La prova digitale: distinzione tra supporto e contenuto della prova

La ricostruzione ed analisi della definizione di prova digitale ha fatto emergere la stretta connessione che lega questa al dato, come suo elemento costitutivo. È risultato altresì che il dato elettronico e, più nello specifico, i dati combinati ed accostati secondo un certo ordine, producono il risultato di una comunicazione e/o di una informazione.

raccolto e dei risultati raggiunti, è anche utile al fine di valutare se vi siano state delle forme di alterazione o manipolazione. Si sta infatti diffondendo, per esempio, specie negli Stati Uniti d’America, una pratica illegale connessa alla manipolazione dei fotogrammi , attraverso una ricombinazione delle immagini e dei segmenti sonori in uno spazio morfologico (morph space) ad alta dimensione, attraverso il semplice uso di programmi e software di un personal computer. L’utilizzo di queste pratica può portare alla falsificazione anche di fonti o elementi di prova digitale sebbene le non ancora sofisticate tecnologie applicabili renda più facilmente riconoscibile la “non genuinità”.

Per un approfondimento sul tema si invita alla lettura di L. LEONE La manipolazione digitale dei

fotogrammi in Ciberspazio e Diritto, n. 3/4, 2007, pagg. 289-308.

233 Il timore di un sempre maggiore allontanamento dalla tensione alla verità processuale che può ancor più facilmente concretizzarsi per le incertezze delle operazioni di computer forensics è condiviso con A. GHIRARDINI – G. FAGGIOLI op.cit., pag. 381.

78

I dati digitali sono, per definizioni, degli elementi immateriali (e per tali motivo volatili, fuggevoli e mutevoli) che possono essere appresi su di un supporto ovvero possono essere trasferiti da un supporto all’altro secondo le procedure di computer forensics.

Da un punto di vista strettamente tecnico-operativo, tra le principali attività compiute nella fase delle indagini informatiche si annoverano i sequestri, la copia delle informazioni e l’intercettazione di flusso.

L’investigatore può, se necessario e rilevante ai fini delle indagini, sequestrare, cioè prendere fisicamente il supporto su cui risiede il dato oppure può limitarsi ad eseguire una copia attraverso la quale il supporto originale viene acquisito indirettamente, sottoforma di dupli cazione dei dati ivi contenuti, per essere poi riportati su di un altro e diverso supporto.

Ancora, è possibile che sia eseguita un’intercettazione del flusso di informazioni elettroniche e telematiche durante la trasmissione tra due sistemi. La lettura e l’analisi delle informazioni così acquisite non avviene, dunque, dal supporto di memorizzazione dove il dato risiede ma direttamente dal medium utilizzato per i flussi.

Si consideri anche che, in una ipotetica scena criminis, è possibile venire in contatto con una pluralità di supporti informatico-telematici, a volte difficili da vedere e riconoscere perché nascosti o confusi in involucri fuorvianti234.

Il proliferare di devices crea prima ancora che un problema di gestione di una quantità di dati, anche un problema di formazione tecnica specifica degli esperti che intervengono235.

Emerge così chiaramente la distinzione tra il dato ed il supporto che lo contiene.

Anche il trattamento di un computer o di un qualsiasi device elettronico è di estrema importanza per garantire che le informazioni ivi estrapolate siano genuine.

Secondo Casey, nel caso per esempio di un’indagine riguardante un personal computer è auspicabile procedere nel seguente modo:

234 Si pensi, per esempio, che una chiavetta USB si può nascondere dentro un portachiavi o in un gioiello 235 Sono gli stessi forenser ad insegnare che le procedure di intervento da seguire per garantire la genuinità dei dati raccolti, dipendono molto dal device su cui si opera.

A titolo esemplificativo, si rinvia a M. EPIFANI Analisi di telefoni cellulari in ambito giuridico in

Ciberspazio e Diritto, vol. 10, 2009, pagg. 83-98; A. GHIRARDINI – G. FAGGIOLI Computer forensics: il panorama giuridico italiano in Ciberspazio e Diritto, n. 3-4, 2007, pagg. 324-384; C.

AQUILA La computer forensics aziendale: alcune problematiche preliminari in Ciberspazio e Diritto, n. 2, 2008, pagg. 123-131.

In questo stesso contesto, l’ulteriore problematiche è legata proprio alla ricerca di percorsi di formazione ad hoc per i forenser. Sul punto si rinvia a M. EPIFANI Computer forensics: percorsi formativi in Italia

e certificazioni internazionali in Ciberspazio e Diritto, n. 3-4, 2009, pagg. 311-324.

79

1. staccare dal computer i cavi di rete e il modem ed eventualmente verificare se vi siano delle connessioni attive;

2. fotografare il supporto ed il contesto di quanto lo circonda; 3. verificare se vi siano delle impronte digitali;

4. se il computer è acceso, è utile registrare le informazioni di sistema non solo del pc ma anche de i supporti collegati;

5. spegnere il computer.

Sempre secondo la ricostruzione di Casey, nei casi di sequestro del materiale informatico, è necessario etichettare i cavi e le porte, mettere un disco di protezione in ogni drive, impacchettare tutto, sigillare ed evitare l’esposizione ad agenti dannosi.

Ogni dispositivo deve essere trattato dall’investigatore in modo specifico e differenziato, secondo la miglior prassi della scienza che ogni tecnico deve conoscere ed approfondire.

