Source: https://it.scribd.com/document/67088187/Irripetibilita-dell-acquisizione-della-prova-informatica
Timestamp: 2019-12-10 00:52:54+00:00

Document:
Giovanni Battista Gallus - Francesco Paolo Micozzi Roma - 1 ottobre 2011 - Digital Forensic Conference
SalvaSalva Irripetibilità dell&amp;#39;acquisizione della prova infor... per dopo
Con il patrocinio di GOVForensics di Luca Governatori http://www.govforensics.it ROMA - Sheraton Roma Hotel & Conference Center sabato 1 ottobre 2011
Avv. Giovanni Battista Gallus, LL.M. g.gallus@studiogallus.it Avv. Francesco Paolo Micozzi francesco@micozzi.it
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it
L'associazione "Circolo dei Giuristi Telematici" la pi "antica" del web giuridico. La storica mailing list conta oggi oltre 200 iscritti tra avvocati, magistrati, giuristi d'impresa, universitari e tecnici specializzati. Il Circolo si fatto promotore di svariati convegni e seminari giuridici, oltre che di alcune pubblicazioni cartacee. Le modalit di iscrizione alla mailing list ed all'associazione, lo statuto sociale e il regolamento della mailing list sono consultabili liberamente sul sito. Per ulteriori informazioni: info@giuristitelematici.it. http://www.giuristitelematici.it
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 2
Irripetibilit dell'acquisizione della prova informatica
I recenti arresti giurisprudenziali e dottrinali in materia di acquisizione della prova digitale
La prova scientifica I principi fondamentali e costituzionalmente disciplinati (art. 111 Cost.) in ordine alla prova nel processo penale impongono una acquisizione soprattutto quando si parla di prove scientifiche nel contraddittorio tra le parti.
Non ammissibile, in sostanza, che la responsabilit penale di un soggetto possa basarsi su prove acquisite in assenza delle precauzioni tese ad evitare la dispersione della prova o che la fonte probatoria mantenga inalterato il suo elemento di prova
Art. 111 Cost., commi IV e V
Il processo penale e' regolato dal principio del contraddittorio nella formazione della prova. La colpevolezza dell'imputato non pu essere provata sulla base di dichiarazioni rese da chi, per libera scelta, si e' sempre volontariamente sottratto all'interrogatorio da parte dell'imputato o del suo difensore. La legge regola i casi in cui la formazione della prova non ha luogo in contraddittorio per consenso dell'imputato o per accertata impossibilita' di natura oggettiva o per effetto di provata condotta illecita.
Slide n. 5
Il principio generale delle prove: le prove si formano a dibattimento nel contraddittorio fra le parti In alcuni casi, per, non si pu attendere la fase del dibattimento e la prova deve essere congelata sin dalla fase delle indagini preliminari per essere portata integra (chain of custody) alla valutazione del giudice
Ricerca, acquisizione e valutazione della prova Con riferimento alla fonte di prova informatica (considerata la assoluta volatilit dei bit) la L. 48/2008 ha introdotto nel codice di rito alcune indicazioni sulla raccolta sicura della fonte informatica
Ma le cautele non possono arrestarsi al momento della ricerca della prova informatica. Esse devono proseguire sino al momento della acquisizione della prova, ossia al momento in cui l'elemento di prova viene sottoposto alla valutazione del giudice (assenza di prova legale nel processo penale)
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 7
Al fine di consentire di verificare la conservazione della genuinit del significato probatorio, la moderna scienza della computer forensics, ha introdotto una serie di procedure tecniche. Senza entrare nel dettaglio delle fasi della computer forensics occorre concentrarsi un attimo sulla c.d. Chain of custody e sugli algoritmi di HASH
Slide n. 8
Chain of custody Quando si parla di chain of custody si fa riferimento a quella documentazione redatta dai soggetti che entrano in contatto con la fonte di prova (solitamente si tratta della PG) nella quale vengono annotati, in ordine cronologico, tutti quegli eventi che sono potenzialmente in grado di incidere sulle informazioni contenute nella fonte (dal momento del sequestro, a quello della custodia, a quello del controllo, dell'analisi, delle operazioni di copia etc.).
Slide n. 9
