La copia forense del telefono

Che cos'è la copia forense

La copia forense è una duplicazione dei dati fatta in modo da poter dimostrare che è identica all'originale e che nessuno l'ha modificata. Può riguardare l'intera memoria, con una copia integrale bit per bit, oppure una parte dei dati estratti dal telefono: chat, rubrica, foto, posizioni, cronologia. Si usano programmi e apparecchi di estrazione forense che leggono la memoria e producono, oltre alla copia, un rapporto consultabile. Che cosa si riesce a estrarre dipende dal modello, dal sistema operativo e dallo stato del telefono; in certi casi si recuperano anche dati cancellati (vedi Messaggi cancellati: si possono recuperare?).

Nel sequestro di dispositivi la copia integrale ha, per la Cassazione, una funzione strumentale: serve a restituire il telefono e a selezionare i dati pertinenti al reato, dopo di che va restituita, perché è una «copia mezzo» (sez. VI, n. 34265/2020). Che fine fanno i dati estranei al reato è spiegato in Tutto il telefono per un solo reato? I limiti.

Che cosa dice il codice

Molte di queste regole sono state introdotte dalla legge 18 marzo 2008, n. 48. Nessuna descrive una procedura tecnica: tutte chiedono di conservare i dati originali, impedirne l'alterazione e, quando si copia, garantire che la copia sia conforme e non modificabile.

La formula ricorre quasi identica: la polizia, ove possibile, provvede all'immediata duplicazione dei dati

«su adeguati supporti, mediante una procedura che assicuri la conformità della copia all'originale e la sua immodificabilità» (art. 354, comma 2, c.p.p.).

L'hash e la documentazione delle operazioni

L'hash è un valore calcolato dai dati con un algoritmo: dagli stessi dati si ottiene sempre lo stesso valore, mentre anche una modifica minima produce, in pratica, un valore diverso. Se l'hash calcolato sulla copia coincide con quello registrato al momento dell'acquisizione, la copia non è stata modificata da allora; il confronto con l'originale mostra che la copia gli corrisponde.

Per poter verificare una copia servono quindi il valore hash registrato quando è stata fatta, l'indicazione degli strumenti usati e la documentazione delle operazioni: chi ha avuto in mano il telefono e la copia, quando e che cosa ha fatto. Questa documentazione è detta catena di custodia. Il codice non usa la parola hash: chiede il risultato (conformità e immodificabilità), e l'hash è lo strumento tecnico con cui lo si dimostra.

Accertamento ripetibile o non ripetibile

Il pubblico ministero può nominare consulenti tecnici per accertamenti e operazioni tecniche (art. 359). Quando però gli accertamenti riguardano «persone, cose o luoghi il cui stato è soggetto a modificazione», deve avvisare senza ritardo la persona indagata, la persona offesa e i difensori del giorno, dell'ora e del luogo del conferimento dell'incarico e della facoltà di nominare consulenti; difensori e consulenti possono assistere al conferimento dell'incarico, partecipare agli accertamenti e formulare osservazioni e riserve (art. 360, commi 1 e 3).

La Cassazione ha considerato di regola ripetibile l'estrazione di dati: «L'estrazione di dati archiviati in un computer non costituisce accertamento tecnico irripetibile anche dopo l'entrata in vigore della legge 18 marzo 2008, n. 48» (Cass. pen., sez. II, 1 luglio 2015, n. 29061). Più di recente ha ribadito la ripetibilità delle operazioni di copia forense, salva una valutazione da fare in concreto (sez. I, 10 giugno 2021, n. 38909): quando nel caso specifico lo stato dei dati è soggetto a modificazione, valgono le garanzie dell'art. 360. Il ragionamento è che una copia fedele permette di ripetere le analisi; se l'accertamento è ripetibile, il pubblico ministero può procedere senza gli avvisi dell'art. 360.

