Source: http://www.privacy.it/archivio/cecA52002-328.html
Timestamp: 2018-02-23 06:41:36+00:00

Document:
Relazione sulla proposta della Commissione in vista di una decisione quadro del Consiglio relativa agli attacchi contro i sistemi díinformazione
sulla proposta della Commissione in vista dell'adozione di una decisione quadro del Consiglio relativa agli attacchi contro i sistemi d'informazione
(COM(2002)173 - C5-0271/2002 - 2002/0086(CNS))
Relatrice: Charlotte Cederschiöld
Con lettera del 12 giugno 2002 il Consiglio ha consultato il Parlamento, a norma dell'articolo 39, paragrafo 1, del trattato UE, sulla proposta della Commissione in vista dell'adozione di una decisione quadro del Consiglio relativa agli attacchi contro i sistemi d'informazione (COM(2002) 173 - 2002/0086(CNS)).
Nella seduta del 13 giugno 2002 il Presidente del Parlamento ha comunicato di aver deferito tale proposta alla commissione per le libertà e i diritti dei cittadini, la giustizia e gli affari interni per l'esame di merito e, per parere, alla commissione giuridica e per il mercato interno e alla commissione per l'industria, il commercio estero, la ricerca e l'energia (C5-0271/2002).
Nella riunione del 23 maggio 2002 la commissione per le libertà e i diritti dei cittadini, la giustizia e gli affari interni aveva nominato relatore Charlotte Cederschiöld.
Nelle riunioni del 17 giugno 2002, 11 settembre 2002 e 3 ottobre 2002 ha esaminato la proposta della Commissione e il progetto di relazione.
Nell'ultima riunione indicata ha approvato la proposta di risoluzione con 27 voti favorevoli, 5 contrari e 2 astensioni.
Erano presenti al momento della votazione Jorge Salvador Hernández Mollar (presidente), Giacomo Santini. (vicepresidente), Charlotte Cederschiöld (relatrice), Giuseppe Brienza, Marco Cappato (in sostituzione di Maurizio Turco), Ozan Ceyhun, Carlos Coelho, Gérard M.J. Deprez, Giuseppe Di Lello Finuoli, Enrico Ferri (in sostituzione di Bernd Posselt), Adeline Hazan, Pierre Jonckheer, Timothy Kirkhope, Eva Klamt, Ole Krarup, Jean Lambert (in sostituzione di Alima Boumediene-Thiery), Baroness Sarah Ludford, Lucio Manisco (in sostituzione di Fodé Sylla), Bill Newton Dunn, Marcelino Oreja Arburúa, Elena Ornella Paciotti, Paolo Pastorelli (in sostituzione di Marcello Dell'Utri), Hubert Pirker, Martine Roure, Heide Rühle, Olle Schmidt (in sostituzione di Lousewies van der Laan), Ilka Schröder, Miet Smet (in sostituzione di Mary Elizabeth Banotti), Ole Sørensen (in sostituzione di Francesco Rutelli), Patsy Sörensen, The Earl of Stockton (in sostituzione di The Lord Bethell), Anna Terrón i Cusí, Christian Ulrik von Boetticher e Christos Zacharakis (in sostituzione di Thierry Cornillet).
Il parere della commissione per l'industria, il commercio estero, la ricerca e l'energia è allegato; la commissione giuridica e per il mercato interno ha deciso il 28 maggio 2002 di non esprimere parere.
La relazione è stata depositata il 4 ottobre 2002.
Risoluzione legislativa del Parlamento europeo sulla proposta della Commissione in vista dell'adozione di una decisione quadro del Consiglio relativa agli attacchi contro i sistemi d'informazione
- vista la proposta della Commissione (COM(2002) 173)1,
- visto l'articolo 34, paragrafo 2, lettera b) del trattato UE,
- consultato dal Consiglio a norma dell'articolo 39, paragrafo 1, del trattato UE (C5-0271/2002),
- visti gli articoli 106 e 67 del suo regolamento,
- visti la relazione della commissione per le libertà e i diritti dei cittadini, la giustizia e gli affari interni e il parere della commissione per l'industria, il commercio estero, la ricerca e l'energia (A5-0328/2002),
3. chiede di essere nuovamente consultato qualora il Consiglio intenda modificare sostanzialmente la proposta della Commissione;
(5 bis) La presente decisione quadro e le definizioni utilizzate, di cui all'articolo 2, devono essere conformi e se del caso ampliate con le nuove direttive dell'OCSE concernenti la sicurezza delle reti e dell'informazione approvate il 25 luglio 2002.
Si spiega da sé.
(9) Tutti gli Stati membri hanno ratificato la convenzione del Consiglio d'Europa del 28 gennaio 1981 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale. I dati di carattere personale trattati nel quadro dell'attuazione della presente decisione quadro saranno protetti in conformità con i principi di detta convenzione.
A livello europeo mancano tuttora sufficienti disposizioni giuridiche sulla protezione dei dati nel quadro del terzo pilastro. Di conseguenza, è urgentemente necessario uno strumento in base al terzo pilastro dell'UE concernente la protezione dei dati di carattere personale specificamente nel contesto delle attività relative all'applicazione della legge.
L'esistenza di una convenzione del Consiglio díEuropa non solo non può sostituirsi a uno strumento giuridico europeo in materia di protezione dei dati ma non rende neanche meno necessaria la creazione di un tale strumento. Il Parlamento europeo ha ripetutamente segnalato la necessità di creare uno strumento in materia di protezione dei dati nell'ambito del terzo pilastro.