HASH L'algoritmo di HASH, invece, entra in gioco nel momento in cui viene effettuata una copia del supporto informatico o di parte dei dati informatici.
Possiamo considerarlo come l'impronta digitale delle informazioni digitali: due file identici avranno due codici HASH identici. la funzione hash una funzione che mappa una stringa di lunghezza arbitraria in una stringa di lunghezza predefinita (wikipedia) La identit di HASH crea una ragionevole aspettativa di identit del file
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 10
Cass.2270/2010 (conf. 10834/07)
La mancata apposizione dei sigilli (260 c.p.p.) alla cosa sequestrata, per la tassativit delle nullit, non determina l'illegittimit del sequestro e non impedisce l'utilizzabilit della prova che dai reperti sia in seguito acquisita a condizione per che sia comunque certa l'identit della cosa sequestrata...
Irripetibilit VS ripetibilit
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 12
Irripetibilit... Considerata la delicatezza delle informazioni digitali evidente che un approccio errato al supporto informatico potenzialmente in grado di distruggere o alterare il contenuto probatorio e quindi, di impedire al giudice di valutare correttamente le informazioni
Il codice di rito, pertanto, prevede alcune precauzioni al fine di consentire che la prova si formi nel contraddittorio tra le parti e di evitare, al contempo, la dispersione della prova
Concetto di atto irripetibile
E' bene evidenziare che il concetto di irripetibilit giuridico non coincide con quello di irripetibilit in senso tecnico. La disciplina normativa sugli atti irripetibili tende a:
evitare che le prove urgenti vengano disperse; garantire il rispetto del principio del contraddittorio (111 Cost.)
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 14
Le versioni di irripetibilit
L'attivit investigativa sulla prova pu essere irripetibile...
A) Perch in caso d'inerzia la prova andrebbe comunque dispersa (indifferibilit) - se non lo fai subito non lo puoi pi fare B) Perch la stessa attivit che si compie comporta (necessariamente o con un'elevata probabilit) l'alterazione o la distruzione della fonte di prova (non reiterabilit) - se lo fai non lo puoi pi fare
Irripetibilit... e l'art. 360 c.p.p.
Art. 359. - Consulenti tecnici del pubblico ministero. 1. Il pubblico ministero, quando procede ad accertamenti, rilievi segnaletici, descrittivi o fotografici e ad ogni altra operazione tecnica per cui sono necessarie specifiche competenze, pu nominare e avvalersi di consulenti, che non possono rifiutare la loro opera. 2. Il consulente pu essere autorizzato dal pubblico ministero ad assistere a singoli atti di indagine.
Art. 360. - Accertamenti tecnici non ripetibili. 1. Quando gli accertamenti previsti dall'articolo 359 riguardano persone, cose o luoghi il cui stato soggetto a modificazione, il pubblico ministero avvisa, senza ritardo, la persona sottoposta alle indagini, la persona offesa dal reato e i difensori del giorno, dell'ora e del luogo fissati per il conferimento dell'incarico e della facolt di nominare consulenti tecnici.
Irripetibilit... e l'art. 391-decies, III comma, c.p.p.
Utilizzazione della documentazione delle investigazioni difensive. [] 3. Quando si tratta di accertamenti tecnici non ripetibili, il difensore deve darne avviso, senza ritardo, al pubblico ministero per l'esercizio delle facolt previste, in quanto compatibili, dall'articolo 360. Negli altri casi di atti non ripetibili di cui al comma 2, il pubblico ministero, personalmente o mediante delega alla polizia giudiziaria, ha facolt di assistervi.
Slide n. 17
Le facolt dell'art. 360 c.p.p.
4. Qualora, prima del conferimento dell'incarico, la persona sottoposta alle indagini formuli riserva di promuovere incidente probatorio, il pubblico ministero dispone che non si proceda agli accertamenti salvo che questi, se differiti, non possano pi essere utilmente compiuti. 5. Se il pubblico ministero, malgrado l'espressa riserva formulata dalla persona sottoposta alle indagini e pur non sussistendo le condizioni indicate nell'ultima parte del comma 4, ha ugualmente disposto di procedere agli accertamenti, i relativi risultati non possono essere utilizzati nel dibattimento
Slide n. 18
A quale irripetibilit fa riferimento il 360 cpp?
Da una lettura distratta potrebbe sembrare che l'art. 360 c.p.p. ricomprenda solo i casi di indifferibilit e non anche quelli di non reiterabilit.
