Caso Pegasus: una regolamentazione del cyberspazio da parte dell’Unione Europea

Il caso Pegasus: una regolamentazione del cyberspazio da parte dell’Unione Europea

Università Cattolica del Sacro Cuore

Sede di Milano

Facoltà di Scienze Linguistiche per le Relazioni Internazionali

Relatore Professore Antonio Zotti

Tesi di Laurea di Giorgia Caligiuri

Matricola n. 5205134

Anno accademico 2024/2025

Indice

• Introduzione ............................................................................................................ 1
• Capitolo I Sicurezza informatica e tutela dei diritti fondamentali: l’Unione europea e il dilemma regolatorio nel cyberspazio ............................................................................................................... 2
• 1.1 La tensione in ambito cyber tra sicurezza e diritti umani ....................................... 2
• 1.2 Le misure dell’Unione Europea per la tutela della sicurezza ................................. 6
• 1.3 Le misure dell’Unione Europea per la tutela dei diritti umani ............................. 13
• 1.4 Il dilemma tra sicurezza e diritti umani in Unione Europea? ............................... 17
• Capitolo II Il caso Pegasus in Ungheria: un abuso delle tecnologie cibernetiche in uno Stato democratico ...................... 21
• 2.1 Cos’è Pegasus: caratteristiche e utilizzo ............................................................... 21
• 2.2 Il contesto ungherese: democratic backsliding e sorveglianza ............................. 25
• 2.3 L’uso di Pegasus da parte del governo ungherese ................................................ 28
• 2.4 Impatto sullo stato di diritto e sulla società civile................................................. 30
• 2.5 Le reazioni europee e internazionali al caso Pegasus ........................................... 32
• Capitolo III L’Unione europea e i dilemmi sollevati dal caso Pegasus ...................................................................................................................... 36
• 3.1 L’eccezione della sicurezza nazionale .................................................................. 36
• 3.2 Sovranità digitale e mercato dei sistemi di sicurezza cibernetici ......................... 38
• 3.3 La commissione d’inchiesta PEGA ...................................................................... 41
• Conclusioni ............................................................................................................. 45
• Bibliografia ............................................................................................................ 46

Introduzione

Lo spazio cibernetico, per sua natura, trascende le barriere geografiche nazionali, offrendo opportunità di connessione e sviluppo senza precedenti; tuttavia, questa nuova dimensione ha generato un dilemma regolatorio: l’equilibrio tra l’esigenza di sicurezza e la tutela dei diritti fondamentali. Se da un lato lo Stato ha il dovere di assicurare la sicurezza nazionale e proteggere i propri cittadini dalle minacce ibride, dall’altro la sorveglianza digitale rischia di sconfinare in un controllo pervasivo che mina le basi stesse della democrazia.

Il presente lavoro si pone di indagare questo delicato confine dal punto di vista dell’Unione Europea. Nonostante questa famiglia di democrazie si ponga a livello globale come il “regolatore” per eccellenza, attraverso standard elevati di protezione dei dati e la promozione di una sovranità digitale antropocentrica, la prassi politica degli Stati membri solleva interrogativi inquietanti. È possibile perseguire la sicurezza senza sacrificare la privacy degli utenti? La pretesa di garantire la sicurezza nazionale è sufficiente per giustificare l’abuso di armi cibernetiche e tecnologie di sorveglianza?

Nella prima parte verrà analizzato il dilemma regolatorio, esaminando, da un lato, le misure specifiche adottate dall’Unione Europea volte al perseguimento della sicurezza e, dall’altro, quelle poste a tutela dei diritti fondamentali. L’analisi si focalizzerà su come l’Unione cerchi di risolvere questa tensione, tentando di delineare un modello in cui la sicurezza non sia perseguibile solo attraverso il sacrificio della privacy, ma ne diventi, idealmente, il prerequisito.

La seconda parte del lavoro si concentrerà sullo studio del caso Pegasus in Ungheria, ovvero l’esempio emblematico di abuso della tecnologia di sorveglianza ai danni dell’opinione pubblica da parte del governo di uno Stato che si professa democratico. Si indagherà come un Paese membro dell’Unione Europea possa utilizzare l’alibi della sicurezza nazionale per legittimare la violazione dei diritti fondamentali.

