Uccisa dallo stalker mentre la polizia attendeva i dati dai colossi tech: la storia di Kristil Krug

Per mesi Kristil Krug, 43 anni, madre di tre figli in Colorado, aveva vissuto sotto assedio. Ogni giorno riceveva centinaia di messaggi, email e minacce sempre più inquietanti. Nell'autunno del 2023 la donna aveva denunciato tutto alla polizia, convinta di essere vittima di uno stalker – che si firmava come un suo ex-fidanzato – che continuava a tormentarla. Gli investigatori avevano inviato diverse richieste formali a Google e agli operatori telefonici per identificare il mittente dei messaggi, ma le risposte tardavano ad arrivare. Le settimane passarono nel silenzio delle piattaforme e delle compagnie telefoniche, mentre Krug viveva in uno stato di paura costante.

Una mattina di dicembre, la storia arrivò al suo tragico epilogo. La donna venne aggredita alle spalle nel garage di casa, ricevendo colpi mortali alla testa e al cuore. Solo dopo il ritrovamento del corpo le indagini subirono una decisiva accelerata. Nel giro di poche ore le aziende risposero finalmente agli investigatori, portando alla rapida soluzione del caso: i messaggi non provenivano da un ex compagno, ma proprio dal marito, Daniel Krug, che intorno a mezzogiorno di quella stessa giornata aveva chiamato Kristil al cellulare.

Le risposte tardive e il ruolo delle piattaforme

Lo scorso aprile Daniel Krug è stato condannato all'ergastolo per stalking, omicidio e furto di identità. Stando alla ricostruzione dei giudici riportata dai media, l'uomo avrebbe inscenato le minacce in modo da potersi ergere a protettore della moglie e riacquistarne così i favori dopo mesi di rapporti tesi. Dopo che Kristil aveva denunciato tutto alla polizia, Daniel aveva però iniziato a temere di essere scoperto. Da qui la decisione di uccidere la moglie per coprire le proprie tracce.

Al di là del mero fatto di cronaca, l'intera vicenda ha innescato forti reazioni da parte dell'opinione pubblica e della famiglia della vittima. Quanto aveva pesato sull'esito della storia la lentezza con cui Google e gli operatori telefonici avevano fornito le informazioni necessarie per identificare il mittente dei messaggi minatori?

Secondo Rebecca Ivanoff, cugina di Kristil ed ex procuratrice specializzata in violenza familiare, quelle informazioni avrebbero potuto salvare la vita della donna. Sapere che lo stalker si nascondeva all'interno della propria famiglia avrebbe consentito alla donna di predisporre un piano di sicurezza e alle forze dell'ordine di intervenire molto prima. Quanto accaduto sembra però l'esito di un problema strutturale. Spesso, infatti, le richieste delle autorità vengono elaborate secondo un principio procedurale, in base all'ordine di arrivo, senza una vera gerarchia di urgenze. Per questo, ha spiegato la BBC, i tempi medi per elaborare mandati di questo tipo possono superare le sei settimane. Un'eternità quando si parla di stalking o minacce.

La legge nata dopo il caso Krug

Dopo il delitto, la famiglia Krug ha avviato una campagna insieme ad associazioni e procuratori specializzati per cambiare la legge, sostenendo la necessità di creare corsie preferenziali per i casi di violenza domestica e persecuzione online. Quel lavoro ha già prodotto un primo risultato concreto. In Oregon, dove Ivanoff vive, lo scorso primo maggio è stata approvata una nuova normativa che impone una maggiore rapidità nelle risposte ai mandati delle forze dell'ordine quando queste riguardano casi di stalking e violenza domestica: massimo 72 ore per social e piattaforme e non più di cinque giorni per gli operatori di telecomunicazioni. La speranza dell'ex procuratrice è che anche il Colorado possa adeguarsi entro il 2027.

Le aziende tecnologiche, chiamate al tavolo delle trattative durante l'iter legislativo, avrebbero riconosciuto la necessità di distinguere queste richieste urgenti dai mandati ordinari. La stessa Google, in passato, ha spiegato di ricevere ogni giorno un enorme volume di richieste dalle autorità e di avere team attivi 24 ore su 24 per le emergenze. Incalzato dai media locali, il gigante di Mountain View non ha però voluto commentare ulteriormente la vicenda.

Il difficile equilibrio tra privacy e sicurezza

La questione legale non è di facile soluzione poiché si viaggia sul sottile confine tra il diritto di tutelare la sicurezza del cittadino e l'esigenza di garantire la privacy degli utenti. La stessa madre di Kristil, Linda Grimsrud, lo ha definito "un equilibrio difficile", perché ogni accesso ai dati personali apre inevitabilmente interrogativi sui diritti individuali. Allo stesso tempo, però, l'anonimato digitale non può trasformarsi in uno scudo per persecutori e criminali.

Sarebbe potuto accadere anche da noi? Come funziona la legge in Europa

La complessità di casi simili non esclude che dinamiche del genere possano verificarsi anche in Europa, tuttavia il quadro normativo dell'Unione Europea offre oggi tutele molto più stringenti. Se da un lato il Regolamento Generale sulla Protezione dei Dati (GDPR) tutela la privacy, dall'altro l'Articolo 6 del testo ne prevede la deroga quando la condivisione delle informazioni è necessaria a salvaguardare "interessi vitali" come la vita stessa della vittima.

Fino a tempi recentissimi, però, anche le forze dell'ordine europee si scontravano con ostacoli molto simili a quelli emersi nel caso Krug. Per ottenere dati dai Big Tech con sede legale all'estero – come Google o Meta in Irlanda, o direttamente negli Stati Uniti – magistrati e investigatori dovevano ricorrere ai trattati di mutua assistenza giudiziaria internazionale, i cosiddetti MLAT. Procedure spesso lente, capaci di richiedere settimane o addirittura mesi.

La vera svolta è arrivata con il nuovo regolamento europeo e-Evidence, pensato proprio per ridurre i ritardi nella cooperazione con le piattaforme digitali. La normativa supera le vecchie trafile burocratiche internazionali e consente ai magistrati europei di ordinare direttamente alle aziende tecnologiche, indipendentemente dal luogo in cui si trovano server o sedi legali, la consegna dei dati necessari alle indagini. Il regolamento stabilisce un limite massimo di dieci giorni per le richieste ordinarie, ma introduce una corsia d'urgenza molto più rapida nei casi di grave minaccia o di pericolo imminente per una persona. In simili contesti le piattaforme devono rispondere entro otto ore. Un limite temporale pensato proprio per evitare che il ritardo nella trasmissione delle informazioni possa trasformarsi in un rischio fatale per le vittime