Riassunto
Nel processo penale digitale non basta discutere il risultato finale: occorre poter controllare il percorso tecnico che ha trasformato il dato in prova. Senza automatismi sull'irripetibilità, ma con più trasparenza, documentazione e accesso difensivo.
PROVA DIGITALE E PROCESSO PENALE
Dal dato al metodo
Perché il contraddittorio sulla prova digitale deve poter controllare il percorso tecnico, non soltanto il risultato
Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale
Abstract
La prova digitale non coincide con il file, con il dispositivo o con il report prodotto dal software forense. Essa prende forma processuale attraverso una sequenza di operazioni tecniche – preservazione, acquisizione, estrazione, parsing, selezione, contestualizzazione e rappresentazione – che può incidere su completezza, significato e verificabilità del risultato.
Il contributo sostiene che il contraddittorio non possa restare confinato alla discussione dibattimentale sull’esito finale: deve poter raggiungere, con intensità variabile, il metodo che ha trasformato l’evidenza informatica in informazione probatoria. Questa esigenza, tuttavia, non consente di qualificare automaticamente ogni acquisizione digitale come accertamento tecnico irripetibile. Occorre distinguere la mera duplicazione, normalmente ripetibile secondo la giurisprudenza di legittimità, dalle attività non differibili, selettive o interpretative che possono cristallizzare il contenuto processualmente conoscibile.
Il problema: il contraddittorio rischia di arrivare quando la prova è già stata formata
Nel processo penale di matrice accusatoria, il contraddittorio costituisce il principio di formazione della prova. La formula dell’art. 111, quarto comma, Cost. richiama un confronto che non è soltanto possibilità di replica, ma partecipazione alla costruzione della conoscenza sulla quale il giudice dovrà decidere. Nel mondo analogico questa impostazione ha trovato il proprio luogo naturale nel dibattimento: l’elemento raccolto durante le indagini viene introdotto, discusso e sottoposto al vaglio delle parti davanti al giudice.
La prova digitale rende più complesso questo schema. Una conversazione estratta da uno smartphone, una timeline ricostruita da un database, una posizione desunta da più sorgenti o un file recuperato dallo spazio non allocato non arrivano al giudice nella forma in cui esistono nel sistema originario. Sono il risultato di operazioni tecniche che individuano una sorgente, la preservano, la acquisiscono secondo un determinato livello di accesso, ne interpretano le strutture e selezionano ciò che viene ritenuto rilevante.
Il rischio è evidente: il dibattimento può trovarsi a discutere un oggetto già stabilizzato da scelte compiute molto prima. Se la sorgente non è più disponibile, i log non sono stati conservati, i criteri di ricerca non sono conoscibili o il report non consente di risalire ai dati sottostanti, la contestazione successiva diventa nominale. Si discute il risultato, ma non è più possibile verificare come quel risultato sia stato prodotto.
Da qui la tesi del contributo: nel digitale il contraddittorio non perde la propria centralità, ma cambia profondità e, in alcuni casi, collocazione temporale. Deve poter penetrare nel metodo e, quando le condizioni tecniche lo richiedono e gli istituti processuali lo consentono, intervenire prima che determinate scelte divengano irreversibili.
Evidenza informatica e prova: una distinzione necessaria
Occorre evitare un’affermazione tanto suggestiva quanto imprecisa: il dato digitale non nasce sempre con l’acquisizione forense. Il file, il record di database, il log o il metadato possono preesistere all’intervento dell’investigatore. Ciò che non preesiste, almeno non nella stessa forma, è la loro rappresentazione probatoria: il modo in cui vengono estratti, correlati, tradotti e restituiti al processo.
È utile, pertanto, distinguere tra evidenza informatica e prova digitale. La prima è l’informazione potenzialmente rilevante presente in un ambiente tecnologico; la seconda è l’esito del percorso giuridico e tecnico che rende quell’informazione conoscibile, attribuibile, contestualizzata e valutabile. Tra le due dimensioni si colloca una catena di mediazioni che non è neutra.
