Ripropongo qui, senza integrazioni o modifiche, un mio articolo pubblicato in Rassegna giuridica umbra, 2010.<\/p>\n
\n
Sommario: 1. Computer forensics: una nuova disciplina \u2013 2. L’acquisizione della prova digitale \u2013 3. Le indagini difensive \u2013\u00a0 4. La perquisizione \u2013\u00a0 5. …segue: sequestro o copia? \u2013 6. L’analisi \u2013 7. Procedimenti civili e computer forensics \u2013\u00a0 8. Controlli a distanza<\/p>\n
\n
In realt\u00e0 sarebbe pi\u00f9 corretto, almeno formalmente, parlare del computer come \u201cprova\u201d, se non come \u201cfonte di prova\u201d, ma non di rado l’approccio del perito (nominato dal giudice) o del consulente (nominato da una delle parti)[2]<\/a> con il\u00a0 computer \u00e8 pi\u00f9 simile a quello di chi interroghi un testimone reticente, piuttosto che quello di chi esamini un reperto inanimato: non basta trovare tracce del reato (o non trovarne), occorre interpretare i silenzi (i dati sono stati cancellati o non sono mai esistiti?) e, persino, le \u201crivelazioni\u201d (i dati si trovano l\u00ec ad insaputa dell’imputato\/indagato o vi sono stati consapevolmente collocati da lui?).<\/p>\n Proprio per questa ragione l’analisi forense di un computer non dovrebbe mai ridursi ad un \u201cpositivo\u201d\u00a0 o ad un \u201cnegativo\u201d, ma dovrebbe sempre essere adeguatamente supportata da motivazioni logiche, soprattutto in presenza di reati particolarmente odiosi quali quelli di detenzione, cessione o divulgazione di pornografia minorile.<\/p>\n L’indagine non pu\u00f2, quindi, essere ridotta ad attivit\u00e0 meramente informatica, in quanto il consulente dovrebbe sempre cercare di ricostruire il comportamento tenuto dall’imputato di fronte al computer, arrivando ad interpretare i risultati dell’analisi alla luce di tale ricostruzione comportamentale, soprattutto, al fine di valutare se un determinato atto sia stato compiuto consapevolmente e volontariamente oppure per ignoranza o inesperienza.<\/p>\n Non pu\u00f2, poi, non avvertirsi l’esigenza di regole comuni e di procedure certe, in assenza delle quali \u00e8 molto difficile riuscire a garantire un sereno rapporto tra accusa e difesa nella dialettica processuale e preprocessuale. Mai come oggi, infatti, si avverte la necessit\u00e0 della \u201ccertezza delle regole\u201d, soprattutto per quanto riguarda l’individuazione e la conservazione di quei dati che poi costituiranno l’oggetto su cui si fonder\u00e0 la valutazione dell’organo giudicante.<\/p>\n Il rilevamento, la conservazione ed il trattamento di questo materiale e delle informazioni che gli investigatori (ma anche, non dimentichiamolo, i difensori) possono rilevare nel normale svolgimento dell’attivit\u00e0 d’indagine esigono un protocollo operativo che ne garantisca integrit\u00e0 e non repudiabilit\u00e0 in sede processuale[3]<\/a>.<\/p>\n La computer forensics<\/em> si presenta, quindi, come una scienza complessa, multidisciplinare e, proprio per questo, estremamente intrigante.<\/p>\n \n Alcune caratteristiche, tuttavia, prescindono dall’illecito commesso e possono essere ritenute comuni alle varie, differenti tipologie di indagine; in primis<\/em> la fase di acquisizione delle prove e delle informazioni deve essere il pi\u00f9 possibile celere dato che poche cose sono volatili come le evidenze informatiche: basta davvero poco per alterarle, modificarle o renderle comunque inservibili, sia volontariamente che involontariamente.<\/p>\n In secondo luogo, l’investigatore deve essere in grado di ricostruire il prima possibile e con la maggiore precisione le modalit\u00e0 con cui \u00e8 stato commesso il reato, anche al fine di valutare adeguatamente la genuinit\u00e0 di eventuali prove raccolte, ovvero di scagionare eventuali coimputati[4]<\/a>.<\/p>\n A ci\u00f2 deve aggiungersi che in questa fase, in cui l’indagato \u00e8 generalmente all’oscuro delle indagini, possono essere disposte intercettazioni telefoniche, informatiche o ambientali, eseguite ispezioni e perquisizioni al fine di acquisire elementi di prova da poter utilizzare successivamente, svolte attivit\u00e0 sotto copertura\u00a0 (accesso a siti, contatti in chat, scambio di materiale attraverso le reti p2p); si tratta di attivit\u00e0 che devono seguire dei rigidi protocolli procedurali, la cui violazione potrebbe ben determinare l’inutilizzabilit\u00e0 in sede dibattimentale delle prove eventualmente\u00a0 acquisite.<\/p>\n E’ bene ricordare che, in questa fase, non vi \u00e8 ancora nessun obbligo formale di avvisare l’indagato della sua posizione, ma questi, se ha il sospetto della pendenza di indagini sul suo conto, pu\u00f2 presentare un’istanza presso la Procura della Repubblica per sapere se vi sono procedimenti penali a suo carico[5]<\/a>. In caso positivo, questi gli devono essere comunicati, salvo che l’indagine riguardi reati particolarmente gravi ovvero tale informazione sia stata secretata dal PM, con decreto motivato[6]<\/a>, ma, in quest’ultimo caso, il periodo non pu\u00f2 superare i tre mesi.<\/p>\n \n Per esempio, a seguito di uno scambio di insulti in un forum Tizio sospetta che Caio possa averlo querelato, incarica allora il proprio difensore di fiducia di svolgere attivit\u00e0 investigativa preventiva al fine di acquisire tutti quegli elementi che potrebbero rivelarsi utili per la futura difesa; in questo modo il difensore potr\u00e0 individuare e sentire eventuali testimoni con lo strumento del colloquio, della ricezione di informazioni, tramite l’assunzione di informazioni e\/o acquisire documenti di vario genere[7]<\/a>, che potranno essere validamente utilizzati in sede di giudizio.<\/p>\n In questo, come in altri casi, l’attivit\u00e0 preventiva potrebbe rivelarsi particolarmente utile, magari per decidere se presentare o meno una querela ovvero per rispondere alla stessa allegando eventuali elementi probatori in grado di suffragare la propria versione dei fatti, dimostrando di essere stati vittime di una provocazione da parte della controparte, ovvero per individuare con maggiore sicurezza elementi di prova a difesa (i.e. si pensi all’ipotesi di messaggi inviati ad un gruppo di discussione attivando l’opzione x-noarchive=yes, che determina la cancellazione del messaggio dopo pochi giorni). Non pu\u00f2, per\u00f2, trascurarsi un concreto pericolo insito nell’attivit\u00e0 di indagine preventiva, relativo alla tutela di un terzo che si trovi ad essere \u201cindagato\u201d da un privato nell\u2019ambito di un\u2019indagine privata.<\/p>\n Quali garanzie potranno, infatti, essere assicurate al cittadino, coinvolto nello svolgimento di atti finalizzati alla ricerca (ed alla formazione) di prove a suo carico, allorquando queste vengono raccolte e collezionate non da un pubblico ufficiale, ma da un altro privato cittadino? Questi, infatti, non soltanto non avr\u00e0 alcun obbligo di informazione nei confronti del sospetto, che, non essendo iscritto nel registro degli indagati, non godr\u00e0 di nessuna delle garanzie legate al relativo status, ma, a differenza del Magistrato e della PG, non avr\u00e0 neppure alcun obbligo di individuazione e raccolta di eventuali prove a discarico n\u00e9, tanto meno, quello di documentare ed allegare tutte le attivit\u00e0 svolte durante le indagini, ma soltanto quel materiale di cui intenda fare uso in sede processuale[8]<\/a>!