Ermanno Cappa - Convegno Antiriciclaggio, Milano, 18 marzo 2026

Dunque, io partecipo da sempre a questi incontri che considero molto intelligenti.

Un solo anno ero riuscito a partecipare perché mi ricordo che avevo un'udienza a Roma, una roba assolutamente irrinunciabile, e tutti gli anni cerco di mettere a disposizione l'esperienza e cerco di dire cose che possano servire proprio praticamente.

Quest'anno ho pensato di parlarvi di due argomenti un po' strani, di due argomenti strani che sono al limite dei doveri di collaborazione attiva dei dei soggetti che operano in crypto asset, perché lì la soluzione al tema è facilissima. Bisogna stare un po' più attenti degli altri perché c'è una pretesa di collaborazione attiva maggiore nei confronti di questi soggetti. Lo dico per esperienza, perché io ne ho assistiti due, tre, forse quattro o forse cinque, li ho accompagnati alle audizioni al MEF e ho toccato con mano una diffidenza fortissima che adesso un po' sta rallentando, grazie anche alle incursioni di Ettore Valsechi che si ha vissuto come una missione. No, io ti devo dare atto, Ettore, di di di far capire che non siamo di fronte ad un groviglio di di vipere o di riciclatori. Anzi, riciclatori di solito stanno lontani dal sistema legale. Se un riciclatore va va in banca per riciclare i soldi, è un riciclatore stupido. Non va dall'avvocato, è un riciclatore stupido, no? Riciclaggio vero è un'altra cosa e purtroppo l'assetto normativo è così complicato che davvero c'è stato un accenno anche alla nella relazione del dottor Criscuolo, ma noi ci conosciamo da purtroppo non perché ci conosciamo purtroppo, ma purtroppo da 30 anni, no? Sbaglio? 20, 30, 25, 25 si curano. Quindi so come la pensa. Mi riferisco all'accenno all'eccesso di di forma. La forma dovrebbe essere uno strumento per vivere tutti meglio, non può essere un fine. E invece tante volte mi trovo di fronte a situazioni per le quali davvero è palpabile un approccio un approccio formalistico lontanissimo dalla dalla realtà.

Di che cosa vi voglio parlare stamattina? Di due argomenti. All'uno, al primo dedicherò quasi tutto il tempo, il secondo ne parleremo pochi minuti. Il primo riguarda il fenomeno del ransomware, che è tema estremamente spinoso perché pochi sanno, ma non per colpa loro, perché è strano l'ordinamento giuridico, quindi è difficile poter immaginare una cosa del genere che chi aiuta a pagare il riscatto, quindi fornisce Bitcoin, per esempio, per pagare un riscatto, rischia tantissimo un'incriminazione, ma non da poco. Voi dite "Ma queste quali inventi?" No, invento, se posso usare un termine volgare, le palle di Fracanapa. Si dice ai tempi, poi non so mai chi cazzo fosse questo Fracanapa, però per dire che no. No, io ho fatto un processo penale all'ultimo sangue a Roma, eh, per difendere due soggetti incriminati perché avevano fatto del bene, avevano procurato in fretta e furia dei Bitcoin a chi si era visto sottrarre tutti i dati, una società, insomma, adesso ne parliamo e di qui parliamo un bel po'.

Il secondo argomento invece, a cui dedicherò pochi minuti, è un atteggiamento che personalmente non condivido, eh, per il quale ho assistito, sto assistendo una società molto importante la quale si è vista contestare di non aver effettuato segnalazioni di operazioni sospette poste in essere da vittime di frodi. Ma come? Io questo qui è cornuto e mazziato, è vittima e io lo segnalo? Va a finire nel database del, non gli danno più i figli, lo picchiano, la moglie, la moglie lo dice "Tu cosa hai combinato?" Insomma, di questo parleremo pochi minuti perché la soluzione al tema, perlomeno dal punto di vista giuridico, è è abbastanza ovvia.

