Guida operativa agli accertamenti informatici. La prova informatica forense.

1. Premessa: la centralità della prova digitale nel processo penale contemporaneo

Non esiste oggi procedimento penale che possa prescindere dall’acquisizione e dall’analisi di dati digitali. Lo smartphone che ciascuno di noi custodisce nella propria tasca è divenuto, nella prassi investigativa e processuale, il principale serbatoio di elementi probatori: messaggistica, immagini, cronologia delle chiamate, file di log, dati di geolocalizzazione, cronologia di navigazione, contenuti cloud. A ciò si aggiungono i tradizionali supporti informatici — computer, hard disk, pen drive — e la galassia dei dispositivi IoT (Internet of Things), dai veicoli connessi agli elettrodomestici intelligenti, che tracciano costantemente le nostre attività.

In questo scenario, la corretta qualificazione giuridica delle operazioni tecniche di acquisizione e analisi dei dati digitali costituisce un passaggio cruciale per ogni difensore. La scelta tra il regime della ripetibilità (art. 359 c.p.p.) e quello della irripetibilità (art. 360 c.p.p.) non è mai neutra: da essa discendono l’estensione delle garanzie difensive, il diritto al preavviso, la facoltà di nominare consulenti tecnici di parte, la possibilità di formulare riserva di incidente probatorio e, in ultima analisi, l’utilizzabilità stessa della prova in dibattimento.

La presente guida intende offrire all’avvocato penalista uno strumento operativo per orientarsi in questa materia, muovendo dal quadro normativo e giurisprudenziale più aggiornato.

2. Il quadro normativo di riferimento
2.1. La triade codicistica: artt. 354, 359 e 360 c.p.p.

Il codice di rito disegna tre distinti contenitori per le operazioni tecnico-scientifiche nella fase delle indagini preliminari.

L’art. 354 c.p.p. disciplina gli accertamenti urgenti che la polizia giudiziaria può compiere di propria iniziativa quando, a causa del pericolo di alterazione o dispersione delle tracce, non sia possibile attendere l’intervento tempestivo del pubblico ministero. In relazione ai dati informatici, il comma 2 impone agli ufficiali di p.g. di «adottare misure tecniche o impartire le prescrizioni necessarie ad assicurarne la conservazione e ad impedirne l’alterazione e l’accesso» e di provvedere, ove possibile, «alla loro immediata duplicazione su adeguati supporti, mediante una procedura che assicuri la conformità della copia all’originale e la sua immodificabilità». Per la natura stessa dell’atto — connotato dall’effetto sorpresa e dalla mancanza di preavviso al difensore — in questo alveo possono essere compiuti esclusivamente rilievi, ossia attività meramente descrittive e conservative, e non veri e propri accertamenti tecnici a carattere irripetibile.

L’art. 359 c.p.p. disciplina gli accertamenti tecnici ripetibili. Il pubblico ministero, quando siano necessarie specifiche competenze, nomina un consulente tecnico che procede allo studio e alla rielaborazione critica dei dati raccolti. L’atto è ripetibile: il suo risultato non è destinato ad entrare nel fascicolo del dibattimento come prova precostituita, ma va sottoposto al vaglio del contraddittorio attraverso l’escussione del consulente in dibattimento. Proprio perché ripetibile, l’accertamento ex art. 359 non richiede preavviso al difensore né la partecipazione di consulenti di parte nella fase genetica dell’atto.

L’art. 360 c.p.p. disciplina invece gli accertamenti tecnici non ripetibili, ossia quelli che riguardano «persone, cose o luoghi il cui stato è soggetto a modificazione». In questo caso il legislatore impone l’anticipazione del contraddittorio: il p.m. deve avvisare senza ritardo la persona sottoposta alle indagini, la persona offesa e i difensori del giorno, dell’ora e del luogo fissati per il conferimento dell’incarico e della facoltà di nominare consulenti tecnici. I difensori e i consulenti eventualmente nominati hanno diritto di assistere al conferimento, di partecipare agli accertamenti e di formulare osservazioni e riserve. L’indagato può formulare riserva di promuovere incidente probatorio, la quale perde efficacia se la richiesta non è proposta entro dieci giorni (art. 360, comma 4-bis). Se il p.m. procede ugualmente, violando la riserva, i risultati degli accertamenti non possono essere utilizzati nel dibattimento (art. 360, comma 5).

