A quasi 25 anni dalla firma, la Convenzione di Budapest continua a rappresentare uno dei principali riferimenti internazionali per il contrasto ai reati informatici e per la cooperazione tra autorità giudiziarie. Il trattato, promosso dal Consiglio d’Europa nel 2001, è stato il primo accordo vincolante dedicato in modo organico alla criminalità digitale.
Secondo Vincenzo Musacchio, professore di strategie di contrasto alla criminalità organizzata e ricercatore associato presso il Rutgers Institute on Anti-Corruption Studies della Rutgers University di Newark, negli Stati Uniti, la portata innovativa della Convenzione consiste nell’aver riconosciuto che il cyberspazio non è limitato dai confini nazionali. Un’attacco lanciato da un Paese può colpire infrastrutture situate altrove, mentre gli investigatori rischiano di non disporre di strumenti adeguati per intervenire oltre la propria giurisdizione.
Le regole comuni
Il trattato si fonda su tre direttrici. La prima è l’armonizzazione del diritto penale sostanziale: gli Stati aderenti sono chiamati a punire condotte come l’accesso abusivo ai sistemi informatici, l’intercettazione illecita di dati, il danneggiamento di dati e sistemi, la frode informatica, la pedopornografia online e le violazioni del diritto d’autore.
La seconda riguarda gli strumenti procedurali necessari alle indagini digitali. Tra questi rientrano il sequestro e la conservazione rapida dei dati, l’intercettazione in tempo reale del traffico e la perquisizione dei sistemi informatici. La terza direttrice è la cooperazione penale internazionale, sostenuta da una rete di contatto operativa 24 ore su 24, sette giorni su sette, per consentire lo scambio di informazioni e la richiesta di assistenza giudiziaria in tempi rapidi.
Le sfide della trasformazione digitale
La criminalità organizzata ha trasferito una parte crescente delle proprie attività nel mondo digitale. Agli accessi abusivi si sono aggiunti attacchi ransomware, aggressioni alle infrastrutture critiche, traffici sul dark web ed estorsioni condotte da gruppi strutturati. La Convenzione può agevolare l’identificazione e il perseguimento dei responsabili quando le attività attraversano più giurisdizioni, ma l’assenza di procedure tempestive di estradizione e assistenza giudiziaria può favorire la ricerca di Paesi con regole meno efficaci.
Il testo del 2001, osserva Musacchio, non può restare immutato davanti a tecnologie come l’intelligenza artificiale e i cripto-asset. La sua struttura consente però aggiornamenti attraverso protocolli addizionali. Il secondo protocollo addizionale interviene sull’accesso alle prove elettroniche detenute da fornitori di servizi in altre giurisdizioni e rafforza la cooperazione diretta nelle emergenze. Restano aperte le questioni legate all’uso criminale dell’intelligenza artificiale e al riciclaggio attraverso le criptovalute.
Un’ostacolo è rappresentato dalla diversa partecipazione degli Stati. La Convenzione è aperta anche ai Paesi non appartenenti al Consiglio d’Europa e vi hanno aderito, tra gli altri, Stati Uniti, Giappone e Canada. Altre grandi potenze e diversi Paesi emergenti non l’hanno ratificata e sostengono percorsi alternativi, anche nel quadro delle discussioni alle Nazioni Unite. Le divergenze geopolitiche possono così limitare la collaborazione, mentre il contrasto ai reati informatici deve essere conciliato con la tutela della riservatezza e dei dati personali.
Musacchio, recentemente nominato consulente esterno del Comitato della Convenzione sulla criminalità informatica, il T-CY del Consiglio d’Europa, indica come priorità la formazione specialistica e la rapidità di risposta. Magistrati, forze di polizia ed esperti di informatica forense dovrebbero essere preparati a operare con tempi compatibili con l’evoluzione tecnologica. Tra le esigenze indicate figurano anche una collaborazione costante tra settore pubblico e imprese tecnologiche e l’applicazione tempestiva degli accordi internazionali.
