Riservatezza e protezione dei dati

Un solo telefono può contenere anni di messaggi, foto, dati sulla posizione e dati sanitari, molti dei quali riguardano persone che non hanno nulla a che fare con il caso. Gli esaminatori trattano spesso più informazioni personali di chiunque altro nell'ambito di un'indagine, e il modo in cui le gestiscono ha rilevanza giuridica ed etica. L'obiettivo è limitare il più possibile l'ingerenza senza indebolire le prove, a partire dalla conoscenza di ciò che costituisce un dato personale o sensibile, dei principi di protezione dei dati applicabili nei diversi ordinamenti giuridici e delle modalità di gestione del materiale protetto dal segreto professionale legale. Le modalità quotidiane di archiviazione e conservazione delle prove sono trattate nel Modulo 5.

Dati personali su ogni dispositivo

I dati personali sono qualsiasi informazione relativa a una persona identificata o identificabile: un nome, un numero di telefono, un indirizzo IP, una foto, una cronologia delle posizioni, un identificativo del dispositivo collegato al suo utente. Nell'informatica forense, quasi tutto costituisce un dato personale.

• I dati sensibili o appartenenti a categorie particolari ricevono una protezione più rigorosa nella maggior parte dei regimi normativi. In genere comprendono dati relativi alla salute, alla vita sessuale o all'orientamento sessuale, all'origine razziale o etnica, alle convinzioni religiose o politiche, all'appartenenza sindacale, nonché dati genetici e biometrici. Anche i dati finanziari e quelli relativi ai minori richiedono particolare attenzione.
• I dati di terzi sono informazioni relative a persone diverse dal soggetto sottoposto all'esame: gli interlocutori di ogni chat, i contatti, le persone ritratte nelle foto, i colleghi presenti nelle cartelle condivise. Queste persone non hanno prestato alcun consenso e di solito non sono sospettate di nulla.
• I dati misti costituiscono la norma. Una casella di posta che contiene i messaggi pertinenti contiene anche appuntamenti medici, questioni familiari e conversazioni private.

L'obiettivo non è evitare i dati personali, il che è impossibile, ma trattare soltanto quelli necessari al caso e proteggerli per tutto il tempo in cui vengono detenuti.

Principi validi ovunque

Le leggi sulla protezione dei dati differiscono nei dettagli, ma condividono un nucleo di principi fondamentali. Ciascuno di essi si traduce in una pratica concreta per l'esaminatore.

La minimizzazione ha un limite che gli esaminatori devono rispettare: raccogliere troppo pochi dati può rendere le prove insufficienti (Modulo 1) o escludere materiale a discarico. L'obiettivo è ottenere i dati giusti, non la quantità minima possibile.

Da tutti i dati ai dati pertinenti

Nella pratica, la riservatezza si tutela restringendo gradualmente ciò che una persona legge effettivamente.

L'immagine forense può comunque contenere tutto, perché spesso è necessaria una copia completa e verificata per garantire l'integrità e verificare altre spiegazioni. La minimizzazione si applica quindi soprattutto a ciò che viene estratto, analizzato e divulgato.

Tecniche che riducono l'ingerenza

• Raccolta mirata: quando non è richiesta un'immagine completa, acquisire soltanto gli account, le cartelle o i periodi pertinenti, ad esempio esportando una singola casella di posta da un server invece di creare un'immagine di ogni disco (Modulo 4).
• Filtraggio per data e parole chiave: limitare l'analisi all'intervallo temporale e ai termini di ricerca concordati, registrando i termini esatti utilizzati e il numero di corrispondenze.
• Filtraggio per tipo di dati: analizzare soltanto le categorie comprese nell'ambito autorizzato, come le email e i documenti, senza accedere alle foto o alle app sanitarie.
• Oscuramento: mascherare i dati personali non pertinenti, come i nomi o i numeri di telefono di terzi, negli allegati probatori e nelle relazioni, mantenendo sotto controllo una versione non oscurata.
• Accesso in base alla necessità di conoscere: soltanto le persone che lavorano al caso possono accedere alle prove, e gli accessi vengono registrati.
• Cifratura delle copie delle prove: le immagini e le esportazioni vengono archiviate e trasportate in forma cifrata, con le chiavi conservate separatamente dai supporti.
• Cancellazione sicura: al termine del periodo di conservazione, le copie vengono distrutte con un metodo adeguato al supporto. NIST SP 800-88, Linee guida per la sanitizzazione dei supporti, descrive tre livelli: cancellazione logica (clear), sanitizzazione approfondita (purge) e distruzione (destroy). Sulle unità a stato solido una semplice sovrascrittura non è affidabile; sono quindi preferibili i comandi integrati di sanitizzazione, la cancellazione crittografica o la distruzione fisica.