Allora, torniamo al primo argomento. Il primo argomento è molto spinoso perché va inquadrato in una mentalità, in una cultura che in Italia ha origini abbastanza, tra virgolette, antiche. Io la collocherei con il caso Moro, il rapimento di Aldo Moro, quando qualcuno si è fatto bello a dire "No, con le Brigate Rosse non si tratta. Brigate Rosse non paghiamo neanche un centesimo di riscatto, quindi non facciamo quello che ci chiedono." Ecco, da lì è nato un orientamento che ha poi riscontri nella giurisprudenza, eh, non vi sto parlando di di stupidaggini, no? Per cui l'ordinamento giuridico italiano, non succede in tutto il mondo, è un ordinamento giuridico ostile al pagamento del riscatto. Il pagamento del riscatto è vietato. Il rischio da pagamento del riscatto non è assicurabile. Chi si assicura viene punito. E poi, ma ci torniamo tra un attimo, ti sei fatto fregare i dati. Sì, ma come li conservavi questi dati? Lei sulla privacy, no? Quindi è un argomento estremamente spinoso. Io come sempre porto delle norme perché ho una mentalità sperimentale, tra virgolette, cioè se non ci fosse un riscontro nelle norme le mie sarebbero opinioni discutibili. Rimangono discutibili, però sono sostenute da norme.

Qui cosa faccio? Schiaccio il verde, parte tutto. Sì, parte. Però è che prendo la scossola. No, no, parte un missile. Eh. Allora, questa è la legge di cui vi parlavo ed è una legge, come vedete, del 1991. Facevo riferimento al caso Moro, per chi non si ricordasse, fu rapito la mattina del 16 marzo '78. Per chi non c'era, per chi non c'era addirittura, e non non mettere la come si roba della pia, non mi vengono i problemi. Ed è stato ucciso il 9 maggio. Si dice per chi era vivente all'epoca che tutti si ricordano dove si trovavano. Io mi ricordo che ero praticante allo studio Giglia ed arrivò un cliente dicendo "Il mio Dominus hanno rapito Moro", non ricordo come ci fosse in questo momento. Ebbene, questa legge è una legge del 1991. Forse ricordate che il 1991 è stato un anno per il quale Guido Carli aveva era uscito con questa frase che poi è stata riportata in "C'è stato per il settore bancario finanziario una legislazione torrentizia", dicevano Guido Carli, intelligentissima. Infatti nel 1991 c'è la prima legge antiriciclaggio italiana, 196, fiore all'occhiello perché è arrivata prima della prima direttiva comunitaria perché è una legge di luglio che converte un decreto legge di maggio, mentre la prima direttiva è di giugno. Però sapeva. Lascia perdere, noi siamo arrivati prima. Questo qui è sempre qui in mezzo a dire quelle robe lì. C'è stata la legge sulle SIM, poi nel '90 la legge Amato Carli, c'è stata la legge antitrust nel '90, la prima, perché poi non lo sapeva Bossi dice "La Lega farà la legge antitrust", ma c'era già, no? Non gli hanno detto. Vabbè, ehm, tutte queste robe qui, no? Il '91 ha colpito ancora, anche con questa legge che è di marzo, 15 marzo, che dice "Disposizioni dell'articolo 379 del codice penale". Che cos'è? Lo vedrete tra un attimo, è il favoreggiamento, meglio il favoreggiamento reale. Non sto nelle quisquiglie penalistiche perché pochi esseri umani, tra cui il sottoscritto, si eccitano particolarmente per questo eroe. Gli altri, a chi a chi si estende, no? A chi si adopera con qualsiasi mezzo al fine di far conseguire agli autori del delitto il prezzo della liberazione della vittima. Liberazione della vittima in senso ampio, no? T'hanno rubato i dati e io mi prodigo, mi adopero, magari magari non volontariamente, ma di fatto sì, in modo tale che gli autori, i malandrini e storsori riescono a mettere in tasca Bitcoin. Se io non mi adoprassi, loro non metterebbero a segno il loro piano economico. Certo, il reato sì, distruggerebbero i dati, ma non il piano economico.