<\/p>\n Il pericolo \u00e8 concreto, soprattutto nel processo penale innanzi al giudice di pace, ove \u00e8 possibile immaginare la presenza di un’\u201caccusa privata\u201d in grado di raccogliere le prove, formulare l\u2019ipotesi accusatoria e, persino, citare a giudizio l\u2019imputato[9]<\/a>.<\/p>\n L’analisi delle conseguenze di tale situazione, esula dalla portata del presente lavoro, ma \u00e8 significativa in relazione al livello di attenzione e professionalit\u00e0 che dovr\u00e0 essere richiesto al difensore\/accusatore ed ai suoi ausiliari, siano essi consulenti tecnici o investigatori privati.<\/p>\n Si tratta di figure professionali che escono particolarmente rafforzate dalla riforma e che, di fatto, si collocano a fianco del difensore per coadiuvarlo nello svolgimento delle indagini difensive, ricoprendo, sia pure con le dovute differenze, un ruolo speculare a quello della polizia giudiziaria.<\/p>\n Con la legge del 2000 si \u00e8, in primo luogo, equiparata la posizione degli ausiliari a quella del difensore, laddove l’articolo 103, comma 2, del codice di procedura ora stabilisce che \u201cpresso i difensori e gli investigatori privati autorizzati ed incaricati in relazione al procedimento nonch\u00e9 presso i consulenti tecnici non si pu\u00f2 procedere a sequestro di carte o documenti<\/em>…\u201d.<\/p>\n Allo stesso modo l’articolo 200 c.p.p. consente, anche all’investigatore privato autorizzato ed al consulente, di opporre il segreto professionale, mentre l’articolo 334 bis<\/em> stabilisce espressamente che il difensore ed i suoi ausiliari non hanno alcun obbligo di denuncia \u201cneppure relativamente ai reati dei quali hanno avuto notizia nel corso delle attivit\u00e0 investigative da essi svolte<\/em>\u201d.<\/p>\n In quest’ottica, \u00e8 di assoluta importanza, soprattutto in presenza di reati tecnologici, che l’avvocato si avvalga di un consulente di fiducia, che sia anche in grado di indirizzarlo verso determinati atti di indagine difensiva. Il consulente, al pari dell’investigatore, pu\u00f2 essere nominato in qualsiasi momento, ma \u00e8 importante che la sua nomina venga formalizzata, affinch\u00e9 lo stesso possa opporre il segreto professionale alle domande degli inquirenti.<\/p>\n Del pari l’investigatore privato dovr\u00e0 possedere nuove e pi\u00f9 specialistiche competenze, che lo mettano, per esempio, in grado di acquisire elementi di prova senza inquinarli ovvero di interrogare testimoni nella maniera pi\u00f9 efficiente possibile, evitando anche soltanto il sospetto della subornazione.<\/p>\n \n \u00c8 comunque sempre possibile che un soggetto possa subire una perquisizione senza aver ancora assunto formalmente lo status<\/em> di indagato; il caso di scuola \u00e8 rappresentato dalla perquisizione presso terzi, tipicamente nel caso di indagini a carico di ignoti oppure nel caso in cui l’autore del reato non sia il proprietario del bene sequestrato (per esempio un dipendente commette un reato informatico con il computer dell’ufficio).<\/p>\n Si tratta di ipotesi sempre pi\u00f9 frequenti, laddove la prassi di aprire un procedimento nei confronti di ignoti rappresenta la soluzione giuridicamente pi\u00f9 corretta nella maggior parte dei reati informatici quando l’alternativa \u00e8 quella di iscrivere tout court<\/em> al registro degli indagati il titolare dell’utenza telefonica utilizzata per commettere il reato, individuata sulla base dell’indirizzo IP utilizzato al momento del fatto dall’autore dell’illecito.<\/p>\n E’ appena il caso di notare che una simile soluzione appare, se non scorretta da un punto di vista strettamente giuridico, quantomeno ingiusta nei confronti di un soggetto che si troverebbe ad essere indagato per il semplice fatto di aver stipulato un contratto, ma, \u00e8 appena il caso di ricordarlo, mentre nel diritto civile vi sono varie forme di responsabilit\u00e0 per fatto altrui, la responsabilit\u00e0 penale \u00e8 strettamente personale e non possono esistere forme di responsabilit\u00e0 penale oggettiva.<\/p>\n Si pensi alla classica situazione in cui si trovano migliaia di studenti universitari: pi\u00f9 studenti convivono in un appartamento ed uno si intesta il contratto di locazione mentre un altro l’utenza telefonica. Se uno dei coinquilini commette un reato, chi deve essere iscritto nel registro degli indagati?<\/p>\n E’ di tutta evidenza che, in una prima fase, nessuno dovrebbe essere formalmente indagato, pertanto, almeno fino alla perquisizione, si dovrebbe procedere nei confronti di ignoti e poi, in quella sede o successivamente, cercare di capire chi, tra i coinquilini, ha commesso il reato. E’ ovvio che, non appena la figura del responsabile inizia a delinearsi, questi deve, senza indugio, essere iscritto nel registro degli indagati ed acquisire i relativi diritti.<\/p>\n Ovviamente non si tratta dell’unica strada percorribile, dato che \u00e8 ben possibile iscrivere tutti i coinquilini al registro degli indagati e, come avrebbe detto Amaury, lasciare che sia poi Dio a riconoscere i suoi…<\/p>\n In ogni caso la perquisizione rappresenta un momento fondamentale dell’indagine, soprattutto per la labilit\u00e0 e la deperibilit\u00e0 delle prove informatiche: eventuali reperti non individuati in prima battuta sono probabilmente destinati a sparire in maniera definitiva.<\/p>\n In breve, la perquisizione \u00e8 la sede dove devono essere compiute quelle operazioni in grado di \u201ccristallizzare\u201d le prove, evitando ogni possibile contaminazione degli elementi probatori: per esempio, \u00e8 necessario evitare di accendere i computer trovati spenti e ponderare bene se, come e quando spegnere quelli trovati accesi. Laddove possibile, sarebbe poi opportuno annotare con cura, eventualmente anche scattando fotografie o utilizzando una videocamera, la disposizione degli apparati all’interno dell’ufficio o dell’abitazione: oggetti a prima vista insignificanti possono rappresentare un’ottima fonte di informazioni o, addirittura, essere elementi di prova: il mouse era a destra o a sinistra?<\/p>\n In questa fase l’imputato, ma anche chi abbia la materiale disponibilit\u00e0 dei luoghi, ha la facolt\u00e0 di farsi assistere o rappresentare da una persona di fiducia \u201cpurch\u00e9 prontamente reperibile e idonea\u201d; gi\u00e0 in questa fase \u00e8 quindi possibile nominare il proprio difensore e, eventualmente, richiederne l’intervento in loco.<\/p>\n Per quanto riguarda gli orari, le perquisizioni presso il domicilio devono essere svolte tra le ore 7:00 e le ore 20:00[10]<\/a>, salvo casi di particolare urgenza in cui l’autorit\u00e0 giudiziaria pu\u00f2 disporre, per iscritto, che le operazioni vengano svolte al di fuori di questi\u00a0 termini temporali.