L’attività di computer forensics pone l’accento anche sulla nozione di documento informatico, da intendere come la rappresentazione di atti, fatti e dati rilevanti in ambito giuridico.

Il supporto contenente quei dati digitali, idonei a divenire prova nel processo penale, diviene così oggetto di interesse e di studio.

Il documento informatico è sicuramente il supporto più diffuso ove risiedono e vengono riprodotti i dati digitali, ma non è certo l’unico.

La nozione di documento informatico ha influenzato la teoria generale nazionale del documento e ha richiesto una rivalutazione delle normative sulla base del contenuto garantista del principio del giusto processo, riconosciuto e tutelato dall’art. 6 Convenzione Europea dei Diritti dell’Uomo, recepito nelle normative nazionali almeno dagli Stati membri dell’Unione europea.

Il punto di partenza è rappresentato da una generale e tradizionale definizione di documento come supporto fisico (nozione mutuata dall’ambito civile) in cui risiede il dato digitale, oggetto rilevante per i fini della g iustizia penale.

La tendenza attuale è alla parificazione dell’informatica alla scrittura, assimilando così il documento digitale al documento scritto, entrambi quali mezzi di rappresentazione di fatti, persone o qualsiasi altra cosa.

Più precisamente e nello specifico, il documento non solo rappresenta un qualcosa ma incorpora in sé un elemento immateriale (il dato) su di una base materiale. Ciò che viene inserito su di un supporto è una rappresentazione sottoforma di parole, immagini, suoni o gesti. Quando tale attività è compiuta con il metodo digitale e su di un supporto informatico, allora siamo di fronte ad un documento informatico, nelle altre ipotesi siamo di fronte ad documento, come tradizionalmente noto.

80

Una rappresentazione, dunque, potrà avvenire con uno scritto o con un file; il file, a sua volta, potrà risiedere su di un CD, su di un pen drive ovvero su di un altro e diverso supporto, pur non modificandosi il contenuto. L’unica differenza che sussiste tra una forma di incorporamento analogico ed una digitale si sostanzia nel fatto che nel primo caso ha luogo un incorporamento materiale, in cui la rappresentazione non esiste senza il suo supporto fisico; nel secondo caso, invece, l’incorporamento è immateriale poiché la rappresentazione esiste indipendentemente dal supporto informatico scelto, facilmente trasferibile dall’uno all’altro. Da questo si comprende meglio il motivo per cui il dato digitale è caratterizzato dalla fragilità.

L’attività d’indagine informatica, volta alla conservazione de lla genuinità del dato ricercato ed acquisito, si caratterizza, tra le altre operazion i, per l’esecuzione di una copia bit per bit della memoria del supporto informatico in analisi. I files così acquisiti sono trasferiti su di un certo supporto, quale un c d-rom o un dvd-d-rom completamente libero, al fine di ricreare le condizioni di partenza. I supporti sono fruibili in modalità di sola lettura e pertanto non permettono che i contenuti che vi risiedono possano subire alterazioni e modificazioni. Questo perché i casi in cui è legittimo procedere al sequestro di un intero supporto informatico sono eccezionali: oltrepassando questo limite, si rischia di incorrere in un’attività oltremodo invasiva e passibile di sanzioni per violazione di diritti fondamentali de ll’individuo.

Sussiste, dunque, un favor verso l’attività di assicurazione delle prove informatiche avente ad oggetto non tanto il contenitore, quanto il contenuto di informazioni e dati, i quali formano il vero oggetto di prova digitale.

Il supporto può essere un elemento di prova determinante nei casi in cui è utilizzato unicamente o comunque in maniera principale per compiere delle attività illecite, viceversa rappresenta solo un mezzo materiale ove vengono creati, risiedono e possono essere trasferiti i dati digitali che interessano ai fini delle indagini.

L’ablazione del bene è giustificata dalla necessità di cristallizzare la condotta e fornire un’approfondita descrizione tecnica, di preservare l’organizzazione logica dei dati, di evitare la dispers ione dei dati e delle informazioni per estrema volatilità, nonché per ragioni di urgenza di estrazione della copia del disco rigido al fine della prosecuzione rapida delle indagini, oltre che per l’espletamento di altre analisi tecniche d’ufficio o di part e.

Questo perché deve essere contemporaneamente tutelato il diritto alla proprietà privata dell’individuo che potrebbe risultare leso mediante le operazioni indiscriminate di sequestro dei supporti informatici.

Il supporto su cui risiede un dato digitale p uò, in taluni casi, rappresentare una chiave di volta per le indagini se, dall’analisi, si possa coadiuvare le operazioni di acquisizione di conoscenza sui fatti o sul soggetto

81

agente, ovvero si possano rilevare tracce o effetti del reato per cui si proced e, mediante la procedura dell’ispezione.

Lo strumento fisico in cui sono appresi i dati e le informazione acquisisce un ruolo essenziale nelle procedure di intercettazione: per captare un flusso di dati tra o di sistemi informatici o telematici, coperto da lla segretezza e riservatezza, è necessario l’impiego di un supporto tecnologico adatto che, dunque, diventa il mezzo essenziale per acquisire le comunicazioni bit a bit. In particolare, nelle intercettazioni telematiche sono impiegati degli apparecchi tecnologici specifici, in grado di cogliere gli impulsi elettronici non immediatamente comprensibili e convertirli in una forma intellegibile.