A completare il quadro, l’art. 117 disp. att. c.p.p. estende l’applicazione dell’art. 360 anche ai casi in cui «l’accertamento tecnico determina modificazioni delle cose, dei luoghi o delle persone tali da rendere l’atto non ripetibile».

2.2. La legge n. 48 del 2008 e la Convenzione di Budapest

La Legge 18 marzo 2008, n. 48, di ratifica della Convenzione del Consiglio d’Europa sulla criminalità informatica (Budapest, 23 novembre 2001), ha innestato nel tessuto del codice di rito una serie di disposizioni specificamente dedicate alla prova digitale.

In sintesi, la riforma ha imposto cinque garanzie fondamentali:

il dovere di conservare inalterato il dato informatico originale nella sua genuinità;
il dovere di impedire l’alterazione successiva del dato originale;
il dovere di formare una copia che assicuri la conformità del dato acquisito rispetto all’originale;
il dovere di assicurare la non modificabilità della copia;
l’apposizione di sigilli informatici sui documenti acquisiti.

Sul piano operativo, la L. 48/2008 ha modificato in particolare:

l’art. 247, comma 1-bis, c.p.p., che impone, in caso di perquisizione di sistemi informatici, di «adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione»;
l’art. 354, comma 2, c.p.p., che prescrive alla p.g. di procedere, ove possibile, all’immediata duplicazione dei dati su supporti adeguati, con procedure che assicurino conformità all’originale e immodificabilità;
l’art. 254-bis c.p.p., che disciplina il sequestro di dati informatici presso i fornitori di servizi.

La Cassazione ha chiarito, con orientamento consolidato, che la L. 48/2008 «non indica specificamente quali siano le modalità operative da seguire», rinviando implicitamente alle best practices della comunità scientifica (Cass. pen., Sez. V, n. 32264/2015). Non esiste, in altre parole, un’unica procedura vincolante, ma devono ritenersi ammissibili tutte le modalità operative che garantiscano il raggiungimento degli obiettivi prescritti dalla legge: conformità, integrità, immodificabilità del dato.

3. La distinzione fondamentale: rilievi, accertamenti ripetibili, accertamenti irripetibili
3.1. Rilievi vs. accertamenti

La distinzione tra «rilievi» e «accertamenti tecnici», pur non definita espressamente dal codice, è stata tracciata con chiarezza dalla giurisprudenza di legittimità.

I rilievi consistono nella «mera individuazione e raccolta di dati materiali» pertinenti al reato: sono attività a carattere descrittivo, osservativo, constatativo. Non implicano alcuna rielaborazione critica del dato raccolto.

Gli accertamenti tecnici, invece, si estendono allo «studio e alla valutazione critica dei dati secondo canoni tecnico-scientifici», presupponendo l’elaborazione intellettuale dei dati stessi al fine di rispondere a uno specifico quesito formulato dal pubblico ministero.

Come precisato dalla Suprema Corte, «gli accertamenti ex articolo 360 c.p.p. consistono in attività di carattere valutativo su base tecnico-scientifica e non in attività di constatazione, raccolta o prelievo dei dati materiali pertinenti al reato» (Cass. pen., Sez. I, n. 14511/2009).

3.2. Il criterio della ripetibilità

La linea di demarcazione tra art. 359 e art. 360 è data dalla ripetibilità dell’atto. È atto irripetibile quello «contraddistinto da un risultato estrinseco ed ulteriore rispetto alla mera attività investigativa, non più riproducibile in dibattimento se non con la perdita dell’informazione probatoria o della sua genuinità» (Cass. pen., Sez. I, n. 14511/2009).