(13 bis) La protezione dei sistemi d'informazione rappresenta un fattore d'importanza essenziale per la creazione di uno spazio di libertà, sicurezza e giustizia, ma è necessario tener presente il fatto che tali sistemi possono anche essere oggetto di abusi. Le legislazioni nazionali debbono pertanto sorvegliare attentamente gli attacchi e le illegali interruzioni del funzionamento dei sistemi díinformazione utilizzati per raggiungere obiettivi in contrasto con i diritti e le libertà fondamentali, fino al giorno in cui in Europa le questioni attinenti ai diritti umani non saranno coperte dal diritto comunitario e non saranno sottoposte a un esame più democratico venendo inserite nelle ponderazioni alla base delle posizioni europee.
Analogamente, per quegli atti che in base alle normative nazionali sono considerati di scarsa importanza, devono essere previste deroghe dall'obbligo di comminare sanzioni penali, e quindi dal campo di applicazione della presente decisione quadro.
Per il fatto che il rispetto dei diritti dell'uomo non gode nell'UE della stessa protezione democratica del rispetto del mercato interno, è necessario chiarire la responsabilità democratica in tale ambito. Per gli affari di poco conto, deve essere prevista una possibilità di condono della pena, a complemento della necessità di tener conto del fattore gioventù proposta nella relazione e che si ritrova a livello nazionale nella maggior parte dei codici penali degli Stati membri. La possibilità di escludere dal campo di applicazione della decisione quadro le infrazioni di scarsa importanza figura anche nella motivazione della proposta della Commissione.
(16) È altresì opportuno prevedere misure intese alla cooperazione tra Stati membri al fine di garantire un'azione efficace contro gli attacchi ai danni di sistemi di informazione, e in particolare istituire dei punti di contatto per lo scambio d'informazioni.
(16) È altresì opportuno prevedere misure intese alla cooperazione tra Stati membri al fine di garantire un'azione efficace contro gli attacchi ai danni di sistemi di informazione, e in particolare istituire dei punti di contatto per lo scambio d'informazioni. Questi ultimi devono essere utilizzati non appena sarà stato creato un adeguato strumento in materia di protezione dei dati nel quadro del terzo pilastro a livello europeo.
Il Parlamento europeo ha ripetutamente segnalato la necessità di uno strumento in materia di protezione dei dati nel quadro del terzo pilastro. È solo una volta che tale strumento sarà disponibile che si potranno intensificare gli scambi di informazioni in ambito penale a livello europeo.
(19) La presente decisione quadro rispetta i diritti fondamentali ed osserva i principi riconosciuti segnatamente nella Carta dei diritti fondamentali dell'Unione europea, in particolare i capi II e VI.
(19) La presente decisione quadro rispetta i diritti e le libertà fondamentali ed osserva i principi riconosciuti segnatamente nella Convenzione europea per i diritti umani e le libertà fondamentali e nella giurisprudenza della Corte europea dei diritti dell'uomo, nella Carta dei diritti fondamentali dell'Unione europea, in particolare i capi II e VI e dal diritto nazionale ed internazionale in materia di diritti dell'uomo e libertà fondamentali. In questo senso la presente decisione-quadro e le misure nazionali di attuazione non potranno essere utilizzate per reprimere in particolare la libertà di opinione, espressione, manifestazione ed associazione.
Si giustifica da sé.
L'obiettivo della presente decisione quadro è quello di migliorare la cooperazione tra le autorità giudiziarie e tra le altre autorità competenti degli Stati membri, quali la polizia e gli altri servizi specializzati incaricati dell'applicazione della legge, mediante il ravvicinamento delle normative penali degli Stati membri nel settore degli attacchi contro sistemi di informazione.
L'obiettivo della presente decisione quadro è quello di migliorare la cooperazione tra le autorità giudiziarie e tra le altre autorità competenti degli Stati membri, quali la polizia e gli altri servizi specializzati incaricati dell'applicazione della legge, mediante il ravvicinamento delle normative penali degli Stati membri nel settore degli attacchi contro sistemi di informazione. La presente decisione quadro rispetta le libertà e i diritti fondamentali e osserva i principi di cui alla Convenzione europea sui diritti dell'uomo e le libertà fondamentali, alla giurisprudenza della Corte europea dei diritti dell'uomo, alla Carta dei diritti fondamentali dell'Unione europea e al diritto nazionale e internazionale in materia di diritti dell'uomo e libertà fondamentali.
Per il fatto che il rispetto dei diritti dell'uomo non gode nell'UE della stessa protezione democratica del rispetto del mercato interno, è necessario chiarire la responsabilità democratica in tale ambito.
Oltre alla criminalizzazione di comportamenti, di cui agli articoli 3, 4 e 5, non andrebbe trascurata la prevenzione, e gli Stati membri dovrebbero far sì che gli attori della società dell'informazione siano stimolati a promuovere sempre più una cultura della sicurezza, in particolare mediante campagne di informazione organizzate congiuntamente con i datori di lavoro, le organizzazioni ed altri operatori interessati per rafforzare la consapevolezza in merito ai rischi della sicurezza nelle reti di informazione.
La Commissione europea prende l'iniziativa di rafforzare la consapevolezza in merito ai rischi della sicurezza nelle reti di comunicazione elettronica tra i cittadini, le aziende e il settore pubblico e per svolgere un ruolo nel coordinamento e nella concertazione dei contenuti delle campagna di informazione negli Stati membri in merito agli aspetti e ai rischi della sicurezza delle reti di comunicazione elettronica.
La prevenzione è la prima priorità allorché si tratta di rafforzare la sicurezza nelle nostre reti d'informazione. A tal fine è importante promuovere una cultura della sicurezza tra i cittadini, le aziende, le autorità, le scuole ed altre istituzioni, in breve tra tutti coloro che partecipano o parteciperanno della società dell'informazione, consistente in campagne di educazione, valutazione del rischio, appello alla responsabilità personale di tutti coloro che entrano in una rete d'informazione, adozione di misure preventive e giusta risposta agli attacchi ai sistemi di informazione.
f) per "persona autorizzata" s'intende qualsiasi persona fisica o giuridica che abbia il diritto, per contratto o per legge, oppure il permesso legittimo di usare, gestire, sorvegliare, collaudare, condurre ricerche scientifiche legittime o in altro modo operare un sistema di informazione e che agisce in conformità con tale diritto o permesso
Dal momento che il concetto di "persona autorizzata" non è utilizzato nel testo dell'atto normativo ma serve unicamente a commentarne la legittimità, non è necessaria una definizione specifica.
