Smartphone, conversazioni WhatsApp, e-mail, fotografie, video, registrazioni audio, file e dati conservati nel cloud sono ormai una presenza ordinaria nelle indagini e nei processi penali.
Acquisire un dato digitale, però, non significa semplicemente copiarlo, stamparlo o mostrarlo al giudice. La caratteristica fondamentale della prova digitale è la sua facilità di modifica: un file può essere copiato, alterato, rinominato o trasferito; alcuni dati possono andare perduti; i metadati possono essere modificati; una conversazione può essere rappresentata soltanto in parte.
Per questo, quando un dato informatico assume rilevanza processuale, diventano centrali quattro questioni:
- come è stato acquisito;
- se corrisponde al dato originario;
- se è rimasto integro;
- se è possibile ricostruirne la catena di custodia.
La legge n. 48 del 2008 ha introdotto specifiche garanzie per la conservazione dei dati informatici. La giurisprudenza ha però chiarito un principio altrettanto importante: la violazione delle best practices della digital forensics non determina automaticamente l’inutilizzabilità della prova, ma può incidere sulla sua attendibilità.
La prova nel processo penale e la differenza con la prova digitale
Nel processo penale occorre distinguere tra fonti di prova, mezzi di prova e mezzi di ricerca della prova.
Nel modello ordinario la prova si forma principalmente nel contraddittorio tra le parti, mentre durante le indagini vengono raccolti gli elementi destinati ad assumere valore probatorio secondo le regole del codice. Quando l’attività investigativa riguarda sistemi informatici o dispositivi elettronici, il legislatore impone cautele particolari.
L’art. 244, comma 2, c.p.p., ad esempio, prevede che nelle ispezioni di sistemi informatici o telematici siano adottate misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione. Principi analoghi valgono per perquisizioni, sequestri e accertamenti urgenti della Polizia Giudiziaria.
Il principio è semplice: il dato deve essere acquisito preservando la possibilità di verificarne successivamente l’integrità. Il dato informatico è immateriale e non coincide con il dispositivo sul quale è conservato. Smartphone, computer, hard disk e memorie USB sono supporti che contengono informazioni digitali. Ciò che deve essere preservato non è quindi soltanto l’oggetto fisico, ma soprattutto l’integrità dei dati che contiene.
Un’acquisizione tecnicamente inadeguata può determinare perdita o modifica di informazioni rilevanti e rendere più difficile verificare autenticità, integrità e attendibilità del contenuto. Il problema non riguarda soltanto ciò che un file mostra, ma la possibilità di dimostrare che quel contenuto corrisponda effettivamente a quello esistente al momento dell’acquisizione.
Copia forense e funzione di hash
Uno degli strumenti principali della digital forensics è la copia forense, o bitstream image. Si tratta, in termini generali, di una copia bit-a-bit dei dati acquisibili dal supporto, realizzata mediante procedure finalizzate a preservarne l’integrità.
L’analisi può così essere compiuta sulla copia evitando di modificare il supporto originario. L’integrità viene verificata attraverso funzioni crittografiche di hash. L’hash non dimostra, da solo, che il contenuto di un file sia autentico o che una conversazione appartenga effettivamente a una determinata persona. Consente però di verificare che i dati non siano stati modificati rispetto alla copia sulla quale è stato calcolato il valore di controllo.
Estrazione dei dati e accertamento tecnico ripetibile o irripetibile?