Materiale protetto dal segreto professionale legale

Alcune comunicazioni sono protette dal segreto professionale legale, denominato in alcuni paesi privilegio avvocato-cliente: si tratta delle comunicazioni riservate tra una persona e il suo avvocato finalizzate alla consulenza legale e, in molti ordinamenti, del materiale preparato in vista di un contenzioso. Un dispositivo può contenere tale materiale insieme alle prove. Leggerlo può violare i diritti della persona e, in alcuni ordinamenti, comportare l'esclusione degli investigatori che lo hanno consultato. La prassi generale consiste nell'isolarlo mediante filtraggio e sottoporlo a una valutazione separata:

1. Individuare tempestivamente gli elementi che potrebbero essere protetti dal segreto professionale legale, utilizzando i nomi degli avvocati, gli indirizzi email, i domini degli studi legali ed espressioni come "consulenza legale".
2. Separare tali elementi prima che la squadra investigativa li consulti.
3. Farli valutare da una persona o da un gruppo distinto, spesso un avvocato indipendente dall'indagine, talvolta denominato gruppo di filtraggio.
4. Trasmettere agli investigatori soltanto ciò che il valutatore autorizza e documentare ogni decisione.

Il ruolo dell'esaminatore è tecnico: applicare i filtri concordati, mantenere al sicuro il materiale separato e registrare le operazioni effettuate. Stabilire se un documento sia protetto dal segreto professionale legale è una valutazione giuridica, non forense.

Esempi di regimi di protezione dei dati

Molte giurisdizioni dispongono di leggi generali sulla protezione dei dati fondate su questi principi: il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea ne è un esempio, e la Lei Geral de Proteção de Dados (LGPD) del Brasile ne è un altro. Tali leggi assoggettano spesso le indagini penali condotte dalle autorità pubbliche a norme separate, ma necessità, proporzionalità e minimizzazione si applicano in qualche forma quasi ovunque.

Un esempio svolto

Calder Home, un rivenditore di articoli per la casa, indaga per accertare se Clara, responsabile di un punto vendita, abbia cancellato registrazioni delle vendite nell'arco di tre mesi per nascondere ammanchi di cassa. Il suo computer portatile aziendale e il suo telefono aziendale rientrano nell'ambito dell'esame.

• L'esaminatore crea un'immagine completa del computer portatile per preservarne l'integrità, ma limita l'analisi alle cartelle di esportazione delle vendite, alle email e ai log di sistema relativi all'intervallo di tre mesi.
• Sul telefono vengono analizzate soltanto la posta elettronica di lavoro e l'app aziendale per le vendite. Le foto personali, un'app sanitaria e un gruppo di chat familiare non vengono aperti.
• Una corrispondenza con una parola chiave rivela messaggi tra Clara e un avvocato del lavoro. I messaggi vengono separati senza leggerli, per una valutazione distinta.
• I nomi dei clienti presenti nelle registrazioni delle vendite vengono oscurati negli allegati probatori, perché non sono necessari per dimostrare le cancellazioni.
• L'immagine viene archiviata in forma cifrata, l'accesso è limitato a due esaminatori nominativamente individuati e il fascicolo del caso riporta le scadenze previste per il riesame e la cancellazione sicura delle copie.

Nessuna di queste misure indebolisce le prove. Ciascuna rende l'esame più facilmente difendibile, perché ogni ingerenza ha una ragione che può essere spiegata.

Focus sull'esame: Le definizioni vengono prima di tutto: dati personali, dati sensibili o appartenenti a categorie particolari e dati di terzi, nonché il motivo per cui quasi tutti i dati presenti su un dispositivo sono personali. Associare ciascun principio (necessità, proporzionalità, minimizzazione dei dati, limitazione della finalità, limitazione della conservazione, sicurezza, riservatezza) a una pratica e ricordare che la minimizzazione non deve rendere le prove insufficienti. Sono previste domande basate su scenari riguardanti il filtraggio per data e parole chiave, l'oscuramento, l'accesso in base alla necessità di conoscere, la cifratura delle copie e la cancellazione sicura al termine del periodo di conservazione, nonché la gestione del materiale protetto dal segreto professionale legale mediante una valutazione separata, anziché attraverso la lettura da parte dell'esaminatore.