Articolo 2, lettera g), comma 1 bis (nuovo)
Gli atti commessi da persone fisiche o giuridiche non sono in alcun caso illegali quando queste hanno il diritto, per contratto o per legge, oppure il permesso legittimo di usare, gestire, sorvegliare, collaudare, condurre ricerche scientifiche legittime o in altro modo operare un sistema di informazione e agiscono in conformità con tale diritto o permesso.
Dal momento che la definizione di persona autorizzata proposta dalla Commissione serve unicamente a fornire indicazioni sulla legittimità, essa deve essere inserita in questo punto.
Articolo 3, paragrafo 1 bis (nuovo)
1 bis. Non sono compresi nel campo di applicazione della decisione-quadro, e sono dunque rimessi al diritto nazionale degli Stati membri: - le condotte di minima o di nessuna rilevanza (minor or trivial behaviour).
L'obbligo di considerare reato l'interferenza illecita con i sistemi di informazione non va esteso a comportamenti di scarsa o nessuna rilevanza (che non sarebbero puniti se realizzati nel mondo "off line", cioè senza ricorrere alle nuove tecnologie). Il principio di sussidiarietà impone di evitare il rischio di una sovracriminalizzazione vincolante a livello europeo.
Articolo 4, paragrafo 1 bis (nuovo)
1 bis. Non sono compresi nel campo di applicazione della decisione-quadro, e sono dunque rimessi al diritto nazionale degli Stati membri:
- le condotte di minima o di nessuna rilevanza (minor or trivial behaviour).
2. Oltre che nei casi di cui al paragrafo 1, gli Stati membri adottano le misure necessarie affinché le persone giuridiche possano essere ritenute responsabili qualora la mancata sorveglianza o il mancato controllo da parte di un soggetto tra quelli di cui al paragrafo 1 abbia reso possibile la commissione dei reati di cui agli articoli 3, 4 e 5 a beneficio della persona giuridica da parte di una persona soggetta alla sua autorità.
2. Oltre che nei casi di cui al paragrafo 1, gli Stati membri adottano le misure necessarie affinché le persone giuridiche possano essere ritenute responsabili, nella misura del possibile, qualora la mancata sorveglianza o il mancato controllo da parte di un soggetto tra quelli di cui al paragrafo 1 abbia reso possibile la commissione dei reati di cui agli articoli 3, 4 e 5 a beneficio della persona giuridica da parte di una persona soggetta alla sua autorità.
La persona giuridica esegue un controllo entro i limiti dati dal legislatore quali, tra l'altro, la responsabilità e il rispetto della privacy.
Articolo 10, paragrafo 1, alinea
1. Gli Stati membri provvedono a che alla persona giuridica ritenuta responsabile ai sensi del paragrafo 1 dell'articolo 9 siano applicabili sanzioni efficaci, proporzionate e dissuasive, che comprendano sanzioni pecuniarie penali o non penali e che possano comprendere anche altre sanzioni quali:
1. Gli Stati membri provvedono a che alla persona giuridica ritenuta responsabile ai sensi del paragrafo 1 dell'articolo 9 siano applicabili sanzioni efficaci, proporzionate e dissuasive, che possano comprendere sanzioni pecuniarie penali o non penali o altre sanzioni quali:
La relatrice ritiene che in linea di principio le persone giuridiche non debbano avere una responsabilità penale. Le misure proposte in questo contesto sono tuttavia in gran parte di natura amministrativa ed economica. Le minacce fondamentali e di vasto impatto che i reati in questo ambito costituiscono per tutta la struttura sociale giustificano la formulazione proposta, ma tuttavia con i miglioramenti qui suggeriti.
Articolo 11, paragrafo 2, lettera a)
a) l'autore abbia commesso il reato mentre era fisicamente presente nel suo territorio, indipendentemente dal fatto che il sistema di informazione contro il quale è stato commesso il reato si trovi o meno nel suo territorio, o
a) l'autore abbia commesso il reato mentre era realmente presente nel suo territorio, indipendentemente dal fatto che il sistema di informazione contro il quale è stato commesso il reato si trovi o meno nel suo territorio, o
Sono ipotizzabili casi in cui il reo non risiede nel territorio né rivolge il suo reato contro un sistema di informazione di uno Stato membro, bensì si avvale di un sistema di informazione situato nel territorio per commettere un reato al di fuori del territorio.
Articolo 11, paragrafo 2, lettera b)
b) il sistema di informazione contro il quale è stato commesso il reato si trova nel suo territorio, indipendentemente dal fatto che l'autore del reato fosse o meno fisicamente presente nel suo territorio al momento della commissione del reato.
b) il sistema di informazione contro il quale è stato commesso il reato si trova nel suo territorio, indipendentemente dal fatto che l'autore del reato fosse o meno realmente presente nel suo territorio al momento della commissione del reato, o
Articolo 11, paragrafo 2, lettera b bis) (nuova)
b bis) l'azione perseguibile presenta altrimenti uno stretto rapporto con il territorio di uno Stato membro.
1. Gli Stati membri adottano le disposizioni necessarie per conformarsi alla presente decisione quadro entro il 31 dicembre 2003.
1. Gli Stati membri adottano le disposizioni necessarie per attuare gli articoli da 1 a 11 di cui alla presente decisione quadro entro il 31 dicembre 2003 e l'articolo 12 entro un anno dall'entrata in vigore dell'articolo 12.
