Indagini patrimoniali e web scraping: lezioni dal caso CEREBRO per le imprese

Tale procedimento ha avuto origine dall'istanza di consultazione preventiva presentata dal Ministero dell’Interno in merito a una Valutazione d'Impatto (DPIA) relativa al sistema CEREBRO.

La piattaforma CEREBRO, in particolare, consiste in uno strumento investigativo centralizzato, utilizzato per individuare e sottrarre alla criminalità risorse illecitamente ottenute. La piattaforma principalmente opera attraverso due modalità: l'acquisizione di dati da fonti istituzionali «esterne» e l'elaborazione di tali dati, insieme a quelli immessi manualmente, per identificare disponibilità finanziarie e patrimoniali «sproporzionate» e potenzialmente riconducibili ad attività illecite.

In particolare, a seguito della presentazione della già citata istanza, il Garante, pur riconoscendo la finalità di prevenzione e perseguimento di reati, aveva chiesto dei chiarimenti su alcuni aspetti critici al fine di perfezionare la Valutazione d’Impatto.  

Tali criticità riguardavano principalmente:

Il Dipartimento della Pubblica Sicurezza ha pertanto fornito una versione aggiornata della DPIA, rispondendo ai rilievi del Garante e chiarendo che li termine «web scraping» non si riferisce a raccolte massive e indiscriminate di dati personali dalla rete, bensì a un’estrapolazione mirata di informazioni da specifiche banche dati istituzionali autorizzate, alle quali accedono esclusivamente operatori di polizia abilitati. L’esattezza dei dati è garantita da un controllo umano sulle informazioni estratte, e si è precisato che, non appena disponibili, saranno adottate modalità alternative basate su cooperazione applicativa a garanzia degli interessati. Invero il ricorso alla tecnica di estrazione mirata, «web scraping», è stato infatti descritto come l'unica modalità attualmente disponibile per l'acquisizione automatica delle informazioni necessarie all'indagine patrimoniale da alcune specifiche banche dati istituzionali. 

Inoltre, l’individuazione delle persone sottoposte ad indagini avviene unicamente a seguito di una fase preliminare d’indagine, condotta sotto la direzione dell’Autorità proponente o dell’Autorità giudiziaria, dalla quale emergano elementi indicativi di disponibilità economiche e finanziarie «sproporzionate». È stata poi prevista la pubblicazione di un'informativa sul trattamento dei dati personali sul sito istituzionale della Polizia di Stato, contenente tutti gli elementi ai sensi degli artt. 13 e 14 del GDPR e con indicazione di un punto di contatto per l'esercizio dei diritti degli interessati.  Infine, è stato ribadito che i report generati da CEREBRO hanno un valore di mero supporto investigativo e non producono effetti negativi diretti nella sfera giuridica dell'interessato, poiché i provvedimenti giudiziari sono adottati solo all'esito di un procedimento in contraddittorio con la difesa del soggetto, garantendo così la preminenza dell'intervento umano.

L'«indagine» condotta dal Garante si è focalizzata sull’analisi della base giuridica prescelta per le attività di trattamento, in ottemperanza a quanto obbligatoriamente richiesto dall’art. 6 del GDPR, così ritenendo che le fonti normative indicate dal Ministero fossero idonee a legittimare il trattamento dei dati. 

Il Garante ha inoltre precisato che l'impiego di nuove tecnologie e la natura del trattamento presentavano comunque un rischio elevato per i diritti e le libertà degli interessati, sicché la Consultazione preventiva del Garante era necessaria.

Anche gli imprescindibili principi di trasparenza e di garanzia dei diritti e libertà fondamentali degli interessati sono stati al centro dell'analisi: infatti, da una parte, a carico del Ministero vi è l'impegno a pubblicare un'informativa dettagliata sul trattamento dei dati degli interessati, dall’altra parte, la rassicurazione che il sistema CEREBRO producesse solo report di supporto investigativo e che ogni decisione con impatto giuridico richiedesse un'ulteriore fase processuale con intervento umano in contraddittorio, ha dissipato i timori concernenti il rischio di causare conseguenze rilevanti sugli interessati derivanti da decisioni basate unicamente su trattamenti automatizzati. 

Il Garante ha infine ritenuto che anche il principio di limitazione della conservazione fosse stato rispettato mediante l'individuazione di un termine massimo per la conservazione dei dati; difatti la «chiusura del fascicolo digitale» coincide con la «cessazione dell’esigenza» specifica e concreta che giustifica la raccolta e l'analisi dei dati, e decorso il periodo massimo di 10 anni, il sistema li cancella automaticamente, assicurando che le informazioni non vengano mantenute più a lungo del necessario.  

Pertanto, la decisione finale del Garante, espressa con provvedimento del 4 agosto 2025, è stata di parere favorevole sulla Valutazione d'Impatto relativa sistema CEREBRO. 

In conclusione, sebbene tale vicenda mostri come le autorità pubbliche possano avvalersi di strumenti come CEREBRO ai fini investigativi e di repressione dei reati, il provvedimento del Garante offre degli spunti interessanti per le imprese che intendano adottare strumenti simili per finalità di indagine patrimoniale. In particolare:

Autori: 

Martina Ortillo - Associate Partner

Vanessa Cunico - Intern