Intercettazioni: tutte le criticità del nuovo listino delle prestazioni funzionali

È stato pubblicato oggi, 15 dicembre 2022, il decreto ministeriale che reca le disposizioni per l’individuazione delle prestazioni funzionali alle operazioni di intercettazione e per la determinazione delle relative tariffe.

Per i non addetti ai lavori, si tratta di un listino che si applica alle società che affittano sistemi e/o servizi per la ricezione delle intercettazioni che effettuano gli operatori di telecomunicazioni in attuazione dell’art. 57 del codice delle comunicazioni elettroniche e per le intercettazioni ambientali.

La sua pubblicazione segue l’intensa opera di confronto, che la Commissione Giustizia della Camera dei Deputati ha intrapreso lo scorso anno, per cui sono stati auditi i maggiori soggetti competenti in materia tra cui le associazioni di categoria e la Lawful Interception Academy (LIA), primo ente certificatore in Italia ed in Europa secondo lo standard ISO 17020 degli apparati utilizzati per le intercettazioni.

Le criticità erano state poste sotto il piano economico, per le tariffe applicate ai servizi richiesti, dalle associazioni di categoria, e sotto un piano tecnico e di impostazione generale del decreto dalla LIA. Si rimanda a tali contributi: https://www.sicurezzaegiustizia.com/audizioni-sullo-schema-di-decreto-ministeriale-relativo-alle-prestazioni-funzionali-delle-intercettazioni/

per cui erano state evidenziate tutte le criticità: https://www.sicurezzaegiustizia.com/prestazioni-funzionali-delle-intercettazioni-bozza-di-decreto-con-grandi-criticita-tecniche/

Stante il risultato finale del testo del decreto pubblicato sulla Gazzetta Ufficiale del Ministero della giustizia, possiamo constatare che nessun rilievo tecnico è stato recepito, con conseguente evidente ed eventuale criticità, nuovamente evidenziate dalla LIA, che mettono in grande crisi il settore delle indagini elettroniche:

Il divieto di utilizzare sistemi informatici, interposti tra il captatore ed il sistema ricevente presso la Procura della Repubblica, non può essere rispettato per lo specifico funzionamento dello strumento utilizzato per le intercettazioni attive. La presenza di tali sistemi informatici cd. “interposti” è necessaria per evitare che il dispositivo infettato possa accorgersi, anche tramite la presenza di programmi antivirus, di insolite attività di instradamento del traffico.

Inoltre, il riferimento agli standard ETSI presuppone che il dispositivo infettato invii già secondo queste modalità i risultati dell’esfiltrazione al sistema ricevente presso la Procura della Repubblica. Oltre alla non fattibilità tecnica di tale previsione, è importante precisare che il decreto confonde tali standards ETSI, che sono stati definiti esclusivamente per gli operatori di telecomunicazioni, con le modalità generiche di inoltro dei risultati delle intercettazioni.

Lawful Interception per gli Operatori di Tlc

La previsione di identificare verso le società fornitrici delle c.d. “prestazioni funzionali” anche l’identificativo tecnico sulla rete del bersaglio, che altro non è che il numero di telefono fisso o mobile del bersaglio, è contro i principi stabiliti dal codice della privacy, in quanto “possono essere trattati i soli dati pertinenti e non eccedenti in relazione alle finalità perseguite”. Le finalità perseguite sono quelle di consentire l’attivazione dell’intercettazione e la fatturazione del servizio, che avviene tramite il codice RIT, tale previsione è in evidente contrasto con il Codice della privacy.

Questo comma fonde entrambi gli aspetti critici sopra evidenziati, poiché fa riferimento sia alle disposizioni degli organismi internazionali di standardizzazione come ETSI, che si riferiscono esclusivamente agli operatori di telecomunicazioni, sia all’identità del bersaglio che è in evidente contrasto con il Codice della privacy.

Si riporta di seguito il testo completo del decreto:

Decreto ministeriale 6 ottobre 2022 recante disposizioni per l’individuazione delle prestazioni funzionali alle operazioni di intercettazione e per la determinazione delle relative tariffe ai sensi dell’articolo 1, commi 89 e 90, della legge 23 giugno 2017, n. 103.