La semplice estrazione dei dati da un supporto informatico, quando consiste in un’attività tecnicamente riproducibile, non costituisce automaticamente un accertamento tecnico irripetibile ai sensi dell’art. 360 c.p.p.. La Cassazione, con la sentenza n. 34707/2024 della Quinta Sezione penale, ha ricondotto determinate operazioni di estrazione ad attività meccaniche ripetibili. Occorre però verificare sempre in concreto la natura dell’operazione eseguita e la sua effettiva ripetibilità. Sul tema ho dedicato due specifici approfondimenti: “Acquisizione copia forense cellulari e dispositivi” e “Sequestro del cellulare, copia forense, restituzione e analisi indiscriminata”
La catena di custodia
La chain of custody, o catena di custodia, consente di ricostruire la storia del dato dal momento dell’acquisizione fino alla sua utilizzazione nel processo. Deve permettere di comprendere chi ha acquisito il dato, quando, con quali strumenti, quali operazioni sono state effettuate, dove è stato conservato, chi vi ha avuto accesso e quali verifiche di integrità sono state compiute. Anche in questo caso, però, un’anomalia non determina necessariamente l’inutilizzabilità.
Secondo Cass. pen., Sez. III, n. 41055/2025, assume particolare rilievo la possibilità di ricostruire l’acquisizione originaria attraverso verbali, log, strumenti utilizzati e valori di hash, nonché di rigenerare una copia conforme. Se questa tracciabilità è conservata, l’irregolarità può comunque assumere grande importanza sul piano dell’attendibilità della prova.
Prova digitale e stampa non sono equivalenti
Trasformare un dato digitale in una stampa può significare perdere informazioni importanti:
- una fotografia digitale può contenere metadati relativi a data, ora, dispositivo e, in alcuni casi, posizione geografica;
- una registrazione audio non è equivalente alla sua trascrizione: tono, pause e inflessioni possono incidere sull’interpretazione delle parole;
- anche un documento di testo può conservare dati relativi alla creazione, alle modifiche e al software utilizzato. Per questo il file originario può contenere informazioni che la sua rappresentazione cartacea non mostra.
La copia forense integrale, tuttavia, non è sempre necessaria. Le Sezioni Unite, con la sentenza n. 40963/2017, hanno distinto le ipotesi nelle quali rilevano metadati, log e struttura del file system da quelle nelle quali interessa prevalentemente il contenuto informativo.
Il caso degli screenshot
Un esempio frequente riguarda gli screenshot di conversazioni e contenuti social. La fotografia dello schermo può rappresentare ciò che appariva sul dispositivo, ma può non consentire di verificare la cronologia completa, i metadati, il dispositivo di origine o eventuali manipolazioni. Questo non significa che lo screenshot sia automaticamente inutilizzabile. Significa che la sua attendibilità può essere contestata con le dovute accortezze e, soprattutto, con i dovuti presupposti.
Sul tema ho dedicato uno specifico approfondimento: “Screenshot come prova nel processo penale: quando è utilizzabile e quanto è affidabile?”
Come contestare una prova digitale
Una contestazione efficace deve partire da elementi concreti.
Occorre verificare:
- da quale dispositivo proviene il dato;
- come è stato acquisito;
- se esiste ancora il supporto originario;
- se è stata effettuata una copia forense;
- se sono disponibili valori di hash;
- se esistono verbali e log delle operazioni;
- se il dato è completo;
- se sono disponibili i metadati;
- se la catena di custodia presenta anomalie;
- se l’acquisizione può essere verificata o ripetuta.
La prova digitale è quindi uno dei settori nei quali il contraddittorio processuale assume una dimensione sempre più tecnica ed anche l’avvocato penalista deve avere le competenze necessarie per poter svolgere esame e controesame dei periti e consulenti tecnici al fine di tutelare i diritti del proprio assistito.
Una prova digitale deve restare digitale
Nella pratica accade ancora spesso che un dato informatico venga acquisito, analizzato e poi ridotto a stampe o trascrizioni. La stampa può essere utile al giudice, ma non dovrebbe sostituire il dato originario.Quando il contenuto è contestato, le parti dovrebbero poter esaminare anche il file digitale, verificarne i metadati e gli hash, ricostruire le modalità di acquisizione e sottoporlo ai propri consulenti.
Solo così può esistere un contraddittorio tecnico effettivo sull’attendibilità della prova. Una prova digitale deve restare tale.