Testo dell'articoloVigente
Art. 57 D.Lgs. 259/2003 – Prestazioni obbligatorie
Codice delle comunicazioni elettroniche (D.Lgs. 1 agosto 2003, n. 259)
1. Sono obbligatorie per i soggetti autorizzati all’impianto ed esercizio di reti e servizi di comunicazione elettronica ad uso pubblico, nonché per gli operatori che erogano i servizi individuati dall’ articolo 3 del Decreto Legislativo 30 maggio 2008, n.109, per gli operatori di transito internazionale di traffico, le prestazioni effettuate a fronte di richieste di informazioni da parte delle competenti autorità giudiziarie e delle agenzie preposte alla sicurezza nazionale. I tempi ed i modi sono concordati con le predette Autorità. Fatto salvo quanto disposto dal decreto di cui al comma 6 in ordine alle richieste avanzate dalle autorità giudiziarie.
2. Sono obbligatorie per i soggetti autorizzati all’impianto ed esercizio di reti e servizi di comunicazione elettronica ad uso pubblico le prestazioni a fini di giustizia e di prevenzione di gravi reati effettuate a fronte di richieste di intercettazione da parte delle competenti autorità giudiziarie. I tempi ed i modi sono stabiliti dal decreto di cui al comma 6.
3. Sono sottratti dagli obblighi di cui ai commi 1 e 2 i soggetti autorizzati per comunicazioni da macchina a macchina – IoT (Internet-of-Things) e per servizi di Edge Computing, limitatamente alla fornitura di tali servizi e con esclusione dei casi in cui l’uso di tali servizi possa contribuire a fornire servizi di comunicazione interpersonale.
4. È obbligatorio per i soggetti autorizzati all’impianto ed esercizio di reti e servizi di comunicazione elettronica ad uso pubblico, ivi compresi gli operatori di transito internazionale di traffico, predisporre strumenti per il monitoraggio e il contrasto, anche in tempo reale, delle minacce cibernetiche e la pronta collaborazione a fronte di richieste di informazioni ed intervento a tutela della sicurezza nazionale da parte delle competenti autorità dello Stato. I tempi ed i modi sono concordati con le predette autorità.
5. Quando si rilevano eventi che possono incidere sulla sicurezza dei sistemi di informazione, gli operatori delle comunicazioni elettroniche informano immediatamente l’Agenzia per la cyber-sicurezza nazionale. L’Agenzia, quando sia a conoscenza di una minaccia che potrebbe incidere sulla sicurezza dei sistemi di informazione, al fine di prevenire la minaccia, ordina agli operatori di comunicazioni elettroniche che hanno predisposto gli strumenti previsti dal comma 4, l’attivazione degli strumenti di contrasto utilizzando, se del caso, marcatori tecnici indicati dalla stessa.
6. Il canone annuo forfettario per le prestazioni obbligatorie di cui ai commi da 1 a 4 è individuato con decreto del Ministro della giustizia e del Ministro delle imprese e del made in Italy, di concerto con il Ministro dell’economia e delle finanze. Il decreto: a) disciplina le tipologie di prestazioni obbligatorie e ne determina le tariffe, tenendo conto dell’evoluzione dei costi e dei servizi, in modo da conseguire un risparmio di spesa di almeno il 50 per cento rispetto alle tariffe praticate. Nella tariffa sono ricompresi i costi per tutti i servizi contemporaneamente attivati o utilizzati da ogni identità di rete; b) individua i soggetti tenuti alle prestazioni obbligatorie di intercettazione, anche tra i fornitori di servizi, le cui infrastrutture consentono l’accesso alla rete o la distribuzione dei contenuti informativi o comunicativi, e coloro che a qualunque titolo forniscono servizi di comunicazione elettronica o applicazioni, anche se utilizzabili attraverso reti di accesso o trasporto non proprie; c) definisce gli obblighi dei soggetti tenuti alle prestazioni obbligatorie e le modalità di esecuzione delle stesse, tra cui l’osservanza di procedure informatiche omogenee nella trasmissione e gestione delle comunicazioni di natura amministrativa, anche con riguardo alle fasi preliminari al pagamento delle medesime prestazioni.
7. In caso di inosservanza degli obblighi contenuti nel decreto di cui al comma 6, si applica l’articolo 32, commi 2, 3, 4, 5 e 6 e l’articolo 30, comma 16.
8. Ai fini dell’erogazione delle prestazioni di cui al comma 6 gli operatori hanno l’obbligo di negoziare tra loro le modalità di interconnessione, allo scopo di garantire la fornitura e l’interoperabilità delle prestazioni stesse. Il Ministero può intervenire se necessario di propria iniziativa ovvero, in mancanza di accordo tra gli operatori, su richiesta di uno di essi.
