La senatrice Susan Collins, sponsor del disegno di legge insieme al Presidente Obama, ha dichiarato a Bloomberg che

The mock attack on the city during a summer heat wave was very
compelling. It illustrated the problem and why legislation is desperately needed.

Per quanto io sia ragionevolmente convinto che il problema dell’esposizione dei sistemi delle infrastrutture critiche sia reale e rappresenti un rischio da considerare e gestire opportunamente non capisco quale sia il nesso con una legislazione ad hoc. Insomma: si effettua una simulazione in cui una semplice mail (forse spearphishing sarebbe più chic?) consente di bloccare l’erogazione dell’elettricità ad una megalopoli per una settimana e cosa se ne deduce? Che serve una legislazione ad hoc. Se proprio si volesse seguire questo tipo di ragionamento allora sarebbe il caso di bloccare l’invio della posta elettronica, o forse di internet tout court. Almeno avrebbe un senso!

Gli scenari da film catastrofista li lascio volentieri ad Hollywood. Non voglio neppure minimizzare l’utilizzo delle mail nel caso di un attacco mirato: solo lo scorso anno uno dei maggiori e più impressionanti attacchi rivelati – quello a Rsa – iniziò proprio in questo modo, con un file infetto allegato ad una mail inviata a pochi e selezionati destinatari.

Tutte la comunicazione in tema sembra improntata alla diffusione di incertezza, dubbio e paura; in breve Fud (Fear, Uncertainty, Doubt). Il tutto spingendo una legislazione che consente al governo degli USA di spiare le reti private.

Credo che su questi temi sia quanto mai opportuno riflettere con calma, rimettendo le cose nella giusta prospettiva: d’altronde il medioevo prossimo venturo era stato immaginato partendo dalle conseguenze di un blackout, che in inglese venne ribattezzato the coming of dark ages. Molto ma molto più inquietante, no?

Fonte: Piovono Rane, blog di Alessando Gilioli

Sen. Gianpiero D’Alia, al minuto 1’30″: «Poichè non vi è alcuno strumento nell’ordinamento che consente intervento immediato, qualora ovviamente si ravvisi un’ipotesi di reato, cioè qualora la magistratura stia indagando, [...] il ministro dell’Interno interviene con uno strumento di natura squisitamente cautelare che serve a evitare che vi sia una moltiplicazione di questi siti o di queste manifestazioni illecite sulla rete.»

FACT CHECK: Il nostro ordinamento dispone già di questi strumenti: ne dispongono sia quello nazionale (la polizia postale già opera attivamente su questo fronte e gli interventi di urgenza sono comunque ammessi anche in virtù del decreto legislativo 70/03, attuazione della direttiva comunitaria sul commercio elettronico 2000/31 CE), sia quello internazionale, a livello di cooperazione penale. Anche qualora il sito che ospita contenuti illegittimi non si trovi fisicamente in Italia, la giurisdizione del nostro paese esiste se il comportamento illecito spiega i propri effetti anche in territorio nazionale. È possibile emettere ordini transfrontalieri diretti ai gestori dei siti imponendo loro di eliminare un contenuto dai server di proprietà. L’oscuramento tramite Dns contemplato invece dal 50-bis, del resto, non si rivolge ai gestori dei siti bensì ai provider, con l’effetto di impedire il traffico nazionale verso il sito che si ritiene ospiti il contenuto illegittimo, mentre lascia che tale contenuto continui a sopravvivere nel sito di origine. Non solo: impedendo l’utilizzazione del servizio a tutti gli utenti italiani lo si impedisce automaticamente anche all’autore del reato con possibili conseguenze per la raccolta dei file di log a fini probatori. Considerando, inoltre, che nel nostro ordinamento vige la separazione dei poteri e che la magistratura già dispone di tutti gli strumenti adatti per potere intervenire, rimane ancora dubbia la necessità di prevedere l’intervento del governo nei confronti dei provider.

Sen. Gianpiero D’Alia, al minuto 2’57″: «Se il gestore del sito non si fa carico di cancellare questi soggetti dal sito è giusto che il sito venga oscurato. Il ministero diffida il gestore. Il gestore poi ha due possibilità: o ottemperare, e quindi cancellare diciamo dal sito i gruppi, oppure non ottemperare. Se non ottempera si rende complice di chi inneggia a Provenzano e Riina e quindi è giusto che venga oscurato.»

