Riassunto
La Cassazione, con la sentenza n. 33309/2026, chiarisce che una ricerca informatica non è proporzionata quando le parole chiave sono tanto generiche da imporre l'esame indiscriminato dei dati. Il punto decisivo non è vietare le keyword, ma definire prima dell'accesso un perimetro di ricerca concreto, verificabile e riproducibile.
Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale
Dire che in uno smartphone si cercheranno “messaggi relativi agli stupefacenti”, alla corruzione, a una frode o a qualsiasi altro tema investigativo non significa ancora avere delimitato la ricerca. Significa soltanto avere indicato il tema di prova.
È questa la distinzione centrale della recente sentenza della Corte di Cassazione n. 33309/2026: il tema dell’indagine non coincide con il criterio tecnico mediante il quale saranno separati, sin dall’inizio, i dati pertinenti da quelli estranei. Se il filtro può essere applicato soltanto dopo avere letto tutto, non è un vero filtro. È una selezione successiva a un accesso già generalizzato.
La pronuncia rappresenta quindi un passaggio importante nell’evoluzione dello statuto della prova digitale. Non perché vieti le ricerche per parole chiave, ma perché impone di valutarne l’effettiva capacità selettiva e la verificabilità prima dell’esame dei dati.
Il caso deciso dalla Cassazione
La vicenda nasce nell’ambito di un procedimento in materia di stupefacenti. Il provvedimento aveva disposto l’acquisizione della messaggistica audio e video riferibile alle interlocuzioni con gli acquirenti e dei contenuti nei quali comparissero parole riconducibili, anche indirettamente, alle dosi di sostanza stupefacente.
Il Tribunale del riesame aveva ritenuto sufficiente questa delimitazione. La Cassazione è giunta alla conclusione opposta: parole non previamente determinate e identificabili soltanto attraverso la lettura del contenuto non consentono di distinguere in partenza ciò che può essere esaminato da ciò che deve restare estraneo all’indagine.
La Corte ha quindi annullato il decreto di sequestro e disposto la restituzione dei due telefoni e della copia integrale dei dati acquisiti. L’esito è particolarmente significativo perché conferma che il pregiudizio non riguarda soltanto la temporanea indisponibilità del dispositivo, ma anche la conservazione e l’esame del patrimonio informativo duplicato.
Tema di prova e criterio di selezione non sono la stessa cosa
Il tema di prova risponde alla domanda: che cosa si intende accertare? Il criterio di selezione deve invece rispondere a una domanda diversa: quali dati possono essere esaminati, attraverso quali regole e entro quali limiti?
La differenza può essere rappresentata in modo semplice:
| Indicazione | Funzione reale | Valutazione |
|---|---|---|
| “Conversazioni riguardanti gli stupefacenti” | Indica il tema investigativo | Non separa autonomamente i dati pertinenti |
| Comunicazioni con soggetti previamente identificati | Delimita gli interlocutori | Criterio verificabile, se motivato e proporzionato |
| Comunicazioni comprese in un intervallo temporale definito | Delimita il periodo oggetto di esame | Criterio selettivo, se coerente con i fatti |
| Elenco predeterminato di termini, varianti e combinazioni logiche | Definisce le regole della ricerca | Può essere idoneo se specifico, documentato e integrato con altri limiti |
| “Ogni dato che il consulente riterrà rilevante” | Rinvia la selezione alla valutazione successiva | Espone al rischio di accesso esplorativo |
La sentenza non pretende che ogni singolo elemento probatorio sia già conosciuto prima della ricerca. Se così fosse, il mezzo di ricerca della prova perderebbe gran parte della propria funzione. Richiede, però, che l’area dell’ingerenza sia riconoscibile e controllabile prima che l’operatore acceda alla massa informativa.
Perché una keyword può essere soltanto apparentemente selettiva
Nel linguaggio comune, una parola chiave sembra un filtro semplice: si inserisce un termine nel software e si ottengono i risultati. Nella digital forensics, la questione è molto più complessa.