9. Nelle more dell’adozione del decreto di cui al comma 6 continuano a trovare applicazione le disposizioni vigenti, anche di natura regolamentare. articolo precedente articolo successivo
In sintesi
Indice dei contenuti
Le prestazioni obbligatorie: tra giustizia e sicurezza nazionale
L'articolo 57 del Codice delle comunicazioni elettroniche disciplina gli obblighi degli operatori di reti pubbliche verso le autorità dello Stato in materia di sicurezza, giustizia e contrasto alla criminalità. Si tratta di un articolo che tocca il cuore della tensione tra due valori fondamentali: la riservatezza delle comunicazioni, tutelata dall'art. 15 della Costituzione e dall'art. 8 della CEDU, e l'interesse dello Stato alla prevenzione dei reati, alle intercettazioni giudiziarie e alla sicurezza nazionale. Le prestazioni obbligatorie previste dalla norma sono il meccanismo tecnico-giuridico attraverso cui questa tensione viene gestita: la riservatezza delle comunicazioni è la regola; la sua compressione è l'eccezione, ammessa solo in forza di legge e a determinate condizioni.
Le tre categorie di prestazioni obbligatorie
Il comma 1 disciplina la prima categoria: la fornitura di informazioni alle autorità giudiziarie e alle agenzie di sicurezza nazionale. Gli operatori devono rispondere alle richieste di informazioni (dati identificativi degli intestatari di utenze, tabulati delle comunicazioni, localizzazioni) formulate da questi soggetti. I tempi e i modi sono concordati con le autorità, ma il decreto interministeriale di cui al comma 6 disciplina le regole operative. Il comma 2 riguarda la seconda categoria, più invasiva: le intercettazioni delle comunicazioni disposte dall'autorità giudiziaria nell'ambito di procedimenti penali per reati gravi. Gli operatori devono dotarsi delle infrastrutture tecniche (sistemi di lawful intercept) che consentano di eseguire le intercettazioni ordinate dai giudici, e devono eseguirle nei tempi e con le modalità stabilite dal decreto interministeriale. Il comma 4 introduce la terza categoria: la predisposizione di strumenti per il monitoraggio e il contrasto delle minacce cibernetiche in tempo reale, e la collaborazione con le autorità di sicurezza nazionale. Questa categoria è di più recente introduzione e riflette l'evoluzione del panorama della sicurezza nazionale verso la dimensione cyber.
L'esonero per gli operatori IoT e di Edge Computing
Il comma 3 introduce una limitazione del campo di applicazione degli obblighi di intercettazione: i soggetti autorizzati per comunicazioni da macchina a macchina (IoT) e per servizi di Edge Computing sono sottratti dagli obblighi dei commi 1 e 2, ma limitatamente alla fornitura di quei servizi specifici. L'eccezione non si applica quando quei servizi «possano contribuire a fornire servizi di comunicazione interpersonale»: un operatore IoT che offra anche funzionalità di chat o messaggistica non può invocare l'esonero per quella parte del servizio. La ratio dell'esonero è tecnica: le comunicazioni IoT tipiche (sensori, contatori intelligenti, veicoli connessi) non veicolano comunicazioni interpersonali significative da intercettare, e obbligare tutti gli operatori IoT a dotarsi di sistemi di lawful intercept sarebbe sproporzionato rispetto all'obiettivo di sicurezza.
Il ruolo dell'ACN nella cybersicurezza
Il comma 5 introduce un meccanismo di risposta rapida alle minacce cyber: gli operatori che rilevano eventi potenzialmente dannosi per la sicurezza dei sistemi di informazione devono informare immediatamente l'Agenzia per la Cybersicurezza Nazionale (ACN). A sua volta, quando l'ACN è a conoscenza di una minaccia, può ordinare agli operatori l'attivazione degli strumenti di contrasto usando, se del caso, «marcatori tecnici» indicati dall'Agenzia stessa. I marcatori tecnici sono identificatori informatici che consentono di rilevare e bloccare specifici tipi di traffico malevolo nelle reti degli operatori. Questo meccanismo consente una risposta coordinata e tempestiva a minacce sistemiche (come i grandi attacchi DDoS o le campagne di malware) che richiedono l'intervento simultaneo di più operatori sotto la supervisione dell'ACN.
Il regime economico delle prestazioni obbligatorie
Il comma 6 disciplina il regime economico: gli operatori non svolgono gratuitamente le prestazioni obbligatorie, ma ricevono un canone annuo forfettario stabilito con decreto interministeriale (Ministero della Giustizia e MIMIT, di concerto con il MEF). Il decreto deve conseguire un risparmio di spesa di almeno il 50% rispetto alle tariffe precedenti: una direttiva di contenimento dei costi pubblici che ha significativi impatti sulle tariffe applicate. Le tariffe includono tutti i servizi contemporaneamente attivati per ogni identità di rete. Il decreto individua anche i soggetti tenuti alle prestazioni, inclusi «fornitori di servizi le cui infrastrutture consentono l'accesso alla rete o la distribuzione dei contenuti informativi» e «chiunque a qualsiasi titolo fornisca servizi di comunicazione elettronica o applicazioni anche se utilizzabili attraverso reti di accesso non proprie»: una formulazione ampia che mira a includere anche i cosiddetti OTT (over-the-top providers) che forniscono servizi di messaggistica attraverso infrastrutture altrui.