Cfr. motivazione all'articolo 14.
La presente decisione quadro entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale delle Comunità europee.
Gli articoli da 1 a 11 della presente decisione quadro entrano in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale delle Comunità europee. L'articolo 12 entra in vigore lo stesso giorno in cui sarà entrato in vigore uno strumento per la protezione dei dati personali nell'ambito del terzo pilastro. La pubblicazione nella Gazzetta ufficiale delle Comunità europee conterrà un apposito riferimento a tale circostanza.
Il Parlamento europeo ha ripetutamente segnalato la necessità di uno strumento in materia di protezione dei dati nel quadro del terzo pilastro. E` solo una volta che tale strumento sarà disponibile che si potranno intensificare gli scambi di informazioni in ambito penale a livello europeo. Anche se l'articolo 12 della proposta prevede unicamente la creazione di punti di contatto e sia l'attività degli stessi sia la trasmissione e la protezione dei dati sono disciplinate dal diritto nazionale, lo scopo dell'articolo è tuttavia di attuare la raccomandazione del Consiglio sull'accesso alla rete del G8 di punti di contatto nonché gli impegni relativi. Una normativa europea uniforme in materia di protezione dei dati risulta inderogabile.
Le reti elettroniche di comunicazione e di informazione vanno acquistando una crescente rilevanza nella vita di tutti i giorni. Nel frattempo i maggiori utilizzi in campo sia privato che professionale hanno fatto sì che le reti d'informazione oltre che abusi in crescenti proporzioni registrano altresì non pochi attacchi alle stesse.
Indubbiamente non possono che preoccupare gli attacchi intenzionali ai sistemi d'informazione sotto forma di accesso illecito, diffusione di programmi distruttivi e furto di informazioni.
Nella fattispecie, le vittime sono non soltanto gli operatori e fornitori di servizi di reti elettroniche e le società di commercio elettronico bensì anche privati non dediti al commercio.
I moderni mezzi di comunicazione si utilizzano pressoché in tutti i settori per cui notevoli sono i quantitativi di dati personali memorizzati in non poche banche di dati: per esempio, si delineano profili di clienti in base ai modelli di consumo. Si registrano altresì non pochi dati personali riguardanti, ad esempio, le malattie, i farmaci prescritti e le visite mediche.
Pertanto oltre che un rischio economico o l'eventuale perdita di fiducia nel commercio elettronico, l'accesso illecito (Hacking) costituisce altresì una minaccia contro la tutela dell'integrità. L'esistenza di gruppi organizzati dediti all'hacking dimostra che questo fenomeno va sviluppandosi in una forma di criminalità organizzata che va indubbiamente combattuta contestualmente a tentativi internazionali di risolvere il problema visto il carattere transfrontaliero di detta criminalità.
La proposta all'esame tenta di contrastare i crescenti pericoli della pirateria informatica a due livelli il che significa che duplice è la base giuridica prescelta (articoli 29 e 30 del trattato CE).
Da una parte, occorre promuovere un ravvicinamento delle disposizioni penali negli Stati membri per garantire l'incriminazione a tutti gli effetti degli attacchi ai sistemi d'informazione e esprimere una netta e chiara condanna sociale a livello di tutta l'UE nei confronti di siffatti attacchi ai sistemi d'informazione. Dall'altra, si dovrebbe altresì promuovere una cooperazione in questo settore fra gli organi di polizia e giudiziari.
Il ravvicinamento dei diritti penali postula la definizione degli elementi costitutivi del reato, la fissazione delle pene minime e delle circostanze aggravanti nonché la definizione della responsabilità delle persone giuridiche e delle questioni inerenti alla competenza del tribunale.
Un siffatto ravvicinamento delle disposizioni penali riveste altresì una fondamentale importanza per una concreta cooperazione giudiziaria e di polizia poiché questo è l'unico modo per garantire una congrua assistenza reciproca sul piano giuridico fra gli Stati membri. Inoltre essi dovrebbero migliorare la loro collaborazione nel campo della lotta alla cibercriminalità istituendo punti di contatto accessibili 24 ore su 24 ai fini della lotta contro la criminalità ad alta tecnologia.
La proposta tiene conto del fatto che tutti gli Stati membri, tranne il Lussemburgo e la Danimarca, hanno firmato la Convenzione del Consiglio d'Europa sulla cibercriminalità approvata formalmente nel novembre 2001 e che peraltro ha sollevato il problema del ravvicinamento degli elementi costitutivi di un reato in tale settore.
La presente proposta di decisione quadro riprende essenzialmente gli elementi costitutivi di reato formulati agli articoli 2, 4 e 5 della Convenzione relativa agli attacchi contro i sistemi d'informazione promuovendo pertanto il recepimento della Convenzione.
La proposta caldeggia un maggior ravvicinamento poiché viene considerato come un reato qualsiasi intenzionale ed illegale accesso ai sistemi d'informazione con riferimento sia all'accesso illegale a talune componenti tutelate del sistema d'informazione, sia a qualsiasi illecita interferenza a scopi di danneggiamento o di lucro. Dal canto suo, la Convenzione del Consiglio d'Europa offre agli Stati membri la possibilità di scelta di esigere che fra gli elementi costitutivi di reato figurino simultaneamente varie componenti.
L'articolo 4 che disciplina le interferenze illecite con sistemi d'informazione corrisponde ampiamente agli articoli 4 e 5 della Convenzione. Gli Stati non hanno pertanto alcuna possibilità di legiferare sulle interferenze illecite con sistemi d'informazione nel senso che causare danni sarebbe perseguibile penalmente soltanto nel caso in cui i danni cagionati siano oltremodo rilevanti.
