Francesco Paolo Micozzi è un giovane penalista cagliaritano che si occupa, tra l’altro, di diritto dell’informatica e delle nuove tecnologie, privacy e diritto d’autore. Sul suo blog si definisce «sostenitore del software libero e curioso osservatore dei fenomeni giuridici che attorno ad esso si sviluppano».
È stato lui, assieme al collega Giovanni Battista Gallus, ad assumere la difesa di Gottfrid Svartholm, Fredrik Neij e Peter Sunde, i giovani informatici svedesi fondatori di The Pirate Bay, quando il loro sito web per l’indicizzazione dei file torrent (utilizzati per scaricare dalla rete film, musica e video, ndr) era stato “oscurato” nel nostro paese per decisione del tribunale di Bergamo. Il prossimo 1° ottobre, assieme ad altri colleghi giuristi italiani, sarà relatore della Digital Forensics and Security Conference 2011, in programma nella Capitale all’Hotel Sheraton.
Dopo i recenti avvenimenti relativi agli Anonimi di casa nostra parliamo con lui della situazione attuale italiana e delle motivazioni e degli “ideali” alla base del cosiddetto hacking etico. Ed è così che a Linkiesta l’avvocato Micozzi presenta una nuova chiave di lettura del fenomeno-hacktivism, affrontando anche il delicato tema dell’apparato legislativo nazionale in materia, e dei possibili (o per lo meno auspicabili) sviluppi futuri. «Purtroppo – ci dice – con la spettacolarizzazione delle vicende giudiziarie l’opinione pubblica tende a dimenticare troppo spesso il principio secondo cui l’imputato deve essere considerato innocente sino all’eventuale sentenza definitiva di condanna».
Gli chiediamo se può citare alcune delle cause principali nell’ambito del diritto dell’informatica e nuove tecnologie in cui si è trovato ad operare in qualità di avvocato difensore. «Mi scuserà, ma preferisco non fare un elenco delle cause da me trattate. Posso solo dire che il diritto dell’informatica e delle nuove tecnologie è una materia che stimola interessanti riflessioni. Oltretutto, se si considera il recente avvento delle nuove tecnologie nella vita quotidiana di tutti noi, l’interesse per questa materia è, per quanto mi riguarda, amplificato dal fatto che non abbiamo ancora un’imponente stratificazione giurisprudenziale in materia».
Avvocato Micozzi, cosa l’ha spinta ad approfondire questa branca del diritto penale?
«La passione per l’informatica mi accompagna sin da quando ero praticamente un bambino. Nei primi anni ’80, con l’avvento dei cosiddetti “home computer”, facevo i primi passi nella programmazione e trovavo una fortissima attrazione per il mondo dei bit e, in seguito, della sicurezza informatica. Quando alla passione per l’informatica si unisce una laurea in giurisprudenza e la professione da avvocato, il passo verso l’approfondimento e la commistione delle due materie è breve. Non si deve far altro che unire le due passioni, curarle entrambe e tenersi costantemente aggiornati».
Come spiegherebbe la differenza tra cybercrimine e hacktivism?
«Sono due termini che vengono spesso confusi e ritenuti sinonimi. In realtà potremmo rappresentarli come due cerchi parzialmente sovrapposti. Possiamo avere, da un lato, crimini informatici ispirati o meno dallo spirito hacktivist e, dall’altro, azioni di hacktivism che non ricadono nel concetto di cybercrime.
Con il termine cybercrime si intendono, in genere, tutti i reati commessi attraverso l’utilizzo del mezzo informatico. In questa grande categoria si individuano in primo luogo i reati che possono essere realizzati unicamente attraverso il mezzo informatico o telematico (pensiamo ad esempio ad un accesso abusivo a sistema informatico) e, in secondo luogo, i reati tradizionali commessi – incidentalmente – con il mezzo informatico (pensiamo, in questo caso, ad una diffamazione commessa attraverso Facebook). Cybercrime è, quindi, quell’attività che ha una rilevanza penale e che espone, chi la realizza, ad un processo penale e, eventualmente, ad una sanzione detentiva o pecuniaria.
Il termine hacktivism, invece, nasce dalla commistione dei termini “hacking” e “activism” e indica tutte quelle forme di attivismo digitale, di campagne d’informazione, di manifestazioni artistiche, di proteste on-line, di disobbedienza civile e, in genere, di mobilitazione digitale affiancata dall’uso delle nuove tecnologie. Per gli “Hacktivisti” l’informatica e la telematica, in tutte le loro forme di manifestazione, sono solo il mezzo per attirare l’attenzione del pubblico su un determinato interesse di cui sono portatori. Spesso, come già detto, vengono adoperati a tal fine anche quelle iniziative che possono essere inquadrate nel genere di crimini informatici».
C’è anche una certa confusione nella definizione di “hacker”…
«Sì, un altro errore che si commette comunemente è quello di ritenere che l’attività degli hacker consista nel porre in essere crimini informatici. Il termine hacking ha ormai assunto una connotazione negativa per la stragrande maggioranza dei mass-media. In realtà l’hacking può rappresentare un’attività del tutto lecita. L’hacking, infatti, nasce come divertimento goliardico, come studio delle possibilità offerte dalle nuove tecnologie in genere, come curiosità inventiva, come sfida intellettuale e soprattutto come conoscenza profonda degli strumenti informatici (siano essi software o hardware).Tuttavia, così come un chimico può utilizzare le proprie conoscenze per scoprire un nuovo elemento o per avvelenare una persona, allo stesso modo un hacker può usare il proprio sapere per correggere i bug di un determinato software o per accedere al conto corrente di una persona. Dire, quindi, che un hacker è un criminale informatico è come dire che un chimico è un avvelenatore».