La stessa espressione può essere cercata come corrispondenza esatta, parte di una parola, radice linguistica, espressione regolare o combinazione booleana. Il risultato cambia a seconda della gestione di maiuscole e minuscole, accenti, apostrofi, errori ortografici, abbreviazioni, traslitterazioni, emoji, varianti dialettali e parole concatenate. Cambia anche in relazione al campo interrogato: testo dei messaggi, nomi dei contatti, didascalie, nomi dei file, metadati, documenti allegati, testo ricavato mediante OCR o parlato trasformato in testo.
Occorre inoltre distinguere tra dati attivi, dati cancellati, anteprime, notifiche, database applicativi e contenuti sincronizzati dal cloud. Una ricerca eseguita sull’interfaccia di un report non è necessariamente equivalente a quella condotta sul database sorgente o sull’intero file system estratto.
Falsi positivi e falsi negativi
Una keyword troppo ampia produce molti falsi positivi: risultati formalmente compatibili con il termine, ma privi di reale attinenza ai fatti. Per stabilire quali siano pertinenti, l’operatore è costretto ad ampliare progressivamente il contesto e, nei casi estremi, a leggere intere conversazioni.
Una keyword troppo stretta, al contrario, può generare falsi negativi: non intercetta sinonimi, errori, linguaggi convenzionali, contenuti vocali, immagini, documenti non indicizzati o formule indirette. Per ridurre questo rischio si tende ad ampliare il dizionario di ricerca; ma un’espansione non governata aumenta nuovamente la quantità di dati estranei sottoposti a esame.
La questione non si risolve quindi indicando genericamente che saranno utilizzate delle parole chiave. Occorre progettare la ricerca, motivare i criteri e documentare come essi sono stati applicati.
Copia forense integrale e accesso indiscriminato restano due piani diversi
È importante evitare un equivoco. La sentenza non consente di affermare che ogni copia forense integrale sia vietata. In determinate condizioni, una duplicazione estesa può essere tecnicamente necessaria per preservare l’integrità del dato, evitare ulteriori modificazioni del dispositivo, rendere ripetibile l’accertamento e consentire l’eventuale recupero di artefatti non più visibili all’utente.
La modalità di acquisizione e il perimetro dell’analisi, tuttavia, non coincidono. Una copia può essere più ampia dei dati che sarà poi legittimo esaminare e trattenere. Proprio per questo devono essere definite regole di selezione, segregazione, accesso e gestione dei contenuti non pertinenti.
Come già osservato in un precedente approfondimento sul sequestro dello smartphone e sulla copia forense integrale, la correttezza tecnica dell’imaging non sana l’eventuale indeterminatezza giuridica dell’accesso. Hash, catena di custodia e tracciabilità dimostrano integrità e ripetibilità; non definiscono da soli quali dati possano essere cercati.
Come dovrebbe essere costruito un protocollo di ricerca verificabile
La Cassazione non detta un disciplinare informatico composto da passaggi obbligatori. Sul piano tecnico-forense, tuttavia, il requisito della selettività ex ante può essere tradotto in un protocollo documentato che comprenda almeno i seguenti elementi:
- Obiettivo dell’accertamento: il fatto o la relazione che si intende verificare, distinti dalla generica qualificazione giuridica del reato.
- Sorgenti da esaminare: dispositivi, profili utente, applicazioni, account, archivi, database e categorie di file compresi nel mandato.
- Perimetro temporale: data iniziale e finale, con indicazione delle ragioni che collegano l’intervallo ai fatti oggetto di indagine.
- Soggetti e identificativi: nominativi, numeri telefonici, indirizzi e-mail, username, ID applicativi o altri elementi già determinati.
- Dizionario di ricerca: termini, varianti e combinazioni stabiliti prima dell’esecuzione, con la relativa giustificazione.
- Regole tecniche: corrispondenza esatta o parziale, operatori logici, espressioni regolari, gestione di maiuscole, accenti, errori, OCR, trascrizione automatica e dati cancellati.
- Contesto dei risultati: quantità di messaggi antecedenti e successivi che possono essere visualizzati per comprendere ogni occorrenza senza estendere arbitrariamente la lettura.
