Perizia informatica forense: perché la verifica delle prove viene prima della relazione tecnica

Una sentenza del Tribunale di Milano su una controversia bancaria, riportata da LuccaInDiretta il 13 agosto 2026, ricorda un principio che vale anche per l'informatica forense: nessuna conclusione tecnica dovrebbe precedere la verifica di quali prove esistono davvero, quali mancano e quale affidabilità hanno.

Secondo quanto riportato da LuccaInDiretta, il Tribunale di Milano avrebbe condannato un avvocato, e riconosciuto la corresponsabilità del consulente tecnico che lo affiancava, per aver impostato una causa civile contro un istituto di credito senza disporre preventivamente della documentazione bancaria necessaria a sostenerla, basandosi su una perizia contabileConsulenza tecnica di parte redatta per sostenere le ragioni di uno dei contendenti in giudizio, distinta dalla CTU disposta dal giudice. giudicata inattendibile sia sul piano logico sia su quello metodologico. Le conseguenze indicate dall'articolo sono la risoluzione dei contratti di patrocinio e di consulenza, la restituzione dei compensi incassati dal legale e il risarcimento riconosciuto ai clienti. Non avendo trovato conferma della pronuncia su altre fonti giuridiche consultabili, riportiamo la notizia così come pubblicata da quella testata, senza presentarla come verificata su fonte primaria.

Il caso riguarda una consulenza econometrica, non l'informatica forense. Ma la logica di fondo, quella secondo cui una conclusione tecnica deve essere proporzionata alla qualità e alla completezza delle prove su cui si fonda, riguarda da vicino anche chi lavora ogni giorno con log, dispositivi, email e dati conservati nel cloud.

Prima della perizia viene la verifica delle prove

Ogni perizia informaticaElaborato tecnico redatto da un consulente informatico per ricostruire fatti rilevanti in un procedimento civile o penale, sulla base di dati e sistemi informatici. parte da dati, documenti o tracce digitali. Se questi elementi sono incompleti, non più disponibili o non verificabili, anche le conclusioni devono tenerne conto in modo esplicito.

Nel campo digitale il problema è particolarmente concreto perché le informazioni non restano disponibili indefinitamente: log di sistema, registrazioni degli accessi, dati sui dispositivi, contenuti nei servizi cloud, email, metadati e backup possono essere sovrascritti, cancellati o conservati solo per periodi limitati. Per questo la domanda iniziale non dovrebbe essere soltanto "cosa possiamo dimostrare", ma prima ancora "quali dati esistono realmente per dimostrarlo".

La volatilità della prova digitale

Un contratto cartaceo archiviato può restare disponibile per anni. Un log applicativo, invece, può essere cancellato automaticamente dopo poche settimane, e lo stesso vale per cronologie di accesso, eventi di sicurezza e dati gestiti da infrastrutture di terzi. Aspettare l'avvio di un procedimento per cercare le prove digitali può quindi significare, in alcuni casi, scoprire che una parte delle informazioni non esiste già più.

Lo standard internazionale di riferimento per la gestione della prova digitale è la ISO/IEC 27037Norma tecnica internazionale che definisce le linee guida per identificazione, raccolta, acquisizione e conservazione delle prove digitali, adottata in Italia come UNI CEI EN ISO/IEC 27037., che indica quattro fasi, identificazione, raccolta, acquisizione e conservazione, costruite attorno al principio della minimizzazione dell'alterazione del dato originale. In Italia, la Legge 48/2008 di ratifica della Convenzione di Budapest ha introdotto nel codice di procedura penale l'obbligo di garantire la conservazione e la non alterabilità dei dati informatici sequestrati.

Distinguere tra dati propri del cliente e dati detenuti da terzi

Una prima ricognizione tecnica serve a capire quali dispositivi o sistemi potrebbero contenere informazioni rilevanti, se sono ancora disponibili, chi ne ha materialmente il controllo e con quali modalità possono essere acquisiti. È una distinzione operativa importante:

• sui sistemi del cliente può essere necessaria un'acquisizione tecnicamente documentata o una copia forenseCopia bit-a-bit del contenuto originale di un dispositivo o supporto, verificata tramite hash crittografico per garantirne l'integrità e l'utilizzabilità come prova. del dispositivo o del supporto interessato;
• sui dati detenuti da soggetti terzi può essere necessario individuare tempestivamente chi li conserva e verificare, insieme al legale, quali strumenti siano disponibili per ottenerli.

Una perizia non dovrebbe partire dalla conclusione

Il compito del consulente tecnico non è trovare una spiegazione che confermi necessariamente la posizione di chi gli ha conferito l'incarico. È verificare un'ipotesi, cercando sia gli elementi che la supportano sia quelli che potrebbero contraddirla.

