La prova digitale in giudizio: cos’è, come si acquisisce e come si valuta.

Il problema di fondo: la fragilità del dato digitale

Un file non è una fotografia. A differenza di un documento cartaceo, un file digitale può essere copiato, modificato, cancellato e ripristinato senza lasciare — apparentemente — tracce visibili. La data di creazione può essere alterata. I metadati possono essere manipolati. Uno screenshot può essere costruito. Un’e-mail può essere falsificata. Questa vulnerabilità intrinseca del dato digitale è la ragione per cui la prova digitale richiede metodologie di acquisizione e analisi rigorose, senza le quali il suo valore probatorio è gravemente compromesso.

Nella mia attività come CTU e come Ausiliario di Polizia Giudiziaria, ho visto procedimenti — civili e penali — perduti o vinti non sulla sostanza dei fatti, ma sulla qualità della prova digitale prodotta. Documenti informatici prodotti senza rispettare il principio di integrità del dato. Log acquisiti male, senza firma digitale o hash. Perizie di parte fondate su analisi non riproducibili. Errori tecnici che il giudice non poteva rilevare da solo, ma che il CTU o il CTP avversario erano in grado di identificare e contestare efficacemente.

Questo articolo è una guida pratica: cosa conta, cosa non conta e come evitare gli errori più comuni.

Il quadro normativo

Nel processo penale

L’art. 234-bis c.p.p. — introdotto dalla Legge 48/2008 di ratifica della Convenzione di Budapest sul Cybercrime — disciplina l’acquisizione di documenti e dati informatici conservati all’estero. L’art. 247, co. 1-bis c.p.p. regola le perquisizioni su sistemi informatici e telematici. Il principio cardine della prova digitale penale è quello della non alterazione del dato originale: qualsiasi operazione sul supporto deve garantire che il materiale sottostante non venga modificato (principio di write-blocking).

Nel processo civile

L’art. 2712 c.c. equipara le riproduzioni informatiche ai documenti, attribuendo loro il valore di prova piena se non contestate dalla controparte in modo specifico. L’art. 2702 c.c. regolamenta la firma digitale come equivalente della sottoscrizione autografa. Il Codice dell’Amministrazione Digitale (D.Lgs. 82/2005) fornisce le definizioni fondamentali di documento informatico, firma elettronica e log.

L’acquisizione forense: i concetti chiave

Il write-blocker

Qualsiasi operazione su un supporto digitale che non utilizzi un dispositivo di write-blocking fisico o software — che impedisce qualsiasi scrittura sul supporto sorgente — è metodologicamente scorretta e può determinare l’inammissibilità della prova in sede penale o la sua contestabilità in sede civile. Questo vale per hard disk, chiavette USB, smartphone, server.

Il hash crittografico

Ogni acquisizione forense corretta inizia e termina con il calcolo del valore hash (SHA-256 o equivalente) del supporto originale. L’hash è una sorta di impronta digitale matematica: se il file di acquisizione ha lo stesso hash del supporto originale, significa che la copia è identica all’originale bit per bit. Qualsiasi successiva modifica — anche di un solo bit — produce un hash diverso. Questo è il meccanismo che garantisce l’integrità della prova.

La catena di custodia

La catena di custodia documenta ogni passaggio del reperto digitale: chi lo ha acquisito, quando, dove, con quali strumenti, chi lo ha conservato e in quali condizioni. Un reperto senza catena di custodia tracciata è un reperto la cui integrità non può essere verificata. In giudizio, questa lacuna è una vulnerabilità facilmente sfruttabile dalla controparte.

Lo screenshot come prova: un caso a parte

Lo screenshot è forse la prova digitale più diffusa nei procedimenti civili — e la più problematica. Un’immagine dello schermo non dimostra, da sola, nulla: può essere prodotta in qualsiasi momento, può essere modificata, non ha un hash verificabile rispetto alla fonte originale.

Per attribuire valore probatorio a uno screenshot, è necessario che sia accompagnato da elementi che ne contestualizzino la provenienza e l’integrità: log del sistema che documentano l’accesso alla pagina nello stesso momento, conservazione della pagina originale mediante strumenti forensi certificati (es. acquisizione con timestamp firmato e certificato), notifica notarile dell’accesso alla piattaforma digitale con conservazione del contenuto.

Un avvocato che produce in giudizio uno screenshot senza questi accompagnamenti si espone alla contestazione della controparte e, nella migliore delle ipotesi, al fatto che il giudice attribuisca al documento un valore indiziario anziché probatorio.

La perizia tecnica: CTU e CTP

Quando il giudice non è in grado di valutare autonomamente la prova digitale — il che è la norma, non l’eccezione — nomina un Consulente Tecnico d’Ufficio (CTU). Il CTU deve essere terzo e imparziale, risponde al giudice e alle parti. Il suo compito è analizzare i dati tecnici e tradurli in un linguaggio comprensibile per il giudice, senza prendere posizione sul merito giuridico della controversia.

Le parti possono nominare un Consulente Tecnico di Parte (CTP), che partecipa alle operazioni peritali, può rivolgere osservazioni al CTU e depositare una relazione dissenziente. Un buon CTP non è semplicemente qualcuno che contesta la perizia d’ufficio: è qualcuno che sa identificare le debolezze metodologiche e le lacune nell’analisi, proponendo letture alternative fondate e verificabili.

Gli errori più frequenti da evitare

• Acquisire dati da un dispositivo senza write-blocker, alterando la data di accesso o la struttura del file system.
• Produrre screenshot senza documentazione della fonte e della data di acquisizione.
• Non calcolare o non conservare i valori hash del materiale acquisito.
• Eseguire analisi su copie di lavoro non certificate rispetto all’originale.
• Redigere relazioni peritali che contengono conclusioni giuridiche (non di competenza del tecnico) invece di limitarsi ai fatti tecnici.
• Non documentare ogni passaggio operativo, rendendo l’analisi non riproducibile e quindi non verificabile.