- Tracciabilità: software e versione utilizzati, data e ora delle ricerche, query eseguite, numero dei risultati, esportazioni prodotte, eventuali esclusioni e impronte hash.
- Gestione dei dati estranei: separazione logica, limitazione degli accessi, divieto di utilizzo per finalità ulteriori e decisione sulla restituzione o cancellazione delle copie non pertinenti.
Questi elementi non trasformano la ricerca in un procedimento rigido. Consentono, piuttosto, di distinguere una legittima evoluzione investigativa da un ampliamento non controllato. Se emergono nuovi elementi che rendono necessario modificare il perimetro, la modifica dovrebbe essere motivata, temporalmente tracciata e ricondotta a un nuovo criterio verificabile, evitando che la prima occorrenza diventi il pretesto per esaminare l’intero dispositivo.
Il consulente tecnico non può ricevere una delega investigativa in bianco
La pronuncia incide direttamente sul rapporto tra pubblico ministero, polizia giudiziaria e consulente tecnico.
Il pubblico ministero deve definire il perimetro giuridico e investigativo della ricerca. Il tecnico può tradurlo in query, filtri e procedure adeguate alla struttura dei dati, segnalando preventivamente limiti, ambiguità e rischi di perdita informativa. Non dovrebbe però essere lasciato libero di decidere, dopo avere visionato tutti i contenuti, quali conversazioni “sembrino” connesse al reato.
Una simile impostazione sposterebbe sul consulente una scelta che non è meramente tecnica: la determinazione dell’ampiezza dell’ingerenza nella sfera privata. L’esperto deve applicare criteri e rendere l’operazione verificabile; non sostituirsi all’autorità procedente nella delimitazione dell’oggetto del sequestro.
La competenza tecnica resta comunque essenziale già nella fase di progettazione. Un elenco di keyword formulato senza conoscere la struttura dei database, le capacità del software, i campi indicizzati e i limiti dell’estrazione può apparire preciso nel decreto e risultare, in concreto, inefficace o eccessivamente invasivo.
Che cosa dovrebbe verificare la difesa tecnica
Per il difensore e il consulente tecnico di parte, il controllo non può fermarsi alla presenza formale di un elenco di parole chiave. Occorre verificare almeno:
- se l’elenco fosse definito e conoscibile prima dell’avvio delle ricerche;
- se le keyword siano specifiche o richiedano comunque la lettura generalizzata dei contenuti;
- quali applicazioni, archivi, campi e categorie di dati siano stati interrogati;
- quale periodo temporale sia stato applicato e su quali metadati;
- quali regole di corrispondenza e combinazioni logiche siano state utilizzate;
- se le query siano state ampliate o modificate durante l’analisi e con quale autorizzazione;
- se siano disponibili log, report delle ricerche e dati sufficienti a riprodurre il risultato;
- come siano stati trattati i falsi positivi e i contenuti di soggetti estranei;
- quale sia stata la sorte della copia forense integrale e dei dati esclusi.
Il controllo riguarda dunque sia il provvedimento sia la sua esecuzione. Un decreto astrattamente delimitato può essere attuato in modo più ampio; allo stesso modo, una procedura tecnica accurata non può colmare retroattivamente l’assenza originaria di un perimetro adeguato.
Una disciplina ancora affidata in larga parte alla giurisprudenza
Il problema nasce anche dal fatto che le categorie tradizionali del codice di procedura penale sono state costruite pensando prevalentemente a cose materiali. Nel sequestro informatico, invece, l’apprensione del dispositivo è spesso soltanto il passaggio preliminare verso il vero oggetto dell’attività: l’accesso ai dati.
La legge n. 48/2008, di ratifica della Convenzione di Budapest, ha introdotto importanti garanzie relative alla conservazione e all’acquisizione dell’evidenza digitale, ma non ha risolto ogni profilo relativo alla selezione e alla sorte dei dati estranei. Per un inquadramento generale si rinvia all’approfondimento su ispezione, perquisizione e sequestro dei dati informatici.