Un report di estrazione, ad esempio, non coincide con il contenuto integrale del dispositivo. È una rappresentazione generata da un software sulla base di artefatti riconosciuti, regole di parsing, versioni applicative, chiavi disponibili e limiti del tipo di acquisizione eseguita. Allo stesso modo, uno screenshot può documentare ciò che appariva sullo schermo in un determinato momento, ma non dimostra da solo origine, integrità, completezza o contesto della conversazione rappresentata.
Questa distinzione sposta correttamente il problema: non si tratta di diffidare in modo pregiudiziale della prova digitale, bensì di impedire che la rappresentazione tecnica venga confusa con il dato originario o assunta come output automatico e, per ciò solo, attendibile.
Acquisire non significa ancora interpretare
La sequenza forense può essere descritta, in termini generali, attraverso quattro funzioni: raccolta e preservazione; esame ed estrazione; analisi; restituzione dei risultati. È una distinzione presente anche nelle linee guida tecniche internazionali, che separano la protezione della sorgente dall’elaborazione e dall’interpretazione dei dati.
Sul piano processuale questa separazione è decisiva. La copia forense bit-stream di un supporto di memoria, quando tecnicamente possibile e correttamente eseguita, mira a creare un duplicato verificabile sul quale lavorare senza incidere sull’originale. Nei dispositivi mobili contemporanei, tuttavia, non sempre è disponibile una copia fisica integrale: l’acquisizione può essere logica, file system o full file system, può dipendere da vulnerabilità temporanee, dallo stato di sblocco, dalla cifratura, dal cloud o da servizi del produttore. Parlare genericamente di «copia forense» può quindi nascondere differenze rilevanti nel perimetro dei dati acquisiti.
Dopo l’acquisizione intervengono operazioni ulteriori: decodifica dei database, normalizzazione dei timestamp, correlazione tra account e dispositivi, recupero di record cancellati, applicazione di parole chiave, delimitazione temporale, esclusione dei duplicati, interpretazione dei campi e produzione di report. Sono passaggi nei quali aumentano la discrezionalità tecnica e il rischio di perdita del contesto.
Il contraddittorio effettivo deve allora poter distinguere almeno tre domande: che cosa era presente nella sorgente; che cosa lo strumento è riuscito ad acquisire; che cosa l’analista ha selezionato e interpretato. Confondere questi piani conduce a conclusioni eccessive, soprattutto quando un’assenza nel report viene trasformata nell’affermazione che un dato non sia mai esistito.
Il limite dell’irripetibilità: nessun automatismo
La necessità di anticipare il controllo non autorizza a sostenere che ogni estrazione di dati integri un accertamento tecnico non ripetibile ai sensi dell’art. 360 c.p.p. L’orientamento consolidato della Corte di cassazione considera normalmente la mera estrazione da un supporto informatico un’operazione meccanica e ripetibile, purché il dato originario sia preservato. La legge 18 marzo 2008, n. 48 ha rafforzato l’obbligo di adottare modalità idonee a garantire conformità e immodificabilità, ma la violazione delle buone pratiche non determina, da sola, un’automatica inutilizzabilità: occorre verificare in concreto l’alterazione e l’affidabilità del dato (tra le altre, Cass., Sez. II, n. 24998/2015; Cass., Sez. I, n. 38909/2021; Cass., Sez. V, n. 34057/2024).
Questa impostazione, tuttavia, non esaurisce il problema. La ripetibilità della duplicazione non coincide con la piena ripetibilità dell’intero percorso conoscitivo. Un’acquisizione live modifica inevitabilmente lo stato del sistema; un contenuto cloud può cambiare o non essere più disponibile; una sessione sbloccata può rappresentare un’occasione non riproducibile; una determinata versione software può interpretare un database in modo diverso da quella successiva. Anche la selezione eseguita su una massa di dati non è neutra, soprattutto se il corpus originario non viene conservato o reso accessibile per le verifiche consentite.