Allora, rileggiamo il favoreggiamento insieme. So che lo conoscete a memoria, quelli perlomeno come me, malati di passione per queste materie un po' da da becchini. Chiunque, fuori dei casi di concorso, c'è sempre riciclaggio, ma non voglio dentrarmi, aiuta taluno ad assicurare il prodotto o il profitto o il prezzo di un reato. Qual è il reato nel caso di specie? È l'estorsione. L'estorsione intuitivamente sanno tutti che cos'è. È reato che commette chi costringe taluno a fare o omettere qualche cosa. Qui però vorrei farvi notare il terzo comma perché per voi, per l'ambiente ICO soprattutto, è un terzo comma centrale, è il terzo comma della 231 del 2001, è il terzo comma della diligenza organizzativa, meglio della pretesa di diligenza organizzativa del nostro ordinamento. Perché? Perché dice "Chiunque mediante le condotte di cui agli articoli 615", vi dico io cosa sono queste robe qui, sono le frodi informatiche, e gli articoli fra questi 635 bis, 635 ter, perlomeno questi due, fanno parte del catalogo dei reati presupposto 231/2001. E sono proprio queste robe qui che fanno questi malfattori, perché se prendiamo il 635 bis è intitolato, il titolo è eloquente, danneggiamento di informazioni, dati e programmi informatici, mentre il 635 ter danneggiamento di sistemi informatici o telematici. Il primo siamo sui dati e i programmi, quest'ultimo è addirittura sul sistema informatico. Una cosa in più, no? Una bomba. Uno potrebbe danneggiare i dati, ma lasciare integro il sistema. È corretto? E allora vedete che ci avviciniamo a ragionare su cose concrete, non su su un po' incredibili, perché uno dice "Vabbè, ma scusa, io Cosa succede?"

Il caso che ho seguito io è un collega di studio, l'avvocato Dauri. Altri due infiltrati dello studio sono io. Fanno finta di non conoscermi, ma mi conoscono molto bene. E di solito la comunicazione, "Guarda che abbiamo in ostaggio i tuoi dati", arriva il sabato, la domenica, meglio la domenica mattina. Uno torna da messa o prima di andare a messa o proprio non va a messa e legge questa bella cosa qui. "Guarda che abbiamo, se per caso vuoi riannusare fa il piacere di darmi 50 Bitcoin subito, però eh, oggi è domenica, mercoledì, giovedì va perché sei tu." Il mercato delle criptovalute è aperto 24 ore su 24, non c'è problema che domenica. Lunedì, lunedì. Solo che uno magari non è che ha 50 Bitcoin così. Magari non ha nemmeno i soldi, a parte l'ingersei ricord, ma ma uno come me non avrebbe neanche i soldi per prenderli sti Bitcoin, quindi dovrebbe passare da una banca a farsi finanziare. Anche se la banca ti finanza è complice. E altro che. Oppure va da un VASP, CASP, non si capisce più niente e dice "Io ho bisogno di queste robe qui perché se non me le date siamo rovinati." Questi magari, presi da un momento di umanità che sono sempre più rari, oppure il cliente debitore, oppure allora cosa fanno? Magari facendo uno sconto, ma insomma gli vanno incontro, gli danno sti Bitcoin, sennò quello lì salta per aria. Non è solidarietà questa? Sì. Posti di lavoro, posti di lavoro, le famiglie, cos'è Bitcoin, rischiano.