La valutazione circa la natura ripetibile o irripetibile dell’atto spetta in prima battuta al pubblico ministero, ma non è vincolante per il giudice, il quale — in sede di formazione del fascicolo per il dibattimento o nel corso del giudizio — può qualificare diversamente l’atto: può ritenere irripetibili accertamenti non qualificati tali dal p.m., o viceversa (Cass. pen., Sez. I, n. 45283/2013).

4. L’acquisizione dei dati digitali: quando è ripetibile e quando non lo è
4.1. Estrazione di dati da memorie di massa tradizionali

L’orientamento giurisprudenziale è granitico: «non dà luogo ad accertamento tecnico irripetibile l’estrazione dei dati archiviati in un computer, trattandosi di operazione meramente meccanica, riproducibile per un numero indefinito di volte» (Cass. pen., Sez. I, n. 14511/2009; nello stesso senso Cass. pen., Sez. VI, n. 15838/2019 e Cass. pen., Sez. V, n. 15915/2021).

L’estrazione di copia dei file da un computer non comporta «alcuna attività di carattere valutativo su base tecnico-scientifica né determina alcuna alterazione dello stato delle cose», essendo sempre «assicurata la riproducibilità di informazioni identiche a quelle contenute nell’originale».

Tale principio è stato ribadito anche dopo l’entrata in vigore della L. 48/2008: «l’estrazione di dati archiviati in un supporto informatico, quale la memoria di un telefono cellulare, non costituisce accertamento tecnico irripetibile, e ciò neppure dopo l’entrata in vigore della L. 18 marzo 2008, n. 48» (Cass. pen., Sez. VI, n. 35891/2023).

4.2. Dispositivi mobili (smartphone e tablet)

Il tema dell’acquisizione forense da dispositivi mobili presenta profili di maggiore complessità tecnica. A differenza delle memorie di massa tradizionali, l’estrazione dei dati da uno smartphone richiede quasi sempre l’interazione con il sistema operativo del dispositivo, con la conseguente accensione e l’inevitabile registrazione di eventi di sistema (data e ora dell’accesso, log di sistema).

La questione è stata affrontata — con notevole approfondimento tecnico — dalla c.d. Ordinanza Tremolada (Tribunale di Milano, Sez. VII penale, 9 dicembre 2019), che ha operato una fondamentale distinzione fra:

i dati di sistema, che possono subire modifiche fisiologiche all’accensione del dispositivo (es. eliminazione di file dal cestino alla scadenza del termine programmato, sovrascrittura di spazi non allocati per ottimizzazione);
i dati utente, che costituiscono il vero oggetto di interesse investigativo (messaggi, chat, immagini, email, registri delle chiamate) e non vengono alterati dalle operazioni di copia forense, quale che sia il numero di accensioni o spegnimenti necessari.

La genuinità dei dati utente è comprovabile mediante il calcolo dell’impronta di HASH dei singoli file acquisiti, che rimane invariata a prescindere dal numero di estrazioni eseguite con i medesimi strumenti e le medesime versioni software.

Ne consegue che anche l’acquisizione forense da dispositivi mobili, quando abbia ad oggetto i dati utente, può essere ricondotta al regime dell’art. 359 c.p.p., in quanto la ripetibilità dell’operazione è tecnicamente garantita.

4.3. Casi in cui l’accertamento è irripetibile

L’irripetibilità sussiste — e dunque opera il più garantito regime dell’art. 360 c.p.p. — quando l’accertamento:

• comporti la distruzione o il consumo del reperto originale (si pensi ad analisi biologiche che esauriscano il campione)
• riguardi dati volatili suscettibili di dispersione immediata (es. dati in memoria RAM di un computer acceso, che si perdono irrimediabilmente allo spegnimento);
• implichi una rielaborazione critica del dato non più replicabile per la sopravvenuta modifica dello stato dei luoghi digitali (es. accesso a contenuti cloud che potrebbero essere cancellati dall’utente nelle more del procedimento).