Infine, l’ultimo capitolo analizzerà ciò che il caso Pegasus rivela sull’azione regolatoria dell’Unione. Verrà discusso se, sotto l’egida della sicurezza nazionale, la violazione dei diritti digitali possa rimanere impunita o persino giustificata. L’obiettivo è comprendere se la sovranità digitale europea sia un progetto solido o se le crepe aperte da attori interni ne stiano compromettendo l’integrità, mettendo a rischio la tenuta democratica dell’intero progetto comunitario. 1

Capitolo I Sicurezza informatica e tutela dei diritti fondamentali: l’Unione europea e il dilemma regolatorio nel cyberspazio

Il presente capitolo si propone di analizzare la complessa dialettica tra l’esigenza di garantire la sicurezza nello spazio cibernetico e la tutela dei diritti fondamentali degli individui, con particolare riferimento all’evoluzione del quadro regolatorio dell’Unione Europea. Il cyberspazio, inteso come dimensione multidimensionale e deterritorializzata, ha ridefinito i confini della sovranità statale, trasformando i flussi di dati in una risorsa strategica centrale per l’esercizio del potere politico nel XXI secolo.

Tuttavia, l’emergere di minacce cibernetiche e di programmi di sorveglianza su larga scala ha generato un profondo dilemma: la ricerca di un ambiente digitale sicuro rischia di tradursi in un’erosione della sfera privata. Il capitolo prenderà in esame le misure specifiche che l’Unione Europea ha adottato per garantire rispettivamente la cybersicurezza e i diritti digitali degli individui, analizzando il ruolo di attori istituzionali chiave come l’ENISA e il Garante Europeo della Protezione dei Dati, ed esplorerà infine come l’Unione abbia cercato di superare il dilemma tra sicurezza e privacy.

1.1 La tensione in ambito cyber tra sicurezza e diritti umani

Il cyberspazio si configura come un luogo in cui l’autorità statale è meno o per nulla limitata da confini territoriali fissi, e da una fitta interazione fra attori governativi e non. In questo contesto, le autorità governative si sforzano di esercitare la propria sovranità digitale attraverso il controllo dei flussi informativi relativi ai propri cittadini e alle proprie attività. La protezione di diritti individuali quali la riservatezza e l’anonimato viene infatti percepita dalle autorità statali come un fattore che rischia di andare a discapito dell’efficacia del controllo. Se si tutelano eccessivamente i diritti, si corre il rischio di lasciare agli attori malevoli, come criminali informatici o Stati ostili, la possibilità di sfruttare queste “zone ombra” per minacciare la stabilità sistemica.

1 Per una definizione multidimensionale di "sovranità digitale", si veda Stephane Couture e Sophie Toupin, About the network sovereignty, in “New Media & Society”, vol. 21, n. 10, 2019, p. 2317. Gli autori la definiscono come la capacità di collettività (Stati, comunità, movimenti sociali) di innovare e promuovere lo sviluppo tecnologico autonomo, nonché come la garanzia della sicurezza e della privacy degli individui in relazione alla proprietà e al controllo dei dati personali, dei cittadini o dello Stato. 2

Il cyberspazio può fungere da efficace strumento di promozione della libertà di espressione, facilita enormemente la ricerca di informazioni e dati, e permette la condivisione del sapere in modo veloce e capillare. Tuttavia, esso presenta sfide esistenziali legate all’uso di armi digitali come i malware, strumenti in grado di compromettere segretamente i sistemi delle vittime. Gli aggressori più avanzati a livello di influenza politica ed economica, che sono tipicamente alcuni Stati nazionali con grandi interessi nell’orientare l’opinione pubblica a favore o contro determinati soggetti o temi, generalmente mirano a influenzare le decisioni degli utenti o ad estendere il proprio potere attraverso minacce persistenti (APT).

Ben Emmerson, secondo relatore speciale delle Nazioni Unite sulla promozione e la protezione dei diritti umani nella lotta al terrorismo dal 2011 al 2017, durante il suo mandato ha analizzato l’uso della sorveglianza digitale di massa a fini antiterroristici, rilevando come tali misure interferiscano con il diritto alla privacy, pur perseguendo obiettivi di sicurezza. Dopo le rivelazioni di Edward Snowden sulla NSA nel 2013, è cresciuta a livello mondiale l’attenzione verso la protezione della privacy; governi e cittadini hanno messo in discussione le tecnologie di sorveglianza e la loro pervasività.