La Cassazione ha spiegato bene con poche parole qual è la logica. Dice con la, non spiega la logica, spiega com'è la situazione. Dice "Con l'articolo 1 della legge, quella lì di cui stiamo parlando, è stata incriminata la condotta di chiunque si adoperi con qualsiasi mezzo per far conseguire il riscatto ai sequestratori." Ma è questo interessante ciò che viene dopo. "Anche il fine di solidarietà non esime la gente dall'incriminazione." Ma lì sarà un fine di solidarietà. E attenzione, si è portati con un pizzico di orgoglio sulla solidarietà o di senso francescano a far risultare dagli atti della società una delibera d'urgenza, magari o una decisione d'urgenza di chi ha poteri di decisione d'urgenza che poi deve portare in ratifica alla prima seduta utile successiva. Si sono presentati quelli lì alla domenica, erano disperati e io ho messo a disposizione questo e quegli atti. Dico "Hai fatto bene, bravo e risulta tutto." È quasi il corpo del reato questa delibera. Eh, bisogna stare attenti come si scrive, come si delibera. Certo, è semplicistico. Io adesso esagero, però sarebbe quasi meglio dire "Senti, hai bisogno di Bitcoin. Ecco, m'hai raccontato? Non facciamo, dimmi che hai bisogno di Bitcoin, rompere le palle. Io ti Bitcoin, eh, no, tanto per intenderci. Io faccio l'avvocato e mica Madre Teresa di Calcutta o Padre Pio." Eh, in genere poi naturalmente ci sono le difese, io adesso non ve le racconto tutte perché sennò poi andate da da un altro o se c'è qualche collega presente, però qualcuna che è fin troppo evidente la legittima difesa. La norma sulla legittima difesa, la ricordo, dice proprio che non è punibile chi ha commesso il fatto per esservi stato costretto dalla necessità di difendere un diritto proprio o altrui queste vittime contro il pericolo attuale, è imminente, gli han detto che gli portano via tutto, di un'offesa ingiusta. È evidente la la illegittimità. C'è anche l'articolo 54 che è lo stato di necessità. Qui è un po' diverso però perché dice "Non è punibile chi ha commesso il fatto per esservi stato costretto dalla necessità di salvare se o altri dal pericolo attuale di un danno grave." Questo vale un po' di meno perché il danno non c'è ancora. C'è una situazione di pericolo di danno perché poi pagando il riscatto il danno viene meno. Son patturni ed avvocati queste robe qui, non state lontano dagli avvocati, son gente che.

Allora, ci sono due elementi al di là di legittima fin troppo facile difensivi. Poi ce n'è un altro che non vi dico neanche se mi pagate. No, se mi pagate sì, però eh no. Allora, il primo è che bisogna insistere molto sulla mancanza di un'ipotesi di collusione, perché potremmo essere d'accordo. Eh, tu vendi le valute, sì. Allora, io dico che non è mica tanto difficile immaginare una roba del genere. Il secondo, che è quello su cui abbiamo vinto a Roma, ve lo dico male volutamente, no, ma perché farei fatica a spiegare tutte, è che tutto sommato nel perlomeno in quel caso la società si era prestata non tanto a fornire i Bitcoin così sì che semplicite, bensì trasformare valuta legale che la banca aveva messo a disposizione in valuta virtuale, quindi si era posta come una sorta di meccanico trasformatore. Due accessi alla Procura della Repubblica del mio collega Luca Dauria hanno tramortito il PM al quale Luca ha parlato partendo da Aristotele così, no? E e ci ha seguito su questa strada.