FACT CHECK: La procedura puntualizzata in questa occasione, e cioè la preventiva interlocuzione con i gestori dei siti, non è contemplata dalla lettera della norma. E comunque non introduce a sua volta niente di nuovo nel nostro ordinamento, poiché i fornitori di servizi su web (come appunto Facebook) sono già soggetti all’autorità della magistratura italiana e in particolare, fermo restando l’assenza di un loro obbligo di controllo su tutti i contenuti ospitati sui loro server, possono essere imputabili di concorso con l’autore del reato se non si attivano entro i tempi indicati dal magistrato per rimuovere o eseguire l’ordine che viene loro imposto. Un grosso problema non considerato è, tra l’altro, il tempo di ripristino del servizio e come possano chiedere i gestori dei siti un eventuale risarcimento dei danni per interruzione del servizio qualora si dimostrasse un errore giudiziario (sempre se possiamo chiamarlo così dato che l’inibizione all’accesso presso i servizi oscurati sarà effettuato dal ministero dell’Interno). Resta da chiarire a chi spettano le eventuali responsabilità risarcitorie.

Sen. Gianpiero D’Alia, al minuto 3’42″: «Le faccio un esempio: se su YouTube esce un video [...] in cui quattro ragazzi picchiano un loro coetaneo disabile – peraltro in questo caso siamo in presenza della rappresentazione di un reato, non è che siamo in presenza di un’apologia [...] – è giusto che un sito lo mantenga? Io credo di no».

FACT CHECK: La magistratura, che è anche nel caso dell’art. 50-bis è l’organo di impulso per la rimozione dei contenuti illeciti, ha già adesso tutti i poteri per chiederne la rimozione senza che sia necessario l’intervento del ministero. Inoltre si continua a parlare dei fornitori di servizi e non dei fornitori di connettività. Peraltro, nel caso di Google Video (che il senatore attribuisce erroneamente a YouTube), il contenuto incriminato è stato eliminato non appena la segnalazione è arrivata. Dal momento in cui la legge (parliamo sempre del decreto legislativo 70/03) non ritiene imputabile il provider di servizi per omissione di controllo su tutti i contenuti che esso ospita, a meno che si rifiuti di ottemperare alla richiesta di un magistrato in considerazione dell’ampiezza di comunità come Facebook, l’interruzione di servizio prevista dall’articolo 50-bis sembra costituire una sorta di punizione indiretta e ulteriore nei loro confronti. Ciò perché, caricando un soggetto diverso dal provider di servizi e dall’autore del reato di responsabilità, e cioè il fornitore di connettività, la procedura dell’art. 50-bis finisce per diventare una pena accessoria verso il fornitore di servizi che, in caso di mancata ottemperanza all’ordine della magistratura, è soggetto alle responsabilità che già sappiamo, e in più rischia un pesante danno alla sua attività economica perché viene sospeso l’accesso al servizio da parte di una intera nazione.

Sen. Gianpiero D’Alia, al minuto 4’48″: «I commenti a un blog non è che sono diversi. Se io in un commento dico che le Brigate Rosse hanno fatto bene a uccidere Moro, questa si chiama apologia di reato. Che io lo faccia sul blog, o lo faccia con un telegramma, lo faccia con un bigliettino o lo faccia con un comunicato stampa non cambia, sempre di reato si tratta. E va perseguito. Va perseguito colui il quale se ne fa complice pubblicando queste porcherie.»

FACT CHECK: Tralasciando il discorso già fatto sulla pluralità di forme che possono avere i contenuti nel web contemporaneo e soffermandoci sulla sola ipotesi del blog tradizionale, che sembra essere l’unica considerata dal senatore, è pacifico nel nostro ordinamento che l’autore del blog possa essere chiamato in concorso con l’autore del commento per il reato commesso dal commentatore, a patto che il reato venga accertato e sussistano i requisiti dell’articolo 110 del codice penale. Anche in questi casi, peraltro da tempo noti al nostro ordinamento, non vi è motivo di ritenere che l’intervento della magistratura abbia bisogno dell’ausilio del ministero dell’Interno. Tutte le dichiarazioni di principio fatte dal senatore sono condivisibili, ma sembrano già essere confortate da adeguati strumenti già presenti nel nostro ordinamento e, soprattutto, la pericolosità sociale dei reati individuati dall’articolo 50-bis sembra sproporzionata agli effetti che la norma potrebbe perseguire.