Tuttavia, l'art. 117 disp. att. c.p.p. prevede che Le disposizioni previste dall'articolo 360 del codice si applicano anche nei casi in cui l'accertamento tecnico determina modificazioni delle cose, dei luoghi o delle persone tali da rendere l'atto non ripetibile. In questo caso la irripetibilit causata dallo stesso accertamento!
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 19
Non ripetibilit
La prima domanda che ci viene in mente : ma se l'irripetibilit determinata dallo stesso accertamento, non sarebbe preferibile attendere che la prova si formi nella sua sede ideale (il dibattimento nel contraddittorio fra le parti)? oltretutto... si tratterebbe di una attivit differibile!
La risposta a questa domanda : nei casi previsti dal 117 disp.att. c.p.p. il risultato dell'accertamento utile per la prosecuzione delle indagini!
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 20
Accertamento VS Rilievo
Abbiamo potuto notare che gli articoli che stiamo esaminando richiamano spesso la definizione di ACCERTAMENTI ed anche quella di RILIEVI...
Slide n. 21
Art. 359. - Consulenti tecnici del pubblico ministero.
1. Il pubblico ministero, quando procede ad accertamenti, rilievi segnaletici, descrittivi o fotografici e ad ogni altra operazione tecnica per cui sono necessarie specifiche competenze, pu nominare e avvalersi di consulenti, che non possono rifiutare la loro opera.
Art. 360. - Accertamenti tecnici non ripetibili.
1. Quando gli accertamenti previsti dall'articolo 359 riguardano persone, cose o luoghi il cui stato soggetto a modificazione, il pubblico ministero avvisa, senza ritardo, la persona sottoposta alle indagini, la persona offesa dal reato e i difensori del giorno, dell'ora e del luogo fissati per il conferimento dell'incarico e della facolt di nominare consulenti tecnici.
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 22
L'accertamento / Le operazioni tecniche
La copia di un supporto informatico , normalmente, una delle prime attivit tecniche compiute sul supporto digitale: si tratta di un'attivit che pu essere definita come accertamento? La copia digitale eseguita correttamente quando duplica fedelmente le informazioni originali (copia di bitstream) senza alterare il contenuto della fonte (sistemi che impediscono la scrittura del supporto di origine)
L'accertamento / Le operazioni tecniche L'attivit di copia viene eseguita, spesso, dagli ausiliari di PG (art. 348, u.c., c.p.p.).
Il raffronto con l'art. 359 c.p.p. (CT del PM) consente di escludere che l'attivit valutativa (accertamento) possa essere posta in essere dagli ausiliari di PG i quali debbono unicamente assicurare le fonti di prova senza procedere ad accertamenti (che consistono in attivit valutative) riservati ai consulenti tecnici (del PM e della difesa) e ai periti (i consulenti tecnici dei giudici)
Questo ha portato la Suprema Corte di Cassazione a ritenere che l'attivit di copia del supporto informatico rientri tra le attivit di assicurazione della fonte di prova che non richiedono alcuna attivit valutativa, con conseguente esclusione della disciplina dettata dall'art. 360 c.p.p. e delle relative facolt di cui abbiamo parlato in precedenza... a volte con sentenze alquanto curiose :-)
Slide n. 25
La giurisprudenza di legittimit sul punto...
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 26
Cass. 25 febbraio 2009 n. 14511
per atto irripetibile deve intendersi latto contraddistinto da un risultato estrinseco ed ulteriore rispetto alla mera attivit investigativa, non pi riproducibile in dibattimento se non con la perdita dellinformazione probatoria o della sua genuinit. Sotto tale profilo gli accertamenti ex art. 360 c.p.p. consistono in attivit di carattere valutativo su base tecnico- scientifica e non in attivit di constatazione, raccolta, prelievo dei dati materiali pertinenti al reato (Cass., Sez. 1, 9 febbraio 1990, n. 301, riv. 183648; Cass., Sez. 1, 3 giugno 1994, n.
10893, riv. 200176; Cass., Sez. 2, 27 ottobre 1998, n. 5779, riv. 213311; Cass., Sez. 1, 9 maggio 2002, n. 23156, riv. 221621; Cass., Sez. 1, 30 novembre 2005, n. 45437, riv. 233354 Cass., Sez. 1, 31 gennaio 2007. n. 14852, riv. 237359; Cass., Sez. 1, 13 novembre 2007, n. 2443, riv. 239101).
Slide n. 27
