Alessandro 'kLeZ' Accardo personal website

This is the personal website of an Italian developer once called 'kLeZ'.

Il foro che non esiste

Posted on • by

Se un’associazione italiana volesse contestare sul serio la designazione OFAC che si è vista appioppare, a chi si rivolge? La risposta breve è: a nessuno. Non perché sia difficile, ma perché il foro dove andare non esiste.

Do per letto l’articolo del 27 agosto. In breve: il 26 agosto Stato e Tesoro degli Stati Uniti hanno designato Autistici/Inventati come Specially Designated Global Terrorist, un atto amministrativo dell’esecutivo che congela i rapporti economici sotto giurisdizione americana senza passare da un giudice. A/I ha annunciato che farà ricorso. Vediamo dove può farlo.

Dove si fa ricorso

Due strade, e sono tutte e due dentro gli Stati Uniti.

La prima è la petizione di riesame all’OFAC, prevista dal paragrafo 501.807 del titolo 31 del Code of Federal Regulations. Si chiede all’ufficio che ha firmato di riconsiderare. Non ci sono termini perentori: l’ufficio risponde quando vuole, e nel frattempo la designazione resta in vigore con tutti i suoi effetti.

La seconda è il ricorso alle corti federali, in pratica il distretto di Columbia. Qui il problema è doppio. Lo standard di sindacato sugli atti dell’esecutivo in materia di sicurezza nazionale è molto deferente. E il fascicolo su cui si fonda la designazione può contenere materiale classificato che al designato non viene mostrato: ti difendi da accuse che non puoi leggere per intero. Nell’articolo precedente citavo KindHearts contro Geithner e Al Haramain contro Dipartimento del Tesoro, i due casi in cui corti americane hanno riconosciuto violazioni del giusto processo in designazioni fatte con lo stesso Executive Order 13224. In entrambi si trattava di enti con sede negli Stati Uniti, e nella sentenza Al Haramain il Nono Circuito annota che la maggior parte dei soggetti designati non sono cittadini né entità statunitensi, e non godono di quelle garanzie.

Non c’è una terza strada. Non esiste una corte europea, né un tribunale internazionale, competente a giudicare una designazione OFAC. Il rimedio, tutto intero, lo amministra il Paese che ha designato.

Lo scudo che non copre questo caso

L’Unione uno strumento contro le sanzioni extraterritoriali statunitensi ce l’ha: il regolamento 2271/96, il blocking statute, che vieta agli operatori europei di dare seguito a certe misure americane. Nell’articolo precedente notavo che il suo allegato elenca misure su Cuba e Iran, e che le sanzioni antiterrorismo non ci sono.

Vale la pena aggiungere che lo strumento, quando si applica, funziona davvero. Nel dicembre 2021, nella causa Bank Melli Iran contro Telekom Deutschland, la Corte di giustizia dell’Unione ha interpretato per la prima volta quel regolamento. Ha stabilito che il divieto opera anche senza un ordine esplicito dell’amministrazione americana, cioè anche quando l’operatore europeo si adegua di sua iniziativa per prudenza; e che un giudice nazionale può dichiarare nulla la risoluzione di un contratto motivata dalla volontà di conformarsi alle sanzioni USA, dopo un bilanciamento tra gli obiettivi del regolamento e le perdite economiche a cui l’operatore si esporrebbe.

Quindi il meccanismo morde. Solo che ad A/I non serve, perché la misura che la colpisce non è nell’allegato. Lo scudo esiste, è appeso alla parete, ed è tarato su un’altra minaccia.

Lo strumento nuovo, e perché non serve

Da fine 2023 c’è anche il regolamento 2023/2675, lo strumento anti-coercizione. Nasce per rispondere quando un Paese terzo usa la leva economica per costringere l’Unione o uno Stato membro a una scelta politica. Non è mai stato attivato; l’Unione ne sta valutando il primo uso proprio in queste settimane, contro le minacce tariffarie statunitensi.

Anche questo, alla vicenda A/I, non si applica. L’articolo 2 del regolamento definisce la coercizione come una misura di un Paese terzo diretta a impedire o ottenere la cessazione, la modifica o l’adozione di un atto da parte dell’Unione o di uno Stato membro. Una designazione antiterrorismo di un soggetto privato non ha quella forma: non chiede all’Italia di cambiare una legge o abbandonare una posizione, isola un’entità e basta. Lo strumento è stato costruito pensando alla Cina, e non arriva alla coercizione quando indossa la divisa dell’alleato.