Riepilogando si può pertanto rilevare che la proposta risulta in perfetta sintonia con la Convenzione sulla cibercriminalità fermo restando l'intento di promuovere, nel contempo, un maggiore grado di ravvicinamento degli elementi costitutivi di reato rispetto alla Convenzione, ravvicinamento che coinvolgerà tutti gli Stati membri il che costituisce indubbiamente un vantaggio.
A giudizio della relatrice, non si dovrebbe, in linea di principio, imporre a persone giuridiche responsabilità penali. I provvedimenti proposti in tale contesto rivestono per lo più un carattere amministrativo ed economico. La minaccia fondamentale e capillare che la criminalità in tale settore rappresenta per l'intera compagine sociale giustifica quanto proposto tuttavia con i miglioramenti suggeriti dalla relatrice.
La relatrice ribadisce talune riserve sulla descrizione del reato di cui all'articolo 3, lettera i), laddove viene configurato come un reato perseguibile penalmente il fatto di accedere ad un sistema d'informazione facendosi gioco delle misure specifiche di protezione anche se non vi sia alcun intento di procurarsi un vantaggio economico o di cagionare danni.
E` un dato di fatto che molti giovani interessati ai computer considerino l'accesso ai sistemi informatici come una specie di sport. Si possono avere opinioni divergenti sul fatto che, da una parte, suscita riprovazione sentir dire che un giovane amico o un membro della famiglia abbia dato l'assalto ad un negozio mentre, dall'altra, suscita ammirazione l'intrusione in una base di dati del Pentagono o della Microsoft. E` un dato di fatto che nella nostra società questi due tipi di interferenze non sono valutate nello stesso modo facendo sì che i giovani non sono particolarmente convinti di fare qualcosa di illegale quando accedono illegalmente ad un sistema informatico.
La relatrice ravvisa un certo rischio nel fatto che la proposta non tenga conto di ambo queste realtà. Nel contempo, si darebbe un segnale errato se non fossero incriminabili le azioni tese ad eludere le misure di protezione di un sistema informatico. Per questo motivo, a giudizio della relatrice, occorre tener conto di ciò a livello nazionale. Si può compiere un'analisi comparativa con gli aspetti relativi ai giovani in altri settore della legislazione penale nazionale.
Si invitano pertanto gli Stati membri a conferire, nell'ambito dei loro ordinamenti giuridici nazionali, la possibilità ai poteri giudiziari di non perseguire penalmente i minorenni chiamati per la prima volta a rispondere di una illegale intrusione in un sistema informatico sempre che non l'abbiano fatto nell'intento di arrecare danni o procurarsi vantaggi economici ovvero procurare in futuro lucri ad un'organizzazione criminale. In tal modo si può prevenire l'inscrizione nel casellario giudiziario di un gran numero di giovani tanto più se si considera che anche il tentativo o l'istigazione sarebbero perseguibili penalmente.
Il fatto che il rispetto dei diritti umani non goda della stessa protezione democratica in seno all'UE di cui beneficia il rispetto del mercato interno rende necessario chiarire la responsabilità democratica per queste problematiche. Occorre reperire una possibilità di condono penale per questioni di minor rilevanza quale corollario, degli aspetti relativi ai giovani proposto nella relazione, reperibile a livello nazionale nella maggior parte delle legislazioni penali degli Stati membri.
Un'annotazione critica va formulata anche in ordine ai punti di contatto negli Stati membri finalizzati allo scambio di informazioni sui reati in tale materia.
I principi della rete G8 sui punti di contatto nazionali volti a combattere la criminalità che si avvalgono di tecnologie avanzate, sono stati approvati in occasione della riunione dei ministri degli Interni e della Giustizia del G8 svoltasi a Washington DC il 9-10 dicembre 1997. Tali principi sono stati corredati di un piano d'azione per l'allestimento della rete e la descrizione dei provvedimenti che ciascuno Stato membro dovrebbe adottare qualora aderisse alla rete. Nel piano d'azione il G8 invita ad aderire alla rete anche i paesi che non fanno parte del gruppo G8.
Gli Stati membri dell'UE, non aderenti alla rete del G8, fanno parte di un sistema interpol per punti di riferimento centrali nazionali (NCRP) che tuttavia non offrono un servizio continuativo di 24 ore su 24 per 7 giorni alla settimana. In una raccomandazione2 il Consiglio esorta gli Stati membri che ancora non l'avessero fatto ad aderire alla rete di punti di contatto del G8 finalizzata alla lotta alla criminalità ad alta tecnologia.
L'articolo 12 della presente proposta rende obbligatorio l'allestimento di siffatti punti di contatto.
Pur riconoscendo i vantaggi di una siffatta rete globale ai fini della cooperazione fra gli organi di polizia e giudiziari, la relatrice ravvisa rischi in un siffatto scambio internazionale di informazioni in materia di criminalità e indagini contestuali ai procedimenti penali. In proposito, si raccomanda pertanto una maggiore attenzione visto che la trasmissione di informazioni costituisce un settore particolarmente sensibile che comporta rischi per la tutela dell'integrità.
Proprio per il fatto che nell'ambito del terzo pilastro sussiste un deficit democratico palese è necessario che l'UE dia in questo settore prova della stessa cautela di cui danno prova i parlamenti nazionali. Per questo motivo e sempre che si tratti di questioni relative alla trasmissione di informazioni, l'UE dovrà adoperarsi per far sì che esistano disposizioni corrispondenti nel settore della tutela dei dati per poter far fronte in tal modo ai rischi insiti nella trasmissione di informazioni.