<\/p>\n Una volta sbrigate tutte le formalit\u00e0, si procede alla ricerca degli elementi di prova ed all’acquisizione dei supporti informatici e, di nuovo, ci si imbatte in un ulteriore problema metodologico: come comportarsi nel caso in cui il computer sia acceso al momento dell’accesso?<\/p>\n In caso di computer spento, infatti, la procedura \u00e8, relativamente semplice: si prende l’hard disk, si effettua un’immagine dello stesso, si acquisisce il relativo hash, lo si annota nel verbale e si imballa l’originale, preferibilmente apponendo i sigilli alla scatola.<\/p>\n Una volta eseguite queste operazioni e laddove ve ne sia la possibilit\u00e0, \u00e8 sempre buona norma verificare che l’hard disk (la copia non l’originale!) sia leggibile e che non vi siano nel PC schede particolari, in grado di inibire l’accesso allo stesso. A tal proposito \u00e8 assai utile la lettura dei manuali delle schede o del sistema, ovvero una verifica tramite internet delle caratteristiche dei componenti. In caso di dubbio \u00e8 opportuno prelevare tutto il materiale spiegandone, all’interno del verbale di sequestro, le ragioni.<\/p>\n Sempre pi\u00f9 spesso, per\u00f2, i PC rimangono costantemente accesi e, magari, con vari programmi in esecuzione; cosa fare, dunque, in caso di computer in funzione? La soluzione ottimale sarebbe quella di poter disporre, direttamente in sede di perquisizione, di un soggetto con adeguata competenza che, alla presenza della parte, possa analizzare (con le modalit\u00e0 proprie dell’ispezione) la macchina accesa, verificarne i processi in esecuzione e procedere infine al suo spegnimento, annotando e riprendendo tutte le operazioni eseguite; tuttavia, nel caso in cui ci\u00f2 non fosse possibile, ovvero non si sia certi dell’assenza di sistemi di sicurezza particolari, la soluzione pratica migliore \u00e8 indubbiamente quella di staccare direttamente la spina dal computer, procedendo anche alla rimozione delle batterie in caso di computer portatile[11]<\/a>.<\/p>\n Tralasciamo, per semplicit\u00e0, l’ipotesi in cui si rilevi la presenza di partizioni o dischi virtuali in mount<\/em>: questa fattispecie richiede un approccio completamente differente dato che necessario procedere con l’ispezione della macchina direttamente in loco e l’acquisizione immediata del contenuto del disco virtuale, o della macchina virtuale; \u00e8 assai probabile, infatti, che, al successivo riavvio, sar\u00e0 necessaria una o pi\u00f9 password per avviarli e, \u00e8 bene ricordarlo, l’imputato non pu\u00f2 essere costretto a consegnare agli inquirenti la propria password.<\/p>\n \n In questa sede, il tipico punto di scontro tra accusa e difesa \u00e8 relativo alle modalit\u00e0 con cui si proceder\u00e0 al sequestro di evidenze informatiche: il nodo centrale della questione \u00e8, infatti, se, in caso di indagini per reati informatici, sia necessario sequestrare tutto il computer, solo l’hard disk oppure se sia sufficiente acquisire una copia dei dati[12]<\/a>. La questione non \u00e8 di facile soluzione in quanto la scelta, fatta nella concitazione del sequestro, si riflette necessariamente nelle successive fasi predibattimentali e, spesso, anche nel dibattimento stesso, rischiando di pregiudicare l’analisi e, conseguentemente, i diritti di accusa e difesa.<\/p>\n In primo luogo, dobbiamo osservare che non pu\u00f2 esserci una risposta precisa a questa domanda, in quanto a reati differenti devono corrispondere differenti tipologie di indagine, che richiedono approcci diversi e, soprattutto, una modalit\u00e0 di acquisizione della prova modellata sulla fattispecie concreta[13]<\/a>. E’ evidente che, a parit\u00e0 di risultato probatorio, dovr\u00e0 essere necessariamente privilegiata la modalit\u00e0 di acquisizione meno invasiva e che comporta il minor danno per il soggetto che la subisce; soggetto che, a volte, non \u00e8 neppure indagato, ma si trova nella posizione di \u201cpersona informata sui fatti\u201d[14]<\/a>.<\/p>\n Logicamente la soluzione con il minor impatto in termini di disagi per la persona sottoposta ad indagine \u00e8 l’acquisizione, direttamente in sede di ispezione\/perquisizione, dei dati costituenti tracce del reato o corpo del reato ad opera della PG procedente, ma, sebbene si tratti della soluzione preferibile, da adottare ogni qual volta le circostanze la rendano possibile, presenta almeno due grossi problemi[15]<\/a>:<\/p>\n In breve l’utilizzo dello strumento dell’ispezione, con la conseguente acquisizione, anche mediante masterizzazione, dei soli file pertinenti al reato, andrebbe utilizzata soltanto laddove il computer assuma la veste di mero contenitore della prova del crimine e si ritenga opportuno non operare un sequestro, per esempio perch\u00e9 lo si ritiene sproporzionato al fatto contestato, oppure nel caso di attivit\u00e0 presso terzi (banche, provider, etc.) estranei di fatto alla vicenda[16]<\/a>.<\/p>\n Un caso pratico dei rischi insiti in tale procedura \u00e8 rappresentato dall’eccezione della difesa, sollevata nel corso del processo all’autore del Worm Vierika[17]<\/a>; in sede di perquisizione la PG si era limitata ad acquisire una copia dei soli file aventi rilevanza investigativa; pi\u00f9 precisamente, al momento della perquisizione domiciliare, l’indagato aveva indicato alla PG operante il programma, masterizzandone le copie da sottoporre a sequestro sotto il diretto controllo degli agenti, ma, in sede processuale, la difesa eccepiva la correttezza del metodo utilizzato dalla PG per estrarre i programmi dal computer.<\/p>\n Il Giudice non accoglieva la tesi, pur ammettendo che le modalit\u00e0 di acquisizione si discostavano dalle best practices<\/em>, osservando che \u201cnon \u00e8 permesso al Tribunale escludere a priori i risultati di una tecnica informatica utilizzata a fini forensi solo perch\u00e9 alcune fonti ritengono ve ne siano di pi\u00f9 scientificamente corrette, in assenza della allegazione di fatti che suggeriscano che si possa essere astrattamente verificata nel caso concreto una qualsiasi forma di alterazione dei dati e senza che venga indicata la fase delle procedure durante la quale si ritiene essere avvenuta la possibile alterazione<\/em>\u201d[18]<\/a>.<\/p>\n La soluzione preferibile \u00e8, dunque, rappresentata dal sequestro del solo hard disk oppure dall’acquisizione, con strumenti idonei, di un’immagine dello stesso, laddove si ritenga opportuno lasciare l’hard disk nella disponibilit\u00e0 dell’imputato.<\/p>\n Tale soluzione, applicabile alla maggior parte dei reati informatici, consente un pieno controllo del contenuto del supporto e la ripetibilit\u00e0, in qualsiasi momento, dell’analisi eseguita, ma, di contro, richiede, in sede di perquisizione e sequestro, la presenza di personale in grado di rimuovere e maneggiare l’hard disk senza danneggiarlo e, soprattutto, in grado di verificare la presenza di dispositivi in grado di impedire l’accesso ai dati in esso contenuti.