Source: https://www.scribd.com/document/67088187/Irripetibilita-dell-acquisizione-della-prova-informatica
Timestamp: 2016-08-24 22:57:49+00:00
Document Index: 73722254

Matched Legal Cases: ['art. 111', 'art. 360', 'art. 391', 'art. 360', 'art. 360', 'art. 117', 'art. 348', 'art. 359', 'art. 360', 'art. 360', 'art. 606', 'art. 273', 'art. 117', 'art. 117', 'art. 360', 'art. 348', 'art. 354', 'art. 360', 'art. 360', 'art. 360', 'art. 117']

Irripetibilità dell'acquisizione della prova informatica BrowseUploadSign inJoinBooksAudiobooksComicsSheet MusicWelcome to Scribd! Start your free trial and access books, documents and more.Find out moreDIGITAL FORENSICS CONFERENCECon il patrocinio di GOVForensics di Luca Governatori http://www.govforensics.it ROMA - Sheraton Roma Hotel & Conference Center sabato 1 ottobre 2011
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it
L'associazione "Circolo dei Giuristi Telematici" è la più "antica" del web giuridico. La storica mailing list conta oggi oltre 200 iscritti tra avvocati, magistrati, giuristi d'impresa, universitari e tecnici specializzati. Il Circolo si è fatto promotore di svariati convegni e seminari giuridici, oltre che di alcune pubblicazioni cartacee. Le modalità di iscrizione alla mailing list ed all'associazione, lo statuto sociale e il regolamento della mailing list sono consultabili liberamente sul sito. Per ulteriori informazioni: info@giuristitelematici.it. http://www.giuristitelematici.it
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 2
La prova scientifica ● I principi fondamentali e costituzionalmente disciplinati (art. 111 Cost.) in ordine alla prova nel processo penale impongono una acquisizione soprattutto quando si parla di prove scientifiche – nel contraddittorio tra le parti.
Non è ammissibile, in sostanza, che la responsabilità penale di un soggetto possa basarsi su prove acquisite in assenza delle precauzioni tese ad evitare la dispersione della prova o che la fonte probatoria mantenga inalterato il suo elemento di prova
Il processo penale e' regolato dal principio del contraddittorio nella formazione della prova. La colpevolezza dell'imputato non può essere provata sulla base di dichiarazioni rese da chi, per libera scelta, si e' sempre volontariamente sottratto all'interrogatorio da parte dell'imputato o del suo difensore. La legge regola i casi in cui la formazione della prova non ha luogo in contraddittorio per consenso dell'imputato o per accertata impossibilita' di natura oggettiva o per effetto di provata condotta illecita.
Il principio generale delle prove: le prove si formano a dibattimento nel contraddittorio fra le parti In alcuni casi, però, non si può attendere la fase del dibattimento e la prova deve essere “congelata” sin dalla fase delle indagini preliminari per essere portata integra (chain of custody) alla valutazione del giudice
Ricerca, acquisizione e valutazione della prova ● Con riferimento alla fonte di prova “informatica” (considerata la assoluta “volatilità” dei bit) la L. 48/2008 ha introdotto nel codice di rito alcune indicazioni sulla raccolta “sicura” della fonte informatica
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 7
Al fine di consentire di verificare la conservazione della genuinità del significato probatorio, la moderna scienza della computer forensics, ha introdotto una serie di procedure tecniche. Senza entrare nel dettaglio delle fasi della computer forensics occorre concentrarsi un attimo sulla c.d. “Chain of custody” e sugli algoritmi di HASH
Chain of custody ● Quando si parla di “chain of custody” si fa riferimento a quella documentazione – redatta dai soggetti che entrano in contatto con la fonte di prova (solitamente si tratta della PG) – nella quale vengono annotati, in ordine cronologico, tutti quegli eventi che sono potenzialmente in grado di incidere sulle informazioni contenute nella fonte (dal momento del sequestro, a quello della custodia, a quello del controllo, dell'analisi, delle operazioni di copia etc.).
HASH ● L'algoritmo di HASH, invece, entra in gioco nel momento in cui viene effettuata una copia del supporto informatico o di parte dei dati informatici.
