Appunti di Diritto privato dell'informatica

Capitolo 1 – Digital evidence e categorie probatorie

1. Progresso tecnologico, metodi di conoscenza e “nuove” tipologie probatorie

La tecnologia ha sempre avuto un ruolo importante nel processo penale, come strumento di supporto per accertare i fatti di reato. Negli ultimi decenni, tuttavia, nessun settore si è rivelato tanto fecondo quanto quello informatico e telematico, che ha portato all’elaborazione di nuove tipologie di prova e strumenti investigativi inediti.

Oggi, infatti, la trasmissione e l’elaborazione di informazioni tramite reti informatiche e telematiche genera ogni giorno una quantità enorme di dati, molti dei quali assumono un rilievo diretto ai fini processuali. L’applicazione dell’informatica al processo penale rappresenta un punto di osservazione privilegiato per comprendere se l’incontro fra scienza e processo abbia modificato il diritto probatorio, non solo in termini quantitativi, ma anche qualitativi: ci si chiede, cioè, se siano mutati i metodi di indagine e, con essi, i tratti essenziali del sapere processuale.

Le prove, come riflesso della vita sociale e individuale, cambiano in base alle contingenze storiche. Non sorprende quindi che le conoscenze informatiche siano ormai determinanti nell’accertamento penale dell’era digitale. Gli organi investigativi hanno l’esigenza di ricercare elementi di prova tra i dati contenuti nei sistemi informatici e telematici. Per questo, la prova informatica è divenuta strettamente collegata alle indagini preliminari, tanto che alcuni autori parlano di una vera e propria “indagine informatica”, intesa in due sensi:

1. Quando l’attività mira a individuare gli autori di reati informatici in senso stretto (disciplinati dalla L. 23 dicembre 1993, n. 547);
2. Quando tecnologie informatiche e telematiche sono usate come strumenti di supporto nelle indagini su reati comuni.

Il ricorso a simili strumenti investigativi nasce, in parte, come reazione dello Stato alla diffusione della criminalità informatica, ma sarebbe riduttivo circoscrivere il fenomeno solo ai cosiddetti computer crimes. L’espansione della Information and Communication Technology (ICT) – si pensi a smartphone, social network, cloud – ha reso imprescindibile l’acquisizione e l’analisi di dati digitali nella stragrande maggioranza delle indagini penali, anche quelle ordinarie.

In questo quadro si inserisce la computer forensics (o informatica forense), disciplina che studia le problematiche tecniche e giuridiche connesse all’acquisizione e gestione dei dati digitali. Rispetto alle indagini tradizionali, essa presenta un tratto distintivo: l’oggetto dell’indagine non è direttamente percepibile, perché le informazioni sono conservate e trasmesse in linguaggio digitale. I dati non hanno una materialità immediata, ma consistono in impulsi elettrici memorizzati in supporti dai quali possono essere estratti solo con operazioni tecniche complesse.

Il metodo della computer forensics si articola in quattro fasi fondamentali:

• Raccolta dei dati;
• Esame del materiale acquisito;
• Analisi delle informazioni rilevanti;
• Presentazione dei risultati in sede giudiziaria.

Tale schema, pur basato su principi informatici, solleva vari interrogativi in merito alla compatibilità con le regole epistemologiche tradizionali del processo penale.

Proprio per questo, dottrina e giurisprudenza hanno sottolineato l’urgenza di una compiuta regolamentazione del fenomeno e di un corretto inquadramento dogmatico delle indagini digitali. L’operazione è resa complessa dal fatto che la computer forensics è nata e si è sviluppata negli Stati Uniti, modellata sull’ammissibilità probatoria del sistema nordamericano, difficilmente sovrapponibile a quello italiano. Inoltre, essa è una scienza in continua evoluzione: al progresso tecnologico corrisponde un costante ampliamento dei luoghi in cui reperire dati utili all’accertamento. Per questo, accanto alla nozione di computer forensics, si è diffusa quella di digital forensics, più ampia e omnicomprensiva, che abbraccia tutte le fonti di dato digitale: personal computer, server aziendali, pen drive, lettori multimediali, dispositivi mobili e sistemi di cloud computing.

