Firmato il Trattato sul cybercrimine

Budapest – E’ arrivata dall’Ungheria la notizia dell’avvenuta firma del primo trattato internazionale contro il crimine informatico, un documento sottoscritto da 29 stati, ovvero da mezzo Consiglio d’Europa con l’aggiunta di Sudafrica, Canada, Giappone e Stati Uniti.

Si tratta di un documento che affronta una pletora di argomenti con al centro la lotta al terrorismo, la battaglia per la sicurezza in rete e la responsabilizzazione delle attività internet. Ma gli strumenti messi in campo, come più volte denunciato da tanti in questi mesi di lavoro sul trattato, possono tradursi in un restringimento delle libertà digitali attraverso la persecuzione e la censura ai danni di attività internet fino ad ora del tutto lecite.

Sono proprio questi pericoli che hanno imposto agli autori del progetto di riscriverlo per ben 27 volte prima di arrivare ad un documento capace di riscuotere un consenso così ampio, ritenuto decisivo per il successo delle misure di prevenzione e repressione internazionale che la convenzione mette in campo.

Il trattato contro il cyber-crimine viene descritto dal Consiglio d’Europa come u documento che mira a “rafforzare la democrazia, i diritti umani e il diritto” occupandosi di “emarginazione sociale, intolleranze, integrazione delle minoranze, minaccia alla privacy data dalle nuove tecnologie, problemi di bioetica, terrorismo, traffico di droga e attività criminali”.

Una definizione che, come si vede, rende amplissimo il terreno di attività della convenzione, al punto da aver sollevato in più occasioni polemiche e vivaci proteste da parte di organizzazioni come ACLU ed EPIC, due dei più autorevoli “paladini” delle libertà digitali.

In questi mesi contro le prime bozze del Trattato, che si presentavano con un profilo di ancora maggiore “pressione” sulle libertà digitali, si era pronunciato Vint Cerf, chairman ICANN e padre del TCP/IP, e aveva preso posizione anche il Presidente dei garanti europei della Privacy, l’italiano Stefano Rodotà, che aveva affermato: “Devono essere rigorosamente rispettati i principi di finalità e di proporzionalità quando, per combattere la criminalità, si raccolgono informazioni su chi usa Internet. E quindi devono essere evitate schedature di massa che potrebbero violare, tra l’altro, i principi in materia di intercettazione delle comunicazioni”.

Tra i passaggi da segnalare nel testo della convenzione il contenuto dell’articolo 16, dove si afferma che misure legislative o altre misure saranno adottate “per consentire alle autorità competenti di ordinare o ottenere la registrazione tempestiva di specifici dati informatici, incluso il traffico di dati, che siano stati archiviati da sistemi informatici, soprattutto laddove si possa ritenere che queste informazioni siano a rischio di perdita o modifica”. L’articolo 19.4 parla di cifratura, chiedendo che alle autorità sia sempre possibile “ordinare a chiunque sappia come funziona un sistema informatico o conosca le misure intraprese per proteggere i dati contenuti” (…) “di fornire, in modo ragionevole (?, ndr), l’informazione necessaria” all’azione giudiziaria. Si tratta di un articolo che straccia anni di discussione sull’argomento e abbraccia il cosiddetto “sogno di Blair”: aspirazione del premier britannico è infatti da anni un sistema capace di archiviare tutte le chiavi di cifratura private utilizzate dai cittadini inglesi.

Secondo ACLU, questo approccio solleva numerosi problemi in materia di “auto-incriminazione”, una possibilità osteggiata dagli ordinamenti giuridici di molti paesi. Un imputato, infatti, in molti paesi non può essere obbligato a testimoniare contro sé stesso e l’ACLU sostiene che una misura del genere contravviene dunque anche alla Convenzione europea sui Diritti umani. “Questo trattato – spiega l’Associazione americana per i diritti civili – dovrebbe affermare senza ambiguità” che nessun utente “debba essere costretto a fornire chiavi di cifratura o a decrittare i propri documenti”.

Ma tra gli articoli più osteggiati vi sono il 20 e il 21, quelli che parlano dei poteri di intercettazione dei dati in tempo reale. In particolare laddove si intende obbligare un provider di servizi internet a “raccogliere o registrare” o a “collaborare nella registrazione e nella raccolta” di dati di traffico in tempo reale associati con comunicazioni specifiche inviate da un computer attraverso i propri sistemi. In pratica, da una parte si chiede ai provider di assumersi tutti gli oneri della collaborazione con le autorità di polizia, di cui non possono far alcuna menzione all’esterno della propria struttura; dall’altra si ritiene che le informazioni raccolte sulle comunicazioni di un indagato che riguardino anche terzi non debbano essere soggette ad ulteriori tutele.

Non solo, secondo l’ACLU ed EPIC, una misura del genere consente alle autorità di polizia un accesso diretto ai sistemi di comunicazione al punto da “invitare all’abuso dei poteri di investigazione più invasivi”, oltre a rappresentare “una minaccia all’integrità dei network dei provider” (come dimostrano alcuni casi di provider americani obbligati ad installare il sistemone di intercettazione Carnivore sviluppato dall’FBI).

Per approfondire l’argomento, oltre al testo del trattato può essere opportuno dare uno sguardo approfondito alle note apparse in materia sul sito di cyber-rights.org e su quello di Privacy International.

In Italia la Convenzione costituirà un impegno per l’adeguamento delle leggi nazionali alle misure previste dopo la ratifica ufficiale del Trattato.