In tali ipotesi, il mancato rispetto delle garanzie difensive previste dall’art. 360 — in particolare l’omesso avviso all’indagato e al difensore — determina conseguenze processuali rilevanti (v. infra, § 6).

5. I pilastri tecnici: copia forense, catena di custodia e impronta di HASH
5.1. La copia forense bit-a-bit

La best practice universalmente riconosciuta in materia di informatica forense è la c.d. copia fisica o bitstream image: un file di immagine che riproduce pedissequamente l’intera sequenza binaria della memoria di massa, compresi gli spazi vuoti (non allocati), nei quali possono annidarsi dati cancellati ma ancora recuperabili mediante tecniche di carving.

La copia bit-a-bit viene eseguita con l’ausilio di dispositivi di protezione in scrittura (write-blocker), che impediscono qualsiasi alterazione — anche accidentale — del supporto originale durante le operazioni di duplicazione. Il risultato è una copia informaticamente identica all’originale, la cui integrità è verificata mediante il calcolo dell’impronta di HASH.

5.2. La catena di custodia (chain of custody)

La chain of custody è il documento che traccia in successione cronologica tutti i passaggi di consegna e le interazioni con il reperto informatico, dal momento del sequestro fino alla restituzione. Essa garantisce la c.d. provenienza del dato: dimostra che il materiale digitale oggetto di analisi proviene incontrovertibilmente dal dispositivo sottoposto a sequestro e che nessuna manipolazione è intervenuta durante la custodia.

5.3. L’impronta di HASH

L’algoritmo di HASH (tipicamente SHA-256) è una funzione crittografica che trasforma una stringa di dati di qualunque lunghezza in una stringa alfanumerica a lunghezza fissa (64 caratteri nel caso di SHA-256). La proprietà fondamentale è che la modifica anche di un solo bit del dato originario produce un’impronta radicalmente diversa.

Nella prassi forense, il calcolo dell’impronta di HASH avviene in tre momenti:

• sulla memoria originale, prima dell’operazione di copia;
• sulla memoria originale, dopo l’esecuzione della copia (a riprova che non vi è stata alterazione);
• sull’immagine forense ottenuta (a riprova dell’identità con l’originale).

Quando le tre impronte coincidono, è tecnicamente dimostrata la perfetta identità fra il dato originario e la copia forense, soddisfacendo così le prescrizioni della L. 48/2008.

6. Le sanzioni processuali: inutilizzabilità, nullità o irregolarità?
6.1. L’inutilizzabilità ex art. 360, comma 5

La sanzione più grave — l’inutilizzabilità — è espressamente prevista dall’art. 360, comma 5, c.p.p. per il solo caso in cui il p.m., malgrado l’espressa riserva di incidente probatorio formulata dall’indagato e in assenza del presupposto dell’indifferibilità, abbia ugualmente disposto di procedere agli accertamenti.

Tale inutilizzabilità è assoluta (rilevabile anche d’ufficio in ogni stato e grado del procedimento, ai sensi dell’art. 191 c.p.p.), ma opera — per espressa previsione normativa — esclusivamente nel dibattimento, e non nella fase cautelare (Cass. pen., Sez. I, n. 23939/2007) né, a maggior ragione, nel giudizio abbreviato.

6.2. Nullità a regime intermedio

Negli altri casi di violazione delle prescrizioni dell’art. 360 — ad esempio, l’omesso avviso all’indagato o al difensore del conferimento dell’incarico, ovvero l’omessa indicazione della facoltà di nominare consulenti tecnici — la giurisprudenza prevalente configura una nullità di ordine generale a regime intermedio, ai sensi dell’art. 178, comma 1, lett. c), c.p.p.

