Autorità legale e cooperazione internazionale

La blockchain è pubblica, ma quasi tutto ciò che permette di collegare un indirizzo a una persona non lo è: registri degli exchange, log degli IP, dispositivi e account cloud. Per ottenerli serve un’autorità legale e, nei casi legati alle criptovalute, i registri sono solitamente conservati in un altro Paese. Gli esaminatori non redigono le leggi, ma devono sapere quale strumento consente di ottenere quali dati, quanto tempo richiede ciascun canale e che cosa preservare per primo, perché una richiesta inviata tramite il canale sbagliato può compromettere il caso.

Tipi di autorità legale

I sistemi differiscono per denominazioni e soglie, ma le stesse categorie di autorità si ritrovano quasi ovunque. La Convenzione di Budapest sulla criminalità informatica e la Convenzione delle Nazioni Unite contro la criminalità informatica le descrivono in termini quasi identici, motivo per cui costituiscono un vocabolario comune.

Per l’esaminatore sono importanti due aspetti. Primo, l’autorità definisce l’ambito: se un mandato riguarda un telefono e un account presso un exchange, trovare un secondo wallet non autorizza a esaminarlo. Fermarsi, registrare quanto è stato trovato e chiedere un’ulteriore autorizzazione. Secondo, per leggere una blockchain pubblica normalmente non serve alcuna autorizzazione, mentre per i registri off-chain quasi sempre è necessaria.

Alcuni fornitori divulgano anche volontariamente dati di base in seguito a una richiesta legittima, soprattutto in situazioni di emergenza. La divulgazione volontaria è utile, ma disomogenea: ciò che un fornitore fornisce liberamente, un altro lo divulga solo a seguito di un ordine del tribunale.

Dati detenuti all’estero

Gli exchange, gli emittenti di stablecoin, le società di hosting e i servizi di messaggistica hanno spesso sede, o conservano i dati, fuori dal Paese che svolge le indagini. Un ordine emesso da un Paese normalmente non è vincolante per un fornitore che si trova in un altro. Le opzioni, approssimativamente dalla più rapida alla più lenta, sono:

1. chiedere al fornitore la conservazione e divulgazione volontarie in base alle sue politiche;
2. usare un punto di contatto 24/7 per richiedere una conservazione accelerata;
3. ricorrere a un meccanismo previsto da un trattato che consenta di emettere ordini diretti a fornitori stranieri, quando entrambi i Paesi ne sono parti;
4. inviare una richiesta formale di assistenza giudiziaria reciproca (MLA).

La Convenzione di Budapest (Articolo 32) consente a una Parte di accedere a dati archiviati detenuti in un’altra Parte senza l’autorizzazione di quest’ultima solo in due situazioni: i dati sono pubblicamente disponibili oppure una persona legittimata a divulgarli acconsente volontariamente. Per tutto il resto occorre ricorrere a uno dei canali sopra indicati.

Assistenza giudiziaria reciproca

L’assistenza giudiziaria reciproca è il canale formale tra Stati per ottenere prove all’estero. La richiesta passa dall’autorità centrale del Paese che svolge le indagini all’autorità centrale del Paese richiesto, che la trasmette a un tribunale, a un procuratore o a un’unità di polizia affinché venga eseguita secondo la legislazione locale. Di solito le richieste devono descrivere il reato, i fatti, il collegamento tra i dati richiesti e il caso, gli identificativi esatti e il formato in cui servono le prove. Molti Paesi esigono la doppia incriminazione per le misure coercitive. L’esecuzione richiede comunemente mesi.

Le Raccomandazioni FATF impegnano i Paesi a garantire una cooperazione efficace: assistenza giudiziaria reciproca, assistenza in materia di congelamento e confisca, estradizione e altre forme di cooperazione tra autorità di vigilanza, unità di informazione finanziaria e polizia (Raccomandazioni da 37 a 40), applicate agli asset virtuali attraverso la Nota interpretativa alla Raccomandazione 15. Il congelamento e la confisca sono trattati nella lezione Opzioni di congelamento e sequestro.

La Convenzione di Budapest e il suo Secondo Protocollo addizionale

La Convenzione del Consiglio d’Europa sulla criminalità informatica (ETS n. 185, aperta alla firma a Budapest nel 2001) annovera molte Parti al di fuori dell’Europa. Oltre ai poteri nazionali sopra descritti, fornisce agli investigatori quattro strumenti internazionali:

• conservazione accelerata dei dati archiviati in un’altra Parte, mantenuti per almeno 60 giorni mentre viene preparata una richiesta di MLA;
• divulgazione accelerata dei dati sul traffico conservati: se la conservazione indica il coinvolgimento di un fornitore di un Paese terzo, vengono divulgati dati sul traffico sufficienti a identificare quel fornitore e il percorso della comunicazione;
• assistenza reciproca per accedere ai dati archiviati;
• una rete 24/7 di punti di contatto che gestisce le richieste urgenti.