Listino delle prestazioni funzionali alle intercettazioni

Decreta

Art. 1
Definizioni
1. Ai fini del presente decreto si intendono per:
a) prestazioni funzionali: il complesso degli impianti, si–
stemi, operazioni e servizi tecnici inservienti alla fruizione dei
contenuti e dei dati associati, captati e veicolati dagli operatori di
comunicazioni elettroniche e/o dagli Internet Service Provider (Tel.
co) in esecuzione delle prestazioni obbligatorie di cui al Decreto
Ministeriale 28 dicembre 2017, contenente disposizioni di riordino
delle spese per le prestazioni di cui all’articolo 96 del decreto legi–
slativo n. 259 del 2003, in particolare:
– per la ricezione, registrazione, conservazione e trascrizio–
ne delle operazioni di intercettazione di conversazioni, di comuni–
cazioni o di flussi informatici ed elaborazione della documentazio–
ne storica del traffico e dei dati associati,
– per la ricezione, visualizzazione, registrazione, conserva–
zione e fruizione dei contenuti, dei dati, dei servizi e applicazioni
web veicolati dagli Internet Service Provider,
– per la vigilanza e manutenzione finalizzate al corretto fun–
zionamento degli impianti e sistemi installati;
b) prestazioni funzionali alle intercettazioni di comunica–
zioni o collegamenti tra presenti o, comunque, diversi da quelli
forniti dagli operatori Tel.co: sistemi elettronico/informatici e ser–
vizi ad essi connessi, finalizzati all’acquisizione, veicolazione, ge–
olocalizzazione, registrazione e fruizione dei segnali audio video e
dei flussi di comunicazione comunque oggetto di captazione e in
particolare:
– servizi di installazione, manutenzione, vigilanza sul cor–
retto funzionamento degli impianti e sistemi inservienti alle inter–
cettazioni,
– interventi tecnici per l’accesso ai luoghi di installazione e
captazione e per la dissimulazione delle attività di intercettazione;
c) archivi informatizzati: sistemi di memorizzazione e sto–
ricizzazione dei dati allocati presso la sala CIT su apparati messi
a disposizione dai fornitori della prestazione e sottoposti alla vi–
gilanza dell’Autorità giudiziaria, funzionali alla conservazione del
patrimonio informativo acquisito e alla fruizione di essi da parte dei
soggetti legittimati;
d) archivio digitale delle intercettazioni: ambiente e si –
stema, nel dominio giustizia, realizzato attraverso risorse har–
dware e software, messe a disposizione dal Ministero della
Giustizia per la trattazione informatica e telematica in regime
di particolare riservatezza fisica ed elettronica dei contenuti, ge –
stito, quanto all’accesso, secondo le direttive del Procuratore
della Repubblica, per la raccolta, conservazione, consultazione,
selezione per le finalità previste dalle disposizioni vigenti dei
documenti cartacei e digitali, dei contenuti multimediali, per il
rilascio di copie, nonché per la custodia di quanto dichiarato
inutilizzabile o irrilevante oggetto di raccolta nel corso delle
operazioni di intercettazioni;
e) punto di registrazione: punto di rete allocato presso la
sala CIT della Procura della Repubblica, dove perviene il patrimo–
nio informativo e probatorio acquisito (fonie, immagini, dati) per
essere registrato, archiviato e fruito dai soggetti legittimati, anche
con modalità di riascolto;