Tale nullità:

• deve essere eccepita dalla parte interessata, non oltre la sentenza di primo grado (Cass. pen., Sez. IV, n. 5576/2010);
• non può essere rilevata d’ufficio;
• è sanata se non tempestivamente dedotta;
• non opera nel giudizio abbreviato, in ragione della scelta negoziale delle parti che fa assurgere a dignità di prova gli atti di indagine compiuti senza il rispetto delle forme di rito (Cass. pen., Sez. II, n. 20167/2013)

6.3. La mancata adozione dei protocolli tecnici della L. 48/2008

Quanto alle modalità operative di acquisizione del dato digitale, la giurisprudenza è costante nell’affermare che la L. 48/2008 «ha introdotto unicamente l’obbligo per la polizia giudiziaria di rispettare determinati protocolli di comportamento, senza prevedere alcuna sanzione processuale in caso di mancata loro adozione, potendone derivare, invece, eventualmente, effetti sull’attendibilità della prova rappresentata dall’accertamento eseguito, con la necessità di verificare in concreto la sussistenza di eventuali alterazioni dei dati originali e la corrispondenza ad essi di quelli estratti» (Cass. pen., Sez. III, n. 9684/2017; conforme Cass. pen., Sez. VI, n. 35891/2023).

In altri termini, la violazione delle best practices tecniche non determina automaticamente l’inutilizzabilità della prova: sarà onere della parte interessata dimostrare — o quanto meno allegare — la concreta alterazione del dato, la cui valutazione è rimessa al prudente apprezzamento del giudice di merito e non è sindacabile in sede di legittimità se congruamente motivata.

6.4. Il vizio dell’accertamento nei riti alternativi

Nel giudizio abbreviato, occorre distinguere tra:

inutilizzabilità patologica (art. 191 c.p.p.): è quella che deriva dalla violazione di un divieto probatorio espresso. È rilevabile d’ufficio in ogni stato e grado e non è sanata dalla scelta del rito;
inutilizzabilità fisiologica: è quella che attiene al regime di utilizzabilità degli atti di indagine nel dibattimento. Non opera nel giudizio abbreviato, dove vige il principio della decisione allo stato degli atti (Cass. pen., Sez. III, n. 23182/2018).

L’art. 438, comma 6-bis, c.p.p., come novellato dalla L. 103/2017, dispone che la richiesta di giudizio abbreviato proposta nell’udienza preliminare «determina la sanatoria delle nullità, sempre che non siano assolute, e la non rilevabilità delle inutilizzabilità, salve quelle derivanti dalla violazione di un divieto probatorio».

7. Strategie difensive: cosa fare (e quando)
7.1. Ricevuto l’avviso ex art. 360 c.p.p.

L’avviso ex art. 360 c.p.p. costituisce un passaggio cruciale per la difesa. È in questo momento che l’avvocato deve:

• Nominare immediatamente un consulente tecnico di parte, possibilmente con specifiche competenze in informatica forense, che possa assistere alle operazioni e formulare osservazioni e riserve.
• Valutare la fondatezza della qualificazione come “irripetibile” data dal p.m. Se l’accertamento appare in realtà ripetibile (si pensi a una mera estrazione di dati da computer), il difensore potrà eccepirlo già in questa fase, riservandosi di far valere il vizio in sede di formazione del fascicolo dibattimentale.
• Valutare l’opportunità di formulare riserva di incidente probatorio (art. 360, comma 4): la riserva blocca l’accertamento, salvo che il p.m. ritenga che gli accertamenti, se differiti, non possano più essere utilmente compiuti. In quest’ultimo caso, se il p.m. procede ugualmente senza che ricorra il presupposto dell’indifferibilità, scatterà la sanzione di inutilizzabilità ex art. 360, comma 5. La riserva perde efficacia se la richiesta di incidente probatorio non è proposta entro dieci giorni (art. 360, comma 4-bis).