L’art. 360 c.p.p. e l’incidente probatorio non possono essere utilizzati come formule generali per qualunque indagine digitale. Operano nei rispettivi presupposti normativi. La complessità tecnica, da sola, non trasforma un atto ripetibile in irripetibile; ma impone di valutare in concreto se lo stato della persona, della cosa o del luogo digitale sia soggetto a modificazione non evitabile e se il differimento comprometta la possibilità di controllo.
L’anticipazione del contraddittorio deve quindi essere graduata. Può significare avviso e partecipazione del consulente nei casi ex art. 360 c.p.p.; ricorso all’incidente probatorio quando ricorrono le condizioni dell’art. 392 c.p.p.; ma, più frequentemente, significa preservazione tempestiva, documentazione completa, disponibilità dei dati di base e possibilità per la difesa di svolgere un’analisi indipendente.
La legalità del metodo: criterio di controllo, non nuova sanzione processuale
L’espressione «legalità del metodo» può essere utile se viene impiegata con precisione. Non individua, allo stato, una categoria autonoma capace di produrre automaticamente nullità o inutilizzabilità ogni volta che una best practice non sia stata rispettata. Le conseguenze processuali dipendono dalla regola concretamente violata, dal tipo di atto, dal pregiudizio arrecato e dal regime previsto dal codice.
La legalità del metodo descrive piuttosto un criterio sostanziale di controllabilità. L’atto di acquisizione può essere formalmente legittimo e il suo risultato comunque debole, perché non è possibile dimostrarne la completezza o ricostruire le operazioni svolte. In questi casi il difetto metodologico incide principalmente sull’attendibilità e sul peso probatorio, senza escludere che, quando siano violate specifiche garanzie o siano compromessi diritti fondamentali, possano emergere conseguenze ulteriori.
La giurisprudenza sul sequestro informatico mostra con chiarezza questo spostamento dal contenitore al metodo. Cass., Sez. VI, n. 34265/2020 ha distinto la copia integrale, definita «copia mezzo», dai dati pertinenti destinati a essere trattenuti, imponendo selezione e restituzione nel tempo necessario. Il principio evidenzia che l’acquisizione tecnica non può essere disgiunta da criteri di pertinenza e proporzionalità. La più recente giurisprudenza continua a confrontarsi con la delimitazione dell’oggetto e dei tempi del vincolo, confermando che la massa informativa di uno smartphone non può essere trattata come un reperto unitario e indifferenziato.
Anche Corte cost. n. 170/2023 e Corte giust. UE, Grande Sezione, 4 ottobre 2024, C-548/21, pur in contesti differenti, segnalano la qualità costituzionale e sovranazionale dei dati custoditi nei dispositivi: messaggi e posta elettronica non perdono automaticamente la protezione riconosciuta alla corrispondenza; l’accesso ai dati di un telefono può determinare un’ingerenza grave e richiede proporzionalità e controllo preventivo indipendente secondo il diritto dell’Unione. Il metodo è dunque anche delimitazione giuridica dell’accesso, non soltanto correttezza tecnica della copia.
Che cosa deve poter controllare realmente la difesa
La nomina di un consulente non rende effettivo il contraddittorio se mancano l’oggetto e le informazioni necessarie alla verifica. Il controllo tecnico non consiste nel ricevere il medesimo PDF già prodotto dall’accusa, ma nel poter ricostruire, entro i limiti stabiliti dall’autorità giudiziaria e nel rispetto dei dati estranei, la catena che conduce dalla sorgente alla conclusione.