f) risorse di connettività: infrastruttura di rete fissa e mobi–
le, di natura fisica e logica finalizzata al collegamento, con modali–
tà protetta, degli impianti della Procura della Repubblica:
– con i sistemi degli operatori di comunicazioni elettroniche
e del web per l’acquisizione dei flussi di comunicazioni, delle rela–
zioni audio/video tra presenti e per lo scambio di contenuti comun–
que instradati o inoltrati dagli apparati oggetto di intercettazione,
– con i sistemi e gli apparati in uso alla polizia giudiziaria
delegata alle indagini;
g) centro Intercettazione delle Telecomunicazioni (C.I.T.):
struttura della Procura della Repubblica presso la quale sono si–
tuate le postazioni di ascolto e gli apparati elettronici e informati–
ci utilizzati per lo svolgimento dei servizi di intercettazione ed in
particolare gli apparati su cui vengono indirizzate le telefonate e
le altre forme di comunicazione per la loro registrazione e il loro
successivo trattamento, sino al loro conferimento con le modalità
previste dall’art. 269 c.p.p..
h) applicazioni: programmi installati od eseguiti sui di–
spositivi connessi alla rete, in grado, attraverso le funzionalità di
interazione con gli utenti, di rispondere, ai fini dell’indagine, alle
necessità documentali, di messaggistica, di condivisione di file o di
contenuti testuali o multimediali;
i) bersaglio o identità di rete: utenza elettronico informa–
tica connessa al sistema di telecomunicazione o al Web, ogni al–
tro apparato di trasmissione e ricezione di comunicazioni, luogo o
veicolo oggetto del provvedimento di intercettazione dell’Autorità
giudiziaria;
l) ETSI: standard di effettuazione del servizio di telecomu–
nicazioni in ambito europeo, per la parte riguardante i parametri
vincolanti per l’esecuzione delle prestazioni obbligatorie di inter–
cettazione;
m) captatore elettronico: sistema dissimulato, inoculato da
remoto, che, eliminando gli effetti che impediscono la conoscenza
della comunicazione o dei dati, permette la intercettazione in chia–
ro dei contenuti audio video e dei dati scambiati o consente l’inter–
cettazione tra presenti, e raccoglie da remote le posizioni assunte
dall’apparato sul territorio;
o) periferica: apparato elettronico informatico, dotato anche
di sistema antibonifica, per la captazione e/o localizzazione, per la
temporanea registrazione e per la trasmissione in tempo reale o in
differita dei segnali audio video;
p) fornitore della prestazione: persona fisica o giuridica im–
piegata dall’Autorità giudiziaria nelle attività funzionali alle inter–
cettazioni;
q) tariffa per le intercettazioni funzionali (in breve tariffa):
importo o erogazione comunque rientrante nella spesa di giustizia
per le intercettazioni, liquidato con decreto dell’Autorità giudizia–
ria per le attività di intercettazione funzionali secondo il listino al–
legato al presente decreto;
r) identificativo della procedura di intercettazione e liquida–
zione: numero del registro intercettazioni (R.I.T) annotato al mod.
37 (art. 267 comma 5 del codice di procedura penale).

Art. 2
Individuazione delle prestazioni funzionali
e determinazione delle tariffe
1. Le prestazioni funzionali alle operazioni di intercettazione
sono specificamente individuate e descritte, unitamente alle relati–
ve tariffe, nel listino allegato al presente decreto, del quale costitu–
isce parte integrante.
2. Nel caso di tariffe che non sono individuate con la previ–
sione di un importo fisso, l’Autorità giudiziaria che procede alla
liquidazione tiene conto del complesso delle attività svolte, con
particolare riferimento al tempo e al personale necessario per l’e–
spletamento della prestazione, del costo effettivo documentato,

dell’eventuale perdita o danneggiamento incolpevoli delle periferi–
che utilizzate, nonché dell’urgenza e complessità dell’intervento e
della qualità del servizio reso.
3. Nell’importo previsto sono incluse tutte le attività neces–
sarie per il corretto adempimento della prestazione, comprese, a
titolo esemplificativo, le attività di installazione, di connettività,
di messa in esercizio continuativa, di documentazione, di gestione
assistenza e manutenzione, di imballaggio, di trasporto, di ripristi–
no, nonché tutti i costi per il versamento di canoni per le licenze
software nonché per eventuali spese assicurative.
4. Per prestazioni che non risultano indicate nel listino allega–
to o che sono state eseguite con il ricorso a tecnologie innovative
che non risultano adeguatamente remunerate dal listino allegato,
l’Autorità giudiziaria procede alla liquidazione sulla base dell’im–
porto fissato per prestazioni analoghe, tenendo conto, ove possibi–
le, del costo effettivo della prestazione, specificamente documen–
tato in allegato all’istanza, rispetto a quelli di eventuali prestazioni
analoghe, nonché dei criteri di cui al comma 2 e trasmette il prov–
vedimento al tavolo tecnico permanente istituito presso il Ministe–
ro della giustizia ai sensi dell’articolo 8.
5. Il listino è disponibile presso il Ministero della giustizia
– Direzione generale degli affari interni e gli operatori interessati
sono tenuti a munirsene.

