Titolo giuridico e ambito dell'esame

L'informatica forense è lecita solo quando si fonda su un titolo giuridico adeguato e rimane tale solo finché il lavoro rispetta i limiti stabiliti da quel titolo. Ne derivano quattro domande: da dove proviene il titolo giuridico, chi può conferirlo, come si formalizza l'ambito dell'esame e cosa fare quando le prove conducono oltre tale ambito. I dettagli variano da un paese all'altro, ma questi principi valgono in ogni ordinamento giuridico. La tutela della riservatezza è trattata nella Lezione 2.2 e i doveri propri dell'esaminatore nella Lezione 2.3.

Perché il titolo giuridico viene prima di tutto

Esaminare dati senza un titolo giuridico può costituire di per sé un reato: la maggior parte dei paesi sanziona penalmente l'accesso non autorizzato ai sistemi informatici e le leggi sulla tutela della riservatezza limitano i soggetti che possono trattare informazioni personali. Anche quando non viene violata alcuna legge, le prove raccolte senza un titolo giuridico adeguato possono essere escluse o ricevere un peso minore, e l'esaminatore, non soltanto chi ha impartito l'incarico, può essere oggetto di reclami, richieste di risarcimento o provvedimenti disciplinari. Verificare il titolo giuridico fa parte della prima fase del processo forense (Modulo 1), non è una formalità.

Fonti del titolo giuridico

Nella maggior parte degli ordinamenti giuridici esistono, con denominazioni diverse, cinque fonti del titolo giuridico.

Dall'ultima riga deriva una regola utile: nessuno può autorizzare ciò che non ha il diritto di fare in prima persona. Un cliente non può incaricare un esaminatore di accedere abusivamente alla posta elettronica della controparte, e un datore di lavoro non può autorizzare l'accesso al conto bancario privato di un dipendente soltanto perché è stato consultato in passato da un portatile aziendale.

Chi può autorizzare cosa

Prima di fare affidamento sul permesso di qualcuno, occorre accertare su cosa abbia effettivamente il controllo.

• Proprietario del dispositivo: la persona o l'organizzazione proprietaria dell'hardware, ad esempio un datore di lavoro che assegna portatili. La proprietà del dispositivo non si estende automaticamente a ogni account utilizzato su di esso.
• Utente: la persona che utilizza effettivamente il dispositivo. Un utente può prestare il consenso per i propri dati, ma non necessariamente per quelli di altri utenti di un dispositivo condiviso.
• Titolare dell'account: la persona o l'organizzazione a cui è intestato un account online. Un'organizzazione che amministra caselle di posta aziendali può di norma autorizzarne l'accesso, nel rispetto delle proprie politiche e della normativa locale sulla tutela della riservatezza; un account di webmail personale appartiene al suo titolare.
• Fornitore del servizio: l'azienda che conserva i dati. Di norma, i fornitori comunicano i dati dei clienti soltanto su richiesta del cliente o in forza di un atto giuridico.

Registrare chi ha autorizzato cosa e su quale base. In caso di dubbi, consultare un legale prima di agire.

Ambito: i confini del lavoro

Il titolo giuridico stabilisce che un esame può essere svolto; l'ambito stabilisce cosa può riguardare. Un ambito ben definito è scritto, specifico e concordato prima dell'inizio del lavoro. Di norma definisce cinque elementi:

• Dispositivi e supporti: quali portatili, telefoni, unità di archiviazione o server, identificati tramite numero di serie o codice inventariale.
• Account: quali account di posta elettronica, cloud o messaggistica e di chi.
• Tipi di dati: ad esempio messaggi di posta elettronica, documenti, messaggi di chat, cronologia dei dispositivi USB o cronologia del browser.
• Intervallo temporale: il periodo rilevante, ad esempio dal 1° marzo al 15 aprile.
• Termini di ricerca e quesiti: le parole chiave, i nomi o i tipi di file da cercare e i quesiti a cui l'esame deve rispondere.

Ogni elemento dell'ambito dovrebbe essere giustificato dai quesiti del caso (Modulo 1). Superare l'ambito è uno dei modi più comuni in cui un lavoro tecnicamente valido diventa inutilizzabile: a seconda dell'ordinamento giuridico, il materiale rinvenuto al di fuori dell'ambito può essere escluso, può compromettere i risultati che ne derivano oppure può indurre un giudice a dubitare dell'intero esame. Può inoltre violare la riservatezza di persone estranee ai fatti ed esporre personalmente l'esaminatore a responsabilità. Istruzioni vaghe favoriscono deviazioni, che sono difficili da giustificare.

