Informatica forense · Avvocati e difensori penali

Wie kann die Verteidigung erkennen, ob relevante Daten bei der Auswertung durch Filter ausgeschlossen wurden?

Zeitfilter, Dateitypfilter, Benutzerfilter oder Suchbegriffe können eine Auswertung sinnvoll eingrenzen, zugleich aber relevante Gegenbefunde ausblenden.

Richiesta non vincolante

Perché questa domanda è importante per la difesa penale

Dopo aver esaminato il fascicolo, è fondamentale distinguere gli elementi di fatto di natura tecnica dalle valutazioni sintetiche delle indagini. Proprio le prove digitali possono apparire plausibili nei rapporti, sebbene l’entità dell’estrazione, la semantica temporale, l’attribuzione alle persone o il contesto dei dati richiedano una valutazione più articolata.

Approccio tecnico di analisi

Wir prüfen dokumentierte Filter, Suchräume, Zeiträume und Ausschlusskriterien und vergleichen sie mit der konkreten Tat- und Verteidigungsfrage.

Dove si trova il limite della dichiarazione

Eine Filterung ist nicht automatisch methodisch falsch. Sie wird problematisch, wenn entscheidungserhebliche Daten dadurch unbemerkt außerhalb des Untersuchungsbereichs bleiben.

Perché LanCologne?

Dall’esame degli atti emerge che il valore aggiunto di una controverifica forense informatica indipendente non consiste nel mettere in discussione in modo generalizzato il lavoro delle autorità. È invece fondamentale ricondurre le conclusioni digitali fondamentali alla loro effettiva base di dati.

LanCologne verifica quindi quale elemento probatorio, quale immagine o quale estrazione sia stata analizzata, quali filtri e parser siano stati utilizzati e se la conclusione tratta da tali dati sia tecnicamente supportata dai dati primari. Laddove un riscontro delle autorità risulti corretto, esso viene confermato. Laddove un’affermazione vada oltre i dati, tale limite viene spiegato in modo comprensibile.

Particolare attenzione viene prestata alla distinzione tra dispositivo, account, sessione e persona fisica, nonché tra il comportamento automatizzato del sistema e l'azione consapevole dell'utente. Vengono inoltre presi in considerazione i risultati contraddittori, le fonti di dati incomplete e le spiegazioni alternative tecnicamente plausibili.

L'obiettivo è quello di creare una base tecnica solida per la difesa, in grado di reggere anche a un successivo esame da parte della Procura, di altri periti e del tribunale.

Il nostro modo di lavorare

1Registrare in modo strutturato il fascicolo d’indagine e gli allegati tecnici accessibili alla difesa.

2Assegnare in modo univoco i codici delle prove, le immagini, le estrazioni e i report.

3Verificare quali fonti di dati abbiano effettivamente costituito la base delle conclusioni negative.

4Documentare l'ambito dell'estrazione, gli errori, i filtri, i termini di ricerca e i limiti temporali.

5Convalidare i risultati principali dell'analisi sintattica e dei report rispetto ai dati primari e al contesto di sistema.

6Valutare separatamente l'assegnazione di dispositivi, account, sessioni e persone.

7Tenere conto dei fusi orari, della sincronizzazione e delle dipendenze dalle fonti nelle correlazioni.

8Cercare risultati contrari finora non presi in considerazione e spiegazioni alternative.

9Indicare espressamente le incertezze tecniche e i dati non disponibili.

10Documentare i risultati principali e le richieste di chiarimenti tecnici in modo comprensibile e riproducibile per la difesa.

Risultati a carico, a discarico e in sospeso

Una verifica tecnica non è un tentativo di individuare a tutti i costi un errore nel fascicolo delle indagini. I risultati tecnicamente corretti vengono confermati. Qualora vengano riscontrati risultati contrastanti, dati incompleti o spiegazioni tecniche alternative, anche questi vengono documentati in modo comprensibile. In questo modo la difesa ottiene una base fattuale realistica e attendibile.

Comprensibile per l’avvocato difensore – riproducibile per altri esperti forensi

Il risultato principale viene formulato in modo chiaro e senza ricorrere a un linguaggio tecnico superfluo. Le fonti dei dati rilevanti ai fini dell'analisi, i valori hash, gli ID, i riferimenti temporali, le posizioni dei dati grezzi e le fasi metodologiche vengono documentati in modo tale che un altro esperto qualificato in informatica forense possa comprendere dal punto di vista tecnico le conclusioni essenziali.

