Messaggi WhatsApp che scompaiono, screenshot di conversazioni, cronologie di transazioni su blockchain, log scaricati da una piattaforma di exchange: nella pratica quotidiana degli studi legali che si occupano di reati informatici e truffe in criptovalute, queste sono ormai le prove più frequenti. Eppure molti non sanno — né vittime né indagati — che una prova digitale può essere perfettamente leggibile e tuttavia del tutto inutilizzabile in giudizio, se non è stata raccolta, conservata e prodotta nel rispetto di regole precise. Questo articolo spiega in modo accessibile, ma giuridicamente rigoroso, cosa rende valida o invalidabile una prova elettronica nel processo penale italiano.
1Cosa si intende per prova elettronica o digitale
La prova digitale — nel lessico internazionale digital evidence — è qualsiasi informazione di valore probatorio che sia memorizzata o trasmessa in formato digitale: file, metadati, log di accesso, messaggi, immagini, registrazioni audio-video, dati di geolocalizzazione, registrazioni contabili su blockchain. L'elenco è aperto e si aggiorna con la tecnologia.
Ciò che distingue la prova digitale dalle prove tradizionali (il documento cartaceo, la testimonianza, la cosa materiale sequestrata) è un insieme di caratteristiche strutturali che il giurista non può ignorare:
- Volatilità: i dati digitali possono scomparire nel giro di secondi — per cancellazione deliberata, per sovrascrittura automatica del sistema, per disconnessione di un account.
- Alterabilità: a differenza di un foglio di carta, un file digitale può essere modificato senza lasciare tracce visibili a occhio nudo; solo un'analisi forense appropriata può rilevare la manipolazione.
- Riproducibilità: è possibile creare copie bit per bit perfettamente identiche all'originale, il che è un vantaggio — purché la copia sia certificata — ma anche un rischio, perché chiunque può produrre una copia alterata che appare autentica.
- Dipendenza dal contesto tecnologico: un file, senza i metadati che ne certificano la provenienza, la data di creazione e le eventuali modifiche, è privo di contesto e quindi di valore probatorio affidabile.
Queste caratteristiche impongono protocolli di raccolta e conservazione molto più rigorosi di quelli richiesti per la prova tradizionale.
2Il quadro normativo italiano
Il legislatore italiano ha recepito la necessità di disciplinare le prove digitali principalmente con la Legge 18 marzo 2008, n. 48, che ha ratificato la Convenzione del Consiglio d'Europa sulla criminalità informatica (la cosiddetta Convenzione di Budapest del 23 novembre 2001) e ha modificato numerose disposizioni del codice di procedura penale e del codice penale.
Sul piano processuale, le modifiche più rilevanti hanno riguardato:
- L'articolo 247 c.p.p., che disciplina le perquisizioni, a cui è stato aggiunto il comma 1-bis: quando vi è fondato motivo di ritenere che dati informatici pertinenti al reato si trovino in un sistema informatico o telematico, è possibile procedere alla perquisizione del sistema, anche se non fisicamente presente nel luogo della perquisizione, con l'adozione di misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l'alterazione.
- L'articolo 254-bis c.p.p., che regola il sequestro di dati informatici presso fornitori di servizi: quando il sequestro riguarda dati informatici conservati da un fornitore di servizi, l'autorità giudiziaria può ordinare che i dati siano consegnati su supporto adeguato e, se necessario, vietare la divulgazione delle informazioni relative al provvedimento.
- L'articolo 259 c.p.p. in materia di custodia delle cose sequestrate, il cui regime si applica — con gli adattamenti tecnici imposti dalla natura del dato digitale — anche ai supporti informatici sequestrati.
- L'articolo 352 c.p.p., sulle perquisizioni di polizia giudiziaria, che al comma 1-bis prevede analoga facoltà di perquisizione di sistemi informatici o telematici.
Il filo conduttore di tutte queste norme è uno solo: i dati originali devono essere preservati nella loro integrità; la copia forense è lo strumento ordinario su cui lavorare.
3La catena di custodia digitale
La catena di custodia (chain of custody) è il registro documentale — e il protocollo operativo — che descrive, passo dopo passo, chi ha avuto accesso a una prova digitale, quando, con quali strumenti e con quale risultato. È il meccanismo che garantisce che la prova presentata in giudizio sia identica a quella raccolta nella fase delle indagini.