Esiste davvero la figura dell’ethical hacker, ovvero l’hacker “etico”? Chi è, o chi dovrebbe essere?
«L’ethical hacker esiste, ma non è definito. E’ una figura in continuo cambiamento che è influenzata, com’è normale, dal susseguirsi degli eventi storici. E non si può dire neppure che al termine “ethical hacker” possa essere conferito un unico significato.
In genere, però, l’ethical hacker è chi “agisce a fin di bene” pur quando vengono poste in essere condotte che per l’ordinamento penale costituiscono reato. Pensiamo, ad esempio, a chi si introduca in un sistema informatico altrui sfruttando una falla del sistema, spinto unicamente dal desiderio di vincere una “sfida” personale, di dimostrare di essere in grado di farlo. Ciò senza danneggiare il sistema, né cancellarne i file, senza appropriarsi delle informazioni in esso contenute per poi divulgarle e, alla fine, consegnare al titolare del sistema violato le informazioni utili ad impedire che altri possano accedere sfruttando la medesima “falla del sistema”. Ciò non significa che l’hacker etico non abbia, nel caso appena esposto, commesso il reato di accesso abusivo a sistema informatico. E ciò a prescindere dal fatto che il titolare del sistema violato si determini, considerato che nessun danno è stato arrecato al sistema, a sporgere querela nei confronti dell’hacker. Il reato non aggravato di accesso abusivo a sistema informatico o telematico, infatti, previsto dal nostro codice penale al primo comma dell’art. 615-ter, è procedibile a querela di parte».
Oggi, nella mentalità della maggior parte degli italiani, la parola “hacker” è indissolubilmente legata al concetto di crimine informatico. A cosa si deve secondo lei questa concezione del fenomeno?
«Essenzialmente ad una cattiva informazione tesa al sensazionalismo. Bisogna evidenziare che il termine hacker è passato dal significato di nerd, smanettone, “secchione informatico” a quello di “pericoloso criminale informatico” e comunque ad un accezione negativa, nel preciso periodo storico in cui Internet ha avuto la sua più grande diffusione, ossia verso gli inizi degli anni ’90. E’ proprio nel 1993 che, anche in Italia, con la legge n. 547 vengono apportate le prime modifiche al nostro codice penale con l’introduzione di reati quali l’accesso abusivo a sistema informatico o telematico, la detenzione o diffusione abusiva di codici di accesso, il danneggiamento dei sistemi informatici e telematici, la diffusione di virus informatici e malware in genere, la frode informatica e così via».
In questi ultimi mesi hanno tenuto banco le azioni eclatanti di gruppi e movimenti come Anonymous e LulzSecurity. Sui media questo braccio di ferro tra cyberattivisti e forze dell’ordine ha più di una volta assunto i contorni di una caccia alle streghe. Cosa ne pensa?
«Nelle società civili è normale che ad una denuncia di reato seguano delle indagini e, quindi, un processo. E’ solo all’esito di quest’ultimo che può individuarsi una responsabilità e non certo nella prima fase delle indagini».
Come conciliare, in Italia, la tutela del diritto d’autore e le legittime aspirazioni ad un web libero e accessibile a tutti?
«Direi che questa è la domanda “da un milione di dollari”. In questi ultimi anni, per contrastare il fenomeno della “pirateria” ci si è concentrati più sull’aumento delle sanzioni che sulla ricerca di nuovi modelli di marketing e di sfruttamento dei diritti d’autore. Il rischio, di questo passo, è di creare uno sbilanciamento tra gli interessi tutelati, ossia quello della libertà personale e quello della tutela del diritto d’autore. La soluzione dovrebbe ricercarsi nei nuovi modelli di sfruttamento dei diritti d’autore e nella rimodulazione del sistema basato sugli intermediari per lo sfruttamento del diritto d’autore».
Ritiene che la legislazione nazionale affronti con la necessaria dovizia il tema dei reati informatici?
«Il codice penale Italiano, ed anche il codice di procedura penale, hanno subito una recente modifica in tema di reati informatici ad opera della legge 48/2008 con la quale si è recepita la Convenzione di Budapest del 2001 sui cybercrimes. Possiamo dire, quindi, che abbiamo un sistema normativo sanzionatorio in linea con quello di tanti altri Ordinamenti.
Le difficoltà che il Legislatore italiano si trova di fronte quando debba incidere sulla materia dei crimini informatici è dovuta alla necessità di creare norme in grado di stare al passo con l’innovazione tecnologica ed informatica e, allo stesso tempo, rispettare il principio di legalità in base al quale, ad esempio, le norme devono essere improntate al principio di determinatezza. Le norme penali, infatti, devono contenere dei precetti che abbiano un contenuto ben definito al fine di impedire l’estensione della punibilità anche ad ipotesi non espressamente previste dalla norma».
Cosa, a suo parere, dovrebbe essere modificato, approfondito o soppresso?
«Tra le modifiche ipotizzabili si potrebbe pensare all’introduzione nel codice penale, analogamente a quanto accade nel procedimento penale a carico dei minorenni, della causa di non punibilità per irrilevanza del fatto per le ipotesi di reato in cui vi sia una minima offensività all’interesse protetto. In questo modo si escluderebbe l’intervento della sanzione penale per le ipotesi di reato cosiddette “bagatellari”».