<\/p>\n In tal senso si \u00e8 recentemente espressa la Corte di Cassazione[19]<\/a> che, decidendo in merito al sequestro dell’intero computer (comprese periferiche varie), ha stabilito che, trattandosi di sequestro probatorio, la prova in ordine alla sussistenza del reato \u00e8 tutelabile limitando il sequestro alla memoria fissa del computer e ad eventuali supporti contenenti elementi utili alle indagini ordinando, invece, la restituzione di tutti gli apparati \u201cneutri\u201d (stampanti, scanner, schede video…).<\/p>\n Vi sono, tuttavia, casi in cui \u00e8 non solo consigliato, ma addirittura necessario procedere al sequestro dell’intero computer e delle relative periferiche. L’analisi dettagliata dell’intera casistica esula dalla portata del presente lavoro, ragion per cui ci si limiter\u00e0 qui ad osservare come esemplare il caso delle indagini per divulgazione di materiale pedo pornografico.<\/p>\n In tale frangente il sequestro si rende necessario, non soltanto ai sensi dell’articolo 253 (sequestro probatorio), ma ai sensi dell’articolo 321 (sequestro preventivo), in quanto trattasi di beni di cui vi \u00e8 obbligo di confisca[20]<\/a>. Allo stesso modo la materiale disponibilit\u00e0 di beni informatici, soprattutto nei casi pi\u00f9 gravi di divulgazione, rende possibile per l’imputato protrarre o aggravare le conseguenze del reato[21]<\/a>.<\/p>\n Proprio in merito all’acquisizione si ha il principale confronto tra differenti correnti dottrinarie: una prima che vede nell’analisi un accertamento irripetibile ed una seconda che, invece, lo considera ripetibile.<\/p>\n La differenza non \u00e8 soltanto terminologica, ma ha pesanti ricadute in sede processuale: l’accertamento ripetibile, infatti, pu\u00f2 essere compiuto senza dare alcuna comunicazione alle parti, ma, di contro, la difesa potr\u00e0 sempre richiedere, in sede dibattimentale, che questo venga ripetuto alla presenza delle parti e di un perito, nominato dal Giudice.<\/p>\n L’accertamento non ripetibile, invece, parte dal presupposto che la cosa sia soggetta a modifica e prevede che il PM dia avviso alla persona offesa ed alla persona sottoposta alle indagini del luogo, del giorno e dell’ora previsti per il conferimento dell’incarico, affinch\u00e9 questi possano partecipare con propri consulenti. Prima dell’inizio delle operazioni l’indagato pu\u00f2 formulare riserva di incidente probatorio e, in tal caso, si proceder\u00e0 alle operazioni in tale sede.<\/p>\n Non vi \u00e8 dubbio che tale pratica sembri offrire le maggiori garanzie difensive, ma vi sono almeno due elementi che bisogna tenere in considerazione: in primo luogo si tratta di un accertamento tecnicamente ripetibile (salvo grossolani errori del consulente oppure circostanze particolari), quindi non \u00e8 tecnicamente possibile parlare di accertamento non ripetibile; in secondo luogo l’utilizzo di un simile strumento, laddove si proceda nei confronti di ignoti, rappresenterebbe una grave lesione al diritto alla difesa per il soggetto che, successivamente iscritto nel registro degli indagati, non soltanto non avrebbe alcuna possibilit\u00e0 di ottenere una nuova analisi del supporto in sede di dibattimento, ma ben potrebbe trovarsi di fronte ad un reperto ormai alterato; la valutazione dell’accertamento come non ripetibile, infatti, consentirebbe di effettuare anche operazioni in grado di provocare modifiche (per esempio l’avvio della macchina da analizzare senza alcuna cautela).<\/p>\n Proprio per tali ragioni, \u00e8 indubbiamente preferibile procedere, ogni qualvolta ci\u00f2 sia possibile, con la formula dell’accertamento ripetibile, fermo restando il fatto che, in presenza di errori o attivit\u00e0 che apportino modifiche alla struttura del reperto, lo stesso dovrebbe essere considerato \u201cinquinato\u201d e le risultanze in esso contenute non pi\u00f9 genuine n\u00e9 utilizzabili in dibattimento. Dunque, per garantire la ripetibilit\u00e0 dell’analisi (vero principio cardine della computer<\/em> forensics)<\/em>[22]<\/a>, \u00e8 necessario operare sempre su di una copia del supporto sequestrato; naturalmente non \u00e8 sufficiente un semplice ghost del disco rigido, ma \u00e8 necessario che si tratti di una perfetta duplicazione (tanto che in gergo si parla spesso di \u201cclonare\u201d un hard disk) che, a differenza della mera copia, consentir\u00e0 di operare su un hard disk praticamente identico all’originale, consentendo, quindi, l’analisi anche di eventuali aree apparentemente vuote[23]<\/a>.<\/p>\n In commercio esistono numerosi prodotti, hardware e software, in grado di \u201cclonare\u201d un hard disk, garantendo la non alterazione dell’originale e l’esatta corrispondenza originale-copia. Si pu\u00f2 trattare di prodotti software commerciali (Encase, ForensicToolkit), open source (dd, aimage, dcfldd, AFF) oppure di apparecchi hardware<\/em> (hardcopy<\/em>, diskjokey<\/em>, i vari prodotti Logicube). Pi\u00f9 economici i prodotti software (soprattutto quelli open source<\/em>), pi\u00f9 sicuri gli apparecchi hardware, <\/em>ormai realizzare una copia, garantendo la ripetibilit\u00e0 dell’accertamento, non dovrebbe pi\u00f9 rappresentare un problema[24]<\/a>.<\/p>\n Da ultimo, \u00e8 sempre buona norma procedere all’acquisizione della firma elettronica dell’intero supporto acquisito, con un’operazione detta \u201chashing\u201d. L’operazione viene tipicamente compiuta utilizzando un algoritmo MD5, che, generando un’impronta della lunghezza di 128 bit (16 byte), costituisce un riferimento certo alla traccia originale, pur non consentendone la ricostruzione[25]<\/a>. Sebbene la compromissione dell’algoritmo MD5 sia, ad oggi, possibile soltanto teoricamente, soprattutto per dati della dimensione di un moderno had disk, sempre pi\u00f9 spesso si ricorre ad un algoritmo della famiglia SHA[26]<\/a>.<\/p>\n Se si rende necessario avviare il computer, ad esempio nel corso di un’ispezione o per effettuare un’analisi preliminare, \u00e8 necessario proteggere l’hard disk con un\u00a0 dispositivo che inibisca la scrittura sullo stesso (write blocker<\/em>), a tal fine \u00e8 consigliabile utilizzare un apparato hardware, in modo da effettuare una copia precisa dell’hard disk che consenta di avviare la macchina utilizzando un hard disk uguale all’origine, conservando quest’ultimo in un luogo sicuro.<\/p>\n Decisamente pi\u00f9 valida \u00e8, per\u00f2, l’ulteriore alternativa di realizzare una macchina virtuale, per esempio utilizzando VmWare o Virtual Box, in grado di consentire di avviare la macchina in modalit\u00e0 soltanto virtuale, senza apportare alcuna modifica ai dati in essa contenuti.<\/p>\n In merito a quest’ultimo punto, si consideri che numerosi software di crittografia o di steganografia consentono di impostare un meccanismo di protezione che danneggia il file protetto in caso di errori nell’inserimento della password (oppure inserendo un’apposita password), quindi, errori di digitazione in sede di ispezione potrebbero portare alla cancellazione delle tracce del reato.