L’articolo 50-bis nel quale sono confluite le disposizioni che andremo a esaminare , sembra essere stato presentato sull’onda emotiva causata dalla presenza su Facebook di gruppi in favore di mafia e stupro, come dichiarato dal proponente D’Alia negli scorsi giorni. Il senatore si è immediatamente opposto all’adozione del ddl per altre ragioni politiche sostenendo invece che l’emendamento concerne il «contrasto all’uso distorto e criminogeno di alcuni social network su internet». Le reazioni in rete e sulla stampa sono state immediate e preoccupate. Il timore principale, infatti, è che la nuova regolamentazione possa essere utilizzata anche indirettamente come strumento per oscurare contenuti “scomodi” prima dell’accertamento processuale dei reati.

In modo particolare, per quanto riguarda il decreto che dispone l’oscuramento, il legislatore non ha specificato l’obbligo di motivazione, che invece è sempre necessario per gli atti della magistratura, e coinvolge soggetti sostanzialmente estranei ai reati, gli Isp appunto. Come se ciò non bastasse, introduce l’intervento del governo in un procedimento penale, sinora di competenza esclusiva della magistratura. La preoccupazione sale anche in ordine alle modalità tecniche con cui il disposto, qualora dovesse superare il vaglio della Camera, potrebbe essere adottato. Le problematiche sono moltissime: analizziamo, quindi, in dettaglio il contenuto dell’articolo 50-bis del ddl 733 cercando di individuare quale scenario potrebbe realizzarsi in caso di sua approvazione.

Il campo di applicazione

L’articolo 50-bis, rubricato Repressione di attività di apologia o incitamento di associazioni criminose o di attività illecite compiuta a mezzo internet, dispone al primo comma che

Quando si procede per delitti di istigazione a delinquere o a disobbedire alle leggi, ovvero per delitti di apologia di reato, previsti dal codice penale o da altre disposizioni penali, e sussistono concreti elementi che consentano di ritenere che alcuno compia detta attività di apologia o di istigazione in via telematica sulla rete internet, il Ministro dell’interno, in seguito a comunicazione dell’autorità giudiziaria, può disporre con proprio decreto l’interruzione della attività indicata, ordinando ai fornitori di connettività alla rete internet di utilizzare gli appositi strumenti di filtraggio necessari a tal fine.

La norma prevede, quindi, che nel caso in cui la magistratura stia procedendo per uno dei reati indicati la stessa possa chiedere e ottenere da parte del ministero dell’Interno un decreto che imponga ai provider l’obbligo di oscuramento. Ci sono due punti chiave, quindi: il coinvolgimento dei provider e l’intervento del ministero.

Le tecniche di filtraggio

Nel nostro ordinamento gli obblighi di filtraggio e oscuramento di contenuti previsti in capo ai provider concernono il materiale pedo-pornografico, i siti non autorizzati che effettuano scommesse e il materiale coperto da diritto d’autore. Per quanto riguarda l’obbligo di oscurare materiale pedo-pornografico, la segnalazione dei siti da oscurare avviene a cura del Centro nazionale per il contrasto alla pedo-pornografia. La stess legge che istituisce il Centro impone ai provider l’obbligo (art. 19, che introduce l’art. 14-ter) di segnalare al Centro informazioni relative ai reati previsti nel caso ne vengano a conoscenza, pena sanzione amministrativa dai 50 ai 250 mila euro. I Monopoli di Stato, invece, redigono periodicamente un elenco dei siti che devono essere oscurati a cura dei provider italiani pena sanzioni pecuniarie dai 30 ai 180 mila euro. Se interpellati dalle autorità giudiziarie, inoltre, i provider devono porre in essere «tutte le misure dirette ad impedire l’accesso ai contenuti» in caso di violazioni di diritto d’autore, come previsto dalla legge 128/04, pena una sanzione pecuniaria dai 50 ai 250 mila euro.

Come avvengono attualmente in Italia questo tipo di procedure di filtraggio dei contenuti? In via generale, l’oscuramento di siti non legittimi viene realizzato tramite un filtro a livello di Dns. Si impedisce, cioè, all’utente finale di accedere al contenuto redirezionando l’indirizzo Ip pubblico dal server su cui è ospitato il contenuto ritenuto illegittimo a un altro server che avverte che la pagina è irraggiungibile. Questo metodo impedisce l’accesso casuale ai contenuti, ma è anche facilmente aggirabile usando Dns di provider non italiani, tipicamente gli Open Dns. I quali, non essendo soggetti alle regolamentazioni del nostro paese, non effettuano alcun redirezionamento e permettono agevolmente di navigare e visualizzare ogni contenuto nonostante i filtri applicati dai provider italiani.

