Intercettazioni e cifratura: Wiretap Act e CALEA

Due leggi, due domande diverse

Il Wiretap Act (legge sulle intercettazioni), 18 U.S.C. §§ 2510–2523, nato nel 1968 come titolo III di una legge sulla criminalità e per questo chiamato anche Title III, risponde alla domanda quando lo Stato può intercettare: chi autorizza, con quali prove, per quanto tempo. Il Communications Assistance for Law Enforcement Act (legge sull'assistenza alle forze dell'ordine nelle comunicazioni), per tutti CALEA, 47 U.S.C. §§ 1001–1010, del 1994, risponde a una domanda tecnica: come devono essere costruite le reti perché un'intercettazione autorizzata sia possibile.

Qui si parla di indagini penali e di legge federale. Le intercettazioni di intelligence straniera seguono il Foreign Intelligence Surveillance Act del 1978 (FISA); anche 44 Stati hanno leggi proprie sulle intercettazioni.

Che cosa vieta il Wiretap Act

La legge punisce chi intenzionalmente intercetta, tenta di intercettare o fa intercettare da altri una comunicazione via filo, orale o elettronica, fuori dai casi che essa stessa consente (18 U.S.C. § 2511(1)(a)); la pena arriva a cinque anni di reclusione (§ 2511(4)(a)). Per intercept (intercettare) si intende l'acquisizione del contenuto di una comunicazione per mezzo di un dispositivo elettronico, meccanico o di altro tipo (§ 2510(4)). La electronic communication (comunicazione elettronica) è qualsiasi trasmissione di scritti, immagini, suoni o dati per filo, radio o sistemi simili, salvo poche eccezioni (§ 2510(12)).

Per chi non agisce come pubblico ufficiale, la legge federale non vieta di intercettare una comunicazione di cui si è parte, o con il consenso preventivo di una delle parti, salvo che lo scopo sia commettere un reato o un illecito (§ 2511(2)(d)).

Come si ottiene un ordine di intercettazione

1. L'autorizzazione interna. Per intercettare telefonate o conversazioni, la domanda federale deve essere autorizzata dall'Attorney General (il ministro della Giustizia) o da uno degli alti funzionari del Dipartimento della Giustizia indicati dalla legge, e solo per i reati di un lungo elenco (§ 2516(1)). Per le sole comunicazioni elettroniche basta l'autorizzazione di un procuratore federale, per qualsiasi federal felony (reato federale grave) (§ 2516(3)).
2. La domanda al giudice. È scritta e giurata; descrive reato, utenze, tipo di comunicazioni e persona, e spiega se altri metodi di indagine sono falliti o perché appaiono inutili o troppo pericolosi (§ 2518(1)).
3. Le condizioni. Il giudice autorizza solo se c'è probable cause (fondato motivo) di ritenere che una persona stia commettendo, abbia commesso o stia per commettere uno dei reati previsti, che l'intercettazione raccoglierà comunicazioni su quel reato e che i normali strumenti di indagine non bastino (§ 2518(3)).
4. La durata. Non più del necessario e comunque non oltre trenta giorni; le proroghe seguono la stessa procedura e durano anch'esse al massimo trenta giorni. L'ascolto va condotto in modo da ridurre al minimo la captazione di comunicazioni estranee (minimization, minimizzazione) (§ 2518(5)).
5. L'urgenza. In alcune emergenze (pericolo immediato di morte o lesioni gravi, sicurezza nazionale, criminalità organizzata) si può cominciare prima dell'ordine, chiedendolo entro 48 ore (§ 2518(7)).

Se l'intercettazione di una telefonata o di una conversazione è illegittima, chi la subisce può chiedere di escluderne il contenuto come prova (§ 2518(10)(a)). Per le comunicazioni elettroniche, fuori dalle violazioni costituzionali, valgono solo i rimedi previsti dal capitolo stesso (§ 2518(10)(c)).

