Attacchi Informatici e Sanzioni Economiche nel diritto internazionale
Oggi, con la continua evoluzione della digitalizzazione, si sente sempre più spesso parlare di Cyber-Attacks, volti non soltanto a danneggiare individui o aziende private, ma altresì indirizzati con lo scopo di colpire istituzioni ed enti governativi. Negli ultimi anni, si possono menzionare diversi attacchi informatici di questo tipo.
Andando in ordine cronologico: NotPetya nel 2015, WannaCry nel 2017, infine, SolarWinds nel dicembre 2020.
Quest’ultimo, in particolare, risulta essere una delle aggressioni più feroci avvenute recentemente, attraverso la quale sono state rivelate sia fragilità della cybersecurity delle principali aziende americane del settore, così come di alcune agenzie governative del Paese.
In breve, un popolare programma di gestione della rete, chiamato Orion, fornito da una società texana di nome SolarWinds, fu hackerato e, in seguito, installato un codice dannoso nel suo aggiornamento software di routine.
Successivamente, migliaia di clienti, effettuando l’update del sistema, hanno compromesso la sicurezza di società e organizzazioni federali statunitensi, tra cui il Dipartimento di Giustizia e quello del Tesoro.
Dati estremamente importanti e critici, nonché sensibili per la sicurezza di un Paese, sono stati spiati, controllati e rubati per mesi altresì suscettibili di trasformazione o distruzione.
Sebbene gli Stati Uniti abbiano individuato come responsabile dell’attacco la Russia, quest’ultima ha negato ogni coinvolgimento.
Come fronteggiare i cyber attacchi da un punto di vista normativo?
Il problema che si pone alla base della materia è l’assenza di norme vincolanti di diritto internazionale volte a disciplinare la responsabilità per la condotta statale e dei c.d. NSA (Non-state actor), da tenere nel cyberspazio.
Nel corso degli anni, a partire dal 1999 sono state costituite diverse organizzazioni composte da esperti, quali: “UN Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security”, inoltre, il “Group of Governmental Experts on Advancing Responsible State Behaviour in Cyberspace in the Context of International Security (GGE)”, infine, dal 2018, su iniziativa della Federazione Russa è nato l’OEWG, Gruppo di lavoro aperto sugli sviluppi nel campo delle informazioni e delle telecomunicazioni nel contesto di sicurezza internazionale.
Nonostante il crescente numero di forum interstatali impegnati sulla materia, non si è ancora giunti ad avere alcun impegno internazionale vincolante volto a regolare il comportamento tenuto nel mondo digitale.
Inoltre, anche l’Organizzazione Mondiale del Commercio non sembra essere una sede opportuna per la discussione di queste problematiche, a causa della scarsa esperienza dei membri dell’OMC in tema di sicurezza informatica.
Quando il bilateralismo fallisce nel proprio intento, l’unilateralismo avanza. Poiché il tentativo di cooperazione tra gli Stati non ha dato esito positivo, i singoli hanno iniziato ad agire unilateralmente imponendo sanzioni economiche, ovvero, misure restrittive temporanee inflitte contro individui, persone giuridiche, enti governativi e funzionari, al fine di punire e disincentivare i crimini digitali.
La fonte di tali strumenti è ricondotta alla legge interna di ciascuno Stato, non essendo previste disposizioni di natura internazionale che ne autorizzino, previamente, l’imposizione.
Le sanzioni informatiche esistenti e già adottate dagli Stati, possono comportare il congelamento dei beni degli enti governativi insieme al divieto di viaggio per gli alti funzionari di Stato.
È questione molto dibattuta se questi due obblighi violino il diritto internazionale consuetudinario dell’immunità statale, la quale ricomprende sia l’immunità giurisdizionale, che protegge uno Stato dalla giurisdizione dei tribunali di un altro Paese in sede amministrativa, civile e penale, sia l’immunità dall’esecuzione, volta a proteggere i beni dello Stato contro misure esecutive (intendendosi qualsiasi imposizione restrittiva, quali sequestro, arresto ed esecuzione) adottate da uno Stato straniero.
Inoltre, come riportato dalla Corte Internazionale di Giustizia, i beneficiari di tali garanzie non sono soltanto gli Stati, ma anche i funzionari governativi di alto livello.
Seppur il congelamento dei beni possa essere ricompreso tra le misure di costrizione nel contesto dell’immunità da esecuzione, tali restrizioni sono attuate attraverso decisioni emesse da organi amministrativi al di fuori dei procedimenti giudiziari, quindi, non è chiaro se il beneficio di immunità esecutiva possa essere invocato.
Anche nel caso delle interdizioni di spostamento che impediscono ai funzionari statali di svolgere le loro funzioni, invaderebbero le protezioni a loro garantite dal diritto internazionale.