Quando si trova qualcosa al di fuori dell'ambito

Gli esaminatori incontrano regolarmente materiale non coperto dal proprio titolo giuridico, come indizi di un reato diverso. Gli ordinamenti giuridici trattano queste scoperte in modo differente, ma le buone prassi sono le stesse ovunque:

1. Interrompere l'esame di quel materiale. Non aprire altri file né eseguire ulteriori ricerche per "vedere di cosa si tratta".
2. Documentare cosa è stato osservato, dove, quando e come è emerso, negli appunti redatti contestualmente alle attività (Modulo 5).
3. Preservare l'elemento nello stato in cui si trova, affinché nulla vada perduto qualora venga successivamente ottenuto un titolo giuridico.
4. Segnalare la scoperta al responsabile del caso o all'autorità che ha conferito l'incarico.
5. Ottenere un ulteriore titolo giuridico, come un provvedimento nuovo o ampliato, un consenso o un incarico, prima di procedere oltre.

Alcuni materiali, come il sospetto materiale di abusi sessuali su minori, possono far sorgere obblighi legali immediati; occorre conoscere in anticipo quanto previsto dalla giurisdizione competente.

Dati conservati all'estero o nel cloud

I dati nel cloud possono trovarsi in diversi paesi e il fornitore può avere sede in un altro paese ancora. Tre concetti sono utili.

• Giurisdizione: un atto giuridico emesso in un paese non si estende automaticamente a un fornitore o a dati situati in un altro. La legge applicabile può dipendere dal luogo in cui sono conservati i dati, da quello in cui è stabilito il fornitore e da quello in cui risiede il titolare dell'account.
• Assistenza giudiziaria reciproca: gli Stati si chiedono reciprocamente assistenza in materia di prove attraverso canali formali, spesso basati su trattati, e l'evasione delle richieste può richiedere mesi. La Convenzione del Consiglio d'Europa sulla criminalità informatica (Convenzione di Budapest, 2001) è uno dei trattati che prevedono tale cooperazione.
• Richieste di conservazione: spesso è possibile chiedere a un fornitore di preservare rapidamente dati specifici mentre si ottiene l'atto necessario per la loro comunicazione. La conservazione mantiene i dati; non ne consente l'accesso.

Accedere a un account cloud con credenziali rinvenute su un dispositivo sequestrato costituisce un nuovo accesso a un sistema remoto. Molti ordinamenti giuridici richiedono un titolo giuridico distinto per tale accesso, quindi non si deve mai presumere che rientri nell'esame del dispositivo.

Un esempio pratico: redigere l'ambito dell'esame

Mariana, responsabile della conformità presso Northline Freight, un'azienda di logistica che ricomparirà nelle lezioni successive, chiede a un esaminatore esterno di "controllare il computer di Tomas, ha passato la nostra offerta di gara a un concorrente". L'esaminatore traduce questa richiesta in un ambito scritto.

Entrambe le parti firmano il documento. Se in seguito l'esame conduce alla webmail personale di Tomas, l'esaminatore si ferma, registra il riscontro e informa Northline che occorre un ulteriore titolo giuridico, che un semplice incarico aziendale potrebbe non essere sufficiente a fornire.

Focus sull'esame: Partire dalle principali fonti del titolo giuridico (ordine giudiziario o mandato, potere previsto dalla legge, consenso, titolo derivante da un contratto o dal rapporto di lavoro, incarico del cliente) e dalla regola secondo cui nessuno può autorizzare più di quanto consentito dai propri diritti. Distinguere tra proprietario del dispositivo, utente, titolare dell'account e fornitore del servizio. Conoscere gli elementi di un ambito scritto (dispositivi, account, tipi di dati, intervallo temporale, termini di ricerca e quesiti), i motivi per cui superarlo può rendere inutilizzabili le prove e le azioni da intraprendere quando emerge materiale al di fuori dell'ambito: interrompere, documentare, preservare, segnalare, ottenere un ulteriore titolo giuridico. Comprendere la giurisdizione, l'assistenza giudiziaria reciproca e le richieste di conservazione.