La prova digitale IoT è già utilizzabile nei processi penali italiani, ma la sua ammissibilità dipende dal rispetto rigoroso delle norme sull’acquisizione forense e sulla catena di custodia. Dispositivi come smartwatch, auto connesse e assistenti vocali producono dati distribuiti su più server, spesso esteri, che richiedono rogatorie internazionali o richieste dirette ai provider. L’avvocato difensore ha strumenti concreti per contestare l’utilizzabilità di queste prove se l’acquisizione non rispetta gli artt. 244 e seguenti c.p.p. e le Linee Guida del Garante Privacy.
Punti chiave
- Punto 1 — I dati IoT acquisiti senza rispetto della catena di custodia sono inutilizzabili ex art. 191 c.p.p.
- Punto 2 — Il difensore può richiedere perizia tecnica per verificare l’integrità dei dati estratti dal dispositivo.
- Punto 3 — I dati conservati su cloud estero richiedono rogatoria o richiesta MLAT, allungando i tempi processuali.
Se il tuo cliente è indagato e la polizia giudiziaria ha acquisito dati dal suo smartwatch, dall’auto connessa o dal campanello smart di casa, hai un margine reale per contestare l’utilizzabilità di quella prova. La prova digitale IoT è ancora un territorio tecnico-giuridico poco consolidato in giurisprudenza italiana, il che significa che le eccezioni difensive ben costruite hanno concrete possibilità di successo.
Auto connesse, smartwatch, assistenti vocali e sistemi domotici stanno trasformando la scena del crimine in un ecosistema di dati distribuiti. Agenda Digitale analizza le opportunità investigative offerte dall’IoT e i rischi collegati all’acquisizione forense, alla catena di custodia, alla privacy e all’interpretazione tecnica dei dati.
Il contesto normativo
Il quadro di riferimento è già esistente, ma applicato in modo disomogeneo. L’art. 191 c.p.p. sancisce l’inutilizzabilità delle prove acquisite in violazione di legge: è la norma su cui puntare quando l’acquisizione forense del dispositivo IoT non ha seguito protocolli certificati. L’art. 244 c.p.p. disciplina l’ispezione e, per estensione giurisprudenziale, l’acquisizione di dispositivi digitali, mentre l’art. 254-bis c.p.p. regola il sequestro di dati informatici presso fornitori di servizi.
Sul versante privacy, il Regolamento UE 2016/679 (GDPR) e il d.lgs. 196/2003 (Codice Privacy) impongono limiti al trattamento dei dati personali raccolti da dispositivi IoT, anche in sede investigativa. Il Garante Privacy ha più volte ribadito che la raccolta massiva di dati da dispositivi connessi deve rispettare i principi di minimizzazione e proporzionalità. Quanto alla giurisprudenza, la Cass. Pen., Sez. I, n. 11503/2020 ha affermato che i dati digitali acquisiti senza hash di verifica dell’integrità possono essere contestati nella loro autenticità.
Cosa cambia per lo studio
- Verifica sistematica dell’acquisizione forense. Richiedi sempre agli inquirenti la documentazione del processo di acquisizione: hash MD5 o SHA-256 del dato originale, log della catena di custodia, strumenti software utilizzati. L’assenza di uno solo di questi elementi apre la strada all’eccezione ex art. 191 c.p.p.
- Attenzione alla localizzazione del dato. I dati di uno smartwatch o di un assistente vocale risiedono spesso su server negli USA o in Irlanda. Se la polizia giudiziaria li ha acquisiti senza rogatoria o senza seguire il canale MLAT, l’acquisizione è potenzialmente nulla.
- Nomina tempestiva di un perito di parte. L’interpretazione dei dati IoT richiede competenze tecniche specifiche: un log di geolocalizzazione di un’auto connessa può significare cose diverse a seconda del firmware e della configurazione. Senza un esperto di parte, il rischio è che la lettura accusatoria passi indisturbata.
- Considera il dato IoT anche in chiave difensiva. Lo stesso smartwatch che accusa può scagionare: i dati biometrici, i movimenti registrati o l’assenza di attività in un determinato orario sono prove a discarico che il difensore ha diritto di richiedere in sede di discovery.
- Aggiorna la consulenza contrattuale per i clienti impresa. Le aziende che utilizzano dispositivi IoT in ambienti lavorativi — magari per controllo accessi o logistica — devono sapere che quei dati potrebbero essere acquisiti dalla magistratura. Inserire nei contratti clausole sulla conservazione e sulla cifratura dei log è prevenzione, non burocrazia.
Attenzione a
Non fidarsi della sola perizia della polizia giudiziaria. La polizia postale lavora con protocolli propri, ma gli standard forensi non sono sempre uniformi sul territorio nazionale. Un perito di parte che riscontra difformità nel processo di acquisizione — anche solo nell’uso di un software non validato — può rendere inutilizzabile l’intera prova digitale in dibattimento.
Attenzione alla frammentazione del dato IoT. Un ecosistema domestico connesso può generare dati su decine di dispositivi diversi, ciascuno con formato proprietario e timestamp potenzialmente non sincronizzati. Se l’accusa costruisce una ricostruzione temporale basando su log con orologi di sistema non allineati, la difesa ha un argomento tecnico solido — ma solo se lo individua prima che la perizia accusatoria venga depositata senza opposizione.
Domande frequenti
I dati dello smartwatch sono utilizzabili come prova in un processo penale italiano?
Sì, ma a condizioni precise. L’acquisizione deve rispettare l’art. 254-bis c.p.p. per i dati su cloud e documentare la catena di custodia con hash di verifica dell’integrità. In assenza di questi requisiti, l’art. 191 c.p.p. consente di eccepire l’inutilizzabilità. La Cass. Pen. n. 11503/2020 ha già riconosciuto la rilevanza dell’integrità del dato digitale ai fini dell’ammissibilità.
Come si contesta in udienza una prova digitale acquisita da un dispositivo IoT?
L’eccezione va sollevata prima dell’apertura del dibattimento o, se scoperta dopo, appena ne viene a conoscenza la difesa. Bisogna produrre una perizia tecnica di parte che documenti le irregolarità nell’acquisizione: assenza di hash, software non certificato, mancanza di log della catena di custodia. Il giudice valuta poi la ricaduta sull’attendibilità e sull’utilizzabilità ex art. 191 c.p.p.
L’auto connessa del cliente può essere usata contro di lui senza il suo consenso?
Sì, nell’ambito di un’indagine penale l’autorità giudiziaria può acquisire i dati dell’auto connessa tramite sequestro o richiesta al costruttore, senza consenso del proprietario. Tuttavia, se i dati risiedono su server esteri, occorre la rogatoria internazionale. La difesa può verificare se il canale di acquisizione è stato rispettato e, in caso contrario, eccepire l’inutilizzabilità.
Fonte di riferimento: AgendaDigitale