Il principio tecnico su cui si regge la catena di custodia digitale è l'hashing: prima di acquisire una copia forense di un disco rigido o di un dispositivo mobile, lo specialista calcola un'impronta matematica univoca del dato originale (il cosiddetto hash, ottenuto tramite algoritmi come SHA-256 o MD5). La medesima operazione viene ripetuta sulla copia. Se i due valori coincidono, la copia è bit-per-bit identica all'originale. Se divergono, la copia è stata alterata — o la procedura è stata eseguita in modo scorretto.
Cosa succede se la catena di custodia viene violata? La risposta è nella disciplina generale sull'inutilizzabilità della prova (art. 191 c.p.p.): le prove acquisite in violazione dei divieti stabiliti dalla legge non possono essere utilizzate. Quando la violazione riguarda le modalità di acquisizione di dati informatici, il giudice è chiamato a valutare se l'irregolarità abbia concretamente compromesso l'integrità del dato o si sia limitata a un vizio formale. La distinzione non è sempre agevole e rappresenta un terreno fertile per la difesa tecnica.
4Come vengono acquisite le prove digitali nelle indagini
Gli strumenti di acquisizione probatoria digitale nelle indagini penali italiane sono essenzialmente tre.
Sequestro del dispositivo fisico. È la modalità più tradizionale: smartphone, computer, tablet, server, chiavette USB vengono sequestrati e affidati a personale specializzato che esegue la copia forense. Il dispositivo originale rimane sigillato; le analisi avvengono sulla copia.
Acquisizione da remoto tramite ordini a provider. Quando i dati risiedono su server di terzi — un fornitore di servizi e-mail, un social network, una piattaforma di messaggistica, un exchange di criptovalute — l'autorità giudiziaria può emettere un decreto di esibizione o di sequestro ai sensi dell'art. 254-bis c.p.p., o ricorrere ai meccanismi di cooperazione internazionale quando il provider ha sede all'estero. Su questo fronte, a livello europeo è in fase avanzata il regolamento e-Evidence, che mira a semplificare la raccolta transfrontaliera di prove elettroniche tra Stati membri dell'Unione Europea.
Intercettazione telematica e captatore informatico. In determinati reati e con autorizzazione del giudice, è possibile acquisire dati in tempo reale attraverso intercettazioni di comunicazioni informatiche (art. 266-bis c.p.p.) o mediante l'installazione di software di captazione (il cosiddetto trojan di Stato), la cui disciplina è stata oggetto di interventi legislativi negli ultimi anni.
5Le prove prodotte dalla parte privata: screenshot, log, registrazioni
La vittima di una truffa online che ha conservato screenshot delle conversazioni con il truffatore, i log delle transazioni sull'exchange e le email di conferma degli investimenti si trova in una posizione di vantaggio informativo, ma deve sapere che il valore probatorio di questi materiali non è automatico.
Il principale rischio è la contestazione dell'autenticità: la controparte può sempre eccepire che lo screenshot è stato alterato, che la data è stata manomessa, che la conversazione è stata ricostruita artificialmente. Per rafforzare l'attendibilità dei materiali che si intende produrre, è consigliabile adottare alcune precauzioni.
| Tipo di prova | Rischio principale di contestazione | Come rafforzarne l'attendibilità |
|---|---|---|
| Screenshot di chat (WhatsApp, Telegram) | Alterazione del testo o della data | Conservare i messaggi originali sul dispositivo; ricorrere a un perito informatico o a un notaio per la cristallizzazione del dato; evitare qualsiasi modifica al dispositivo |
| Falsificazione degli header; contestazione dell'identità del mittente | Conservare il file sorgente (.eml) con gli header completi; non limitarsi allo screenshot della schermata visuale | |
| Log di transazioni blockchain | Difficoltà di collegare un indirizzo blockchain a una persona fisica | Affiancare la traccia blockchain con evidenza documentale dell'exchange (KYC, estratti conto); richiedere assistenza a un perito specializzato in blockchain forensics |
| Registrazioni audio o video | Contestazione del consenso alla registrazione; autenticità del file | Conservare il file originale con metadati intatti; verificare la legittimità della registrazione rispetto alle norme in materia di privacy |
| Screenshot di siti web o profili social | Contenuto nel frattempo modificato o rimosso | Utilizzare strumenti di archiviazione certificata (es. servizi di timestamping) o rivolgersi a un notaio; agire tempestivamente |
Un aspetto spesso trascurato: produrre da soli una prova digitale non è vietato, ma il difensore deve essere consapevole che la parte avversaria eccepirà tutto ciò che è eccepibile. La differenza tra una prova che il giudice valorizza e una che viene sminuita sta spesso nella qualità della documentazione che la accompagna.