Il Secondo Protocollo addizionale sul rafforzamento della cooperazione e sulla divulgazione di prove elettroniche (CETS n. 224, aperto alla firma nel maggio 2022) aggiunge canali più rapidi tra i Paesi che ne sono parti:

Se un fornitore non risponde a un ordine diretto, la Parte emittente ricorre alla procedura di esecuzione o alla normale MLA. Il Protocollo entra in vigore dopo cinque ratifiche e si applica solo tra le sue Parti, quindi occorre verificarne lo stato prima di pianificare una richiesta basandosi su di esso.

La Convenzione delle Nazioni Unite contro la criminalità informatica

La Convenzione delle Nazioni Unite contro la criminalità informatica è stata adottata dall’Assemblea generale il 24 dicembre 2024 (risoluzione 79/243) e aperta alla firma in occasione di una cerimonia ad Hanoi il 25 ottobre 2025. Entra in vigore 90 giorni dopo la quarantesima ratifica.

I suoi capitoli sulle procedure e sulla cooperazione ricalcano il modello di Budapest: conservazione accelerata, ordini di esibizione e perquisizione e sequestro; congelamento e confisca dei proventi; assistenza giudiziaria reciproca; una rete 24/7; conservazione e divulgazione internazionali accelerate; cooperazione tra autorità di contrasto; e cooperazione ai fini della confisca. La cooperazione si estende alla raccolta di prove elettroniche relative a qualsiasi reato grave, definito come un reato punibile con una pena massima di privazione della libertà di almeno quattro anni o con una pena più grave; questo è rilevante per le prove legate alle criptovalute nei casi di frode e droga.

Canali di cooperazione tra forze di polizia

La cooperazione di polizia è più rapida della MLA, ma produce informazioni di intelligence, non prove. Di solito le informazioni ricevute in questo modo devono essere ottenute nuovamente tramite una richiesta formale prima di poter essere utilizzate in tribunale; occorre pianificarlo sin dall’inizio.

• INTERPOL collega le forze di polizia di quasi tutti i Paesi attraverso la rete I-24/7, le notifiche e le diffusioni. Nel gennaio 2025 ha pubblicato la sua prima Silver Notice, un progetto pilota per richiedere informazioni sui beni collegati alle attività criminali di una persona.
• Europol sostiene gli Stati membri dell’UE e i Paesi partner, anche attraverso il Centro europeo per la criminalità informatica (EC3), e contribuisce a coordinare le operazioni congiunte.
• Le reti 24/7 previste dalle convenzioni gestiscono le richieste urgenti di conservazione.
• Le unità di informazione finanziaria si scambiano informazioni attraverso il Gruppo Egmont; si tratta di informazioni di intelligence e il loro ulteriore utilizzo richiede il consenso dell’unità mittente.

Confronto tra i canali:

I tempi sono indicativi e variano a seconda del Paese e del fornitore.

Tempistiche e urgenza

La regola costante è prima conservare, poi produrre. Una richiesta di conservazione costa poco e può essere inviata entro poche ore; la produzione segue quando arriva la richiesta formale.

Esempio di sequenza: il giorno 0 un esaminatore scopre che i proventi di una truffa sono arrivati a un indirizzo di deposito presso un exchange in un altro Paese. Lo stesso giorno, l’investigatore invia una richiesta di conservazione e congelamento volontario attraverso il canale dell’exchange dedicato alle forze dell’ordine e chiede al punto di contatto nazionale 24/7 di richiedere la conservazione tramite il suo omologo. Nei giorni successivi arrivano, attraverso i canali di polizia, informazioni di intelligence sul titolare dell’account, che contribuiscono a definire il piano. La richiesta formale di produzione viene quindi inviata con un ordine diretto, se un trattato lo consente, altrimenti tramite MLA. Ogni passaggio, con la relativa data e il numero di riferimento, viene inserito nel fascicolo del caso, perché in seguito spesso vengono esaminati i ritardi e le relative cause.

Focus sull'esame: le categorie di autorità legale e ciò che ciascuna consente; l’autorità definisce l’ambito, quindi per nuovi dispositivi o account serve un’ulteriore autorizzazione; i canali per ottenere dati detenuti all’estero, dalle richieste volontarie all’assistenza giudiziaria reciproca, e ciò che ciascuno produce; prima conservare, poi produrre, ricorrendo ai fornitori e alla rete 24/7 per la conservazione accelerata mentre si prepara la richiesta formale; la divulgazione accelerata dei dati sul traffico che identifica il fornitore successivo; la cooperazione diretta con fornitori e registrar stranieri quando è in vigore il Secondo Protocollo addizionale; l’accesso a dati detenuti all’estero senza l’autorizzazione dell’altro Stato solo quando i dati sono pubblici o una persona legittimata acconsente; i canali di polizia e delle UIF forniscono informazioni di intelligence, non prove.