Si può argomentare che l'articolo 12 della proposta si riferisce unicamente all'insediamento di punti di contatto e che la trasmissione delle informazioni, unitamente alla protezione dei dati, saranno oggetto delle legislazioni nazionali. Ma evidentemente dietro questo articolo si nasconde qualcos'altro - il che traspare dalla motivazione della proposta - ossia il fatto che la raccomandazione del Consiglio sull'adesione ai punti di contatto della rete del G8 sarà posta in atto con tutti gli obblighi che ne risultano. Se l'UE, tramite misure legislative di carattere vincolante, inizia ad agire nel senso di allestire detta rete in tutta l'Europa, essa assume dinanzi ai cittadini la responsabilità di adottare provvedimenti contro i fenomeni negativi che ne risulterebbero.
L'espressione alquanto disinvolta utilizzata all'articolo 12 nel senso che lo scambio delle informazioni avverrebbe "fatte salve le disposizioni sulla protezione dei dati personali " implica che si sorvola sul fatto che a livello dell'UE non esistono norme relative alla protezione dei dati contestualmente al terzo pilastro nonostante i reiterati inviti del Parlamento europeo a adottare siffatte norme. La Convenzione del Consiglio d'Europa del 28 gennaio 1981 sulla tutela dei privati in ordine al trattamento dei dati personali ed alla libera circolazione degli stessi non costituisce in alcun modo un sufficiente succedaneo anche se dovesse essere ratificata da tutti gli Stati membri.
La relatrice insiste pertanto affinché l'articolo 12, in considerazione di quanto sopra, non entri in vigore prima che si dia vita nell'ambito del terzo pilastro e a livello dell'UE ad uno strumento equivalente relativo alla protezione dei dati.
La relatrice può approvare la proposta di cui trattasi a patto che si tenga conto di ambo gli emendamenti ossia di un giudizio meno severo in caso di primo accesso illecito da parte di un minorenne e l'allestimento di una rete del G8 per l'UE unitamente ad una protezione fondamentale dei dati.
La relatrice ha notevolmente migliorato il testo proposto dalla Commissione europea, rafforzando i riferimenti alla protezione dei diritti umani ed alle libertà fondamentali e alla privacy. I deputati radicali hanno dunque appoggiato gran parte degli emendamenti della relatrice, votando però contro una risoluzione legislativa che solleva seri problemi, in particolare in merito alla libertà di espressione e di manifestazione del dissenso su Internet.
La proposta della Commissione sconta cinque principali difetti: l'ossessione della regolamentazione ad hoc e della iper regolamentazione di Internet; l'armonizzazione penale ottenuta attraverso l'armonizzazione del numero di anni di detenzione comminabili; l'ottica repressiva che impone la necessaria criminalizzazione di tutti i comportamenti assimilabili ad attacchi ai sistemi di informazione; l'illusione che la repressione dei fenomeni criminali sia attuabile attraverso l'indurimento delle pene invece che il miglioramento dell'efficacia dei controlli; il rafforzamento della lotta al crimine compiuto attraverso la limitazione di diritti e libertà fondamentali quali la libertà di espressione e di manifestazione del dissenso su Internet.
Crediamo dunque che sarebbe preferibile affrontare la questione dei crimini commessi in Rete attraverso gli strumenti del diritto penale esistenti, invece che moltiplicare una legislazione specifica e definita su base tecnologica che oltretutto presenta i difetti summenzionati.
di Ilka Schröder
Esprimo un voto contrario alla relazione sulla decisione quadro concernente gli attacchi contro i sistemi di informazione. Il documento fa riferimento alla convenzione sui reati cibernetici e quindi agevola la criminalizzazione degli utenti di Internet.
Si cita anche il mandato europeo di cattura, che rende sostanzialmente più difficile a livello europeo il patrocinio del proprio cliente per gli avvocati penalisti e ciò può comportare effetti gravissimi se talune persone fossero condannate a norma della nuova legislazione contro il terrorismo. Infatti per terrorismo si intende sia la violenza urbana, sia atti pacifici contro edifici governativi.
Il testo in questione si inserisce nell'attuale legislazione per uno spazio europeo di sicurezza, di libertà e di giustizia. In tale contesto sicurezza non significa sicurezza sociale, ma il prefigurarsi dello Stato autoritario di sicurezza; libertà significa libertà dei governi per sorvegliare e controllare quanti ai loro occhi sembrano pericolosi. Infine la legislazione comunitaria è volta all'accettazione di misure poliziesche arbitrarie.
Del resto il documento rappresenta un proseguimento di precedenti iniziative sulla cosiddetta criminalità cibernetica. Anche con la presente relazione si coglie di nuovo l'occasione per limitare, dopo l'11 settembre 2001, senza grandi proteste i diritti fondamentali e per rendere possibili ampie azioni repressive e penali contro i critici e gli oppositori della politica governativa.
La Commissione rileva che la protezione migliore contro gli attacchi a sistemi computerizzati esaminati nella relazione può essere fatta solo di inchieste e prevenzione, concretamente ciò significherebbe la separazione strutturale tra computer esposti ad attacchi e Internet, tuttavia le misure proposte non vanno affatto in tale direzione.
La proposta ha pertanto scopi simili a quelli della legislazione antiterrorismo nell'UE e negli Stati membri dopo l'11 settembre 2001, ossia non di proteggere da attacchi i sistemi informatici, bensì di smantellare diritti fondamentali e potenziare le competenze degli organi di sorveglianza.
PARERE DELLA COMMISSIONE PER L'INDUSTRIA,
IL COMMERCIO ESTERO, LA RICERCA E L'ENERGIA
destinato alla commissione per le libertà e i diritti dei cittadini, la giustizia e gli affari interni sulla proposta di decisione del Consiglio concernente gli attacchi contro i sistemi di informazione
(COM(2002) 173 - C5-0271/2002 - 2002/0086(CNS))
Relatore per parere: Marco Cappato
Nella riunione del 4 giugno 2002 la commissione per l'industria, il commercio estero, la ricerca e l'energia ha nominato relatore per parere Marco Cappato.
Nelle riunioni dell'8 luglio, 26 agosto e 11 settembre 2002 ha esaminato il progetto di parere.