Gli Stati e le agenzie di intelligence, infatti, non hanno monitorato solo i propri cittadini, ma anche istituzioni e governi stranieri, compresi i leader europei. La sorveglianza, per sua stessa natura, ha un impatto sulla dimensione personale: gli stessi strumenti utilizzati per mantenere uno spazio sicuro possono infatti risultare intrusivi e violare i diritti dei singoli. Nel contesto della lotta al terrorismo, le forze dell’ordine e le agenzie di intelligence hanno sviluppato nuove capacità di monitoraggio per colpire preventivamente soggetti sospetti e organizzazioni terroristiche.

2 Francesco Pierucci, Sovereignty in the Digital Era: Rethinking Territoriality and Governance in Cyberspace, in “Digital Society”, vol. 4, n. 1, 2025, pp. 1-19.

3 La definizione di malware come programma inserito surrettiziamente in un sistema con l'intento di comprometterne la riservatezza, l'integrità o la disponibilità dei dati, o di disturbarne il funzionamento, è tratta da Murugiah Souppaya e Karen Scarfone, Guide to Malware Incident Prevention and Handling for Desktops and Laptops, NIST Special Publication 800-83, Revision 1, 2013, p. 2.

4 Dominik Herrmann and Henning Pridöhl, Basic Concepts and Models of Cybersecurity, in Markus Christen, Bert Gordijn e Michele Loi (a cura di), The Ethics of Cybersecurity, Springer, Cham, 2020, p. 17.

5 Si fa riferimento al caso di Edward Snowden, ex dipendente dell’intelligence statunitense che ha fornito prove dettagliate al pubblico, attraverso la pubblicazione di importanti fonti di informazione, delle pratiche di sorveglianza condotte dalla National Security Agency (NSA) in tutto il mondo. Si veda Glenn Greenwald, No Place to Hide, Metropolitan Books, New York, 2014, pp. 168-175.

6 Mary Anne Nelly Roux, Conceptual foundations for the analysis of cyberterrorism in the European Union: Privacy and Security, in “Journal of Cyber Policy”, vol. 5, 2020, pp. 14-18. 3

Tali capacità hanno talvolta involontariamente compromesso i diritti delle persone comuni attraverso la sorveglianza di massa. Per quanto concerne il Dark Web, o Darknet, se da una parte esso garantisce anonimato e privacy poiché, tramite strumenti crittografici, offre protezione agli utenti dai tracciamenti, dall’altra risulta difficilmente accessibile agli strumenti investigativi tradizionali, rendendolo un ambiente ideale per la preparazione e l’attuazione di attività illegali mirate sia a contesti fisici che virtuali. Tuttavia, il Darknet funge anche da rifugio per coloro che sono perseguitati o le cui idee sono minacciate o represse, permettendo agli attivisti per i diritti umani e ai dissidenti di eludere la sorveglianza informatica.

7 Ibidem.

Il cyberspazio rappresenta oggi una delle arene più critiche per l’esercizio della sovranità e per la protezione dei valori democratici. La tensione tra sicurezza e diritti umani si configura come una vera e propria competizione tra due beni pubblici altrettanto desiderabili che, tuttavia, risultano spesso in conflitto logico e operativo. In questo contesto, la tutela dei diritti individuali, quali la riservatezza e la libertà di espressione, viene frequentemente percepita dalle autorità statali come un fattore che limita l’efficacia del controllo necessario a garantire la sicurezza informatica. Nell’ottica europea, la spinta istituzionale verso un coordinamento più stretto e l’adozione di strumenti comuni si scontrano inevitabilmente con una crescente sensibilità verso il rischio di abusi tecnologici e con l’esigenza di garantire forme di accountability nelle politiche di cybersicurezza.

Attualmente, la sicurezza informatica costituisce una priorità politica per le istituzioni dell’Unione Europea. Il tema della cybersecurity si è consolidato fra i più importanti tra il 2015 e il 2016 con l’emergere di una comunità basata sulla comunicazione e sul coordinamento delle risorse. Lo sviluppo di una governance europea della cybersicurezza è guidato principalmente dalla Commissione, che ha interpretato questo ambito come uno spazio di espansione delle competenze dell’Unione Europea, volto a costituire un’Europa più resiliente e autorevole.