Un corredo documentale adeguato dovrebbe rendere conoscibili almeno i seguenti elementi:
- identificazione della sorgente, stato del dispositivo e condizioni operative al momento del reperimento;
- titolo giuridico e perimetro dell’attività, inclusi intervalli temporali, categorie di dati e criteri di selezione;
- tipo di acquisizione effettivamente eseguita e relative limitazioni, evitando etichette generiche;
- strumenti, versioni, moduli, impostazioni e log generati durante acquisizione ed elaborazione;
- impronte hash delle immagini, dei contenitori e dei file rilevanti, precisando che l’hash dimostra identità tra oggetti digitali ma non, da solo, autenticità storica o completezza;
- procedure di parsing, filtri, keyword, fusi orari, regole di normalizzazione e criteri di esclusione;
- distinzione tra dato originario, dato estratto, inferenza dell’analista e rappresentazione inserita nella relazione;
- conservazione dei dati di base e modalità di accesso difensivo, con adeguate misure per informazioni personali o estranee al procedimento;
- verifiche di validazione o riscontri incrociati quando il risultato dipende da software proprietario o da un singolo parser.
Non tutti questi elementi hanno lo stesso peso in ogni caso. Una semplice acquisizione di un file consegnato spontaneamente non richiede il medesimo apparato di un’estrazione full file system da smartphone o di un’acquisizione live da infrastruttura cloud. Il metodo deve essere proporzionato all’operazione e alla conclusione che si pretende di sostenere. Ciò che non può mancare è la possibilità di distinguere il fatto osservato dall’inferenza tecnica e di verificare le condizioni nelle quali l’inferenza è stata formulata.
Contraddittorio anticipato, contestuale e successivo
La formula dell’«anticipazione del contraddittorio» non deve essere letta come trasferimento generalizzato del dibattimento nelle indagini preliminari. È più corretto pensare a tre livelli complementari di controllo.
Il primo è anticipato e riguarda le operazioni che rischiano di modificare irreversibilmente la sorgente o di perdere dati volatili. Qui la partecipazione difensiva, quando giuridicamente prevista e tecnicamente possibile, tutela la genuinità dell’atto. Il secondo è contestuale e concerne la documentazione delle scelte compiute durante acquisizione e analisi: anche quando la difesa non è presente, l’operazione deve lasciare tracce sufficienti alla ricostruzione. Il terzo è successivo e consiste nell’accesso ai dati, nella replica dell’analisi e nella contestazione delle conclusioni.
I tre livelli non sono intercambiabili. La presenza del consulente durante la copia non sana l’assenza di log o la mancata conservazione della sorgente; la disponibilità di un duplicato non consente di ricostruire una selezione se non sono note le keyword; il dibattimento non restituisce dati ormai perduti. Il contraddittorio digitale è effettivo quando il sistema conserva abbastanza informazione da permettere una contestazione tecnicamente fondata.
In questa prospettiva, la ripetibilità non va confusa con la possibilità astratta di premere nuovamente il pulsante «Extract». Ripetibile è un accertamento del quale siano conoscibili le condizioni iniziali, i passaggi, i parametri e i limiti, in modo che un altro esperto possa comprendere le differenze tra i risultati e spiegarle al giudice.
Il ruolo del giudice davanti alla mediazione tecnica
Il giudice non deve trasformarsi in informatico forense, ma neppure limitarsi a recepire l’autorità dell’esperto o del software. Il suo compito è verificare se la conclusione tecnica sia stata resa intelligibile, se le premesse siano controllabili, se i limiti siano dichiarati e se le inferenze risultino proporzionate ai dati disponibili.
Una relazione tecnicamente sofisticata ma non verificabile non rafforza la prova: aumenta la distanza cognitiva tra chi ha eseguito l’analisi e chi deve valutarla. Al contrario, la buona consulenza espone anche ciò che lo strumento non ha acquisito, ciò che il metodo non consente di affermare e le ipotesi alternative rimaste aperte.
È su questo terreno che il contraddittorio recupera la propria funzione epistemologica. Le parti non sono chiamate a contrapporre certificazioni di esperti, ma a rendere visibili al giudice i passaggi nei quali il dato può essere stato alterato, selezionato, interpretato o decontestualizzato. La decisione resta giuridica proprio perché non abdica al controllo della qualità del percorso tecnico.