Possiamo considerarlo come “l'impronta digitale delle informazioni digitali”: due file identici avranno due codici HASH identici. “la funzione hash è una funzione che mappa una stringa di lunghezza arbitraria in una stringa di lunghezza predefinita” (wikipedia) La identità di HASH crea una ragionevole aspettativa di identità del file
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 10
La mancata apposizione dei sigilli (260 c.p.p.) alla cosa sequestrata, per la tassatività delle nullità, non determina l'illegittimità del sequestro e non impedisce l'utilizzabilità della prova che dai reperti sia in seguito acquisita a condizione però che sia comunque certa l'identità della cosa sequestrata...
Irripetibilità VS ripetibilità
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 12
Irripetibilità... ● Considerata la “delicatezza” delle informazioni digitali è evidente che un approccio errato al supporto informatico è potenzialmente in grado di distruggere o alterare il contenuto probatorio e quindi, di impedire al giudice di valutare correttamente le informazioni
E' bene evidenziare che il concetto di irripetibilità “giuridico” non coincide con quello di irripetibilità in senso “tecnico. La disciplina normativa sugli atti irripetibili tende a:
evitare che le prove “urgenti” vengano disperse; garantire il rispetto del principio del contraddittorio (111 Cost.)
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 14
Le versioni di irripetibilità
L'attività investigativa sulla prova può essere irripetibile...
A) Perché in caso d'inerzia la prova andrebbe comunque dispersa (indifferibilità) - “se non lo fai subito non lo puoi più fare” B) Perché la stessa attività che si compie comporta (necessariamente o con un'elevata probabilità) l'alterazione o la distruzione della fonte di prova (non reiterabilità) - “se lo fai non lo puoi più fare”
Irripetibilità... e l'art. 360 c.p.p.
Art. 359. - Consulenti tecnici del pubblico ministero. 1. Il pubblico ministero, quando procede ad accertamenti, rilievi segnaletici, descrittivi o fotografici e ad ogni altra operazione tecnica per cui sono necessarie specifiche competenze, può nominare e avvalersi di consulenti, che non possono rifiutare la loro opera. 2. Il consulente può essere autorizzato dal pubblico ministero ad assistere a singoli atti di indagine.
Art. 360. - Accertamenti tecnici non ripetibili. 1. Quando gli accertamenti previsti dall'articolo 359 riguardano persone, cose o luoghi il cui stato è soggetto a modificazione, il pubblico ministero avvisa, senza ritardo, la persona sottoposta alle indagini, la persona offesa dal reato e i difensori del giorno, dell'ora e del luogo fissati per il conferimento dell'incarico e della facoltà di nominare consulenti tecnici.
Irripetibilità... e l'art. 391-decies, III comma, c.p.p.
Utilizzazione della documentazione delle investigazioni difensive. […] 3. Quando si tratta di accertamenti tecnici non ripetibili, il difensore deve darne avviso, senza ritardo, al pubblico ministero per l'esercizio delle facoltà previste, in quanto compatibili, dall'articolo 360. Negli altri casi di atti non ripetibili di cui al comma 2, il pubblico ministero, personalmente o mediante delega alla polizia giudiziaria, ha facoltà di assistervi.
Le “facoltà” dell'art. 360 c.p.p.
4. Qualora, prima del conferimento dell'incarico, la persona sottoposta alle indagini formuli riserva di promuovere incidente probatorio, il pubblico ministero dispone che non si proceda agli accertamenti salvo che questi, se differiti, non possano più essere utilmente compiuti. 5. Se il pubblico ministero, malgrado l'espressa riserva formulata dalla persona sottoposta alle indagini e pur non sussistendo le condizioni indicate nell'ultima parte del comma 4, ha ugualmente disposto di procedere agli accertamenti, i relativi risultati non possono essere utilizzati nel dibattimento
A quale irripetibilità fa riferimento il 360 cpp?
Da una lettura distratta potrebbe sembrare che l'art. 360 c.p.p. ricomprenda solo i casi di “indifferibilità” e non anche quelli di “non reiterabilità”.
Tuttavia, l'art. 117 disp. att. c.p.p. prevede che Le disposizioni previste dall'articolo 360 del codice si applicano anche nei casi in cui l'accertamento tecnico determina modificazioni delle cose, dei luoghi o delle persone tali da rendere l'atto non ripetibile. In questo caso la irripetibilità è causata dallo stesso accertamento!