Ci posto, da escludere che lattivit di estrazione di copia di file da un computer costituisca un atto irripetibile (nel senso in precedenza indicato), atteso che non comporta alcuna attivit di carattere valutativo su base tecnico-scientifica n determina alcuna alterazione dello stato delle cose, tale da recare pregiudizio alla genuinit del contributo conoscitivo nella prospettiva dibattimentale, essendo sempre comunque assicurata la riproducibilit di informazioni identiche a quelle contenute nelloriginale. Lo stesso ricorrente, del resto, non ha in concreto allegato alcuna forma di distruzione o alterazione dei dati acquisiti, tale da confortare il suo assunto, ma si limitato a prospettare ipoteticamente alcune situazioni potenziali che esulano dalla fattispecie sottoposta allesame della Corte.
Slide n. 28
L'estrazione di copia di un file da un computer un'attivit sempre e comunque reiterabile?
Slide n. 29
Cass. 25 febbraio 2009 n. 11503
LA DIFESA: violazione, a mente dell'art. 606 c.p.p., comma 1, lett. b) ed e), dell'art. 273 c.p.p., art. 117 disp. att. c.p.p. e 360 c.p.p. perch l'hard disk rimosso dal computer sequestrato a S. V. sarebbe stato letto senza la presenza dei difensori e senza possibilit che tecnici della difesa presenziassero all'operazione, delicata, ad avviso della difesa, dappoich cagione certa di alterazione del disco prelevato, e, pertanto, atto irripetibile. Di qui la violazione dell'art. 117 disp. att. c.p.p. e dell'art. 360 c.p.p. e delle ragioni difensive di S.V..
Slide n. 30
LA MOTIVAZIONE: L'eccezione palesemente infondata, dappoich la lettura dell'hard disk non integra affatto atto irripetibile, perch la lettura di esso ha consentito di ipotizzare l'esistenza del reato a carico del ricorrente, perch quest'ultimo del tutto estraneo ai diritti difensivi di altre parti del processo, perch, l'attivit svolta al riguardo dalla P.G. rientra tra quelle svolte dalla stessa ai sensi dell'art. 348 c.p.p. e art. 354 c.p.p., comma 2 e perch, infine, possibile nel prosieguo del processo ogni attivit difensiva dello S.V. il quale, se del caso, potr far valere, quando sar e se sar eventualmente accertata l'alterazione del disco informatico, alterazione allo stato soltanto affermata dalla difesa del ricorrente, peraltro persona diversa dal proprietario del computer, e, si ribadisce, per nulla accertata.
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 31
Cass. 3 aprile 2009, n. 23035
L'affermazione che l'operazione di estrazione degli appunti del coindagato archiviati nel suo computer costituisse attivit irripetibile priva difatti d'ogni riferimento che consenta di apprezzarne la plausibilit. Mentre , al contrario, dato di comune esperienza che la stampa di un qualsiasi documento redatto su supporto informatico operazione meramente meccanica: riproducibile, teoricamente, all'infinito.
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 32
La sanzione della inutilizzabilit espressamente prevista dall'art. 360 c.p.p., comma 5 riguarda per altro il dibattimento ed limitata all'ipotesi in cui il pubblico ministero, malgrado l'espressa riserva di promuovere incidente probatorio formulata dalla persona sottoposta alle indagini e pur potendo gli accertamenti irripetibili essere differiti, ha ugualmente disposto di procedere a detti accertamenti Ma come pu la difesa fare riserva di promuovere incidente probatorio se non a conoscenza dell'attivit (almeno) potenzialmente irripetibile?
Cass. SSUU - 25 febbraio 2010, n. 15208
va escluso che l'attivit di estrazione di copia di un file da un computer (attivit definibile, secondo Cass., Sez. 1, 25 febbraio 2009, n. 11503, Dell'Aversano, come accertamento di polizia giudiziaria diretto all'assicurazione delle fonti di prova) costituisca atto irripetibile, dato che non comporta alcuna attivit di carattere valutativo su base tecnico - scientifica, n determina alcuna alterazione dello stato delle cose, tale da recare un pregiudizio alla genuinit del contributo conoscitivo in prospettiva dibattimentale. E' assicurata infatti, in ogni caso, la riproducibilit di informazioni identiche a quelle contenute nell'originale
Slide n. 34
Non comporta alterazione...
Cosa significa per le Sezioni Unite della Suprema Corte di Cassazione il non comporta alterazione? Vediamolo...
Slide n. 35