6Il ruolo del consulente tecnico e del perito informatico
Nel processo penale, la valutazione tecnica delle prove digitali è affidata al perito, nominato dal giudice ai sensi degli artt. 220 e seguenti c.p.p., o al consulente tecnico di parte, che sia la pubblica accusa che la difesa hanno facoltà di nominare (artt. 225 e 233 c.p.p.).
Il perito o il consulente tecnico in materia informatica svolge funzioni che vanno ben oltre la semplice descrizione tecnica: certifica l'integrità della catena di custodia, interpreta i dati recuperati (compresi quelli cancellati ma recuperabili), individua le eventuali anomalie che potrebbero segnalare un'alterazione, e — nel caso di indagini su criptovalute — ricostruisce il flusso di transazioni sulla blockchain per collegare indirizzi anonimi a soggetti identificabili.
La scelta di un consulente tecnico competente, da parte della difesa come da parte della vittima che si costituisce parte civile, può essere determinante per l'esito del procedimento. Un consulente esperto è in grado non solo di valorizzare le prove favorevoli, ma anche di contestare efficacemente le risultanze tecniche dell'accusa quando queste presentino criticità metodologiche.
7Caso illustrativo: la transazione blockchain come prova di truffa
L'esempio che segue è interamente fittizio e ha finalità esclusivamente illustrative. Non si riferisce ad alcun caso reale o a procedimento pendente.
Si ipotizzi che una persona — chiamiamola Tizio — abbia trasferito una somma in Bitcoin a un indirizzo fornito da quello che si presentava come un gestore di una piattaforma di investimento. La piattaforma sparisce e Tizio non riesce più a contattare nessuno. Come può la transazione blockchain diventare prova in un processo penale per truffa?
La blockchain di Bitcoin è un registro pubblico e immutabile: chiunque può consultare l'intera cronologia delle transazioni associate a un determinato indirizzo. Il difensore o il consulente tecnico della persona offesa può estrarre dalla blockchain la prova che quella somma è effettivamente transitata dall'indirizzo di Tizio verso un determinato indirizzo di destinazione, in una data e per un importo precisi. Questo dato è, di per sé, oggettivamente verificabile e non contestabile nella sua esistenza.
Il problema — e qui si misura la complessità dell'indagine — è il passaggio successivo: collegare quell'indirizzo di destinazione a una persona fisica. Per farlo, gli investigatori ricorrono a diverse tecniche: richiedere i dati KYC (Know Your Customer) all'exchange attraverso cui i fondi sono stati eventualmente convertiti in valuta tradizionale; analizzare i flussi di criptovaluta verso altri indirizzi con strumenti di blockchain analytics; acquisire dati dai provider di servizi finanziari coinvolti nella catena dei trasferimenti.
Il consulente tecnico della difesa o della parte civile che documenta questa ricostruzione in modo metodologicamente ineccepibile — indicando le fonti, le date di interrogazione della blockchain, gli strumenti utilizzati e le limitazioni dell'analisi — fornisce al giudice un elemento istruttorio di significativo valore, pur nella consapevolezza che nessuna analisi tecnica garantisce, di per sé, un determinato esito processuale.
- Non cancellare nulla: messaggi, email, screenshot, cronologia delle transazioni. Ogni dato potrebbe essere rilevante.
- Non modificare i dispositivi coinvolti: non aggiornare il sistema operativo, non svuotare la cache, non reinstallare app.
- Documentare tempestivamente: conserva i file originali (non solo screenshot) con i metadati intatti. Annota data e ora di ogni azione.
- Contatta un avvocato esperto in reati informatici prima di presentare da solo una denuncia: la modalità di presentazione delle prove può influire sull'efficacia delle indagini.
- Valuta la cristallizzazione notarile delle prove più importanti (una pagina web, una conversazione) se temi che il contenuto possa essere rimosso.
- Non contattare il presunto responsabile avvertendolo: potresti consentirgli di occultare le tracce.
8Domande frequenti (FAQ)
Uno screenshot è una prova valida in giudizio?
Uno screenshot può avere valore probatorio, ma non è una prova "forte" di per sé. Il suo valore dipende dalla possibilità di verificarne l'autenticità: un screenshot può essere facilmente alterato, e la controparte ha tutto l'interesse a eccepirne la manipolazione. Per rafforzarne l'attendibilità, è necessario conservare il file originale con i metadati, evitare qualsiasi modifica al dispositivo su cui è stato acquisito e, idealmente, far certificare il contenuto da un tecnico informatico forense o da un notaio prima di depositarlo agli atti. Il giudice valuterà lo screenshot nel contesto complessivo delle prove: da solo raramente è decisivo, ma corroborato da altri elementi può diventare rilevante.
