Informatica forense · Avvocati e difensori penali

In che modo la difesa può verificare se i dati digitali acquisiti successivamente siano comparabili con un’immagine forense precedente?

Le estrazioni successive potrebbero includere altre versioni dell'app, stati dei dati e contenuti di sincronizzazione.

Perché questa domanda è importante per la difesa penale

Nel corso dell’assunzione delle prove, singole affermazioni di natura tecnica possono assumere un peso considerevole. Ai fini di una difesa adeguata, deve rimanere chiaro se un’affermazione derivi direttamente dai dati primari, si basi su un’interpretazione automatizzata o presupponga ulteriori ipotesi.

Approccio tecnico di analisi

Confrontiamo le date di rilevamento, le fonti dei dati, gli identificatori, le versioni e gli artefatti concreti, distinguendo i risultati storici inalterati dai dati aggiunti successivamente.

Dove si trova il limite della dichiarazione

Due prove relative allo stesso dispositivo non costituiscono automaticamente una base probatoria identica.

Perché LanCologne?

In questa fase del processo è particolarmente importante non considerare i singoli risultati tecnici in modo isolato. Una prova digitale può essere correttamente contestualizzata solo se se ne conoscono la provenienza, lo stato dei dati, la logica alla base della sua creazione e i limiti della sua attendibilità.

LanCologne procede quindi in modo coerente, partendo dai risultati primari per giungere alle conclusioni. I report automatizzati, gli screenshot o le schermate del software servono a illustrare il contesto, ma non vengono equiparati alla fonte di prova vera e propria. In caso di risultati determinanti, verificiamo, nella misura in cui la banca dati lo consenta, i file, i database, i log, i metadati o altri artefatti sottostanti.

Le constatazioni a carico e a discarico vengono trattate secondo lo stesso criterio tecnico. Un’alternativa tecnicamente possibile non viene considerata una prova contraria fintantoché mancano indizi concreti. Viceversa, da un’indicazione del software che appaia plausibile non si deduce alcuna attribuzione a una persona specifica, se non sussistono i fatti di collegamento necessari a tal fine.

Il risultato deve essere comprensibile sia per l’avvocato difensore che per il tribunale e, al contempo, contenere dettagli tecnici sufficienti affinché un altro esperto qualificato in informatica forense possa comprendere e verificare le conclusioni fondamentali.

Il nostro modo di lavorare

1Individuare il fatto probatorio concreto e la relativa fonte digitale.

2Assegnare in modo univoco dati primari, esportazioni, report e grafici.

3Documentare lo stato dei dati e la data del salvataggio o della raccolta.

4Verificare l'integrità, l'identità ed eventuali differenze tra le versioni.

5Rintracciare l'origine tecnica dei risultati dei parser, dei filtri e delle ricerche.

6Valutare separatamente l'assegnazione relativa a tempo, dispositivi, account, sessioni e persone.

7Verificare i processi automatici e le spiegazioni alternative tecnicamente concrete.

8Confrontare i nuovi risultati emersi dal processo con la banca dati esistente.

9Documentare gli elementi a carico, quelli a discarico e le questioni ancora aperte secondo criteri uniformi.

10Riassumere in modo comprensibile per la difesa i punti chiave e i limiti delle affermazioni.

Risultati a carico, a discarico e in sospeso

La nostra indagine non è orientata verso un risultato specifico. Qualora si confermasse un riscontro negativo, questo verrà documentato allo stesso modo di un riscontro positivo. Se una questione tecnica non può essere risolta a causa della mancanza di dati, della presenza di diverse cause ugualmente plausibili o di limiti metodologici, verrà registrata proprio questa incertezza.

Comprensibile per la difesa e il tribunale – comprensibile anche per altri esperti forensi

Il messaggio chiave viene spiegato con un linguaggio comprensibile. La parte tecnica documenta le fonti dei dati, gli identificatori, i riferimenti temporali, le informazioni sull’integrità, i dati grezzi rilevanti e le fasi di convalida. In questo modo, un altro esperto qualificato in informatica forense può verificare dal punto di vista tecnico le conclusioni decisive.

