Cosa Ha Deciso Davvero la Corte Suprema il 27 Luglio

Il 27 luglio 2026, un collegio di cinque giudici della Corte Suprema del Regno Unito si è diviso 3 contro 2 in Kingdom of Bahrain v Shehabi and another, citato come [2026] UKSC 25. Lord Lloyd-Jones, Lord Hamblen e Lady Simler hanno formato la maggioranza; Lord Leggatt e Lord Burrows hanno dissentito. Il caso era arrivato alla massima corte del paese dopo che sia la High Court sia la Corte d'Appello, in [2024] EWCA Civ 1158, avevano respinto la richiesta di immunità statale del Bahrein.

La maggioranza della Corte Suprema ha stabilito che uno Stato straniero non ha diritto all'immunità dai procedimenti civili quando i suoi agenti installano uno spyware su un computer situato nel Regno Unito e questo causa un danno psichiatrico, anche quando gli agenti dello Stato non sono mai entrati fisicamente nel paese. Questo apre la strada a un processo completo davanti alla High Court, dove il reale coinvolgimento del Bahrein ed eventuali risarcimenti saranno decisi sulla base dei fatti.

L'Infezione da FinSpy Dietro il Caso

Il dottor Saeed Shehabi e Moosa Mohammed sono attivisti bahreiniti per la democrazia che vivono a Londra da anni. Sostengono che, a partire da circa settembre 2011, agenti che agivano per conto del Regno del Bahrein abbiano infettato i loro computer con lo spyware FinSpy, uno strumento di sorveglianza capace di raccogliere file, comunicazioni e sequenze di tasti da un dispositivo infetto. Secondo la sintesi del caso fornita dalla Corte Suprema, i due attivisti affermano di aver scoperto l'intrusione verso agosto 2014, grazie a rivelazioni collegate a WikiLeaks e al gruppo di ricerca Bahrain Watch, e che scoprire di essere stati sorvegliati per anni ha causato loro un danno psichiatrico duraturo.

La difesa del Bahrein lungo tutto il contenzioso non era che l'attacco non fosse avvenuto, ma che, in quanto Stato sovrano, fosse immune dall'essere citato in giudizio per questo davanti a un tribunale britannico. Proprio quell'argomento di immunità, non i fatti alla base dell'attacco, è ciò che la Corte Suprema ha ora respinto.

Perché il Luogo Era l'Intera Battaglia Legale

La Sezione 5 dello State Immunity Act del 1978 toglie l'immunità di uno Stato straniero nei procedimenti per lesioni personali causate da un atto o un'omissione nel Regno Unito. La disputa arrivata davanti a cinque giudici della Corte Suprema non riguardava se Shehabi e Mohammed avessero subito un danno, ma se uno spyware azionato dal Bahrein e diretto contro computer situati a Londra costituisse comunque un atto commesso nel Regno Unito.

La maggioranza ha ritenuto che la condotta giuridicamente rilevante sia il luogo in cui l'operazione viene eseguita contro il proprio bersaglio, cosicché un atto può essere territoriale anche quando chi lo dirige non attraversa mai un confine di persona; secondo quanto riportato, la sentenza avrebbe tracciato un paragone con un attacco con drone o un attacco remoto ai sistemi del NHS, casi in cui nessuno sosterrebbe seriamente che il danno si sia verificato solo dove si trovava la consolle dell'operatore. Lord Leggatt e Lord Burrows hanno dissentito esattamente su questo punto, sostenendo che un funzionario che gestisce uno spyware dal Bahrein agisce in Bahrein, e che il Regno Unito è semplicemente il luogo in cui le conseguenze si sono fatte sentire, non quello in cui l'atto stesso ha avuto luogo.

Tesi Originale: Lo Spyware Non È Mai Stato un'Importazione Straniera

La maggior parte della copertura di questa sentenza si è concentrata su cosa significhi per la portata dell'immunità statale nelle operazioni informatiche. Il dettaglio che cambia i termini della questione per la politica britannica è da dove sia venuto davvero FinFisher, commercializzato anche come FinSpy. Secondo il contenzioso intentato da Privacy International contro le autorità britanniche per le esportazioni e le ricerche pubblicate da Citizen Lab, lo spyware è stato sviluppato e venduto da Gamma International, un'azienda registrata ad Andover, nel Regno Unito, che opera accanto a una società consorella con sede a Monaco di Baviera.

Questo significa che non si tratta semplicemente di un precedente su Stati stranieri che agiscono sulla Gran Bretagna dall'estero. È un precedente che ricade su una filiera commerciale con sede nel Regno Unito, una filiera già sottoposta da anni a un controllo separato sul fatto che le sue licenze di esportazione verso acquirenti autoritari rispettassero la legge britannica. Uno strumento costruito e commercializzato su suolo britannico, una volta rivenduto a un governo straniero, ha ora prodotto una sentenza che espone quel governo a una causa britannica esattamente per come lo strumento è stato usato, il che alza la posta per qualsiasi fornitore di sorveglianza domiciliato nel Regno Unito che venda a mercati con una storia debole in materia di diritti umani: la condotta successiva dell'acquirente può ora tornare indietro attraverso un tribunale britannico, il che attira anche un'attenzione scomoda su dove lo strumento è stato costruito.

Cosa Succede Ora, e Cosa Non Fa Questa Sentenza

La Corte Suprema non ha stabilito che il Bahrein abbia effettivamente autorizzato l'attacco, né ha fissato alcuna cifra di risarcimento. Ciò che ha deciso è più circoscritto e, in pratica, più rilevante: il Bahrein non può usare l'immunità statale per tenere il caso fuori da un'aula di tribunale britannica. La causa torna ora alla High Court per un processo completo nel merito, dove Shehabi e Mohammed dovranno provare il coinvolgimento del Bahrein e l'entità del loro danno psichiatrico.

Per qualsiasi governo straniero che stia conducendo, o stia valutando di condurre, un'operazione di sorveglianza contro una persona fisicamente presente nel Regno Unito, l'immunità non è più uno scudo automatico nel momento in cui a un tribunale britannico viene chiesto di esaminare la causa. E per qualsiasi azienda con sede nel Regno Unito che costruisce strumenti che rendono possibile quel tipo di operazione, questa sentenza è un promemoria del fatto che l'esposizione non finisce con la licenza di esportazione: può riemergere anni dopo come una causa interna su ciò che un cliente straniero ha fatto con ciò che ha comprato.

Da leggere ora: Un diario del 1947 fissa la regola UE sulle VPN  |  Una sentenza su Meta riguarda ogni piattaforma UK