Questa continua evoluzione ha messo in evidenza un divario tra tecnologia e diritto. Il codice di rito del 1988, infatti, non contemplava simili strumenti. La prima apertura normativa si ebbe solo nel 1993, con l’introduzione dell’art. 266-bis c.p.p., che disciplinava le intercettazioni di comunicazioni informatiche o telematiche. Per un vero intervento più ampio, si dovette attendere la L. 48/2008, che tuttavia fornì una disciplina ancora lacunosa. Questi interventi, pur significativi, mostrano due aspetti:

• La scarsa attenzione inizialmente riservata dal legislatore al fenomeno digitale, confidando erroneamente nell’adattabilità degli istituti probatori tradizionali;
• Il legame inscindibile tra dato digitale e fase delle indagini preliminari.

Nonostante la lentezza del legislatore, la prassi investigativa ha continuato ad evolversi. Dalle prime indagini su supporti come i floppy disk, si è passati a tecniche sempre più sofisticate, fino ad arrivare oggi all’analisi dei dati memorizzati nei sistemi di cloud computing.

È però impossibile delineare un iter uniforme delle indagini informatiche: la loro struttura dipende dall’utilità concreta in rapporto al caso specifico. Gli strumenti vengono calibrati in base al tipo di reato da accertare e alla natura del dato digitale da ricercare. Questa variabilità è la conseguenza diretta delle caratteristiche intrinseche dei dati digitali.

2. La specificità della prova informatica. Dematerializzazione e dispersione dell’elemento prova

Uno dei principali problemi posti dalla prova informatica riguarda la mancanza di una definizione univoca: la dottrina, infatti, ha elaborato molteplici ricostruzioni dogmatiche, dando vita a una pluralità di definizioni.

Alcuni autori hanno adottato la locuzione di matrice statunitense digital evidence, intesa come qualsiasi informazione probatoria la cui rilevanza dipenda dal contenuto del dato, dalla sua collocazione su un determinato dispositivo o dalle modalità di trasmissione informatica o telematica. L’espressione è stata tradotta come “prova digitale”, per sottolineare la natura elettronica del dato, frutto della manipolazione numerica di simboli binari.

Altri studiosi, invece, hanno preferito la dizione “prova di natura digitale”, volendo mettere in evidenza la caratteristica essenziale del fenomeno: l’intrinseca immaterialità dell’elemento probatorio. In dottrina si utilizzano anche i termini “prova informatica” o “prova elettronica” come sinonimi di digital evidence, corrispondenti alla locuzione anglofona electronic evidence, intesa come qualsiasi informazione generata, conservata o trasmessa tramite apparecchiature elettroniche e suscettibile di utilizzazione in giudizio.

In realtà, è possibile impiegare l’espressione digital evidence come categoria generale, comprensiva di ogni forma di dato digitale utilizzato a fini processuali, purché si tenga presente che si tratta di un fenomeno estremamente sfaccettato, difficilmente conciliabile con gli schemi probatori tradizionali.

La difficoltà classificatoria emerge anche con riferimento al risultato della prova. La digital evidence può infatti essere sia diretta, quando il dato attiene immediatamente al thema probandum (ad esempio, il file contenente immagini pedopornografiche oggetto dell’imputazione), sia indiretta, quando riguarda un fatto secondario da cui inferire quello principale (ad esempio, i file di log che attestano l’accesso a un social network da un computer presente sulla scena del crimine).

Un possibile denominatore comune, che consente di ricondurre a unità la varietà delle ipotesi, si individua nella natura stessa del dato digitale: esso si caratterizza per una materialità non immediatamente percepibile. La prova digitale si fonda infatti su sequenze di “zeros and ones of electricity”, cioè impulsi elettronici organizzati in codice binario. Da qui derivano le principali criticità legate al reperimento e alla gestione della digital evidence.

Queste caratteristiche sono state evidenziate anche dalla giurisprudenza. La Cassazione, nel definire il concetto di “sistema informatico”, lo ha descritto come un insieme di apparecchiature in grado di svolgere funzioni utili all’uomo attraverso tecnologie informatiche. Tali tecnologie registrano e memorizzano dati tramite impulsi elettronici, che rappresentano simboli numerici organizzati per generare informazioni dotate di significato.