LanCologne come supporto tecnico indipendente per la difesa penale

Qualora, nel corso del processo, sia necessario valutare prove digitali, nuove perizie tecniche o risultati contraddittori di analisi informatiche forensi, LanCologne fornisce un supporto attraverso un’analisi oggettiva, comprensibile e imparziale. L’unico elemento determinante è ciò che i dati disponibili dimostrano effettivamente.

Quadro giuridico

Per l’assunzione delle prove in corso, il § 244 del Codice di procedura penale (StPO) riveste un’importanza fondamentale. Ai sensi del comma 2, il tribunale deve estendere d’ufficio l’assunzione delle prove a tutti i fatti e mezzi di prova rilevanti ai fini della decisione. I requisiti per la presentazione di una richiesta di prova e i motivi di rigetto previsti dalla legge derivano in particolare dall’articolo 244, comma 3 e seguenti, del Codice di procedura penale. LanCologne può individuare questioni tecniche relative ai fatti e fonti di dati adeguate, ma non presenta autonomamente richieste di prova nell’ambito del procedimento penale.

Ai sensi dell’articolo 246, comma 1, del Codice di procedura penale, l’ammissione di una prova non può essere negata per il solo fatto che la prova o il fatto da dimostrare siano stati presentati in ritardo. Le ulteriori disposizioni dell’articolo 246, in particolare quelle relative a eventuali istanze di sospensione in caso di presentazione tardiva, costituiscono questioni procedurali che riguardano le parti in causa e il tribunale.

L'articolo 249 del Codice di procedura penale disciplina la prova documentale. Ai sensi dell'articolo 249, comma 1, i documenti elettronici sono considerati atti, purché siano leggibili. Il comma 2 enuncia i presupposti della procedura di lettura autonoma. Il compito tecnico può consistere nel verificare la versione, la provenienza e l’integrità di un documento elettronico; spetta al tribunale decidere in merito alla forma di acquisizione delle prove.

Ai sensi dell’articolo 257, comma 2, del Codice di procedura penale, su richiesta, anche al difensore deve essere data la possibilità, dopo ogni singola acquisizione di prove, di esprimersi in merito. Ai sensi del comma 3, tale dichiarazione non deve anticipare l’arringa finale. LanCologne può elaborare a tal fine gli aspetti tecnici della fattispecie, ma non rilascia alcuna dichiarazione processuale al posto del difensore.

Se durante il processo di primo grado cambia l’aspetto giuridico o, nei casi contemplati dall’articolo 265, la situazione di fatto, l’articolo 265 del Codice di procedura penale prevede disposizioni in materia di notifica e, a determinate condizioni, di sospensione. Spetta a un giudice valutare se tale norma sia applicabile nel caso concreto. Ci limitiamo a constatare se e in che modo sia cambiata la base fattuale tecnica.

Al termine dell’assunzione delle prove seguono le arringhe finali ai sensi dell’art. 258 del Codice di procedura penale. La valutazione delle prove spetta al tribunale: ai sensi dell’art. 261 del Codice di procedura penale, esso decide in merito all’esito dell’assunzione delle prove in base alla propria libera convinzione, derivante dall’insieme del procedimento. Una perizia informatica forense può illustrare fatti e limiti di natura tecnica, ma non sostituisce né l’arringa finale né la valutazione delle prove da parte del giudice.

Domande frequenti

Durante l'udienza principale, LanCologne può preparare gli aspetti tecnici per una dichiarazione del difensore?+

Sì. Siamo in grado di valutare dal punto di vista tecnico una perizia digitale e di individuarne la base dati e i limiti interpretativi. La spiegazione del procedimento spetta invece al difensore.

Una schermata del software costituisce già di per sé una prova digitale vera e propria?+

Non necessariamente. Spesso si tratta di una rappresentazione interpretativa dei dati primari. Nel caso di risultati rilevanti, dovrebbe essere chiaro su quali dati si basi la rappresentazione.

Un nuovo riscontro digitale può ancora assumere rilevanza nel corso del processo?+

Sì. È tuttavia necessario verificare la sua rilevanza tecnica e la sua provenienza. Il trattamento processuale dipende dalla situazione processuale concreta.

Alla fine, LanCologne valuta se l'imputato sia colpevole o debba essere assolto?+

No. Noi rispondiamo a domande di natura tecnica. La valutazione giuridica e la valutazione delle prove spettano rispettivamente alla difesa e al tribunale.