C’è un secondo motivo, più semplice. Anche ammesso che si applicasse, è uno strumento che la Commissione muove nei rapporti fra Stati. Non è un rimedio che A/I possa azionare per conto suo.

Non è nella lista europea

L’elenco terroristico autonomo dell’Unione, che ha la sua base nella posizione comune 2001/931 del Consiglio, viene rivisto ogni sei mesi circa. Nell’ultimo rinnovo conta poche decine di voci tra persone ed entità. A/I non è tra queste, e non ci è mai stata.

Per il diritto italiano ed europeo, quindi, l’Associazione A/I è un ente del terzo settore che opera legalmente. Per il diritto statunitense è un’organizzazione terroristica. Le due qualificazioni convivono senza toccarsi, e quella che produce effetti concreti sul territorio italiano è la seconda.

Cosa farà l’Italia

Nell’articolo precedente scrivevo: niente. Confermo.

In Parlamento un po’ di rumore c’è stato, da più parti, ed è stata annunciata un’interrogazione che chiede alla Commissione di intervenire in base al Digital Services Act. Ma il DSA è una direttrice politica, non un rimedio che si aziona, e soprattutto l’esecutivo, l’unico soggetto con il titolo per muoversi, non ha fatto e non farà nulla.

Il minimo sarebbe stato chiedere formalmente, per via diplomatica, di vedere le prove a carico di un soggetto residente in Italia e mai indagato in Italia per terrorismo. E una valutazione del Garante privacy sugli effetti che la designazione produce su decine di migliaia di persone in Europa che non c’entrano niente, gli utenti delle caselle. Se un’azienda italiana avesse maneggiato i dati di quelle persone con un decimo di quella disinvoltura, il Garante le sarebbe piombato in sede con l’ariete.

Non succederà. E qui bisogna dividere in due il motivo, perché sono due cose diverse.

Non vuole. Le vittime sono impresentabili, il costo politico di difenderle è alto e il ritorno è zero. Nessun governo italiano degli ultimi trent’anni ha mai speso mezzo grammo di capitale con Washington per un centro sociale telematico, e questo non fa eccezione. Anzi, potendo farebbe qualcosa contro il collettivo, perché sono politicamente avversi e perché facendolo si ingrazierebbe Trump e la sua cricca.

Non può. La leva tecnica e finanziaria di internet è quasi tutta americana, e non esiste una sede a cui l’Italia possa portare la questione ricavandone qualcosa. Gli strumenti di pressione reali, verso l’alleato, sono pochi e nessun governo li userebbe per questo.

La distinzione conta. “Non vuole” è un problema politico, e un altro governo, in teoria, potrebbe decidere diversamente. In teoria eh. “Non può” resta lì comunque, sotto qualunque governo, perché è strutturale.

Il principio che non ha un giudice

Esiste, nel diritto internazionale, il principio di non intervento: ogni Stato sovrano ha diritto di condurre i propri affari senza ingerenze esterne. Non è un’opinione, è diritto consuetudinario, e la Corte internazionale di giustizia lo ha affermato con nettezza nel 1986, nella causa tra il Nicaragua e gli Stati Uniti.

Descrive bene quello che è successo: un esecutivo straniero che produce effetti giuridici sul territorio di un altro Stato, contro un soggetto di quello Stato, fuori da ogni procedura condivisa. Il principio c’è, la fattispecie ci rientra.

E non serve a niente, per due ragioni che si sommano. È un principio che regola i rapporti fra Stati: non c’è un’azione che un’associazione possa esercitare per farlo valere. E lo Stato che potrebbe farlo valere, l’Italia, ha appena finito di spiegare che non lo farà.

La riga che nessuno ha scritto

Torniamo alla domanda dell’inizio. Perché il foro non c’è?