Se il pubblico ministero procede a un accertamento non ripetibile nonostante la riserva di incidente probatorio formulata dalla persona indagata, fuori dal caso in cui l'accertamento, se differito, non potrebbe più essere utilmente compiuto, i risultati non possono essere utilizzati nel dibattimento (art. 360, commi 4 e 5). La riserva perde efficacia se la richiesta di incidente probatorio non è presentata entro dieci giorni (art. 360, comma 4-bis).

Inutilizzabile o solo meno attendibile

La sentenza del 2015 precisa che la legge del 2008 «ha introdotto unicamente l'obbligo di adottare modalità acquisitive idonee a garantire la conformità dei dati informatici acquisiti a quelli originali; ne deriva che la mancata adozione di tali modalità non comporta l'inutilizzabilità dei risultati probatori acquisiti, ma la necessità di valutare, in concreto, la sussistenza di eventuali alterazioni dei dati originali e la corrispondenza ad essi di quelli estratti» (Cass. pen., sez. II, n. 29061/2015).

Un difetto nelle modalità di copia, quindi, non fa cadere automaticamente la prova: sposta la discussione sull'attendibilità, e il giudice deve valutare in concreto se i dati sono stati alterati e se quelli estratti corrispondono agli originali. Diverso è il caso in cui manchi il provvedimento che autorizza l'accesso ai contenuti: per la Cassazione la polizia non può accedere al contenuto del telefono prima dell'autorizzazione del pubblico ministero, neppure con il consenso della persona indagata (sez. VI, n. 1269/2025). Sull'uso delle chat come prova vedi Le chat WhatsApp come prova nel processo penale.

Che cosa può chiedere la difesa

1. Un consulente tecnico. Ogni parte può nominare fino a due consulenti tecnici, che possono esporre al giudice il loro parere anche con memorie (art. 233, comma 1). Il ruolo del consulente è descritto in Il consulente della difesa e l'accesso ai dati.
2. L'esame delle cose sequestrate. Su richiesta del difensore il consulente può essere autorizzato a esaminare le cose sequestrate nel luogo in cui si trovano; prima dell'azione penale decide il pubblico ministero, e contro il rifiuto il difensore può proporre opposizione al giudice (art. 233, comma 1-bis).
3. La partecipazione agli accertamenti non ripetibili. Ricevere l'avviso, assistere al conferimento dell'incarico, partecipare, formulare osservazioni e riserve, riservarsi di chiedere l'incidente probatorio (art. 360).
4. La verifica della copia. Quando gli atti sono conoscibili, il consulente controlla i valori hash, gli strumenti usati e i verbali delle operazioni, e confronta i rapporti di estrazione con la copia.
5. La restituzione. Del telefono e della copia integrale: vedi Quanto dura il sequestro e come riavere il telefono.

Casi frequenti

• «Hanno acceso il telefono e letto le chat prima di fare la copia.» La polizia deve adottare misure che impediscano l'alterazione dei dati e l'accesso (art. 354, comma 2) e, per la Cassazione, non può accedere al contenuto prima dell'autorizzazione del pubblico ministero (n. 1269/2025). Le conseguenze nel singolo procedimento le valuta il difensore.
• «Nel fascicolo non trovo l'hash: la copia è inutilizzabile?» Secondo la Cassazione non automaticamente: il giudice deve valutare in concreto se ci sono state alterazioni (n. 29061/2015).
• «Chi fa la copia?» In urgenza la polizia giudiziaria (art. 354, comma 2); oppure consulenti nominati dal pubblico ministero (art. 359), con le garanzie dell'art. 360 se l'accertamento non è ripetibile.

Fonti

Codice di procedura penale, artt. 233, 247, 254-bis, 259, 260, 352, 354, 359 e 360; legge 18 marzo 2008, n. 48. Cass. pen., sez. II, 1 luglio 2015, n. 29061; Cass. pen., sez. VI, 22 settembre 2020 (dep. 2 dicembre 2020), n. 34265; Cass. pen., sez. I, 10 giugno 2021, n. 38909; Cass. pen., sez. VI, 20 novembre 2024 (dep. 13 gennaio 2025), n. 1269. Verificato il 23 settembre 2026.