<\/p>\n Allo stesso modo un floppy, un CD, ma anche una periferica interna, se lasciati inseriti, potrebbero avviare una procedura di cancellazione dell’intero hard disk; in breve, l’avvio del sistema con il disco originale installato e collegato \u00e8 decisamente sconsigliato!<\/p>\n \n Non sempre le prove sono immediatamente individuabili, essendo ben possibile che le stesse siano dissimulate all’interno di altri files (steganografia), protette da meccanismi di crittografia o conservate all’interno di uno o pi\u00f9 client di posta elettronica o newsgroup<\/em>.<\/p>\n L’analisi dell’hard disk<\/em>, ad esempio, rappresenta spesso la prova del nove nel corso di un’indagine per pedopornografia: non importa quali e quante prove si siano raccolte nelle precedenti fasi investigative, molto spesso l’analisi dell’hard disk<\/em> \u00e8 necessaria per dimostrare che il materiale \u00e8 stato consapevolmente acquisito e, eventualmente, consapevolmente ceduto a terzi; proprio per tale ragione non \u00e8 sufficiente verificare la mera presenza di immagini o filmati, ma bisogna dimostrare che il materiale \u00e8 stato consapevolmente e volontariamente trattato.<\/p>\n Deve poi considerarsi che \u00e8 oggi facile reperire programmi che consentono di creare un’intera partizione fat32<\/em>, o ntfs<\/em>, criptata; in alcuni casi, la partizione pu\u00f2 comprendere l’intero sistema operativo con i relativi file (di boot<\/em>, di swap<\/em>, temporanei, etc.) ed \u00e8 persino possibile che tale partizione si possa avviare solo utilizzando un apposito dischetto di boot<\/em>; in assenza del floppy<\/em> la partizione appare come spazio non formattato.<\/p>\n In relazione a crittografia e steganografia, \u00e8 bene ricordare che si tratta di programmi perfettamente legittimi il cui utilizzo, in assenza di ulteriori elementi a carico, non pu\u00f2 essere valutato a sfavore dell’imputato. Tra l’altro \u00e8 opportuno ricordare che, secondo la legge italiana, l’imputato ha il pieno diritto di rifiutarsi di consegnare le eventuali password, anche se necessarie ad accedere a file e\/o cartelle crittografate; tale comportamento pu\u00f2, tuttavia, essere valutato negativamente dal Giudice nel caso di un’eventuale condanna.<\/p>\n Una volta effettuata la copia dell’hard disk<\/em>, \u00e8 possibile procedere all’analisi del suo contenuto avendo cura che anche le operazioni compiute in questa fase siano dettagliatamente documentate e, soprattutto, ripetibili. A tal proposito, parte della dottrina americana[27]<\/a>, ha contestato l’utilizzo di software proprietari per eseguire l’analisi e generare un rapporto: in linea di massima si sostiene che quando ci si avvale di tali programmi non \u00e8 possibile sapere come si \u00e8 arrivati ad un determinato risultato (per esempio recupero di una cartella cancellata)[28]<\/a>.<\/p>\n Tuttavia, laddove l’accertamento sia ripetibile, la questione \u00e8 facilmente risolvibile: la possibilit\u00e0 di ripetere l’esame in sede di dibattimento \u00e8 di per s\u00e9 idonea garanzia del rispetto del diritto di difesa dell’imputato. In realt\u00e0, il corretto interrogativo\u00a0 dovrebbe essere non tanto che tool<\/em> \u00e8 stato utilizzato, ma se l’analista aveva o meno il necessario background tecnico e legale[29]<\/a>.<\/p>\n Ci\u00f2 che, in realt\u00e0, veramente conta \u00e8, infatti, la preparazione e lo scrupolo del soggetto che fisicamente esegue l’analisi; si prenda, ad esempio, un’indagine in tema di detenzione di materiale pedopornografico: l’approccio pi\u00f9 corretto porta a richiedere, spesso sin dalle fase delle indagini preliminari, non soltanto di valutare la presenza di materiale, ma anche di escludere (o confermare!) che la detenzione dello stesso sia avvenuta inconsapevolmente, ad esempio perch\u00e9 si \u00e8 erroneamente scaricato un filmato pedo pornografico dai circuiti del p2p, ovvero si \u00e8 involontariamente acceduto ad un sito pedo pornografico[30]<\/a>.<\/p>\n Proprio per tale ragione, perplessit\u00e0 sorgono in merito all’utilizzabilit\u00e0 di file cancellati e recuperati dal disco rigido senza alcuna indicazione dell’originaria collocazione, laddove la detenzione consapevole dei suddetti file non venga in qualche modo confermata da elementi esterni, per esempio tracce delle ricerche effettuate utilizzando un motore di ricerca.<\/p>\n \n In sede civile, infatti, si contrappongono due parti private e, pertanto, decisamente maggiore rispetto alla sede penale \u00e8 il rischio di una violazione della riservatezza dei dati custoditi nel computer[31]<\/a> e, soprattutto, di un loro illecito utilizzo ad opera della controparte.<\/p>\n In tale sede, l’analisi preliminare del supporto dovrebbe essere condotta da parte del CTU: ai CTP dovrebbe poi essere consentito accedere esclusivamente ai dati relativi al procedimento in corso, senza poter in alcun modo visionare eventuali altri dati personali, estranei al procedimento e contenuti nell’hard disk<\/em>.<\/p>\n Tuttavia non sempre, nella pratica quotidiana, \u00e8 possibile seguire questa prassi; si pensi alla fattispecie tipica della contestazione ad un dipendente di attivit\u00e0 di concorrenza sleale o di utilizzo improprio degli strumenti informatici messi a disposizione dal proprio datore di lavoro.<\/p>\n In tutte queste circostanze, sar\u00e0 necessario fare riferimento alle linee guida del Garante in materia di posta elettronica e internet[32]<\/a>, in modo da operare nel pieno rispetto della tutela della riservatezza del lavoratore, pur riconoscendo il giusto diritto del datore di lavoro ad assicurare la funzionalit\u00e0 e il corretto impiego dei mezzi informatici da parte dei lavoratori, definendone le modalit\u00e0 d’uso nell’organizzazione dell’attivit\u00e0 lavorativa.<\/p>\n Non pu\u00f2, infatti, sfuggire che l’utilizzo di Internet da parte dei lavoratori pu\u00f2 formare oggetto di analisi, profilazione e integrale ricostruzione della navigazione web grazie ai dati ottenuti, ad esempio, da server aziendale o da un altro strumento di registrazione delle informazioni e che le informazioni cos\u00ec trattate contengono dati personali, ma anche dati sensibili, riguardanti lavoratori o terzi, identificati o identificabili. Per tale ragione, l’attivit\u00e0 di analisi e di valutazione dei supporti informatici aziendali in vista di un procedimento civile dovr\u00e0 essere effettuata avendo ben chiari i principi di pertinenza e non eccedenza.<\/p>\n In base a tali principi, l’analisi potr\u00e0 essere effettuata soltanto laddove effettivamente necessaria, riducendo al minimo l’utilizzazione di dati personali e di dati identificativi in relazione alle finalit\u00e0 perseguite[33]<\/a>; i lavoratori dovranno essere stati preventivamente informati della possibilit\u00e0 di controlli a posteriori, che determinino trattamenti ulteriori rispetto a quelli connessi ordinariamente all’attivit\u00e0 lavorativa[34]<\/a>; gli ulteriori trattamenti dovranno essere effettuati per finalit\u00e0 determinate, esplicite e legittime, osservando il principio di pertinenza e non eccedenza. In ogni caso, i dati dovranno essere trattati \u201cnella misura meno invasiva possibile<\/em>\u201d e le attivit\u00e0 di analisi dovranno essere \u201cmirate sull’area di rischio, tenendo conto della normativa sulla protezione dei dati e, se pertinente, del principio di segretezza della corrispondenza<\/em>\u201d[35]<\/a>.