7.2. Accertamento già eseguito in assenza di avviso

Se l’accertamento è stato eseguito senza l’avviso ex art. 360, occorre verificare se esso fosse effettivamente irripetibile:

Se l’accertamento era in realtà ripetibile: l’atto è valido come accertamento ex art. 359 c.p.p. e potrà essere utilizzato ai fini cautelari e nel giudizio abbreviato. Nel rito ordinario, l’atto non entra nel fascicolo del dibattimento, ma il consulente potrà essere escusso.

Se l’accertamento era effettivamente irripetibile: il difensore deve eccepire la nullità a regime intermedio entro la sentenza di primo grado (art. 180 c.p.p.). L’eccezione deve essere tempestiva e specifica.

7.3. Contestazione delle modalità tecniche di acquisizione

La difesa può contestare le modalità tecniche di acquisizione del dato digitale, allegando e dimostrando la violazione dei protocolli della L. 48/2008 e l’eventuale alterazione dei dati originali. In questo caso, l’onere probatorio grava sulla parte che eccepisce il vizio, la quale dovrà fornire elementi concreti — anche attraverso l’analisi del proprio consulente tecnico — per dimostrare l’inaffidabilità del dato acquisito.

8. L’importanza pratica: lo smartphone come epicentro della prova

Nella prassi giudiziaria contemporanea, l’analisi forense dello smartphone ha assunto un ruolo centrale in una pluralità di ambiti:

• reati contro la persona (messaggistica WhatsApp, Telegram, social network);
• reati informatici (accesso abusivo a sistema, diffusione di malware, frodi telematiche);
• reati economici e societari (posta elettronica, documenti cloud, file di log);
• reati sessualmente connotati commessi mediante strumenti informatici (pedopornografia, adescamento di minori, revenge porn, cyberstalking).

In tutti questi casi, la capacità del difensore di presidiare correttamente la fase di acquisizione della prova digitale — mediante la nomina tempestiva di un consulente tecnico di parte e l’eccezione tempestiva dei vizi processuali — può determinare l’esito stesso del procedimento.

9. Lo Studio Legale de Lalla: esperienza e specializzazione

Lo Studio Legale de Lalla, con sede in Roma e Milano, è da anni punto di riferimento nel panorama nazionale per la difesa penale nei procedimenti in materia di reati informatici, con particolare specializzazione nei reati informatici sessualmente connotati.

L’Avv. Giuseppe Maria de Lalla vanta una consolidata esperienza nella difesa di imputati in procedimenti relativi a:

• detenzione e diffusione di materiale pedopornografico (art. 600-ter e 600-quater c.p.);
• adescamento di minori mediante strumenti informatici (art. 609-undecies c.p.);
• revenge porn e diffusione illecita di immagini sessualmente esplicite (art. 612-ter c.p.);
• cyberstalking e atti persecutori commessi attraverso strumenti telematici (art. 612-bis c.p.);
• accesso abusivo a sistema informatico (art. 615-ter c.p.) e frodi telematiche (art. 640-ter c.p.).

Lo Studio si avvale di una rete di consulenti tecnici di parte altamente qualificati nel settore dell’informatica forense, in grado di affiancare il difensore in tutte le fasi del procedimento: dalla partecipazione agli accertamenti tecnici irripetibili ex art. 360 c.p.p., all’analisi indipendente dei dispositivi in sequestro, fino alla redazione di memorie tecnico-difensive e all’escussione in dibattimento.

La tempestività dell’intervento difensivo è decisiva. Uno Studio che opera con consulenti tecnici già selezionati e pronti ad intervenire sin dal primo atto garantisce all’assistito una tutela effettiva e non meramente formale.

Per approfondimenti e per richiedere una consulenza: www.studiolegaledelalla.it.

La presente guida ha carattere esclusivamente informativo e non costituisce consulenza legale. Ogni caso concreto richiede una valutazione personalizzata da parte di un avvocato penalista abilitato.