LanCologne come supporto tecnico indipendente per la difesa penale

Se, dopo aver consultato gli atti, un avvocato penalista desidera far verificare in modo indipendente i risultati di un’analisi delle chiavi digitali, LanCologne offre il proprio supporto attraverso una controverifica informatica forense obiettiva e imparziale. L’obiettivo è fornire una risposta chiara su ciò che i dati tecnici disponibili dimostrano effettivamente – e su ciò che invece non dimostrano.

Quadro giuridico

Il diritto del difensore di prendere visione degli atti e di esaminare i reperti è disciplinato dall’articolo 147 del Codice di procedura penale. Ai sensi del comma 1, il difensore è autorizzato a prendere visione degli atti in possesso del tribunale o che devono essere presentati in caso di accusa, nonché a esaminare i reperti custoditi d’ufficio. Fintantoché la chiusura delle indagini non sia ancora stata annotata negli atti, la consultazione o l’ispezione di cui al comma 2 può essere limitata alle condizioni ivi indicate. Ai sensi dell’articolo 147, comma 3, al difensore non può essere negata, in nessuna fase del procedimento, la consultazione delle perizie degli esperti. Nella fase istruttoria, la decisione in merito alla concessione dell’accesso agli atti spetta, in linea di principio, alla Procura (articolo 147, comma 5).

Tali diritti spettano al difensore, non a LanCologne. Una verifica tecnica contrapposta presuppone pertanto che la difesa possa mettere a disposizione in modo legittimo i documenti o i dati in questione. LanCologne non acquisisce, in virtù dell’incarico privato, alcun diritto proprio di ispezione, di accesso agli atti o di consultazione nei confronti della Procura o della Polizia.

L'articolo 160, comma 2, del Codice di procedura penale (StPO) impone alla Procura di accertare sia le circostanze a carico che quelle a discarico. Ai sensi dell'articolo 163a, comma 2, dello StPO, le prove richieste dall'imputato a propria discolpa devono essere raccolte qualora siano rilevanti. Una perizia tecnica indipendente può quindi fornire elementi di fatto che il difensore può valutare per ulteriori richieste di prove o istanze; la decisione processuale spetta al difensore o all’autorità di polizia giudiziaria competente.

Per quanto riguarda le prove elettroniche sequestrate, confiscate o esaminate dalle autorità, occorre tenere conto in particolare degli articoli 94, 98 e 110 del Codice di procedura penale. L’articolo 110, comma 3, disciplina l’esame dei supporti di memorizzazione elettronici da parte degli organi statali a ciò autorizzati e, a determinate condizioni, anche dei supporti di memorizzazione fisicamente separati. Da ciò non derivano poteri di autorità pubblica per un perito informatico forense incaricato da privati.

Un perito informatico forense incaricato privatamente dalla difesa non è, per il solo fatto di tale incarico, un perito formalmente chiamato ai sensi degli articoli 72 e seguenti del Codice di procedura penale. Questi ruoli processuali sono espressamente distinti.

Domande frequenti

Ai sensi dell’articolo 147 del Codice di procedura penale, LanCologne può richiedere autonomamente l’accesso agli atti?+

No. Tale diritto spetta al difensore o, alle condizioni previste dalla legge, all’imputato. LanCologne può effettuare verifiche tecniche solo sugli atti e sui dati messi a disposizione in modo legittimo.

Nel corso della verifica incrociata si parte dal presupposto che la valutazione delle autorità sia errata?+

No. L'esame non porta a conclusioni definitive. I risultati significativi possono essere confermati, limitati o smentiti dal punto di vista tecnico.

È necessario ripetere l'intera analisi forense per ogni rapporto?+

Non necessariamente. La portata dipende dalla questione specifica oggetto della difesa e dalle constatazioni tecniche che sono effettivamente determinanti ai fini dell’accusa.

LanCologne può fornire supporto all’avvocato difensore nel caso in cui questi abbia bisogno di chiarimenti tecnici da parte di un perito?+

Sì. Possiamo individuare le incongruenze tecniche, le lacune nei dati e i limiti delle testimonianze e ricavarne un elenco di domande tecniche. Spetta all’avvocato difensore decidere come utilizzarle nel corso del processo.