Casi pratici
Caso 1: Richiesta di tabulati telefonici da parte del PM
Il pubblico ministero, nell'ambito di un procedimento per associazione per delinquere, chiede all'operatore Alfa S.p.A. i tabulati delle comunicazioni di un'utenza sospettata, con i relativi dati di localizzazione per un periodo di sei mesi. L'operatore è obbligato a fornire le informazioni ai sensi dell'art. 57, comma 1. I tempi sono concordati con l'autorità giudiziaria sulla base delle regole del decreto interministeriale vigente. Alfa estrae i dati dal proprio sistema di conservazione, li formatta nel formato standard previsto e li trasmette nei termini concordati. Il canone per la prestazione è addebitato secondo le tariffe del decreto interministeriale.
Caso 2: Ordine di intercettazione e infrastruttura di lawful intercept
Il giudice per le indagini preliminari emette un decreto di intercettazione telefonica nei confronti di Tizio, utente dell'operatore Beta. Beta ha predisposto l'infrastruttura tecnica di lawful intercept ai sensi dell'art. 57, comma 2. L'intercettazione viene attivata entro il termine previsto dal decreto interministeriale; i flussi audio vengono consegnati in tempo reale alle sale di ascolto della Procura. Al termine del periodo di intercettazione, Beta invia la fattura alla Procura per il canone forfettario stabilito dal decreto ministeriale. L'operatore non può opporre difficoltà tecniche o commerciali per ritardare l'esecuzione dell'intercettazione: l'obbligo è assoluto per i soggetti autorizzati.
Caso 3: Segnalazione di un attacco DDoS all'ACN e risposta con marcatori tecnici
L'operatore Gamma rileva nei propri sistemi di monitoraggio un anomalo volume di traffico proveniente da migliaia di IP distribuiti in tutto il mondo, compatibile con un attacco DDoS diretto verso infrastrutture critiche italiane. Ai sensi dell'art. 57, comma 5, Gamma informa immediatamente l'ACN. L'ACN, verificata la minaccia e la sua estensione, ordina a Gamma e ad altri operatori interconnessi l'attivazione degli strumenti di contrasto, indicando specifici marcatori tecnici (indirizzi IP sorgente, pattern di traffico) da bloccare nelle proprie reti. Gli operatori attivano i filtri entro pochi minuti, riducendo il traffico malevolo e proteggendo le infrastrutture target.
Domande frequenti
Tutti gli operatori di telecomunicazioni devono eseguire le intercettazioni?
Tutti gli operatori di reti e servizi di comunicazione elettronica ad uso pubblico sono obbligati. Sono esonerati - limitatamente ai loro servizi specifici - i soggetti autorizzati solo per comunicazioni IoT e Edge Computing, purché quei servizi non possano contribuire a fornire comunicazioni interpersonali. Gli operatori OTT che forniscono messaggistica o telefonia via internet sono inclusi nel campo di applicazione del decreto interministeriale ex art. 57, comma 6.
Gli operatori vengono pagati per le intercettazioni che eseguono per la magistratura?
Sì. L'art. 57, comma 6, prevede un canone annuo forfettario stabilito con decreto interministeriale (Giustizia e MIMIT, con il MEF). Il decreto deve garantire un risparmio di almeno il 50% rispetto alle tariffe precedenti. Il canone remunera sia le prestazioni di fornitura di informazioni sia quelle di intercettazione.
Cosa deve fare un operatore se scopre un attacco informatico alla rete?
Deve segnalare immediatamente l'evento all'Agenzia per la Cybersicurezza Nazionale (ACN), ai sensi dell'art. 57, comma 5. L'ACN può poi ordinare all'operatore di attivare strumenti di contrasto specifici, anche mediante marcatori tecnici da essa indicati. L'operatore deve eseguire l'ordine dell'ACN nei tempi concordati con le autorità.
L'operatore IoT deve installare sistemi di intercettazione legale?
In linea di principio no, se fornisce esclusivamente servizi IoT puri (sensori, contatori, veicoli connessi senza funzioni di comunicazione interpersonale). L'art. 57, comma 3, esenta questi soggetti dagli obblighi di intercettazione. Tuttavia, se il servizio IoT può essere utilizzato anche per comunicazioni interpersonali (ad esempio, una piattaforma di monitoraggio industriale con funzionalità di chat), l'esonero non si applica a quella componente del servizio.