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 19
La prima domanda che ci viene in mente è: “ma se l'irripetibilità è determinata dallo stesso accertamento, non sarebbe preferibile attendere che la prova si formi nella sua sede “ideale” (il dibattimento nel contraddittorio fra le parti)? oltretutto... si tratterebbe di una attività differibile!”
La risposta a questa domanda è: nei casi previsti dal 117 disp.att. c.p.p. il risultato dell'accertamento è utile per la ”prosecuzione delle indagini”!
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 20
Abbiamo potuto notare che gli articoli che stiamo esaminando richiamano spesso la definizione di “ACCERTAMENTI” ed anche quella di “RILIEVI”...
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 22
La copia di un supporto informatico è, normalmente, una delle prime attività tecniche compiute sul supporto digitale: si tratta di un'attività che può essere definita come accertamento? La copia digitale è eseguita correttamente quando duplica fedelmente le informazioni originali (copia di bitstream) senza alterare il contenuto della fonte (sistemi che impediscono la scrittura del supporto di origine)
L'accertamento / Le operazioni tecniche ● L'attività di copia viene eseguita, spesso, dagli ausiliari di PG (art. 348, u.c., c.p.p.).
Il raffronto con l'art. 359 c.p.p. (CT del PM) consente di escludere che l'attività valutativa (“accertamento”) possa essere posta in essere dagli ausiliari di PG i quali debbono unicamente “assicurare le fonti di prova” senza procedere ad accertamenti (che consistono in attività valutative) riservati ai consulenti tecnici (del PM e della difesa) e ai periti (i consulenti tecnici dei giudici)
Questo ha portato la Suprema Corte di Cassazione a ritenere che l'attività di copia del supporto informatico rientri tra le attività di assicurazione della fonte di prova che non richiedono alcuna attività valutativa, con conseguente esclusione della disciplina dettata dall'art. 360 c.p.p. e delle relative “facoltà” di cui abbiamo parlato in precedenza... a volte con sentenze alquanto curiose :-)
La giurisprudenza di legittimità sul punto...
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 26
… per “atto irripetibile” deve intendersi l’atto contraddistinto da un risultato estrinseco ed ulteriore rispetto alla mera attività investigativa, non più riproducibile in dibattimento se non con la perdita dell’informazione probatoria o della sua genuinità. Sotto tale profilo gli accertamenti ex art. 360 c.p.p. consistono in attività di carattere valutativo su base tecnico- scientifica e non in attività di constatazione, raccolta, prelievo dei dati materiali pertinenti al reato (Cass., Sez. 1, 9 febbraio 1990, n. 301, riv. 183648; Cass., Sez. 1, 3 giugno 1994, n.
Ciò posto, è da escludere che l’attività di estrazione di copia di file da un computer costituisca un atto irripetibile (nel senso in precedenza indicato), atteso che non comporta alcuna attività di carattere valutativo su base tecnico-scientifica né determina alcuna alterazione dello stato delle cose, tale da recare pregiudizio alla genuinità del contributo conoscitivo nella prospettiva dibattimentale, essendo sempre comunque assicurata la riproducibilità di informazioni identiche a quelle contenute nell’originale. Lo stesso ricorrente, del resto, non ha in concreto allegato alcuna forma di distruzione o alterazione dei dati acquisiti, tale da confortare il suo assunto, ma si è limitato a prospettare ipoteticamente alcune situazioni potenziali che esulano dalla fattispecie sottoposta all’esame della Corte.
L'estrazione di copia di un file da un computer è un'attività sempre e comunque reiterabile?