L'operatore deve collaborare

L'ordine può imporre al fornitore del servizio di comunicazione (e a chiunque altro) di fornire subito «all information, facilities, and technical assistance necessary to accomplish the interception unobtrusively» (tutte le informazioni, le strutture e l'assistenza tecnica necessarie per eseguire l'intercettazione in modo discreto); chi collabora ha diritto al rimborso delle spese ragionevoli (§ 2518(4)). Il § 2518(4) non parla di cifratura.

Il CALEA: reti costruite per essere intercettate

Il CALEA (Pub. L. 103-414, 25 ottobre 1994) obbliga ogni telecommunications carrier (operatore di telecomunicazioni) a fare in modo che i propri impianti e servizi siano in grado di isolare e consegnare al governo, su ordine del giudice o altra autorizzazione legittima, le comunicazioni di un abbonato mentre avvengono, insieme alle call-identifying information: i dati che identificano origine, direzione, destinazione e termine di ogni comunicazione. Tutto in modo discreto e senza toccare le comunicazioni che non sono oggetto dell'ordine (47 U.S.C. §§ 1001(2), 1002(a)).

La stessa norma pone tre limiti.

• Nessun progetto imposto. La legge non autorizza le autorità a imporre un design specifico di apparecchi, servizi o funzioni, né a vietare l'adozione di un apparecchio, di un servizio o di una funzione (§ 1002(b)(1)).
• Esclusi i servizi di informazione. Gli obblighi non si applicano agli information services (servizi di informazione) né alle reti private (§ 1002(b)(2)). La definizione di servizi di informazione include espressamente gli electronic messaging services, cioè i servizi software che permettono di scambiare dati, immagini, suoni o testi tra dispositivi controllati da mittenti e destinatari (§ 1001(4) e (6)); chi offre servizi di informazione, per quella parte di attività, non è un operatore di telecomunicazioni (§ 1001(8)(C)(i)).
• La cifratura. È il limite più citato, e conviene leggerlo nelle parole della legge.

«A telecommunications carrier shall not be responsible for decrypting, or ensuring the government’s ability to decrypt, any communication encrypted by a subscriber or customer, unless the encryption was provided by the carrier and the carrier possesses the information necessary to decrypt the communication.»

In italiano: l'operatore non è tenuto a decifrare, né a garantire che il governo possa decifrare, una comunicazione cifrata dall'abbonato o dal cliente, a meno che la cifratura sia stata fornita dall'operatore e l'operatore abbia le informazioni necessarie per decifrarla (47 U.S.C. § 1002(b)(3)). Le due condizioni sono cumulative: se ne manca una, l'obbligo di decifrare non c'è.

Nella dichiarazione congiunta al Senato dell'8 luglio 2015 il Dipartimento della Giustizia e l'FBI hanno ricordato che la Federal Communications Commission (FCC) ha esteso il CALEA alla banda larga fornita con infrastrutture proprie e al VoIP interconnesso con la rete telefonica, e che la legge non copre email, messaggistica, social network e servizi peer-to-peer.

Che cosa significa per le app cifrate end-to-end

Con la cifratura end-to-end (da un capo all'altro della comunicazione) la chiave per decifrare resta, come scrivevano il Dipartimento della Giustizia e l'FBI nel 2015, «solely in the hands of the end user» (soltanto nelle mani dell'utente). Mettendo insieme le norme viste sopra si ottiene questo quadro.

• L'operatore telefonico o il fornitore di accesso a Internet trasporta dati che non ha cifrato e che non sa decifrare: il § 1002(b)(3) lo esonera dal decifrarli. L'intercettazione sulla sua rete resta possibile, ma raccoglie il flusso cifrato: è il caso che il rapporto annuale sulle intercettazioni registra come cifratura incontrata e testo in chiaro non ottenuto.
• Chi gestisce l'app offre un servizio di messaggistica elettronica, escluso dagli obblighi del CALEA (§§ 1001(6), 1002(b)(2)); resta il dovere di assistenza tecnica che l'ordine del giudice può imporre (§ 2518(4)). Sul tema dell'assistenza forzata vedi anche Apple contro FBI: l'All Writs Act.
• Il telefono, dove i messaggi si leggono in chiaro, è un'altra questione: vedi Riley e Carpenter e la password.

