Password e custodia

Aggiornato il 7 novembre 2022

Una persona è stata arrestata per possesso di droga. Mentre era sotto la custodia della polizia, ha ha rifiutato di dare agli investigatori i codici per sbloccare due telefoni che potrebbero essere stati usati nel traffico di droga..

Questa persona, che è stata perseguita davanti a un tribunale penale, non è stata condannata per essersi rifiutata di fornire i codici di sblocco del suo telefono; è stata assolta.

Le password e le convenzioni di crittografia consentono di proteggere i dati, e la loro divulgazione imposta dalle autorità può mettere a rischio la libertà individuale e la democrazia, ma anche consentire la repressione del crimine.

Il Consiglio Costituzionale, sul QPC in cui interviene la Quadrature du Net, stabilisce che l'incriminazione del rifiuto di comunicare una password non è contraria alla Costituzione.

L'articolo 434-15-2 del Codice Penale, nella sua formulazione risultante dalla legge del 3 giugno 2016, prevede:

"È punito con tre anni di reclusione e una multa di 270.000 euro chiunque sia a conoscenza dell'accordo segreto di decodifica di un mezzo di crittologia che potrebbe essere stato utilizzato per preparare, facilitare o commettere un crimine o un delitto, se rifiuta di consegnare tale accordo alle autorità giudiziarie o di darvi attuazione, su richiesta di tali autorità emessa ai sensi dei Titoli II e III del Libro 1 del Codice di Procedura Penale.

"Se il rifiuto avviene quando la consegna o l'attuazione dell'accordo avrebbe permesso di evitare la commissione di un crimine o di un reato o di limitarne gli effetti, la pena è aumentata a cinque anni di reclusione e una multa di 450.000 euro.

L'articolo 29, paragrafo 1, della legge del 2004 sulla fiducia nell'economia digitale (iloi n° 2004-575 del 21 giugno 2004 per la fiducia nell'economia digitale) prevede :

Per crittografia si intende qualsiasi hardware o software progettato o modificato per trasformare i dati, utilizzando convenzioni segrete o per eseguire l'operazione inversa con o senza convenzioni segrete. Lo scopo principale di questi mezzi crittografici è quello di garantire la sicurezza dell'archiviazione o della trasmissione dei dati, rendendo possibile la loro riservatezza, l'autenticazione o il controllo della loro integrità.

Il Consiglio ha dato una lettura classica del testo, cioè rigorosa, in applicazione del principio secondo cui il diritto penale deve essere interpretato in modo rigoroso, e ha dedotto la costituzionalità della disposizione (in questo caso il paragrafo 1 dell'articolo, l'unico a cui si fa riferimento).

L'accusa dovrà caratterizzare la persona sospettata:

- conoscenza della password o dell'accordo (la persona richiesta è quella che conosce effettivamente la password, e non solo quella che si suppone la conosca, o che potrebbe, o dovrebbe, conoscerla... gli intermediari tecnici come le aziende che si affidano alle loro macchine per gestire e accedere alle password potrebbero giustificare il loro rifiuto opponendo l'assenza di qualsiasi corpo fisico (essere umano) che abbia accesso all'accordo segreto) ;

- la probabilità che il dispositivo crittografico sia stato usato per scopi criminali o delinquenziali.

Le autorità giudiziarie a cui si fa riferimento sono quelle coinvolte nell'indagine preliminare o in flagranza di reato o nell'inchiesta (Titoli II e III del Libro I del Codice di Procedura Penale). La richiesta deve rispettare alcune formalità (notifica ufficiale delle conseguenze di un rifiuto).

Decisione 2018-696 del Consiglio Costituzionale del 30 marzo 2018.

Una semplice richiesta di comunicazione di una password da parte di un investigatore di polizia non sembra quindi qualificare i fatti. E il rifiuto di comunicare il codice di blocco, un "PIN" (per Personal Identification Number) non è un rifiuto di comunicare una convenzione di crittografia. In questo senso, inoltre, Parigi 16 aprile 2019, n°19/09267.

Convenzionalità. La Corte di Cassazione ha stabilito che il reato di rifiuto di consegnare un accordo segreto di decrittazione criptologica non viola di per sé il diritto di rimanere in silenzio e di non incriminarsi ai sensi dell'Articolo 6 della Convenzione Europea sui Diritti Umani (Cass. crim., 10 dic. 2019, n° 18-86.878)

La Corte di Cassazione indica che il rifiuto di consegnare il PIN può essere equivalente al rifiuto di consegnare l'accordo di decriptazione (Crim.13 Ott.2020, n°20-80150).

Si tratta di distinguere tra il codice che consente l'accesso a un terminale (computer, telefono, server, carta SIM, ecc.) e la chiave che permette di decifrare i dati o i metadati memorizzati o in circolazione.

In alcuni casi, i PIN o altri codici segreti e le password non impediscono l'accesso ai dati, in altri sì; la giurisprudenza è quindi esitante (CA Parigi 16 aprile 2019, 18-09.267 ; Cass. crim., 13 ott. 2020, n° 20-80.150 ; Cass. crim., 13 ott. 2020, n. 19-85.984).

Nella sentenza del 7 novembre 2022, la Corte di Cassazione, assemblea plenaria, ricorso n. K 2183.146, afferma nel suo comunicato stampa:

A " mezzi di crittologia Lo scopo della "crittografia" è quello di rendere incomprensibili le informazioni, al fine di proteggerne l'archiviazione o la trasmissione. A " convenzione di decodifica segreta "Questo permette di rendere chiare le informazioni criptate. Quando un telefono cellulare è dotato di un sistema " mezzi di crittologia ", il codice di sblocco per la sua schermata iniziale può essere una "buona pratica". chiave di decodifica "Questo codice deve essere utilizzato se l'attivazione del codice comporta il rilascio di dati crittografati contenuti o accessibili dal dispositivo. Pertanto, se un telefono cellulare con queste caratteristiche tecniche - come è il caso della maggior parte dei telefoni cellulari oggi - è probabile che sia stato utilizzato per la preparazione o la commissione di un crimine o di un reato, il titolare, che sarà stato informato delle conseguenze penali del rifiuto, è tenuto a fornire agli investigatori il codice per sbloccare la schermata iniziale. Se si rifiuta di comunicare questo codice, commette il reato di "rifiuto di consegnare un accordo segreto di decodifica ". Pertanto, in questo caso, la decisione della Corte d'Appello viene annullata e viene nominata un'altra Corte d'Appello per riesaminare il caso.

Controllo dell'accesso ai dati degli operatori telefonici

custodia e password

Invia commento