Art. 3
Obblighi dei fornitori delle prestazioni
1. I fornitori, fermo quanto previsto per i relativi ambiti dai
decreti di cui all’articolo 7 del decreto legislativo 29 dicembre
2017, n. 216 e all’articolo 2, commi 3, 4, 5 e 6 del decreto legge 30
dicembre 2019, n. 161 convertito, con modificazioni, nella legge 28
febbraio 2020, n. 7, assicurano, in relazione a ciascuna prestazione,
la capacità di tempestiva messa a disposizione di ogni strumenta–
zione adeguata al bersaglio, connotata da requisiti di eccezionale
qualità dal punto di vista operativo, avuto riguardo ai modi e ai
tempi di fruizione, nonché alla disponibilità delle migliori innova–
zioni tecnologiche e all’adozione di modelli organizzativi aziendali
orientati alla competenza ed alla valorizzazione dell’esperienza e
dell’abilità del personale incaricato.
2. In particolare, i fornitori assicurano le seguenti modalità
esecutive delle prestazioni:
a) l’immediata effettuazione delle prestazioni e comunica–
zione del loro esito e, in ogni caso, 1’installazione e configurazione
del sistema di intercettazione entro quarantotto ore dalla richiesta
dell’Autorità giudiziaria;
b) la tempestiva trasmissione e consegna ai punti di regi–
strazione di ogni dato o evento riferibile all’identità di rete mo–
nitorata, in particolare delle informazioni anagrafiche e di loca–
lizzazione relative alle identità di rete dei soggetti coinvolti nella
comunicazione;
c) la tempestiva trasmissione e consegna, mediante canali
cifrati che ne assicurano la segretezza, dei contenuti eventualmente
acquisti anche diversi da quelli conseguenti all’esecuzione delle
prestazioni obbligatorie, secondo procedure informatiche approva–
te dal Ministero della Giustizia, in grado di assicurare all’Autorità
giudiziaria l’originalità, l’integrità e la fruibilità dei dati trasmessi
e/o ricevuti dall’identità di rete, senza impiego di sistemi informa–
tici interposti di trattazione degli stessi, in conformità ai modelli ed
ai protocolli definiti dall’ETSI;
d) l’adozione di funzionalità tecniche di ultima generazione
o, quanto meno, l’impiego di materiali e applicazioni che risultino
posti in commercio non oltre trentasei mesi precedenti all’inizio
delle operazioni;
e) l’adozione di modelli organizzativi idonei a consentire as–
sistenza ventiquattro ore su ventiquattro per trecentosessantacinque
giorni l’anno e, in ogni caso, l’ininterrotta reperibilità e assistenza su

ogni sistema installato, nonché l’immediata esecuzione di interventi
di manutenzione necessari alla piena resa del servizio, con risoluzione
dei guasti per malfunzionamento entro ventiquattro ore dalla segnala–
zione, ad eccezione di quelli che necessitano di sostituzione di mate–
riali, reinstallazione di software o recupero/trasferimento di dati;
f) la manutenzione, ordinaria o adeguatrice ed evolutiva,
comprensiva dell’aggiornamento hardware e software (di base e
applicativo), per consentire la migliore funzionalità e fruibilità,
senza modifiche dell’operatività del sistema e senza il danneggia–
mento o la modifica dei dati precedentemente memorizzati.
3. La manutenzione, sia essa ordinaria o adeguatrice ed evo–
lutiva, deve essere operata secondo le modalità analiticamente in–
dividuate in un’apposita comunicazione da inoltrare alla Procura
della Repubblica procedente, nella quale il fornitore deve attestare
che le innovazioni o gli adeguamenti operati sui sistemi non impe–
discono od ostacolano le modalità di comunicazione e monitorag–
gio operate attraverso i sistemi di rilevamento messi a disposizione
dell’ufficio dal Ministero della giustizia-Direzione generale servizi
per i sistemi informativi automatizzati.
4. A fronte di richieste contemporanee, provenienti da distinte
Autorità giudiziarie, sulle medesime identità di rete, gli operatori
assicurano che:
a) le informazioni e i contenuti di cui al comma 1 relativi
alla medesima identità di rete siano consegnati, separatamente e
contestualmente, ai distinti punti di registrazione indicati dall’Au–
torità giudiziaria;
b) il numero complessivo delle operazioni attivabili sia
sempre garantito.

Art. 4
Garanzie di sicurezza nella conservazione e gestione dei dati
1. I fornitori assicurano la conservazione e gestione dei dati
raccolti in archivi informatizzati, mediante canali cifrati, nel rispet–
to di requisiti di sicurezza e ne garantiscono il trattamento secondo
criteri di riservatezza, disponibilità e integrità.
2. In particolare deve essere assicurata:
– l’esclusiva destinazione dei sistemi e degli apparati instal–
lati presso ciascuna Procura della Repubblica alle attività di inter–
cettazione disposte dal medesimo ufficio, con divieto di utilizzo
per le analoghe attività disposte da altre autorità, salva l’espressa
autorizzazione del Procuratore della Repubblica;
– l’esclusiva allocazione dei dati raccolti nel corso delle
operazioni di intercettazione all’interno degli apparati installati
presso le sale C.I.T. della Procura della Repubblica che ha disposto
le operazioni, attraverso sistemi che attestino l’epoca della memo–
rizzazione integrale e la conservazione del formato originale all’in–
terno degli apparati, fino al conferimento all’archivio digitale;
– la custodia dei dati attraverso sistemi di cifratura in grado
di inibire la loro consultazione a personale diverso da quello auto–
rizzato dal Procuratore della Repubblica;
– l’adozione di procedure idonee ad impedire la cancella–
zione dei dati o il loro danneggiamento anche accidentale, attraver–
so la realizzazione di copie di sicurezza, sempre allocate all’interno
dei sistemi e degli apparati allocati presso le sale C.I.T., in confor–
mità alle specifiche tecniche adottate dal Ministero della giustizia-
Direzione generale per i sistemi informativi automatizzati;
– la tempestività ed il rispetto delle specifiche tecniche det–
tate dalla Direzione generale per i sistemi informativi automatizzati
per la formazione del materiale finalizzato al conferimento delle
intercettazioni nell’archivio digitale;
– la cancellazione sicura, definitiva ed integrale, anche del–
le copie di sicurezza, in conformità alla modalità individuate dal
Procuratore della Repubblica, dei contenuti registrati negli apparati
messi a disposizione dell’ufficio per l’esecuzione delle operazioni
di intercettazione e per la loro conservazione;