Conclusioni: la prova digitale è affidabile quando è contestabile
La trasformazione digitale non impone di abbandonare le categorie del processo accusatorio. Impone, piuttosto, di applicarle al luogo in cui oggi si forma una parte decisiva della conoscenza processuale: il procedimento tecnico che conduce dall’evidenza informatica alla sua rappresentazione in giudizio.
Il punto non è proclamare l’irripetibilità generalizzata delle acquisizioni né attribuire alle best practices il valore di norme processuali. È riconoscere che integrità, tracciabilità, pertinenza, trasparenza del parsing e accesso ai dati di base costituiscono condizioni concrete del contraddittorio. Quando tali condizioni mancano, la prova può essere formalmente presente nel fascicolo ma sostanzialmente sottratta alla verifica.
In sintesi, il metodo non è un allegato tecnico della prova digitale: è la parte che consente di valutarla. Una prova digitale non è credibile perché proviene da uno strumento sofisticato, ma perché il percorso che l’ha prodotta è documentato, comprensibile e sottoponibile a controllo indipendente. È questa, più che una nuova frontiera, la traduzione contemporanea di una garanzia antica: nessun risultato probatorio dovrebbe sottrarsi alla possibilità di essere discusso.
Riferimenti normativi, giurisprudenziali e tecnici essenziali
- Costituzione della Repubblica italiana, art. 111, in particolare il quarto comma. Fonte
- Codice di procedura penale: artt. 234, 253 ss., 360 e 392. Fonte
- Legge 18 marzo 2008, n. 48, Ratifica ed esecuzione della Convenzione di Budapest sulla criminalità informatica. Fonte
- , Sez. II, 4 giugno 2015, n. 24998, Scanu, Rv. 264286; Cass., Sez. I, 10 giugno 2021, n. 38909, Marziano, Rv. 282072; Cass., Sez. V, 9 settembre 2024, n. 34057, sulla natura normalmente ripetibile dell’estrazione dei dati e sulla verifica concreta dell’alterazione.
- , Sez. VI, 22 settembre 2020 (dep. 2 dicembre 2020), n. 34265, sulla distinzione tra copia integrale e dati pertinenti e sui limiti al trattenimento della «copia mezzo». Fonte
- Corte costituzionale, sentenza 27 luglio 2023, n. 170, sulla tutela costituzionale della corrispondenza elettronica conservata nei dispositivi. Fonte
- Corte di giustizia dell’Unione europea, Grande Sezione, 4 ottobre 2024, C-548/21, C.G. contro Bezirkshauptmannschaft Landeck, su proporzionalità, controllo preventivo e accesso ai dati di un telefono mobile. Fonte
- ISO/IEC 27037:2012, Guidelines for identification, collection, acquisition and preservation of digital evidence. Fonte
- NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response; NIST SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics. Fonte
- SWGDE, Best Practices for Digital Evidence Collection e Best Practices for Computer Forensic Examinations. Fonte
✒️ Nota sull’autore
Domenico Moretta, laureato in Diritto della Società Digitale, è criminalista forense e consulente tecnico specializzato in digital forensics, audio forense e trascrizioni giuridiche. Autore di volumi divulgativi e professionali, affianca all’attività peritale un costante percorso di approfondimento nelle discipline giuridiche e nelle tecnologie applicate alla prova digitale.
Con il progetto www.acquisizioneprovedigitali.it promuove una cultura integrata tra scienze forensi, innovazione tecnologica e tutela dei diritti nell’ambiente digitale.
Vuoi rimanere aggiornato sulle ultime tendenze e tecnologie nel campo della digital forensics ?
Iscriviti alla nostra newsletter e ricevi informazioni esclusive, aggiornamenti sui nostri servizi e contenuti utili per il tuo lavoro.
Non perdere l’opportunità di essere sempre al passo con le ultime novità nel settore. Iscriviti ora e non perdere neanche una notizia!
*Nota di trasparenza*: parte di questo contenuto è stato redatto con il supporto di strumenti di Intelligenza Artificiale, secondo quanto previsto dal Regolamento UE 2022/2065 (AI Act). Il contenuto è stato supervisionato e approvato da un professionista forense.