<\/p>\n E’ molto importante ribadire che all’onere del datore di lavoro di prefigurare e pubblicizzare una policy interna rispetto al corretto uso dei mezzi e agli eventuali controlli, si affianca il dovere di informare comunque gli interessati ai sensi dell’art. 13 del Codice: i dipendenti hanno, infatti, il diritto di essere informati, preventivamente ed in modo chiaro, sui trattamenti di dati che possono riguardarli.<\/p>\n \n Si osserva, infatti, che il datore di lavoro pu\u00f2 riservarsi di controllare (direttamente o attraverso la propria struttura) l’effettivo adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro, ma, nell’esercizio di tale prerogativa, occorre rispettare la libert\u00e0 e la dignit\u00e0 dei lavoratori, in particolare per ci\u00f2 che attiene al divieto di installare \u201capparecchiature per finalit\u00e0 di controllo a distanza dell’attivit\u00e0 dei lavoratori<\/em>\u201d.<\/p>\n In caso di installazione il loro utilizzo determina un illecito trattamento dei dati, a prescindere dall’illiceit\u00e0 dell’installazione stessa ed anche laddove i singoli lavoratori ne siano consapevoli[36]<\/a>; in particolare, il Garante ha stabilito che non pu\u00f2 ritenersi consentito il trattamento effettuato mediante sistemi hardware e software preordinati al controllo a distanza, grazie ai quali sia possibile ricostruire \u2013 a volte anche minuziosamente \u2013 l’attivit\u00e0 di lavoratori[37]<\/a>. Il controllo a distanza riguarda tanto l’attivit\u00e0 lavorativa in senso stretto che le altre condotte personali poste in essere nel luogo di lavoro, pertanto, pur prescindendo da eventuali responsabilit\u00e0 civili e penali, i dati trattati illecitamente non sono utilizzabili in alcun modo[38]<\/a>.<\/p>\n In relazione ai programmi che consentono controlli \u201cindiretti\u201d (c.d. controllo preterintenzionale), il Garante osserva che il trattamento di dati che ne consegue pu\u00f2 risultare lecito, purch\u00e9 siano rispettate le procedure di informazione e di consultazione di lavoratori e sindacati, in relazione all’introduzione o alla modifica di sistemi automatizzati per la raccolta e l’utilizzazione dei dati, nonch\u00e9 in caso di introduzione o di modificazione di procedimenti tecnici, destinati a controllare i movimenti o la produttivit\u00e0 dei lavoratori.<\/p>\n Prescindendo, qui, dall’indicazione del Garante di privilegiare, rispetto all’adozione di misure \u201crepressive\u201d, ogni opportuna misura, organizzativa e tecnologica volta a prevenire il rischio di utilizzi impropri, si osserva come la mancata esplicitazione di una precisa policy al riguardo dell’utilizzo degli strumenti informatici, pu\u00f2 determinare una legittima aspettativa del lavoratore, o di terzi, sulla confidenzialit\u00e0 di tali forme di comunicazione, che si riverbera sulla qualificazione, in termini di liceit\u00e0, del comportamento del datore di lavoro, che intenda apprendere il contenuto di messaggi inviati all’indirizzo di posta elettronica usato dal lavoratore o di quelli inviati da quest’ultimo.<\/p>\n In tutti questi casi, l’eventuale controllo \u00e8 lecito solo se sono rispettati i principi di pertinenza e non eccedenza; per esempio, nel caso in cui un evento dannoso o una situazione di pericolo non sia stato impedito con preventivi accorgimenti tecnici, il datore di lavoro pu\u00f2 adottare eventuali misure che consentano la verifica di comportamenti anomali.<\/p>\n In ogni caso, deve, per quanto possibile, essere privilegiato un controllo preliminare su dati aggregati, riferiti all’intera struttura lavorativa ovvero a sue aree, svolto in forma anonima e che pu\u00f2 concludersi con un avviso generalizzato, relativo ad un rilevato utilizzo anomalo degli strumenti aziendali, seguito dall’invito ad attenersi scrupolosamente ai compiti assegnati ed alle istruzioni impartite. Laddove l’avviso non sia seguito da ulteriori anomalie, effettuare ulteriori controlli su base individuale non \u00e8, di regola, giustificato. Del pari viene esclusa l’ammissibilit\u00e0 di controlli prolungati[39]<\/a>, costanti o indiscriminati.<\/p>\n In ogni caso, il trattamento dei dati personali dovr\u00e0 essere limitato alle sole informazioni indispensabili per perseguire quelle finalit\u00e0 preventivamente determinate ed essere effettuato con logiche e forme di organizzazione strettamente correlate agli obblighi, compiti e finalit\u00e0 gi\u00e0 esplicitati.<\/p>\n Nel caso di datori di lavoro privati e di enti pubblici economici, il trattamento pu\u00f2 essere legittimamente effettuato soltanto:<\/p>\n L’accesso del consulente sar\u00e0, quindi, lecito e possibile soltanto laddove il lavoratore sia stato preventivamente informato della possibilit\u00e0 di controlli ed il controllo stesso sia pertinente e non eccedente rispetto alle esigenze di tutela degli interessi del datore di lavoro.<\/p>\n [1]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Si pensi, ad esempio, il ruolo ricoperto dal computer dell’imputato in alcuni recenti casi di cronaca relativi a procedimenti penali per omicidio.<\/p>\n [2]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Per comodit\u00e0 espositiva, nelle pagine che seguono si parler\u00e0 genericamente di \u201cconsulente\u201d. Salvo differente indicazione, con tale termine andr\u00e0 inteso il consulente del PM, quello della difesa, il perito nominato dal Giudice ed anche l’ausiliario di PG nominato ai sensi dell’art. 348 c.p.p<\/p>\n [3]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda B. Fiammella, Problematiche giuridiche in tema di computer forensic, <\/em>Sintesi dell\u2019intervento svolto durante il Convegno Internazionale \u201cPedofilia on-line: strategie di contrasto e di prevenzione\u201d, Roma, Aula Magna del Ministero delle Comunicazioni, 8 luglio 2004, in Fiammella.it; G. Costabile, Scena criminis, documento informatico e formazione della prova penale<\/em>, in convegnovarenna.giuristitelematici.it; D. Forte, Le attivit\u00e0 informatiche a supporto delle indagini giudiziarie<\/em>, in Rivista della G. di F., n\u00b02, 2000, p. 541<\/p>\n [4]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda la motivazione del Tribunale Penale di Bologna, sez. I monocratica,\u00a0 sentenza 21 luglio 2005 (dep. 22 dicembre 2005), est. di Bari. \u201c… L\u2019esclusiva assunzione di responsabilit\u00e0 da parte del fratello G., come si \u00e8 sopra detto, \u00e8 invece riscontrata sia dalla riferibilit\u00e0 a lui delle operazioni di amministrazione dei due siti internet, sia dal possesso \u2013 che non risulta avere il fratello – delle idonee capacit\u00e0 di programmazione: del resto i programmi sequestrati presso la comune residenza familiare furono trovati nei dischi rigidi presenti nella stanza nella disponibilit\u00e0 esclusiva di G.