– la produzione e l’aggiornamento costante della documen–
tazione attestante i requisiti di idoneità tecnico-professionale e ca–
pacità economica e finanziaria, compresi i requisiti specificamente
riferiti alla doverosa garanzia di sicurezza nella conservazione e
gestione dei dati.
3. Il fornitore comunica al Procuratore della Repubblica,
che ne curerà l’inoltro al Ministero della giustizia-Direzione
generale per i sistemi informativi automatizzati, il documento
tecnico descrittivo del proprio sistema, comprensivo delle mo –
dalità di collegamento da remoto realizzate, in conformità alle
modalità indicate dalla medesima Direzione generale, nel quale
devono essere individuati gli apparati ed i software attraverso i
quali viene assicurata la ricezione e la conservazione dei conte –
nuti oggetto dell’attività di intercettazione, nonché la sicurezza
dei dati.
4. Il fornitore assicura, in relazione a ciascuna prestazione,
la capacità di tempestiva messa a disposizione di ogni strumenta–
zione adeguata al bersaglio, connotata da requisiti di eccezionale
qualità, avuto riguardo ai modi e ai tempi di fruizione, nonché alla
disponibilità delle migliori innovazioni tecnologiche e all’adozione
di modelli organizzativi aziendali orientati alla competenza e alla
valorizzazione dell’esperienza e della professionalità del personale
incaricato.
5. L’Autorità giudiziaria si serve, comunque, nel corso delle
operazioni di intercettazione, di sistemi di sicurezza messi a dispo–
sizione dal Ministero della giustizia, in grado di assicurare un con–
trollo sulle modalità di accesso ai contenuti acquisiti e registrati,
cui sono soggetti anche i sistemi utilizzati dal fornitore.

Art. 5
Trasmissione e gestione delle comunicazioni
di natura amministrativa relative alle prestazioni effettuate
1. Nella trasmissione e nella gestione delle comunicazioni di
natura amministrativa è assicurato il rispetto delle procedure infor–
matiche approvate dal Ministero della giustizia.
2. L’identificazione della prestazione richiesta avviene uti–
lizzando i parametri tecnici con i quali il bersaglio è identificato
univocamente dalla rete, ovvero mediante le informazioni adegua–
tamente corrispondenti alle esigenze dell’operatore per l’esatta in–
dividuazione del servizio richiesto.
3. Con riferimento alle prestazioni richieste, attraverso i si–
stemi ministeriali coerenti con quanto previsto dagli organismi
internazionali di standardizzazione nelle telecomunicazioni, sono
scambiati i seguenti dati:
a) data di emissione del provvedimento del magistrato;
b) numero di registrazione del provvedimento e tipologia
di registro;
c) numero del procedimento e tipologia di registro;
d) nome e funzioni del magistrato firmatario del decreto che
dispone le operazioni;
e) descrizione della prestazione richiesta, durata e codice
identificativo della prestazione;
f) natura della richiesta;
g) tipologia e identità del bersaglio;
h) data ed orario di esecuzione della prestazione;
i) centro di intercettazione delle telecomunicazioni ove
sono ubicati gli impianti e si sono svolte le attività di intercetta–
zione;
l) data e orario di trasmissione della richiesta all’operatore,
nonché indicazione del funzionario amministrativo responsabile
del centro di intercettazione delle telecomunicazioni;
m) indicazione di eventuale natura urgente della richiesta;
n) polizia giudiziaria delegata e relativo recapito telefonico.