Posso produrre da solo le prove digitali senza un tecnico?
Non è vietato, ma comporta rischi significativi. La parte può produrre documenti informatici ai sensi delle norme processuali vigenti, e il giudice ne valuterà il peso probatorio liberamente. Il problema è che, senza una certificazione tecnica, la prova è più facilmente contestabile. Se le prove che stai raccogliendo riguardano una truffa o un reato informatico e possono essere determinanti per il procedimento, è fortemente consigliabile coinvolgere un consulente tecnico di fiducia sin dalla fase di raccolta, in modo che la metodologia di acquisizione sia documentata e difendibile. Il costo di questa precauzione è quasi sempre inferiore al rischio di vedere la prova sminuita o scartata in giudizio.
Cosa succede se le prove digitali sono state alterate?
Se emerge che una prova digitale è stata alterata dopo la sua acquisizione — sia da parte degli inquirenti sia da parte della parte privata che l'ha prodotta — le conseguenze sono serie. Sul piano processuale, la prova alterata è inutilizzabile (art. 191 c.p.p.) e la sua produzione può pregiudicare la credibilità complessiva di chi l'ha presentata. Sul piano penale, chi altera deliberatamente una prova per utilizzarla in un procedimento può rispondere di reati contro l'amministrazione della giustizia. È quindi essenziale che chiunque raccolga o conservi prove digitali lo faccia senza modificarle in alcun modo, documentando ogni passaggio.
La blockchain è ammessa come prova in Italia?
Non esiste una norma che escluda la blockchain come mezzo di prova, e i registri distribuiti possono essere prodotti in giudizio come documenti informatici. Il dato blockchain è per sua natura immutabile e verificabile pubblicamente, il che lo rende potenzialmente molto affidabile sul piano tecnico. Tuttavia, anche in questo caso il valore probatorio dipende da come il dato viene estratto, documentato e presentato: un'analisi condotta senza rigore metodologico o senza indicare chiaramente gli strumenti e le fonti utilizzate sarà più facilmente contestata. Il passaggio più delicato rimane sempre il collegamento tra l'indirizzo blockchain — che di per sé è anonimo — e una persona fisica identificata.
I messaggi WhatsApp o Telegram possono essere usati come prove?
Sì, i messaggi di piattaforme di messaggistica istantanea possono essere prodotti come prove documentali. WhatsApp e Telegram generano conversazioni che lasciano tracce sul dispositivo, e queste tracce possono essere estratte con tecniche forensi. Il dato rilevante per il giudice non è solo il contenuto del messaggio, ma la certezza della sua provenienza e dell'assenza di alterazioni. Se i messaggi vengono prodotti semplicemente come screenshot, la contestazione è facile. Se invece sono estratti con una copia forense certificata da un tecnico, il loro valore probatorio è significativamente più elevato. Telegram, in particolare, presenta alcune complessità ulteriori per i messaggi che si autodistruggono e per le chat segrete con crittografia end-to-end, che possono non lasciare tracce recuperabili.
Cosa si intende per "inutilizzabilità" di una prova digitale?
L'inutilizzabilità è una sanzione processuale prevista dall'art. 191 c.p.p.: una prova acquisita in violazione dei divieti di legge non può essere posta a fondamento della decisione del giudice. Nel contesto delle prove digitali, l'inutilizzabilità può derivare dalla mancata adozione delle misure tecniche prescritte per preservare i dati originali (ad esempio, eseguire analisi direttamente sul dispositivo originale senza estrarne una copia forense). Non ogni irregolarità porta automaticamente all'inutilizzabilità: il giudice valuta se la violazione ha effettivamente compromesso l'integrità e l'affidabilità del dato. Per questa ragione, la contestazione della catena di custodia è una delle tecniche difensive più utilizzate nei procedimenti che coinvolgono prove digitali.
Hai bisogno di assistenza per una vicenda che coinvolge prove digitali, una truffa informatica o un reato online?
Il nostro studio offre consulenza specializzata in diritto penale informatico e in materia di tracciamento e sequestro di criptovalute. Contattaci per un primo appuntamento.
Studio Legale Giammatteo
Via Nicandro Iosso n. 6 — 86079 Venafro (IS)
PEC: studiolegale@pec.giammatteo.it