Questa struttura rende i dati digitali fragili e volatili. Basti pensare a un file jpg: composto da milioni di bit, può risultare corrotto o illeggibile se anche solo un bit viene alterato. Inoltre, è sufficiente aprire un file una sola volta per modificarne almeno i metadati (ad esempio, la data dell’ultimo accesso), con il rischio di comprometterne la rilevanza probatoria.

Proprio per garantire la genuinità della prova digitale, la legge 48/2008 – nel modificare varie disposizioni del codice di procedura penale – ha posto particolare attenzione non tanto al metodo di acquisizione, quanto alla conservazione dei dati e alla prevenzione di alterazioni. Lo stesso spirito anima l’art. 260 c.p.p., che disciplina la duplicazione dei dati informatici, e l’art. 354 c.p.p., che impone alla polizia giudiziaria di provvedere all’immediata duplicazione dei dati acquisiti, per preservarne l’integrità. Queste prescrizioni equivalgono, in ambito digitale, alle regole già previste per i documenti cartacei o per le cose facilmente deteriorabili.

Va però distinto ciò che rientra a pieno titolo nella nozione di digital evidence. In senso stretto, essa riguarda solo i dati digitali a genesi extraprocedimentale, cioè generati al di fuori del procedimento, sia dall’attività dell’utente (es. file salvati in memoria), sia in modo automatico dal sistema (es. log di sistema). Diversa è la categoria degli atti compiuti dai soggetti processuali con strumenti informatici (ad esempio, la redazione di un’informativa o di una sentenza tramite PC), che costituiscono semplicemente documentazione informatica di atti procedimentali.

Più problematico è il caso degli strumenti probatori che utilizzano la tecnologia digitale ma non hanno per oggetto una realtà digitale in sé (ad esempio, una videoregistrazione). In questi casi il discrimine è dato dal bersaglio dell’attività investigativa: se esso non consiste in un dato digitale, allora la tecnologia rappresenta solo un mezzo accessorio. Nella pratica, tuttavia, distinguere tra mezzi di ricerca della prova digitale e strumenti tradizionali non è semplice, tanto che spesso i confini tra i due ambiti si confondono.

Un esempio emblematico riguarda le intercettazioni: quelle telefoniche rientrano nell’art. 266 c.p.p., mentre le intercettazioni informatiche o telematiche sono disciplinate dall’art. 266-bis c.p.p. Ma con l’evoluzione tecnologica, la telefonia – fissa e mobile – è ormai parte di un sistema telematico più ampio. Le Sezioni Unite della Cassazione hanno riconosciuto questa circostanza, rilevando come la distinzione basata sul mezzo sia oggi problematica. Se si seguisse rigidamente questo criterio, tutte le comunicazioni telefoniche dovrebbero essere ricondotte all’art. 266-bis c.p.p., rendendo priva di funzione la disciplina dell’art. 266 c.p.p., un risultato evidentemente inaccettabile.

Questo dimostra la complessità e l’insidiosità del tema: l’interprete è chiamato a rileggere le categorie tradizionali delle prove alla luce delle nuove fonti digitali, bilanciando le regole classiche con le peculiarità della prova informatica, segnata da immaterialità, volatilità e rischio di alterazione.

3. Computer forensics e prova tecnico-scientifica

Una parte della dottrina ha qualificato la prova digitale come un “sottotipo” della prova scientifica, poiché la sua acquisizione e interpretazione richiedono un alto grado di tecnicismo e l’impiego di strumenti complessi, capaci di trasformare informazioni originariamente contenute in macchinari sofisticati in dati comprensibili per il giudice. In questa prospettiva, appare ragionevole ricondurre la digital evidence nell’ambito delle prove tecnico-scientifiche, poiché l’informatica forense implica l’applicazione, a fini probatori, di conoscenze specialistiche che esulano dalle competenze dell’uomo comune.

Il rapporto tra scientific evidence e digital evidence è però delicato e necessita di precisazioni. La “prova scientifica” non è una categoria univoca, ma un fenomeno complesso, che assume forme diverse. In linea generale, la scientificità di una prova dipende dall’uso di specifici strumenti conoscitivi nei momenti di ammissione, assunzione e valutazione della prova stessa. Con riguardo alla digital evidence, invece, l’impiego di tecniche sofisticate è indispensabile sin dalla fase iniziale di identificazione del dato probatorio, già in sede investigativa, e prosegue nell’apprensione e nell’analisi del materiale raccolto.