Se la Commissione ha spinto per una distribuzione omogenea delle responsabilità di risposta agli incidenti, il Parlamento europeo, dal canto suo, ha invece rivendicato livelli più alti di trasparenza, accountability e protezione dei diritti fondamentali nelle politiche di cybersicurezza. Tale posizione riflette un duplice orientamento: da un lato, una vocazione istituzionale pro-integrazione e, dall’altro, una profonda sensibilità ai temi legati alle libertà civili contro il rischio di una sorveglianza eccessivamente pervasiva.

8 Daniel J. Solove, Nothing to Hide: The False Tradeoff between Privacy and Security, Yale University Press, New Haven, 2011, p. 21-30.

9 George Christou, Cybersecurity in the European Union: Resilience and Adaptability in Governance Policy, Palgrave Macmillan, Londra, 2016, p. 45. 4

10 Ibidem.

Sotto il profilo teorico, Ibo van de Poel, professore di etica e tecnologia all’Università di Delft e autore di numerosi saggi sulla cybersicurezza, evidenzia come il conflitto sorga qualora la sicurezza sia perseguita a totale discapito della privacy, o viceversa. Ad esempio, se un valore come la privacy impone la riservatezza di una determinata informazione mentre la trasparenza ne richiede la pubblicazione, i due valori entrano di fatto in una rotta di collisione operativa.

Analogamente, il monitoraggio delle infrastrutture di rete, pur contribuendo alla cybersicurezza, può apparire come un’ingiustificata intrusione nella sfera privata. Al contempo, il completo anonimato e la segretezza delle comunicazioni rischiano di essere strumentalizzati da agenti malintenzionati per eludere i controlli. Ipoteticamente, è possibile che eventuali utenti scelgano strategicamente di non rivelare determinate informazioni con il pretesto di preoccupazioni relative alla privacy.

In quest’ottica, la privacy può paradossalmente trasformarsi in un mezzo per attori criminali per occultare le proprie strategie avversarie, le quali vengono costantemente adattate alle misure di cybersicurezza adottate, o approfittano dell’assenza delle stesse. La sicurezza informatica assume così le dinamiche di una “corsa agli armamenti”, in cui un’eccessiva responsabilità pubblica rischia, in determinati scenari, di minare l’efficacia delle misure di tutela della sicurezza.

11 Ibo van de Poel, Core Values and Value Conflicts in Cybersecurity: Beyond Privacy Versus Security, in Markus Christen, Bert Gordijn e Michele Loi (a cura di), The Ethics of Cybersecurity, op. cit., pp. 59-69. 5

La lotta al cybercrimine implica sovente l’accesso segreto ai sistemi informatici allo scopo di acquisire determinati dati o contenuti, pratica che costituisce di per sé una minaccia alla privacy. Qualora si ricorra a misure di cybersicurezza segrete per finalità di sicurezza nazionale, come ad esempio azioni di sorveglianza o attacchi informatici condotti da agenzie governative ai danni di altri Paesi, il rischio di compromettere le libertà civili e la privacy dei cittadini diviene concreto.

Sebbene la sorveglianza segreta su larga scala dei cittadini possa teoricamente incrementare la sicurezza collettiva nel suo complesso, essa mette a repentaglio la libertà personale. In particolare, programmi di sicurezza che riducono le libertà civili senza una chiara legittimità democratica creano una lacuna derivante dalla mancanza di diritti umani che non può essere colmata dalla sola promessa di maggiore protezione.

Sebbene il monitoraggio sia essenziale per individuare criminali e terroristi, esso comporta un certo livello di sorveglianza, che, a sua volta, porta con sé il rischio di censura e la conseguente violazione della libertà di parola, potendo infliggere danni immotivati agli individui. La cybersicurezza è una questione che negli ultimi anni ha richiesto, e continua a richiedere, una sempre maggiore attenzione a causa della proliferazione di attacchi cibernetici da parte di attori statali e non statali; tuttavia, resta imperativo valutare criticamente gli effetti di tali politiche sui diritti umani, affinché la difesa dello spazio digitale non avvenga a scapito dei valori che esso dovrebbe proteggere.

1.2 Le misure dell’Unione Europea per la tutela della sicurezza

Data questa grande tensione che tutte le autorità si trovano ad affrontare, la strategia dell&rs