<\/em>\u201d. In relazione agli elementi \u201cambientali\u201d si veda anche\u00a0 Cass. pen., sez. III, 11 marzo 2010, n. 15100 \u201c…nella abitazione vi era un solo p.c, precisamente nella camera da letto del prevenuto, a cui era intestato l’abbonamento internet<\/em>\u201d.<\/p>\n [5]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Richiesta ai sensi dell’art. 335 c.p.p.<\/p>\n [6]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Art. 335 c.p.p. \u201c3. Ad esclusione dei casi in cui si procede per uno dei delitti di cui all’articolo 407, comma 2, lettera a), le iscrizioni previste dai commi 1 e 2 sono comunicate alla persona alla quale il reato \u00e8 attribuito, alla persona offesa e ai rispettivi difensori, ove ne facciano richiesta.<\/em><\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 3 bis. Se sussistono specifiche esigenze attinenti all’attivit\u00e0 di indagine, il pubblico ministero, nel decidere sulla richiesta, pu\u00f2 disporre con decreto motivato, il segreto sulle iscrizioni per un periodo non superiore a tre mesi e non rinnovabile<\/em>.<\/p>\n [7]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Art. 391 bis<\/em> e seguenti c.p.p.<\/p>\n [8]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda F.M. Grifantini, \u201cTUTTI I NODI VENGONO AL PETTINE: L’INCOGNITA DEL DIFENSORE-ISTRUTTORE TRA MITI E REALT\u00e0\u201d, in Cass. pen<\/em>., 2004, 01, 395 secondo cui \u201cIl pubblico ministero \u00e8 obbligato a compiere atti, a documentarli nelle forme per essi previste e, alla fine delle indagini, a depositarne i risultati, che sono utilizzabili da subito. Il difensore compie atti da impiegare secondo scelte strategiche, in quanto non solo non \u00e8 obbligato a svolgere indagini, ma non \u00e8 tenuto a documentarle (nel senso che si tratta di un onere per la difesa la quale intenda utilizzarle), n\u00e9 ad inserire i risultati nel procedimento: sceglie se avvalersene o meno a seconda della convenienza per i propri fini, dal momento che producendo prove a carico dell’assistito rischierebbe addirittura di commettere reato (art. 380 c.p.)<\/em>\u201d. Si veda anche Cassazione penale, sez. un., 27 giugno 2006, n. 32009 \u201cEvidente \u00e8 la differenza funzionale tra il P.M. e la difesa, in quanto solo il primo \u00e8 tenuto a raccogliere tutte le emergenze riguardanti l’indiziato mentre al secondo la legge riconosce poteri ampiamente dispositivi. Per attribuire per\u00f2 al difensore, in fase di documentazione delle indagini, la veste pubblica non occorre passare per la dimostrazione della parit\u00e0 dei doveri e dei poteri rispetto al P.M.<\/em>.<\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 E’ vero che il difensore non ha il dovere di cooperare alla ricerca della verit\u00e0 e che al professionista \u00e8 riconosciuto il diritto di ricercare soltanto gli elementi utili alla tutela del proprio assistito, per\u00f2 sicuramente non gli \u00e8 riconosciuto il diritto di manipolare le informazioni ricevute ovvero di selezionarle verbalizzando solo quelle favorevoli. L’interesse dell’Avvocatura, del resto, non pu\u00f2 che essere quello di rendere la prova dichiarativa assunta dal difensore affidabile al pari di quella raccolta dall’accusa, mentre la tutela difensiva resta assolutamente integra e non riceve compromissione alcuna attraverso il riconoscimento legislativo della possibilit\u00e0 di non fare seguire al colloquio preventivo la sua verbalizzazione, nonch\u00e8 di omettere di utilizzare processualmente il verbale di dichiarazioni che contenga elementi sfavorevoli (art. 391 octies c.p.p.)<\/em>\u201d.<\/p>\n [9]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 L’art.25 del D.Lgs 274\/2000 prevede che l’azione penale venga comunque esercitata dal PM che \u201centro dieci giorni dalla comunicazione del ricorso […] presenta le sue richieste nella cancelleria del giudice di pace.<\/em><\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Se ritiene il ricorso inammissibile o manifestamente infondato, ovvero presentato dinanzi ad un giudice di pace incompetente per territorio, il pubblico ministero esprime parere contrario alla citazione altrimenti formula l’imputazione confermando o modificando l’addebito contenuto nel ricorso.\u201d. <\/em><\/p>\n L’articolo 21, comma 2, lett.f), impone, in ogni caso, al ricorrente l’onere di indicare nel ricorso \u201cla descrizione, in forma chiara e precisa, del fatto che si addebita alla persona citata a giudizio, con l’indicazione degli articoli di legge che si assumono violati<\/em>\u201d.<\/p>\n [10]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Art. 251 c.p.p.<\/p>\n [11]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 AA.VV., Electronic Crime Scene Investigation: a guide for first responders<\/em>, a cura di U.S. Department of Justice, http:\/\/www.ncjrs.gov\/pdffiles1\/nij\/187736.pdf. E’ evidente che, in questo modo, si perder\u00e0 la possibilit\u00e0 di acquisire i dati presenti in RAM, ma allo stato delle cose si tratta della procedura pi\u00f9 sicura per personale inesperto.<\/p>\n [12]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda F. Marcellino, Principio di pertinenza e sequestri di computer<\/em>, in guide.supereva.com\/diritto. Si veda anche A. Monti, S. Ciccarelli, Spaghetti hacker<\/em>, Apogeo, 1997, passim<\/em>;\u00a0 G. Costabile, Scena criminis, cit.<\/em><\/p>\n [13]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Nelle pagine che seguiranno si parler\u00e0 esclusivamente delle memorie informatiche contenute nel computer. In merito alla possibilit\u00e0 di sequestro di ulteriori supporti di immagazzinamento dati si rimanda alla fine del paragrafo.<\/p>\n [14]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Sempre pi\u00f9 spesso capita che, soprattutto per particolari tipologie di reato o in caso di pi\u00f9 utenti della medesima connessione telefonica, si preferisca iscrivere un procedimento penale a carico di ignoti, per poi formalizzare il capo di imputazione in un secondo momento al soggetto identificato grazie all’analisi delle evidenze digitali.<\/p>\n [15]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda G. Costabile, Scena criminis, cit.<\/em><\/p>\n [16]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda G. Costabile, Scena criminis, cit; <\/em>G. Todesco, L’indagine informatica di Polizia Giudiziaria: trasmissione dati su rete, perquisizioni ed ispezioni informatiche<\/em>, in marcomattiucci.it, 1998.<\/p>\n [17]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Cfr.Tribunale Penale di Bologna, sez. I monocratica, sentenza 21 luglio 2005 (dep. 22 dicembre 2005), est. di Bari.<\/p>\n [18]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Per una critica a questa decisione si veda L. Luparia, Il caso \u201cVierika\u201d: un\u2019interessante pronuncia in materia di virus informatici e prova penale digitale<\/em>, in Diritto dell’internet<\/em>, 2006, n.2, p. 155.