Una perizia informatica solida distingue chiaramente tra dati oggettivamente rilevati, interpretazioni tecniche, ipotesi compatibili con gli elementi disponibili e circostanze che non possono essere dimostrate. Anche l'assenza di una prova è un'informazione: dire che un evento non può essere ricostruito con sufficiente affidabilità può essere più corretto, dal punto di vista professionale, di una conclusione più netta di quanto i dati consentano.

Disponibilità del dato e capacità probatoria non sono la stessa cosa

Avere molte informazioni a disposizione non significa automaticamente avere una prova solida. Un log può documentare un accesso senza permettere di stabilire chi materialmente lo abbia effettuato. Un file può trovarsi su un computer senza dimostrare chi lo abbia creato. Uno screenshot può mostrare un contenuto senza fornire, da solo, gli elementi necessari per verificarne origine e integrità.

Il lavoro del consulente consiste anche nel delimitare con chiarezza queste differenze, evitando che il dato tecnico venga interpretato oltre ciò che realmente consente di affermare.

Il rapporto tra avvocato e consulente informatico forense

Nelle controversie con una componente digitale, competenza giuridica e competenza tecnica devono dialogare fin dall'inizio. L'avvocato individua i fatti che devono essere provati nel procedimento; il consulente valuta se i sistemi informatici contengono informazioni capaci di supportare quella ricostruzione, e con quali limiti.

Le due attività diventano particolarmente efficaci quando iniziano prima della redazione della relazione tecnica: una valutazione preliminare può servire non solo a trovare prove favorevoli, ma anche a individuare in anticipo le debolezze tecniche di una determinata ricostruzione, permettendo a cliente e legale di decidere con maggiore consapevolezza come procedere. È il tipo di supporto che offriamo agli studi legali nell'assistenza tecnica al contenzioso, così come nella redazione di perizie informatiche di parte.

Le domande da porsi prima di una perizia informatica

Sono domande apparentemente semplici, ma dalle risposte dipende spesso l'intera attività successiva, compresa la decisione se e come procedere. Puoi spuntarle mentre le affronti con il tuo legale o il tuo consulente.

Domande frequenti

Cosa fa un consulente informatico forense prima di scrivere una perizia?

Effettua una ricognizione preliminare per capire quali dispositivi o sistemi potrebbero contenere informazioni rilevanti, se sono ancora disponibili, chi ne ha il controllo e come possono essere acquisiti senza alterarli, prima di formulare qualunque conclusione.

Qual è la differenza tra dati sui sistemi del cliente e dati detenuti da terzi?

Sui sistemi del cliente si può procedere direttamente con un'acquisizione documentata o una copia forense. Sui dati detenuti da terzi, come provider o istituti di credito, occorre invece individuare tempestivamente chi li conserva e verificare con il legale gli strumenti disponibili per richiederli.

Una perizia informatica può concludere che una prova non è dimostrabile?

Sì, ed è un esito legittimo. Dichiarare che un evento non può essere ricostruito con sufficiente affidabilità, quando i dati non lo consentono, è più corretto sul piano tecnico e professionale rispetto a una conclusione più netta di quanto le evidenze permettano.

Cosa prevede lo standard ISO/IEC 27037 sulla prova digitale?

Definisce le linee guida per identificazione, raccolta, acquisizione e conservazione delle prove digitali, con l'obiettivo di minimizzare l'alterazione del dato originale e garantire che ogni passaggio sia documentato e verificabile da un terzo indipendente.

Glossario essenziale

Nel testo trovi alcuni termini tecnici con una breve spiegazione al passaggio del mouse o al tocco: perizia contabile Consulenza tecnica di parte redatta per sostenere le ragioni di uno dei contendenti in giudizio, distinta dalla CTU disposta dal giudice. , perizia informatica Elaborato tecnico redatto da un consulente informatico per ricostruire fatti rilevanti in un procedimento civile o penale, sulla base di dati e sistemi informatici. , ISO/IEC 27037 Norma tecnica internazionale che definisce le linee guida per identificazione, raccolta, acquisizione e conservazione delle prove digitali, adottata in Italia come UNI CEI EN ISO/IEC 27037. e copia forense Copia bit-a-bit del contenuto originale di un dispositivo o supporto, verificata tramite hash crittografico per garantirne l'integrità e l'utilizzabilità come prova. .

Fonti: LuccaInDiretta, "Portano in tribunale un istituto di credito ma l'avvocato sbaglia ad impostare la causa: condannato a risarcire i clienti", 13 agosto 2026; Cybersecurity360, sullo standard ISO/IEC 27037 per la raccolta della prova digitale; Legge 21 marzo 2008, n. 48, di ratifica della Convenzione di Budapest sul cybercrime.