Allora, siccome voglio sempre che crediate alle cose che dico, questo è l'atto di notificazione, non è bao bao micio micio, è un 169 perché uno dei due soggetti era all'estero, avevo sottomano questo. "Lei, caro signore, lei ha indagato per il reato di cui all'articolo 379 CP in relazione all'attività espletata per conto della società tale in merito al pagamento di 23,3 Bitcoin, assicurando agli ignoti Aker il profitto del reato di estorsione." Questo qui non lo vedete, ma ve lo dico io. È datato questo atto 10 maggio 2022. Tutto sommato, per i nostri tempi, per i tempi di un processo penale, è l'altro ieri. Se vede un processo dura 2 anni. E quando uno si vede arrivare questa roba qui non capisce neanche se non gliel'abbiamo spiegato prima, no? Perché dice "Ma quale estorsione, qual profitto reale?" Si ricorda solo che hanno messo a disposizione 23,3 Bitcoin. Poi ci pensa, dice "Ma che cazzo?" Eh, ma cos'è questa roba qui? No, ecco, che cosa diavolo è questa evenienza? Che cazzo è sta roba qui? Dice "Ma qui stati scemi tutti, no?" Eppure la Procura, per fortuna, dopo le nostre incursioni ha chiesto l'archiviazione. Molti in televisione si la Procura ha archiviato, la Procura non archivia un bel niente. Il PM chiede l'archiviazione. È il GIP che dispone l'archiviazione. Questa è la richiesta di archiviazione. Manca un pezzettino che vi leggo. Dice "Atteso, gli abbiamo messo in bocca le parole, eh, ne vado molto orgoglioso. Atteso che gli indagati eseguivano a richiesta della società danneggiata il trasferimento di 23,3 Bitcoin a favore di wallet Bitcoin al fine di consentire lo sblocco imposto alla società danneggiata espletando un'attività meramente tecnica." È quello che dicevo prima. "Sulla base della richiesta della società richiedente per non assicurare il profitto di titolari del World Bitcoin, ma per facilitare i richiedenti nella transazione richiesta." Gli avevamo somministrato anche del vino dell'Oltrepò Pavese, insomma Bonarda, no? E e costui, per fortuna, ha capito. Adesso io scherzo, ma noi siamo stati fortunati perché abbiamo avuto a che fare con un PM intelligente. Non son proprio tutti intelligenti. Ci sono PM in sala. Ci sono PM in sala. Voglio solo dire che non son tutti intelligenti così, magari qualcuno è più intelligente. Questo intendo dire. La percentuale è la stessa che nella massima. No, ma ci sono o non ci sono? Non fate scherzo. No. Ah. A meno che siano entrati in incognito. Ma io vado d'accordo con. Allora, per fortuna abbiamo ottenuto questa cosa qui, il decreto di archiviazione. Carnelutti diceva che per una persona per bene la vera sanzione è il processo. Perché una persona per bene che riceve un avviso di garanzia è finito. Anche chi magari non lo riceve, ma l'immaginario collettivo immagina che l'abbia ricevuto. Questo poi è un altro elemento di cui non ho assolutamente voglia di parlare, ma a viso di garanzia uno gli arriva a casa, la moglie gli dice "Ma qualcosa avrei combinato?" Cosa combinato? I Bitcoin a quelli là seò saltan per ari e perché gli i Bitcoin? Perché me li hanno chiesti. E uno ti chiede i Bitcoin, tu gli hai Bitcoin. Sì, ecco il risultato. Poi c'è il proverbio russo, no? Se le mogli fossero buone, Dio ne avrebbe una. No, e no. Ma io vado d'accordo con mia moglie, sto solo giocando. Per fortuna il giudice per le indagini preliminari, letti gli atti del procedimento, esaminata la richiesta del pubblico ministero, ritenuta la stessa condivisibile, dispone l'archiviazione del procedimento.

Allora, io ancora li ho ancora 4 minuti per questo argomento. Per te. Sì, perché volevo tornare sulla non assicurabilità, perché questa è è la prova del nove. Io non sono d'accordo sulla non assicurabilità, ma perché non posso assicurare il rischio da dover pagare un riscatto? La risposta scientifica, giuridica, penalistica è perché assicureresti il rischio connesso ad un illecito? E beh, l'assicurazione antifurto che cazzo è? Il furto non è più? Sì. So che in Italia il furto è su così, però cosa cosa è pazzia questa roba qui, però siccome ancora una volta intendo farvi toccare con mano norme, la legge quella lì del '91 sui sequestri di persona l'ha detto chiaro e tondo. "Chiunque cittadino italiano stipula anche all'estero contratti d'assicurazione aventi ad oggetto la copertura del rischio rappresentato dal pagamento del prezzo del riscatto, è punito con la reclusione da 1 a 3 anni e i contratti di assicurazione sono nulli." E questo principio contenuto nella legge sui sequestri di persona è ripreso dal Codice delle Assicurazioni Private. Sono vietate le assicurazioni che hanno per oggetto il prezzo del riscatto in caso di persona e il contratto se lo fa la compagnia è nullo. Io sono contrario, ma è così. La legge bisogna conoscerla, interpretarla correttamente. Poi uno è contratto, può essere contratto finché vuole, ma ma durale l'ex sedlexex.