È in discussione alla Camera la proposta di legge C. 1822, già approvata dal Senato come A.S. 806, che mira a introdurre una disciplina specifica del sequestro di dispositivi, sistemi e memorie digitali. Alla data dell’11 settembre 2026, tuttavia, l’iter risulta ancora in corso in Commissione Giustizia: il nuovo articolo 254-ter c.p.p. previsto dal progetto non è ancora diritto vigente.
In attesa di una disciplina organica, la giurisprudenza continua pertanto a definire i limiti operativi dell’ingerenza digitale attraverso i principi di necessità, pertinenza, determinatezza e proporzionalità.
Che cosa non afferma la sentenza n. 33309/2026
Per evitare letture eccessive, occorre precisare che la decisione:
- non vieta in assoluto l’impiego delle parole chiave;
- non stabilisce che il filtro debba necessariamente essere costituito soltanto da keyword;
- non esclude che possano essere combinati interlocutori, intervalli temporali, oggetti determinati, tipologie di dati e termini di ricerca;
- non equipara automaticamente la copia forense integrale a un’acquisizione illegittima;
- non consente, però, che la pertinenza sia determinata soltanto dopo l’accesso indiscriminato alla totalità dei dati.
Il principio è più preciso: il criterio adottato deve avere una reale capacità di delimitare l’esame prima che esso inizi. La sua idoneità deve essere valutata non in base al nome attribuito al filtro, ma in base al funzionamento concreto della ricerca.
Considerazioni conclusive
La sentenza n. 33309/2026 aggiunge un tassello importante a un orientamento ormai riconoscibile. Il sequestro dello smartphone non può essere giustificato dalla sola possibilità che, nella massa dei dati, vi sia qualcosa di utile. Analogamente, non basta inserire nel provvedimento un richiamo generico a “parole chiave attinenti al reato” per trasformare una ricerca esplorativa in un’attività selettiva.
Nella digital forensics, una keyword non è neutra. Il suo significato operativo dipende dal dataset, dal software, dalla sintassi, dai campi interrogati, dal periodo considerato e dal contesto che sarà autorizzato a visualizzare. Per questo il protocollo di ricerca dovrebbe essere progettato prima, documentato durante l’esecuzione e verificabile dalla difesa.
La conclusione, in sintesi, è netta: la selezione non può essere soltanto promessa; deve essere progettata. E un filtro non è tale perché viene chiamato “filtro”, ma perché impedisce concretamente che la ricerca si trasformi nell’esame generalizzato della vita digitale di una persona.
DBS – Studio di Criminalistica Forense assiste studi legali e parti private nella verifica dei decreti di sequestro, dei protocolli di acquisizione e delle modalità di selezione dei dati digitali. L’attività può comprendere l’esame della copia forense, la verifica delle query e dei filtri utilizzati, il controllo dei log e la valutazione della riproducibilità dell’analisi.
Fonti e riferimenti
-
- Cassazione penale, Sezione VI, sentenza n. 33309/2026, depositata il 10 settembre 2026.
- No al sequestro probatorio di dati informatici se ricercati con generiche parole chiave, Norme & Tributi Plus, 10 settembre 2026.
- No al sequestro dei cellulari fondato su parole chiave generiche, Norme & Tributi Plus, 11 settembre 2026.
- Camera dei deputati, scheda dell’Atto C. 1822, stato dell’iter legislativo.
Nota sull’autore
Domenico Moretta è criminalista forense e consulente tecnico specializzato in digital forensics, audio forense e trascrizioni forensi. Autore di volumi divulgativi e professionali, svolge attività tecnica a supporto dell’Autorità giudiziaria, degli studi legali e delle parti private, con particolare attenzione all’acquisizione, all’analisi e alla valutazione processuale della prova digitale.
Nota di trasparenza: nella preparazione del presente contenuto sono stati utilizzati strumenti di Intelligenza Artificiale. Il testo è stato successivamente verificato, revisionato e approvato dall’autore, che ne assume la responsabilità editoriale e professionale..