In quest'ultima riunione indicata ha approvato gli emendamenti in appresso all'unanimità.
Erano presenti al momento della votazione Carlos Westendorp y Cabeza (presidente), Peter Michael Mombaur (vicepresidente), Yves Piétrasanta (vicepresidente), Jaime Valdivielso de Cué (vicepresidente), Marco Cappato (relatore per parere), Sir Robert Atkins, Guido Bodrato, Gérard Caudron, Giles Bryan Chichester, Nicholas Clegg, Willy C.E.H. De Clercq, Harlem Désir, Concepció Ferrer, Colette Flesch, Christos Folias (in sostituzione di Bashir Khanbhai), Per Gahrton (in sostituzione di Nuala Ahern), Norbert Glante, Alfred Gomolka (in sostituzione di Angelika Niebler), Michel Hansenne, Roger Helmer (in sostituzione di Paul Rübig), Hans Karlsson, Werner Langen, Peter Liese (in sostituzione di Konrad K. Schwaiger), Rolf Linkohr, Caroline Lucas, Hans-Peter Martin (in sostituzione di Massimo Carraro), Eryl Margaret McNally, Elizabeth Montfort, Seán Ó Neachtain, Reino Paasilinna, Paolo Pastorelli, Elly Plooij-van Gorsel, John Purvis, Godelieve Quisthoudt-Rowohl, Imelda Mary Read, Mechtild Rothe, Christian Foldberg Rovsing, Jacques Santer (in sostituzione di Marjo Matikainen-Kallström), Umberto Scapagnini, Esko Olavi Seppänen, Claude Turmes, W.G. van Velzen, Alejo Vidal-Quadras Roca, Dominique Vlasto e Olga Zrihen Zaari.
La proposta di decisione quadro sull'attacco ai sistemi d'informazione si pone come obiettivo di assicurare la punibilità di tali condotte con pene massime di almeno un anno di reclusione, in modo da attivare gli strumenti della cooperazione giudiziaria e di polizia europea insieme a forme di extraterritorialità della giurisdizione.
Di fronte a misure così specifiche è però necessario assicurare che il ravvicinamento delle legislazioni non alteri principi fondamentali del diritto e non penalizzi condotte individuali soltanto in ragione del ricorso alle nuove tecnologie. Il principio della neutralità tecnologica, già presente nel diritto UE, non può essere soltanto inteso nel senso di garantire la non discriminazione tra l'utilizzo di una tecnologia rispetto ad un'altra, ma anche nel senso di non penalizzare un determinato comportamento per il solo fatto che sia realizzato ricorrendo a strumenti tecnologici. Dovrebbe dunque essere preoccupazione del legislatore colpire innanzitutto il reato (che si tratti di attentato terroristico, di furto, di violazione della proprietà privata, di vandalismo, ecc.) piuttosto che lo strumento utilizzato.
Tale approccio legislativo consentirebbe anche di distinguere chiaramente tra forme di manifestazione politica in rete, disobbedienze civili, azioni dimostrative e comportamenti di scarsa o nessuna rilevanza da una parte (alcuni di questi comportamenti sono definibili con il termine "hacking"), e dall'altra azioni di cosiddetto "cracking", azioni violente ai danni della proprietà, ma anche delle persone fisiche. Per essere in grado di esprimere tali distinzioni senza essere costretti ad inseguire il progresso tecnologico, il legislatore deve limitarsi a poche e precise regole, che si richiamino il più possibile ai principi generali del diritto e alla regolamentazione delle condotte "off-line".
Non è accettabile vincolare gli Stati membri all'obbligo di sanzionare penalmente comportamenti che sono già ampiamente regolati nel merito (es. violazione della privacy) oppure che sono tollerabili e tollerati in ogni Paese democratico, o addirittura comportamenti che meriterebbero un riconoscimento per il loro alto valore civile, ma che sono effettuati attraverso azioni che potrebbero rientrare nella definizione di "attacchi ai sistemi d'informazione". Basti pensare alle azioni contro la censura e la disinformazione, realizzate tramite interferenze o sabotaggi di strumenti utilizzati per la repressione di individui e popoli interi.
Di fronte all'obbligo per gli Stati membri di considerare reati gli attacchi ai sistemi d'informazione non è sufficiente richiamare i poteri del singolo giudice nel valutare i fatti e le circostanze specifiche di ciascun caso. È necessario integrare la proposta di Decisione quadro con dei richiami espliciti alle libertà e ai diritti fondamentali, riaffermando, coerentemente con il principio di sussidiarietà, la possibilità per gli Stati membri di prevedere, anche a livello legislativo, clausole esimenti applicabili senza rischiare di violare la legislazione dell'Unione europea.
Se le modifiche proposte, in particolare agli articoli 1, 3 e 4, non fossero accolte, il parere del relatore è che la proposta di decisione quadro non costituirebbe un passo avanti per l'estensione al "cyberspazio" di quello "spazio di libertà, sicurezza e giustizia" che è obiettivo della cooperazione in materia di giustizia e affari interni dell'Unione europea.
La commissione per l'industria, il commercio estero, la ricerca e l'energia invita la commissione per le libertà e i diritti dei cittadini, la giustizia e gli affari interni, competente per il merito, a includere nella sua relazione i seguenti emendamenti:
Testo della Commissione 3 Emendamenti del Parlamento
Dato che la protezione dei sistemi d'informazione costituisce un elemento chiave nella creazione di un'area di libertà, sicurezza e giustizia, l'obiettivo della presente decisione quadro è quello di migliorare la cooperazione tra le autorità giudiziarie e tra le altre autorità competenti degli Stati membri, quali la polizia e le altre agenzie specializzate incaricate dell'applicazione della legge, mediante il ravvicinamento delle normative penali degli Stati membri nel settore degli attacchi contro sistemi di informazione.