LA DIFESA: violazione, a mente dell'art. 606 c.p.p., comma 1, lett. b) ed e), dell'art. 273 c.p.p., art. 117 disp. att. c.p.p. e 360 c.p.p. perchè l'hard disk rimosso dal computer sequestrato a S. V. sarebbe stato letto senza la presenza dei difensori e senza possibilità che tecnici della difesa presenziassero all'operazione, delicata, ad avviso della difesa, dappoichè cagione certa di alterazione del disco prelevato, e, pertanto, atto irripetibile. Di qui la violazione dell'art. 117 disp. att. c.p.p. e dell'art. 360 c.p.p. e delle ragioni difensive di S.V.. …
LA MOTIVAZIONE: L'eccezione è palesemente infondata, dappoichè la lettura dell'hard disk non integra affatto atto irripetibile, perché la lettura di esso ha consentito di ipotizzare l'esistenza del reato a carico del ricorrente, perché quest'ultimo è del tutto estraneo ai diritti difensivi di altre parti del processo, perché, l'attività svolta al riguardo dalla P.G. rientra tra quelle svolte dalla stessa ai sensi dell'art. 348 c.p.p. e art. 354 c.p.p., comma 2 e perché, infine, possibile nel prosieguo del processo ogni attività difensiva dello S.V. il quale, se del caso, potrà far valere, quando sarà e se sarà eventualmente accertata l'alterazione del disco informatico, alterazione allo stato soltanto affermata dalla difesa del ricorrente, peraltro persona diversa dal proprietario del computer, e, si ribadisce, per nulla accertata.
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 31
L'affermazione che l'operazione di estrazione degli appunti del coindagato archiviati nel suo computer costituisse attività irripetibile è priva difatti d'ogni riferimento che consenta di apprezzarne la plausibilità. Mentre è, al contrario, dato di comune esperienza che la stampa di un qualsiasi documento redatto su supporto informatico è operazione meramente meccanica: riproducibile, teoricamente, all'infinito.
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 32
La sanzione della inutilizzabilità espressamente prevista dall'art. 360 c.p.p., comma 5 riguarda per altro il dibattimento ed è limitata all'ipotesi in cui il pubblico ministero, malgrado l'espressa riserva di promuovere incidente probatorio formulata dalla persona sottoposta alle indagini e pur potendo gli accertamenti irripetibili essere differiti, ha ugualmente disposto di procedere a detti accertamenti … Ma come può la difesa fare riserva di promuovere incidente probatorio se non è a conoscenza dell'attività (almeno) “potenzialmente” irripetibile?
va escluso che l'attività di estrazione di copia di un file da un computer (attività definibile, secondo Cass., Sez. 1, 25 febbraio 2009, n. 11503, Dell'Aversano, come accertamento di polizia giudiziaria diretto all'assicurazione delle fonti di prova) costituisca atto irripetibile, dato che non comporta alcuna attività di carattere valutativo su base tecnico - scientifica, nè determina alcuna alterazione dello stato delle cose, tale da recare un pregiudizio alla genuinità del contributo conoscitivo in prospettiva dibattimentale. E' assicurata infatti, in ogni caso, la riproducibilità di informazioni identiche a quelle contenute nell'originale
Cosa significa per le Sezioni Unite della Suprema Corte di Cassazione il “non comporta alterazione”? Vediamolo...
né si è trattato di accertamenti irripetibili essendo il computer rimasto integro; inoltre la stessa tecnica di estrazione utilizzata, ovvero la "encase forensic", così come tutti i programmi di estrazione, prevedevano come prima operazione quella di effettuare una copia dell'hard disk, sicché era garantita l'esclusione di alcuna modifica del supporto originale.
Cass. 24 novembre 2010, n. 45571 … “non dà luogo ad accertamento tecnico irripetibile la lettura dell'hard disck di un computer sequestrato che è attività di PG volta, anche con urgenza, all'assicurazione delle fonti di prova e che “l'estrazione dei dati contenuti in un supporto
Allora... è un accertamento o no?
Cass. 17 dicembre 2010, n. 16599 … quando le difese denunciano la mancanza dei supporti originali e rilevano incongruenze circa le date dei CD messi a loro disposizione, trascurano di considerare che il supporto sul quale vengono memorizzati i flussi telematici captati sono sempre duplicati dell'originario documento contenuto nel server di registrazione ed è irrilevante la data in cui tali duplicati vengono effettuati A MENO CHE NON SI INTENDA DENUNCIARE UN FATTO DI RILEVANZA PENALE DI MANIPOLAZIONE DEL DATO ORIGINARIO...
… Quanto al secondo motivo, non da luogo ad accertamento tecnico irripetibile l'estrazione dei dati archiviati in un computer, trattandosi di operazione meramente meccanica, riproducibile per un numero indefinito di volte. Pertanto non sussiste neppure la nullità dedotta con il secondo motivo di ricorso...