Tuttavia, la giurisprudenza della Corte Internazionale di Giustizia ha chiarito che questo diritto all’immunità è assicurato solo ai funzionari che rappresentano il governo e quindi viaggiano in altri Stati per questo scopo. Sia il quadro delle sanzioni economiche adottate dagli Stati Uniti dal 2014, e dall’Unione Europea dal 2019, prescrivono eccezioni ai divieti di spostamento, al fine di ridurre le loro potenziali incongruenze con i diritti di immunità previsti dal diritto internazionale. Tuttavia, un’amministrazione inesperta potrebbe dar luogo a reclami di incoerenza con le consuetudini analizzate.
Un’altra possibile incompatibilità causata dall’imposizione delle sanzioni unilaterali può avvenire nel merito dei diritti minimi del giusto processo. Per esempio, i soggetti potenzialmente sottoposti al regime di misure informatiche previste dall’Unione Europea sono tutelati dal diritto di buona amministrazione, da quello di un ricorso effettivo e un processo equo, quindi, diritti sanciti dalla Carta dei diritti fondamentali dell’UE.
Queste garanzie sono spesso invocate nelle controversie che mettono in discussione le misure economiche europee. Oltre ai diritti correlati a quello del giusto processo, ve ne sono altri che potrebbero ledere la legalità delle sanzioni, quali, il diritto di proprietà, il diritto alla famiglia e alla vita privata, il divieto di attacchi all’onore e alla reputazione, previsti da diversi trattati internazionali in tema di diritti umani così come dalle leggi nazionali.
Inoltre, possono essere pregiudicati anche gli obblighi nati dagli accordi bilaterali di natura economica dell’OMC. In particolare, sia le disposizioni americane che quelle europee prevedono restrizioni volte a proibire qualsiasi transazione con persone fisiche e giuridiche sanzionate. Queste pongono limiti sull’importazione ed esportazione di beni e servizi, violando l’art. I:1 dell’ Accordo Generale sulle tariffe doganali e sul commercio 1994, anche conosciuto con l’acronimo GATT 1994, riguardo la clausola generale della nazione più favorita.
Se tali azioni possano essere giustificate dalle eccezioni di sicurezza nazionale, incluse negli accordi bilaterali dell’OMC, è ancora tema discusso e incerto.
Infine, sanzioni economiche come il congelamento dei beni, della proprietà e degli interessi nella proprietà possono essere oggetto di rivendicazioni legali in tema di espropriazione indiretta, violazione del Trattamento Giusto ed Equo e altri standards di trattamento incorporati negli accordi internazionali di investimento.
Analizzate le eventuali violazioni che possono nascere dall’imposizione di sanzioni a fronte di Cyber-Attacks, gli Stati potrebbero giustificare le loro azioni qualificando tali restrizioni come “contromisure”. Essi sarebbero autorizzati a adottarle qualora soddisfatte alcune precondizioni:
- Precedente violazione di disposizioni di carattere internazionale;
- Tale irregolarità deve essere attribuita a uno Stato;
- Le contromisure non devono incidere sugli obblighi di protezione dei diritti umani fondamentali.
Tuttavia, l’eventuale qualificazione delle sanzioni informatiche come contromisure viene confutata da due elementi: la mancanza di obblighi e disposizioni a livello internazionale che regolino il comportamento nel cyberspazio e dall’attribuzione di responsabilità ad uno Stato per attacchi informatici sulla base di leggi nazionali.
Cyber attacchi: cosa ci aspetta dal punto di vista della governance
In conclusione, a fronte della crescita dei Cyber-Attacks sul panorama mondiale che ledono gli interessi della società e degli Stati, ci si aspetta che questi utilizzino sempre di più sanzioni informatiche per disincentivare e punire questi fenomeni.
Cyberspazio e “cyber insecurity” rappresentano una sorta di quinta dimensione della conflittualità dopo terra-mare-aria-spazio extra-atmosferico, ma con una peculiarietà intrinseca, alla tradizionale ontologica difficoltà di controllo sulle attività che si svolgono al di fuori dei confini, le nazioni sovrane assistono impotenti ad una analoga difficoltà di governance su ciò che accade all’interno degli stessi.
Ça va sans dire pertanto che, il tema della cybersicurezza costituisca un fenomeno transnazionale, che trascende le frontiere nazionali, al pari di epidemie, transazioni economiche, deterioramento delle matrici ambientali, tecnologie emergenti, flussi migratori e flussi di informazione.
Pare lecito quindi domandarsi fino a quando potrà perdurare l’unilateralismo in una materia così attuale e sempre più delicata che, ontologicamente necessiterebbe di un’effettiva cooperazione transnazionale.
(5 votes, average: 4,80 out of 5)
Loading...