necessità che il software aderisca ai principi di protezione dei dati e all’obbligo della protezione dei dati in base alla progettazione e per impostazione predefinita. […]”.
In questo modo è stato subito limitata la portata della problematica, senza che si propagasse inutilmente in altri paesi UE. ©