Perché tutta l’impalcatura che regge questa roba, i trattati di assistenza giudiziaria, le convenzioni sul cybercrime, i registri dei domini, le autorità di certificazione, poggia su una riga che nessuno ha mai messo nero su bianco: che il Paese con in mano le leve le usi in buona fede. Non c’è un controllo giurisdizionale sopra l’OFAC perché, quando quell’architettura è stata disegnata, dare per scontato che l’egemone si comportasse da signore passava per realismo, non per ingenuità.

Non era realismo, era un assegno in bianco. E adesso lo stanno incassando con comodo. Un esecutivo firma un elenco e ventimila persone in Europa si ritrovano la posta agganciata a una designazione di terrorismo senza che un giudice abbia mai visto mezza prova. Non è un abuso del sistema: è il sistema che fa quello che l’hanno lasciato libero di fare, contro il bersaglio che costava meno colpire, quello senza avvocati a Washington e senza una telefonata da fare a chi conta.

La corona da Re del mondo libero gli Stati Uniti se la sono messa in testa da soli nel 1945, e da allora il permesso non l’hanno più chiesto a nessuno. La vittoria che ancora oggi sventolano come mandato comprende due bombe atomiche su città piene di civili, sganciate su un Paese già in ginocchio. Lo dice l’indagine ufficiale del loro stesso governo, lo Strategic Bombing Survey del 1946: il Giappone si sarebbe arreso comunque entro l’autunno, anche senza. Lo diceva Eisenhower, che parlò di “seri dubbi” perché “il Giappone era già sconfitto”. E secondo una lettura che gira da sessant’anni, quelle due bombe servivano più a far vedere all’Unione Sovietica di che pasta erano fatti che a chiudere una guerra già decisa. Colpire piccolo per parlare a chi guarda: la mossa è quella, dal 1945 a San Giuliano Terme, senza una virgola di differenza.

L’Europa, nel frattempo, ha fatto la parte del maggiordomo. Ha lasciato che infrastruttura, pagamenti, certificati e domini stessero tutti a casa d’altri, e adesso scopre un caso alla volta che la sovranità digitale di cui riempie i panel non vale un cazzo davanti a un contratto firmato in Virginia. L’unica cosa che ha retto è la roba che il collettivo si era costruito da solo dopo essersi già preso degli schiaffi nel 2004. Non un’istituzione. Una cicatrice.

E qui c’è la battuta, per chi lavora nella sicurezza. Tutto questo sistema è trust by default: ti fidi di un attore perché sta in una certa posizione, non perché abbia dimostrato qualcosa. È esattamente il modello che in vent’anni abbiamo imparato a smontare sulle reti, perché è quello che si fa bucare sempre, e di solito da chi era già dentro. La risposta, sulle reti, si chiama zero trust: non fidarti di nessuno per default, verifica ogni volta, dai per scontato che la compromissione sia già in corso.

In geopolitica siamo ancora alla rete piatta con l’utenza di amministratore data a tutti, e facciamo la faccia sorpresa quando quello di cui ci fidavamo si rivela il problema. Applicare un po’ di zero trust anche qui vuol dire una cosa precisa: non lasciare che un pezzo critico dell’infrastruttura, un registro di domini, un’autorità di certificazione, uno standard crittografico, stia interamente in mano a un soggetto che non puoi controllare né rimpiazzare.

Per la Commissione europea, che di sovranità digitale parla a ogni conferenza, l’elenco è corto. Mettere ENISA, ETSI e gli schemi di certificazione europei nelle condizioni di pareggiare davvero le controparti statunitensi, con i fondi e il mandato per farlo, non a slide. Costruirsi un’alternativa valida agli standard del NIST prima di potersi permettere di trattarli come sospetti: che il NIST possa essere piegato lo abbiamo già visto, quando l’NSA gli piazzò dentro un generatore di numeri casuali con la porta sul retro, roba rimasta in uno standard ufficiale dal 2006 e tolta solo nel 2014, dopo le carte di Snowden. Non serve deprecare tutto: l’ISO è davvero internazionale, quella resta. Serve smettere di dipendere dai pezzi che stanno a Washington e rispondono a Washington.

La fiducia che l’Europa dava per scontata verso gli Stati Uniti è esaurita. È il momento di camminare sulle proprie gambe, e di fare in modo che la prossima volta che a Washington vorranno spegnere un server europeo premendo un tasto a casa loro, quel tasto non sia collegato a niente.

Fonti