Si dovrebbe altresì ricordare che la decisione quadro dovrebbe cercare di tutelare i diritti fondamentali dei cittadini.
(1 bis.)
La prevenzione è la prima priorità allorché si tratta di rafforzare la sicurezza nelle nostre reti d'informazione. A tal fine è importante promuovere una cultura della sicurezza tra i cittadini, le aziende, le autorità, le scuole ed altre istituzioni, in breve tra tutti coloro che partecipano o parteciperanno alla società dell'informazione, consistente in campagne di educazione, valutazione del rischio, appello alla responsabilità personale di tutti coloro che entrano in una rete d'informazione, adozione di misure preventive e giusta risposta agli attacchi ai sistemi di informazione.
g) l'espressione "senza diritto" significa che la condotta delle persone autorizzate o altre condotte riconosciute lecite dalla legislazione nazionale sono escluse.
g) "senza diritto": agisce senza diritto colui che non ha alcun diritto o alcuna giustificazione per procurarsi accesso a sistemi d'informazione o esercitare condotte contro sistemi d'informazione ai sensi della presente decisione quadro.
La definizione non è molto chiara. Inoltre, l'applicabilità delle disposizioni penali può essere aggirata dalla legalizzazione di determinate condotte. Infine, mentre condotte con rilevanza penale possono essere in sé ingiustificate, la condotta nel suo insieme può essere giustificata.
Gli Stati membri provvedono a che l'accesso intenzionale, senza diritto, ad un sistema di informazione o ad una parte dello stesso sia punito come reato qualora sia commesso:
i) nei confronti di una qualsiasi parte di un sistema di informazione sottoposto a misure di protezione specifiche; o
ii) con l'intento di cagionare danni ad una persona fisica o giuridica; o
Gli Stati membri provvedono a che l'accesso intenzionale illecito ad un sistema di informazione o ad una parte dello stesso sia punito come reato, qualora sia commesso:
i) nei confronti di una qualsiasi parte di un sistema di informazione sottoposto a misure adeguate di protezione specifiche basate sulla garanzia di diritti e interessi legittimi; o
ii) con l'intento di cagionare danni ai diritti e interessi legittimi di una persona fisica o giuridica; o
L'obbligo di considerare reato l'accesso senza diritto ai sistemi di informazione non va esteso a comportamenti di scarsa o nessuna rilevanza (che non sarebbero puniti se realizzati nel mondo "off line", cioè senza ricorrere alle nuove tecnologie) o comportamenti assimilabili alla legittima difesa o alla disobbedienza civile nei confronti di sistemi utilizzati in violazione di libertà e diritti fondamentali. Il principio di sussidiarietà impone di evitare il rischio di una sovra-criminalizzazione vincolante a livello europeo.
Articolo 3 iii)
iii) con l'intento di procurare un vantaggio economico
Il solo fatto che l'autore ha l'intenzione di procurarsi un vantaggio economico non configura in quanto tale una fattispecie criminosa al di là del fatto stesso. La formulazione è inoltre troppo vaga: a chi o per chi si dovrebbe procurare un vantaggio economico?
2 bis. Gli Stati membri provvedono a che la determinazione dell'entità della pena tenga conto in modo proporzionato del grado di sicurezza o delle misure di prevenzione adottate dalla vittima.
Il livello delle misure di prevenzione adottate per la sicurezza del sistema di informazione di un organismo (azienda, istituzione, cittadino) deve essere preso in considerazione ai fini della determinazione dell'entità della pena. Ad esempio, il proprietario di un sistema d'informazione adotta, in funzione della vitalità del suo sistema, misure preventive graduate in fasi di potenza crescente, le quali dovrebbero anche dare, in quanto tali, un segnale negativo agli intrusi.
Articolo 7, paragrafo 1, punti b) e c)
b) il reato ha cagionato, o ha dato origine a perdite economiche ingenti dirette o indirette, un danno corporale ad una persona fisica o un danno rilevante ad una parte dell'infrastruttura critica dello Stato membro;
c) il reato ha procurato proventi elevati.
b) il reato ha cagionato, o ha dato origine a un danno corporale ad una persona fisica o un danno rilevante ad una parte dell'infrastruttura critica dello Stato membro;
Il principio per il quale un reato che provochi perdite economiche ingenti o proventi elevati si configuri come reato distinto (passibile di pene fino a 4 volte più severe) costituirebbe un'innovazione assoluta in diritto penale. Un'innovazione tanto più pericolosa quanto più discriminatoria nei confronti delle condizioni economiche di chi commette un reato e di chi lo subisce. Altra cosa sono i danni da risarcire, evidentemente collegati al danno economico subito e al profitto procurato.
Articolo 10, paragrafo 1, punto a)
a) misure di esclusione dal godimento di un beneficio o aiuto pubblico,
Un giudice penale solitamente non può comminare questo tipo di sanzioni, che sono esclusivo appannaggio del giudice amministrativo.
c) a beneficio di una persona giuridica che ha la sua sede principale nel territorio dello Stato membro stesso.
c) a beneficio di una persona giuridica che ha la sua sede principale o succursale nel territorio dello Stato membro stesso.
Sarebbe auspicabile includervi le succursali al fine di prevenire lacune penali.
1. GU C 203 E del 27.8.2002, pag. 109.
2. Raccomandazione del Consiglio del 25 giugno 2001 sui punti di contatto accessibili 24 ore al giorno ai fini della lotta contro la criminalità ad alta tecnologia. GU C 187 del 3.7.2001, pag. 5.
3. GU C 203 E, 27.8.02, pag. 109.

References: Articolo 2

Articolo 3

Articolo 4

Articolo 10

Articolo 11

Articolo 11

Articolo 11

Articolo 3

Articolo 7

Articolo 10