La copia forense del computer non è un atto irripetibile: ne siamo proprio sicuri?

Con la sentenza n. 5283/2020, la Corte di Cassazione è intervenuta su una questione di grande rilevanza nell’ambito delle indagini penali legate alla criminalità informatica e al sequestro di materiale digitale: la natura della copia forense di un computer e la sua qualificazione come atto ripetibile.

La questione giuridica

La tematica si inserisce nel contesto della digital forensics, dove, durante le indagini, l’autorità giudiziaria può disporre il sequestro di dispositivi elettronici, come computer o smartphone, per acquisire dati rilevanti a fini probatori. In questo contesto, la Corte ha esaminato se la procedura di acquisizione della copia forense di un hard disk debba essere qualificata come atto irripetibile, e quindi soggetta alle garanzie previste dall'art. 360 c.p.p., come la necessità di informare le parti e consentire la loro presenza durante l'acquisizione.

La decisione della Corte

Con la sentenza in esame, la Corte ha chiarito che la copia forense di un computer non costituisce di per sé un atto irripetibile. La Corte ha evidenziato che la semplice copia dei dati presenti su un dispositivo informatico non esaurisce l’attività probatoria, poiché la vera attività di analisi e valutazione del materiale sequestrato avviene successivamente, durante la fase di indagine e attraverso l’esame dei dati stessi. La copia forense, infatti, consente di preservare il contenuto del dispositivo senza alterarlo, ma non comporta di per sé l'acquisizione di un contenuto probatorio "irripetibile", poiché la copia può essere ripetuta con le stesse modalità e garanzie in un momento successivo.

Irripetibilità e garanzie difensive

La decisione si pone in linea con un orientamento giurisprudenziale ormai consolidato. La Corte ha ribadito che per qualificare un atto come irripetibile è necessario che lo stesso sia idoneo a produrre una modificazione, alterazione o distruzione del bene oggetto di analisi. Nel caso della copia forense, invece, l’atto è meramente conservativo e non interferisce con l’integrità del supporto informatico, potendo essere ripetuto in qualunque momento.

La questione delle garanzie difensive è stata altresì affrontata dalla Corte. La difesa può essere ammessa alla fase successiva, ossia quella dell’esame dei dati acquisiti, in modo da assicurare il rispetto del contraddittorio e del diritto alla difesa. Tuttavia, la presenza della difesa non è richiesta nel momento in cui si procede alla copia forense del dispositivo, in quanto tale operazione non influisce in modo definitivo sulle risultanze probatorie.

Considerazioni conclusive

Questa sentenza ha importanti implicazioni per l’attività investigativa e per la difesa nei processi penali. Se da un lato essa semplifica le attività del pubblico ministero, non obbligandolo a convocare le parti durante l'acquisizione della copia forense, dall’altro relega i diritti della difesa nella successiva fase di analisi dei dati.

Nonostante il chiarimento fornito dalla Cassazione e la sua apparente coerenza con l’attuale giurisprudenza, è possibile sollevare delle perplessità sul piano della tutela del diritto di difesa.

In particolare, la decisione di non qualificare la copia forense come atto irripetibile potrebbe generare conseguenze negative per l’effettiva partecipazione delle parti e per la garanzia del contraddittorio.

L'affermazione della Corte secondo cui la copia forense non altera l'integrità del dispositivo digitale e può essere ripetuta in qualsiasi momento ignora un aspetto fondamentale: la fase di acquisizione dei dati è un momento delicato e decisivo, che influisce direttamente sulla qualità e sulla genuinità delle prove che verranno analizzate in seguito.

Facciamo qualche esempio di natura tecnica.

Anche se la copia non comporta una modificazione fisica del supporto, il rischio che la procedura possa in qualche modo essere viziata o eseguita in maniera non conforme agli standard tecnici è concreto. Inoltre, eventuali errori commessi in questa fase potrebbero compromettere l’intero impianto probatorio, con danni irreparabili per l’imputato.

Durante il processo di copia forense, esiste il rischio che i dati sul dispositivo originale vengano modificati o alterati, anche in modo non intenzionale. Ad esempio, l'apertura o l'esecuzione di un file può cambiare i metadati (pensiamo alla data di ultimo accesso di una conversazione whatsapp), compromettendo l'integrità della prova.

La copia forense, inoltre, richiede l'uso di software e hardware specifici (come i write blocker, dispositivi che impediscono la scrittura sui dischi originali). Qualsiasi malfunzionamento di questi strumenti o una configurazione errata può portare a una copia non fedele, compromettendo l'integrità del processo. Ad esempio, un write blocker difettoso potrebbe consentire la modifica del dispositivo originale.

Alcuni dati potrebbero essere nascosti o protetti da sistemi di crittografia avanzati. Se la copia forense non riesce a includere tali informazioni o non riesce a decifrarle correttamente, parte delle prove potrebbe andare persa o risultare inaccessibile. Ciò può comportare l'incompletezza della copia o la perdita di dati fondamentali per l'indagine.

Ed ancora, i dispositivi informatici utilizzano diversi file system (FAT32, NTFS, HFS+, ecc.). Se lo strumento forense non supporta pienamente il file system del dispositivo originale, alcune informazioni potrebbero non essere acquisite correttamente, lasciando fuori dati potenzialmente rilevanti.

Escludere la difesa dal processo di acquisizione dei dati informatici priva la parte di un'importante possibilità di controllo e verifica, limitando in maniera significativa la sua capacità di influire sull’accertamento della verità. La presenza del difensore, o di un consulente tecnico di parte, durante la copia forense rappresenterebbe una garanzia essenziale per evitare irregolarità e assicurare che l’acquisizione venga eseguita correttamente. In assenza di questa possibilità, la difesa è costretta a subire passivamente l'esito delle operazioni condotte unilateralmente dall'accusa.

Il principio del contraddittorio dovrebbe estendersi anche a questa fase preliminare, per evitare che eventuali errori o abusi si consolidino come prove, poiché il diritto alla difesa non può essere sacrificato in nome di una semplificazione delle operazioni investigative.