Per il resto la motivazione correttamente oppone che l'accertamento disposto dal PM sul computer non era da considerare in origine irripetibile essendo l' irripetibilità dell'accertamento sopravvenuta e non preventivabile in quanto causata da un imprevedibile guasto del computer. Di conseguenza correttamente si è ritenuto non invocabile alcuna nullità in quanto quest'ultima consegue unicamente al caso in cui vi sia violazione della procedura indicata dall'art. 360 bis c.p.p.; e, cioè, nel caso in cui non sia dato avviso alla difesa dell'accertamento peritale su un bene necessariamente soggetto ad alterazione per effetto dell'esame stesso. La sopravvenuta impossibilità della ripetizione dell'atto deve essere, al pari degli altri atti compiuti nel corso delle indagini, quindi, liberamente apprezzata dal giudice e, di per se stessa non impedisce la utilizzazione dell'atto in dibattimento.
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 40
E' stato già ritenuto da questa Corte che gli accertamenti compiuti dalla polizia giudiziaria, consistenti nell'esame tecnico del contenuto dell'hard disk, non hanno il carattere della irripetibilità estrinseca o intrinseca, in forza del quale debbano essere rispettate le garanzie previste dall'art. 360 c.p.p., con preavviso all'indagato. Si tratta infatti di esami che per loro natura possono essere ripetuti, e che per se stessi non determinano modificazioni dello stato della cosa esaminata ai sensi dell'art. 117 disp. att. c.p.p. (Cass., Sez. 3^, 22 settembre 2006, n. 37706, Ciuti).
Un'attività di copia (o di ispezione informatica) maldestra del supporto informatico rischia, in primo luogo, di impedire ai consulenti tecnici ed al perito una corretta analisi e, in secondo luogo, al giudice di valutare correttamente (in sede decisionale) il significato emerso dalla fonte di prova informatica. In sostanza il rischio è che il giudice non possa fondare il suo convincimento (in un senso o nell'altro) su un elemento di prova evidentemente viziato
Av v. Giovanni Battista Gallus – g.gallus@studiogallus.it Avv.Francesco Paolo Micozzi – francesco@micozzi.it Slide n. 42
Full Circle Magazine 51Full Circle Magazine 52Se il bit diventa strategia tra Cybercrime, Cyberwar e Battlefield ForensicHow not to - Il "Caso Garlasco" come "Worst Practice"MacGyver - Digital ForensicsBotnet e nuove forme di malwareCome lacrime nella pioggiaFull Circle Magazine - Speciale Web ServerFull Circle Magazine - Speciale Programmare in Python 02Full Circle Magazine - Speciale Programmare in Python 01Full Circle Magazine - Speciale Ubuntu 10.04 LTSFull Circle Magazine 50Full Circle Magazine 39Full Circle Magazine 38Full Circle Magazine 37Full Circle Magazine 36Full Circle Magazine 35Full Circle Magazine 34Full Circle Magazine 33Full Circle Magazine 32Full Circle Magazine 31Full Circle Magazine 30Full Circle Magazine 29Full Circle Magazine 28
Irripetibilità dell'acquisizione della prova informatica by Davide Riboli184 viewsEmbedDownloadDescriptionGiovanni Battista Gallus - Francesco Paolo Micozzi
Roma - 1 ottobre 2011 - Digital Forensic ConferenceGiovanni Battista Gallus - Francesco Paolo MicozziRoma - 1 ottobre 2011 - Digital Forensic ConferenceInterests: Types, SpeechesRead on Scribd mobile: iPhone, iPad and Android.Copyright: Attribution Non-Commercial ShareAlike (BY-NC-SA)Download as PDF or read online from ScribdFlag for inappropriate contentShow moreShow less
RelatedCome lacrime nella pioggiaby Davide RiboliMacGyver - Digital Forensicsby Davide RiboliBotnet e nuove forme di malwareby Davide RiboliSe il bit diventa strategia tra Cybercrime, Cyberwar e Battlefield Forensicby Davide RiboliSimilar to Irripetibilità dell'acquisizione della prova informaticaCome lacrime nella pioggiaMacGyver - Digital ForensicsBotnet e nuove forme di malwareSe il bit diventa strategia tra Cybercrime, Cyberwar e Battlefield Forensic