Il metodo è stato usato recentemente dalla magistratura italiana anche per “sequestrare” il server di The Pirate Bay. È questo il caso che si verificherà se l’emendamento diventerà legge? Il problema è di importanza non secondaria, proprio perché l’intento del legislatore è quello di colpire attività capillari di manifestazione del pensiero che possono rientrare nei reati inclusi nell’emendamento, e che tipicamente si svolgono all’interno di social network come Facebook, per l’appunto. Che, quindi, non sono caratterizzati da un dominio e da un Ip indipendente, ma individuati a livello di piattaforma come servizi in sé e per sé e capaci di ospitare molteplici utenti su uno stesso indirizzo Ip. La conseguenza più preoccupante dell’applicazione di una simile tecnica sarebbe, pertanto, quella di rendere irraggiungibile per gli utenti che usano i Dns dei rispettivi provider l’accesso a tali piattaforme e ai loro servizi. Ma non solo.

Un contenuto, tante vite

Il sacrificio rischia anche di essere completamente inutile. I contenuti, soprattutto in questo momento storico, possono essere ripresi e integrati all’interno di più piattaforme dai diversi utenti che decidono di condividerli. Un testo (o un’immagine o un video), per esempio, può essere citato o ripreso integralmente da uno o più blog e da uno o più social network, con l’effetto pratico che il contenuto non si trova più solamente sul server di origine ma su diversi altri, spesso commerciali e pertanto non sotto il diretto controllo tecnico dell’utente. Ma la situazione è ancora più complessa: i contenuti sono normalmente dotati di un feed Rss ed è alta la probabilità che essi finiscano, in modo quasi immediato rispetto alla loro pubblicazione, in un’applicazione che rende pubblici i feed condivisi. Pensiamo a Google Reader o a FriendFeed, ma anche agli altri social network che permettono all’utente di pubblicare contemporaneamente e sempre attraverso i propri feed, qualsiasi attività compiuta in rete.

Ancora più complesso potrebbe essere il caso in cui la commissione del reato non avvenga attraverso un blog o un contenuto comunque immediatamente riferibile alla presenza in rete dell’autore, bensì in un commento. Ci sono blog che utilizzano servizi esterni per permettere alle persone di commentare, come Haloscan o Disqus, ma è possibile anche inserire commenti nei sistemi di social bookmarking come Delicious oppure in FriendFeed stesso, che altro non fa se non proprio rendere commentabili tutti i contenuti dotati di feed. Giusto per terminare il labirinto del percorso che un contenuto può subire nell’attuale panorama tecnologico, e sempre in via esemplificativa e non tassativa, applicazioni come Yahoo! Pipes permettono di dotare di feed anche contenuti immessi in rete che non ne sono provvisti, con la conseguenza che l’autore del contenuto potrebbe non sapere nemmeno della utilizzazione e diffusione dei propri contenuti tramite feed.

Questo tipo di approccio esclude che il contenuto possa essere ritenuto come pubblicato sempre ed esclusivamente presso una unica fonte, anche perché il contenuto continua a circolare attraverso la condivisione effettuata dai contatti dell’utente. L’attuale funzionamento delle applicazioni “social”, infatti, ha generalmente l’effetto di privare anche il soggetto che per primo li ha immessi in rete della possibilità obiettiva di controllare dove e come il proprio contenuto è stato incorporato o condiviso. Inoltre, visto che il provvedimento nasce proprio in considerazione dello specifico caso di Facebook e per le pagine create per aggregare più persone in gruppi, l’unico effetto che l’oscuramento tramite Dns potrebbe raggiungere è quello di oscurare Facebook nella sua interezza, e cioè criminalizzare un intero servizio senza una base razionalmente e giuridicamente proporzionata, quale potrebbe essere una sentenza passata in giudicato.

La conseguenza più probabile dell’applicazione del disposto dell’articolo 50-bis, anche qualora si riuscisse a imporre un filtraggio più efficace di quello tramite Dns, sarebbe dunque quella di creare un’imposizione legislativa che non avrebbe comunque la possibilità di raggiungere in concreto gli effetti che si propone di raggiungere. Non per come funziona il web contemporaneo, perlomeno. A conti fatti, il disposto dell’articolo 50-bis sembra in concreto poter raggiungere il solo effetto di creare un obbligo verso i provider che saranno destinatari degli eventuali decreti del ministero, con la conseguenza di esporre i provider stessi a un duplice rischio nel caso non riescano ad attivarsi entro le 24 ore previste. Non solo alla sanzione amministrativa, dunque, ma anche alla possibile imputazione di concorso nel reato per il quale si è chiesto l’oscuramento, insieme all’autore della violazione, per avere agevolato la commissione dell’illecito non avendo ottemperato agli ordini dell’autorità. Un paradosso, questo, se si pensa alla difficoltà di individuare l’autore originario dell’illecito in virtù di quanto abbiamo appena detto del funzionamento della rete.