L'ultimo aspetto del "Cornuti e Maziati" riguarda quella norma che per la quale io non nutro un particolare amore, che è la legge sulla privacy. Da parola privacy, una legge che costa l'ira di Dio e non poche leggi hanno verso poche leggi ho nutrito un'antipatia così culturale. Anche la legge Merlin, no? Leggi stupide, no? Allora, articolo 5 del regolamento, il famoso GDPR: "I dati personali devono essere trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione dalla distruzione." Quindi tu sei di fronte alla prova del nove che non sei stato capace di garantire un'adeguata sicurezza, compresa la protezione della distruzione. Ti anciulati è la prova del nove. E questo è detto anche nell'articolo 24. "Tenuto conto di tutto, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire ed essere in grado di dimostrare", non basta garantire, bisogna essere in grado di dimostrare, "che il trattamento è effettuato conformemente al presente regolamento." Questa norma riprende un principio che io ricordo era contenuto nella prima legge di tutela privacy ed era uno degli esempi che si era soliti fare per dire "Il legislatore di questi anni siamo, dopo il 1991, non è più il legislatore del che cosa devi fare, è diventato il legislatore del come devi fare le cose." Fermo il che cosa, come devi fare le cose, di qui pullulare di società di consulenza organizzativa eccetera che guadagna un miliardo al minuto, no? Come l'ingegnere.

E adesso passiamo al secondo argomento. Cos'è? C'è la Guerra di Finanza, quindi non esagerare. Guarda, guarda di Finanza in tutti questi anni, se non m'hanno ancora arrestato è proprio perché mi vogliono bene, perché ti ricordi l'ultimo c'era il il generale Carbone che gli ho detto di tutti i colori, no? Poi mi sono ricordato e se non mi resta oggi tranquillo, no? E ho continuato nella mia follia, no? Eh, vi parlo pochi minuti, 3, 4, 5 minuti, 3 minuti dell'altro tema, ma devo segnalare le vittime di frodi. Sono vittime. Dunque, io vi dico prima dal punto di vista tecnico, vorrei tornare all'articolo 35 che sappiamo tutti a memoria. Attenzione, quando si sa di sapere a memoria una norma, non cadiamo nel tranello di non andarla a rileggere. Questo vale per me soprattutto. Eh, io mi vanto di sapere a memoria, ma poi vorrei concentrare attenzione sulle espressioni "che siano in corso", "che siano state compiute". Allora, l'articolo 35, che è il Vangelo dell'obbligo delle segnalazioni di operazioni sospette, ha una visione orientata all'operazione, non ai soggetti. Io non segnalo il soggetto, segnalo l'operazione. È ovvio che segnalo il soggetto, è ovvio che occorrono i due elementi che ricordava il dottor Criscuolo, soggettivo e oggettivo, ma io sto difendendo questa società, Tribunale di Roma, dove vado a dire "Ma come questi soggetti vittime di frodi vanno a finire nell'elenco?" Però mento sapendo di mentire perché la pretesa dell'ordinamento forse è un po' più ampia. Sì, sono vittime di frodi, ma siamo di fronte ad un'operazione da segnalare? Forse, forse nel caso di specie no, perché erano già la notizia criminis era già stata portata. Ma lasciamo per il caso di specie. Il 35 ve lo dico, ve lo dico per ricordare la norma di riferimento, ma nel caso di specie il decreto sanzionatorio del MEF che ha portato questa società a rivolgersi a noi che adesso impugniamo questo decreto al Tribunale di Roma, contiene delle motivazioni. Da notare che i decreti sanzionatori ultimamente sono scritti bene. Qualche anno fa erano scritti male e noi andavamo a nozze. Adesso scritti bene. Questo qui però contiene come motivazione alla fine dei conti perché il MEF cosa usa fare nei nei, lo dico con grande rispetto e poi mi conoscono, ho grande simpatia, ma a riportare con estrema cura e precisione le argomentazioni della difesa per poi dire "Però non valgono un fico secco", no? Un po' comodo, no? Però così qui c'è un'argomentazione che io proprio non condivido, mi ribello e l'argomentazione è che "anche la segnalazione di operazioni sospette relative a soggetti presunti vittime di frode può presentare un'utilità ai fini investigativi." Bene, chi se ne frega. C'è l'obbligo o no? Perché sennò tutto può essere utile, no? Ma se non c'è l'obbligo e se non c'è una sanzione per l'inottemperanza, mi stai chiedendo una cortesia, eh? Non mi infligge una sanzione se non te l'ho segnalato. Io la vedo così.