<\/p>\n [19]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Cass. sez. III,\u00a0 sentenza 18\/11\/2003, n. 1778.<\/p>\n [20]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Art.600 septies<\/em> c.p.<\/p>\n [21]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso Cass. sez. III, 10 febbraio 2005, n. 10058. Conforme Cass. pen., sez. V, 19 marzo 2002, n. 2816 in cui la Corte stabilisce che \u201c\u00e8 legittimo il sequestro di un server informatico (completamente sigillato) presso lo studio di un avvocato indagato di concorso in bancarotta fraudolenta, al fine di verificare, con le garanzie del contraddittorio anticipato, la natura effettivamente pertinenziale rispetto al reato ipotizzato, di atti e documenti sequestrati, cos\u00ec escludendo indebite conseguenze sulle garanzie del difensore in violazione dell’art. 103 c.p.p. (Nella fattispecie la Corte ha ritenuto che il sequestro era funzionale alla selezione dei dati informatici pertinenti attraverso l’incombente processuale della perizia da espletarsi con incidente probatorio)<\/em>.\u201d.<\/p>\n [22]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Sul punto la dottrina in materia di computer forensic <\/em>\u00e8 decisamente categorica. Si veda, infra multis, G. Costabile, Scena criminis,<\/em> cit.<\/em>; AA.VV., Electronic Crime Scene Investigation: a guide for first responders<\/em>, cit.<\/em>; E. Casey, Digital Evidence and Computer Crimes<\/em>, London, 2004; D.L. Shinder, Scene of the Cybercrime Computer Forensics Handbook, <\/em>Syngress, 2002;\u00a0 R. Clifford, Cybercrime. The Investigation, Prosecution and Defense of a Computer-related Crime<\/em>, Durham, 2001.<\/p>\n [23]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Cfr M. Martucci, I Crimini ad Alta Tecnologia e l\u2019Arma dei Carabinieri<\/em>, in marcomattiucci.it; B. Fiammella, Problematiche giuridiche in tema di computer forensic, <\/em>cit.<\/em><\/p>\n [24]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda: Cass. pen., sez. un., 24 aprile 2008, n. 18253; Cass. pen., sez. I, 25 febbraio 2009, n. 11503 \u201cNon d\u00e0 luogo ad accertamento tecnico irripetibile la lettura dell’hard disk di un computer sequestrato, che \u00e8 attivit\u00e0 di polizia giudiziaria volta, anche con urgenza, all’assicurazione delle fonti di prova<\/em>. Rigetta, Trib. lib. Napoli, 17 Ottobre 2008<\/em>\u201d; Cass. pen., sez. III, 09 giugno 2009, n. 28524 \u201cL’esame dell’hard disk di un computer in sequestro e la conseguente estrazione di copia dei dati ivi contenuti non sono attivit\u00e0 che le parti possono compiere durante il termine per comparire all’udienza dibattimentale senza contraddittorio e alla sola presenza del custode, in quanto implicano accertamenti ed interventi di persone qualificate e l’utilizzo di appositi strumenti, s\u00ec che devono essere necessariamente svolti in dibattimento, nel contraddittorio, e sotto la direzione del giudice. Rigetta, App. Bolzano, 03 aprile 2008<\/em>\u201d. Si veda, poi, Cass.Pen, sez.I, 18 febbraio 2009, n. 25191 secondo cui \u201cEd invero la giurisprudenza di questa Corte \u00e8 univoca nel ritenere che le attivit\u00e0 di estrazione di copia di file da computer sottoposti a sequestro \u00e8 da ricondurre alla fattispecie prevista dall’art. 258 c.p.p.. E’ questa, in particolare, la soluzione accolta da Cass. sez. Un. sent. 24 aprile 2008, n. 18253, Tchmil, rv. 239397, con riferimento ad ipotesi nelle quali era stata disposta la restituzione di computer precedentemente sequestrati, previa estrazione di copia di alcuni file ritenuti utili ai fini delle indagini. Le Sezioni Unite, in particolare, hanno specificato che il relativo provvedimento di acquisizione di copia, disciplinato dall’art. 258 c.p.p., \u00e8 autonomo rispetto al decreto di sequestro, e non \u00e8 soggetto ad alcuna forma di gravame, stante il principio di tassativit\u00e0 delle impugnazioni<\/em>.<\/p>\n La nozione di accertamento tecnico non ripetibile, del resto, si basa sulla sussistenza di almeno due requisiti: a) deve trattarsi di una attivit\u00e0 di carattere valutativo su base tecnico – scientifica, e non di una attivit\u00e0 di constatazione, raccolta o prelievo dei dati materiali pertinenti al reato; b) tale attivit\u00e0 deve avere ad oggetto persone, cose o luoghi soggetti a modificazioni tali da far perdere loro, in tempi brevi ogni valenza, probatoria in relazione ai fatti su cui vertono le indagini.<\/p>\n \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Orbene nessuno dei predetti requisiti risulta sussistere nel caso in esame, in quanto, anche ove si ritenga dimostrata la presenza di effettivi rischi di alterazione dei dati (e non di una astratta eventualit\u00e0 del genere), resta comunque difficile ricondurre l’attivit\u00e0 di estrazione di copia dei file nell’alveo delle attivit\u00e0 di carattere valutativo su base tecnico \u2013 scientifica<\/em>\u201d.<\/p>\n [25]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Si osserva che tale algoritmo \u00e8 utilizzato a livello internazionale e garantisce un buon livello di sicurezza anche se, recentemente, alcuni ricercatori cinesi hanno trovato una collisione dell’algoritmo.<\/p>\n [26]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 La sigla SHA rappresenta l’acronimo di Secure Hash Algorithm,<\/em> una famiglia di cinque diverse funzioni crittografiche sviluppate dalla National Security Agency (NSA) e pubblicate dal NIST come standard federale dal governo degli USA. Gli algoritmi sono denominati SHA-1, SHA-224, SHA-256, SHA-384 e SHA-512: il primo produce un digest<\/em> del messaggio di 160 bit, mentre gli altri producono digest di lunghezza in bit pari al numero indicato nella loro sigla (i.e. SHA-256 produce un digest di 256 bit).<\/p>\n [27]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Cfr B. Carrier, Open Source Digital Forensics Tools, The Legal Argument<\/em>, in http:\/\/www.digital-evidence.org<\/a>. Si veda anche A. Monti, Attendibilit\u00e0 dei sistemi di computer forensic<\/em>, in http:\/\/www.ictlex.net<\/p>\n [28]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Per un dettagliato documento relativo alle metodologie di analisi dei software<\/em> destinati alla computer forensics <\/em>si veda AA.VV., General Test Methodology for Computer Forensic Tools<\/em>, November 7, 2001, National Institute of Standards and Technology, U.S. Department of Commerce. Si veda anche AA.VV., CYBER-FORENSIC RESEARCH EXPERIMENTATION AND TEST ENVIRONMENT (CREATE)<\/em>.<\/p>\n [29]<\/a>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 In tal senso si veda S. Hailey, The \u201cTools Proven In Court\u201d Question, <\/em>in http:\/\/www.cybersecurityinstitute.biz<\/a> secondo cui la prima domanda dovrebbe essere non tanto che tool \u00e8 stato utilizzato, ma \u201cdoes the analyst have the technical background to support the results of their investigation, have they properly authenticated their results, and was a sound investigation performed from start to finish?<\/em>\u201d.<\/p>\n\n
\n
\n
\n
\n
\n
\n
\n
\n