n si trattato di accertamenti irripetibili essendo il computer rimasto integro; inoltre la stessa tecnica di estrazione utilizzata, ovvero la "encase forensic", cos come tutti i programmi di estrazione, prevedevano come prima operazione quella di effettuare una copia dell'hard disk, sicch era garantita l'esclusione di alcuna modifica del supporto originale.
Slide n. 36
Cass. 24 novembre 2010, n. 45571 non d luogo ad accertamento tecnico irripetibile la lettura dell'hard disck di un computer sequestrato che attivit di PG volta, anche con urgenza, all'assicurazione delle fonti di prova e che l'estrazione dei dati contenuti in un supporto
informatico se eseguita da personale esperto in grado di evitare la perdita dei medesimi dati, costituisce un accertamento tecnico ripetibile...
Allora... un accertamento o no?
Slide n. 37
Cass. 17 dicembre 2010, n. 16599 quando le difese denunciano la mancanza dei supporti originali e rilevano incongruenze circa le date dei CD messi a loro disposizione, trascurano di considerare che il supporto sul quale vengono memorizzati i flussi telematici captati sono sempre duplicati dell'originario documento contenuto nel server di registrazione ed irrilevante la data in cui tali duplicati vengono effettuati A MENO CHE NON SI INTENDA DENUNCIARE UN FATTO DI RILEVANZA PENALE DI MANIPOLAZIONE DEL DATO ORIGINARIO...
Slide n. 38
Cass. 9 marzo 2011, n. 17244
Quanto al secondo motivo, non da luogo ad accertamento tecnico irripetibile l'estrazione dei dati archiviati in un computer, trattandosi di operazione meramente meccanica, riproducibile per un numero indefinito di volte. Pertanto non sussiste neppure la nullit dedotta con il secondo motivo di ricorso...
Slide n. 39
Cass. Pen. 26362 del 3 maggio 2011
Per il resto la motivazione correttamente oppone che l'accertamento disposto dal PM sul computer non era da considerare in origine irripetibile essendo l' irripetibilit dell'accertamento sopravvenuta e non preventivabile in quanto causata da un imprevedibile guasto del computer. Di conseguenza correttamente si ritenuto non invocabile alcuna nullit in quanto quest'ultima consegue unicamente al caso in cui vi sia violazione della procedura indicata dall'art. 360 bis c.p.p.; e, cio, nel caso in cui non sia dato avviso alla difesa dell'accertamento peritale su un bene necessariamente soggetto ad alterazione per effetto dell'esame stesso. La sopravvenuta impossibilit della ripetizione dell'atto deve essere, al pari degli altri atti compiuti nel corso delle indagini, quindi, liberamente apprezzata dal giudice e, di per se stessa non impedisce la utilizzazione dell'atto in dibattimento.
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 40
Interpretazioni... dubbie
E' stato gi ritenuto da questa Corte che gli accertamenti compiuti dalla polizia giudiziaria, consistenti nell'esame tecnico del contenuto dell'hard disk, non hanno il carattere della irripetibilit estrinseca o intrinseca, in forza del quale debbano essere rispettate le garanzie previste dall'art. 360 c.p.p., con preavviso all'indagato. Si tratta infatti di esami che per loro natura possono essere ripetuti, e che per se stessi non determinano modificazioni dello stato della cosa esaminata ai sensi dell'art. 117 disp. att. c.p.p. (Cass., Sez. 3^, 22 settembre 2006, n. 37706, Ciuti).
Cassazione penale sez. I, 18 marzo 2009, n. 15970
Slide n. 41
Un'attivit di copia (o di ispezione informatica) maldestra del supporto informatico rischia, in primo luogo, di impedire ai consulenti tecnici ed al perito una corretta analisi e, in secondo luogo, al giudice di valutare correttamente (in sede decisionale) il significato emerso dalla fonte di prova informatica. In sostanza il rischio che il giudice non possa fondare il suo convincimento (in un senso o nell'altro) su un elemento di prova evidentemente viziato
Av v. Giovanni Battista Gallus g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi francesco@micozzi.it Slide n. 42
Avv. Giovanni Battista Gallus g.gallus@studiogallus.it Avv. Francesco Paolo Micozzi francesco@micozzi.it
Slide n. 43
Documenti simili a Irripetibilità dell'acquisizione della prova informatica
Part Eu Nobis
ARCHIVI_ORGANIZZAZIONE.pdf

References: Art. 111

Art. 359

Art. 360

Art. 359

Art. 360

Cass. 
 art. 360

Cass. 
 art. 117
 art. 354

Cass. 

Cass. 

Cass. 

Cass. 

Cass. 

Cass.