L’intervento del ministero

Se già a livello tecnico sorgono dubbi sulla effettiva utilità del disposto dell’articolo 50-bis, è a livello strettamente giuridico che le maggiori preoccupazioni trovano ingresso. La procedura descritta dall’art. 50-bis, infatti, prevede che il ministero dell’Interno possa discrezionalmente attivarsi a seguito di comunicazione della magistratura per emettere il decreto di oscuramento. Mentre la discrezionalità del ministero è evidenziata dall’uso del verbo “può”, intendendo quindi che non è detto che necessariamente il decreto venga emesso, non si riesce a capire se la magistratura a sua volta “possa” o “debba” effettuare tale comunicazione al ministero. Di fatto le autorità giudiziarie già adesso, come nel caso relativo a The Pirate Bay già ricordato, hanno il potere di ordinare ai provider quanto in loro potere per rimuovere le violazioni. C’è da dire che, nel caso The Pirate Bay, attualmente ancora in fase di definizione, l’ordinanza di sequestro del Gip di Bergamo era stata annullata per assenza di un requisito sostanziale dell’atto di sequestro, come abbiamo avuto modo di analizzare in passato su Apogeonline.

La previsione appare, comunque, ancora più grave sotto il profilo della legittimità costituzionale della procedura individuata. Il nostro ordinamento, infatti, si basa sul principio della separazione dei poteri. Il potere giudiziario, in particolare, è indipendente da tutti gli altri poteri (art. 101 della Costituzione), compreso l’esecutivo. L’Italia ha visto solo in tempi particolarmente oscuri l’ingerenza dell’esecutivo sul giudiziario, con l’effetto di rendere l’amministrazione della giustizia uno strumento politico. L’adesione all’attuale costituzione vigente imporrebbe al massimo la creazione di una ulteriore modalità di sequestro da inserire nel codice di procedura penale, lasciando comunque alla magistratura il pieno monopolio del processo senza l’intervento del ministero. Al secondo comma dell’articolo 50-bis, tuttavia, si prevede che contro il provvedimento è ammesso ricorso presso l’autorità giudiziaria, la quale dovrà quindi sindacare su un provvedimento che avrà essa stessa stimolato (discrezionalmente o meno: come abbiamo detto la lettera della norma non è affatto chiara sul punto).

I reati contemplati

Le tipologie di reato indicate nell’articolo 50-bis, seppure dal punto di vista giuridico non aggiungano niente di nuovo a quello che il nostro ordinamento già prevede, per il particolare panorama del web contemporaneo assumono forme particolarmente delicate e facilmente equivocabili. Secondo la lettera della norma, la procedura può essere avviata per

delitti di istigazione a delinquere o a disobbedire alle leggi, ovvero per delitti di apologia di reato, previsti dal codice penale o da altre disposizioni penali.

Le dinamiche della rete sono note quasi esclusivamente a chi la rete la vive, per il semplice fatto che memi e forme di critica e satira appaiono e scompaiono nel giro di pochi giorni, con codici difficili da decrittare per chi non è coinvolto quotidianamente nella conversazione globale. Non si tratta solo dei messaggi in sé e per sé, ma anche di forme di comunicazione strettamente collegate alla specifica tecnologia utilizzata – che in realtà possono esprimere forme di dissenso mentre, in tutta apparenza e nella completa inconsapevolezza della tecnologia e della conversazione o del singolo personaggio che sta esprimendo se stesso o le proprie idee, potrebbe sembrare l’esatto contrario. Il web è un codice che si evolve con grande rapidità: questa velocità ha l’effetto di rendere obsoleta una specifica comunicazione anche dopo poche settimane, sebbene sempre permanente in rete presso il blog o l’applicazione “social” dell’utente.

Questo argomento, delicato per le conseguenze che i fraintendimenti possono comportare, impone non soltanto alla magistratura ma anche alle altre istituzioni coinvolte nella legiferazione una ampia e profonda riflessione che non può prescindere da una informazione e presa di coscienza della natura del fenomeno che si intende regolare. Questo per garantire ai cittadini una applicazione efficace, informata, effettiva e giusta delle leggi, e una adeguata e proporzionata protezione da comportamenti che giustamente l’ordinamento sanziona. Non è un compito facile, ma è possibile auspicare che i cambiamenti avvengano per migliorare le cose.