Occorre evitare, però, di attribuire alla digital evidence un valore probatorio assoluto. L’impiego di metodologie tecniche non trasforma automaticamente la prova digitale in una “prova perfetta”. La dottrina ha infatti sottolineato che nessun metodo scientifico garantisce certezze assolute: al massimo, esso può condurre a risultati altamente probabili. Questo è particolarmente vero per la prova digitale, segnata dal suo “peccato originale”: l’immaterialità e fragilità del dato informatico, che lo rende difficile da afferrare e manipolare senza rischi di alterazione.

Un esempio chiarisce il problema: un file pedopornografico trovato su un hard disk costituisce prova dell’esistenza del materiale illecito, ma non è sufficiente a dimostrare chi ne sia l’autore o chi ne abbia avuto effettivo possesso. In termini probatori, il dato digitale rischia spesso di configurarsi come prova generica più che come prova specifica.

In questo senso, i nodi teorici e pratici posti dalla digital evidence richiamano questioni già affrontate nel rapporto tra processo e “nuove scienze”: la collocazione sistematica della prova, la sua capacità dimostrativa, l’attendibilità dell’esperto e il rischio di sopravvalutare il contributo conoscitivo di quest’ultimo. La giurisprudenza di legittimità, a proposito della prova scientifica, ha elaborato criteri che possono fungere da guida anche per la prova digitale. In particolare, il giudice deve valutare:

• L’autorevolezza scientifica dell’esperto;
• La generale accettazione nella comunità scientifica delle metodologie e delle conclusioni proposte.

L’applicazione di questi criteri alla computer forensics incontra una prima difficoltà: si tratta di una scienza recente, in cui non sempre vi è consenso sulle procedure operative. Tuttavia, il principio della generale accettazione costituisce un criterio utile per orientare la prassi, soprattutto in merito a una questione cruciale: la scelta del software da utilizzare.

Gli esperti possono infatti servirsi di programmi commerciali oppure open source. Sebbene le funzionalità siano simili, solo i software open source permettono di accedere al codice sorgente, garantendo così trasparenza e controllabilità. Ciò li rende preferibili per l’attività forense, in quanto consentono:

• L’esame del formato dei file utilizzati;
• L’inclusione del programma stesso nei risultati dell’analisi;
• La disponibilità del software per periodi di tempo prolungati.

Nonostante questi vantaggi, la giurisprudenza ha mostrato scarsa attenzione alla questione. Emblematico è un orientamento della Cassazione che ha ritenuto valida un’acquisizione effettuata con software privo di regolare licenza, sostenendo che eventuali condotte scorrette o persino illecite del consulente tecnico non possano incidere sulla validità della prova, costituita dal supporto informatico e dal suo contenuto. Ciò evidenzia il rischio di sottovalutare la centralità del metodo e la necessità di un controllo rigoroso sull’attività dell’esperto.

4. L’inquadramento sistematico della prova informatica tra mezzi di prova tipici e innominati

All’inizio del dibattito dottrinale sulla digital evidence, si era sostenuto che essa dovesse essere ricondotta, in via generale, all’art. 189 c.p.p., che disciplina la prova atipica. L’equivoco nasceva da quanto affermato nella Relazione al progetto preliminare del codice, in cui si evidenziava che proprio l’art. 189 era stato concepito per far fronte alle sfide derivanti dal “continuo sviluppo tecnologico che estende le frontiere dell’investigazione”. Una constatazione che, a prima vista, sembra adattarsi perfettamente al tema della prova informatica.

Tuttavia, la sola natura digitale della fonte di prova non è sufficiente per determinarne la tipicità o l’atipicità. Inoltre, dopo la L. 48/2008, che ha rimodellato numerosi istituti del codice di rito per adattarli alle peculiarità del dato digitale, appare ormai anacronistico invocare l’art. 189 c.p.p. come contenitore esclusivo della prova informatica.

In realtà, anche prima della riforma si dubitava che la categoria della prova atipica potesse ricomprendere ogni forma di digital evidence e, più in generale, di pro