I numeri: quante intercettazioni incontrano la cifratura

La legge chiede ai procuratori di riferire ogni anno, per ciascun ordine, se hanno incontrato la cifratura e se questa ha impedito di ottenere il testo in chiaro delle comunicazioni intercettate (18 U.S.C. § 2519(2)(b)(iv)). I dati confluiscono nel Wiretap Report, che l'ufficio amministrativo delle corti federali trasmette al Congresso ogni giugno (§ 2519(3)).

I dati vengono dai rapporti dei procuratori (§ 2519(2)), e per 249 intercettazioni federali e 80 statali autorizzate nel 2025 quei rapporti mancavano ancora. Dicono quanto spesso compare la cifratura, non come sono finite le indagini.

Il dibattito sul going dark

Le autorità americane chiamano questo problema going dark (letteralmente «restare al buio»). Nella dichiarazione congiunta al Senato dell'8 luglio 2015: «We in law enforcement often refer to this problem as “Going Dark.”» Il problema descritto: prodotti di largo uso danno all'utente il controllo esclusivo dei dati, e a volte il fornitore non può consegnare il contenuto nemmeno a fronte dell'ordine di un giudice. Lo stesso testo precisava: «We are not asking to expand the government’s surveillance authority» (non chiediamo di ampliare i poteri di sorveglianza del governo), ma di poter usare i poteri già dati dal Congresso.

L'11 ottobre 2020 il Dipartimento della Giustizia ha pubblicato una dichiarazione sulla cifratura end-to-end firmata con Regno Unito, Australia, Nuova Zelanda, Canada, India e Giappone. Si apre con «We, the undersigned, support strong encryption» e chiede alle aziende di consentire alle forze dell'ordine l'accesso ai contenuti «in a readable and usable format» (in forma leggibile e utilizzabile) quando un'autorizzazione è emessa legittimamente, è necessaria e proporzionata ed è soggetta a garanzie e controlli.

Nel testo vigente del U.S. Code la messaggistica elettronica resta fuori dal CALEA e il § 1002(b)(3) è immutato. Le proposte di cambiamento sono in Le proposte per indebolire la cifratura e Salt Typhoon; per i dati nel cloud, che si chiedono al fornitore, vedi Stored Communications Act e CLOUD Act.

Casi frequenti

• «Il mio operatore mobile può consegnare i messaggi di un'app cifrata?» Può consegnare quello che transita sulla sua rete. Se la cifratura è dell'app e l'operatore non ha le informazioni per decifrare, la legge non gli chiede di farlo (47 U.S.C. § 1002(b)(3)).
• «Chi viene intercettato lo viene a sapere?» Le persone indicate nell'ordine sì, ma dopo: entro novanta giorni dalla fine ricevono un inventario, salvo rinvio deciso dal giudice (§ 2518(8)(d)).

Fonti

18 U.S.C. §§ 2510, 2511, 2516, 2518, 2519 e 47 U.S.C. §§ 1001, 1002, testo vigente del U.S. Code; Administrative Office of the U.S. Courts, Wiretap Report 2025 (uscourts.gov); Dipartimento della Giustizia e FBI, Going Dark: Encryption, Technology, and the Balances Between Public Safety and Privacy, dichiarazione congiunta davanti alla commissione Giustizia del Senato, 8 luglio 2015 (fbi.gov); Dipartimento della Giustizia, International Statement: End-To-End Encryption and Public Safety, 11 ottobre 2020 (justice.gov). Verificato il 24 settembre 2026.