Legislatura 18 Atto di Sindacato Ispettivo n° 3-00762

Atto n. 3-00762

Pubblicato il 4 aprile 2019, nella seduta n. 107

MANTOVANI , ORTIS , GARRUTI , VONO , DI MARZIO , PIRRO , CORRADO , ROMANO , ANGRISANI , GALLICCHIO , DONNO , LANZI , PARAGONE , LANNUTTI , L'ABBATE , ACCOTO , ANASTASI , GUIDOLIN , TAVERNA , MONTEVECCHI , RICCARDI , BOTTICI - Ai Ministri della giustizia e dell'interno. -

Premesso che:

da notizie a mezzo stampa si apprende che è in corso un'indagine da parte della Procura di Napoli, che ha delegato gli accertamenti alla Polizia postale, al Gruppo d'investigazione sulla criminalità organizzata (Gico) della Guardia di finanza e ai Carabinieri del Ros, in merito ad un'acquisizione illecita dei dati sensibili e comunicazioni testuali e vocali di diversi cittadini e utenti italiani, come si legge online su "Il sole-24 ore" del 30 marzo 2019;

l'acquisizione illecita di dati sarebbe avvenuta attraverso "Exodus", una piattaforma sviluppata dalla società italiana "eSurv", che opera nel settore della videosorveglianza e avrebbe collaborato con importanti Procure italiane fornendo supporto tecnico per le intercettazioni telematiche;

"Exodus" è uno spyware del tipo command and control che si connette a dispositivi come telefoni mobili o PC, tramite internet, sfruttando le funzionalità di apposite applicazioni mobili (app). Exodus potrebbe essere stato realizzato per operare come captatore informatico per eseguire intercettazioni legali, autorizzate da un giudice, di una persona indagata per diversi crimini. Attraverso l'app installata, chi controlla il software può gestire a distanza il cellulare dell'utente ottenendo, via internet, le registrazioni delle chiamate, le chat, gli indirizzi web visitati, la rubrica dei contatti, le foto, gli appuntamenti sull'agenda del cellulare, la posizione fisica del momento (registrata dal GPS e dalle antenne degli operatori). Recuperando la password del wi-fi, consentirebbe inoltre a terzi di entrare nella rete domestica dell'utente e raccogliere altri dati;

secondo il blog "Security without borders", che per primo ha segnalato la situazione in un'inchiesta sulla rivista "Motherboard", tale software sarebbe stato inserito, già da due anni, anche in alcune app, reperibili sul negozio ufficiale di "Google" per cellulari (Play store), come strumenti per migliorare le prestazioni del cellulare e per ricevere fittizie promozioni dell'operatore telefonico;

Google avrebbe confermato l'esistenza di 25 varianti di questo spyware presenti su Google Play Store che sono state successivamente disabilitate. Ogni app sarebbe stata installata su diversi dispositivi e le infezioni ammonterebbero a diverse centinaia, forse più di un migliaio;

oltre a propri fini commerciali, come rivendere le informazioni ad aziende, società finanziarie o altri soggetti interessati ad individuare potenziali clienti per vendere determinati prodotti, si sospetta che la eSurv possa aver agito in contatto con ambienti paralleli ad apparati di sicurezza dello Stato oppure per trasferire i dati ad agenzie non ufficiali interessate ad acquisire informazioni a fini dossieristici;

secondo quanto riportato dalla Direzione centrale per i servizi di ragioneria della Polizia di Stato, eSurv risulta anche tra i beneficiari di una somma pari a 307.439,90 euro, pagata nel 6 novembre 2017 per la categoria "acquisto di beni e servizi" e avente come natura della spesa stessa la denominazione "sistema di intercettazione attiva e passiva";

considerato che:

l'Autorità garante per la protezione dei dati personali ha evidenziato la gravità di tale vicenda, dichiarando che saranno effettuati "i dovuti approfondimenti per quanto concerne le nostre competenze, poiché la vicenda presenta contorni ancora assai incerti ed è indispensabile chiarire l'esatta dinamica";

l'Autorità ha più volte espresso la necessità di adeguare la recente normativa in materia. Allo stato vigente, il decreto legislativo n. 216 del 2017 prevede l'immissione di captatori informatici in dispositivi elettronici portatili per le intercettazioni telematiche. La norma ha il fine di regolamentare l'utilizzo dei captatori informatici, adeguando il modello alle esigenze processuali, dotando le indagini di strumenti al passo con i tempi e fornendo gli stessi di un opportuno riconoscimento in ambito legislativo;

secondo il Garante sarebbe necessario definire in maniera più puntuale le regole per tali intercettazioni telematiche e garantire misure di sicurezza più efficaci a tutela dei cittadini utenti,

si chiede di sapere:

se i Ministri in indirizzo non ritengano opportuno, sulla base delle loro competenze, chiarire tutti gli aspetti della vicenda, in particolare quale sia il soggetto pubblico che ha commissionato lo sviluppo di "Exodus" e se il pagamento sopra indicato, effettuato dalla Direzione centrale per i servizi di ragioneria della Polizia di Stato, corrisponda a tale opera o ad altro servizio;

quali siano le Procure coinvolte nella vicenda e le procedure adottate per l'affidamento a tale società del supporto tecnico per le intercettazioni telematiche delle persone indagate e se siano state fornite da tale società sufficienti garanzie per evitare l'abuso dello strumento per fini commerciali o comunque lesivi della riservatezza dei cittadini ed utenti non sottoposti ad indagini;

se non ritengano opportuno, secondo quanto indicato dal Garante della privacy, promuovere l'adeguamento della normativa in materia di captatori informatici e intercettazioni telematiche, in modo da assicurare che vengano adottate misure di sicurezza più stringenti e una definizione più puntuale delle regole, tutelando i diversi interessi coinvolti ovvero, da una parte, il diritto alla riservatezza di cittadini e utenti e, dall'altro, le esigenze di verità e giustizia.