Sequestro informatico: come funziona, cosa si può fare e il ruolo del consulente tecnico di parte

La scena è sempre la stessa: la polizia giudiziaria si presenta la mattina presto, porta via telefoni, computer, dischi esterni, a volte il server dell’azienda. Il verbale è lungo una pagina, l’assistito è sotto shock e il difensore riceve la telefonata. Le domande che arrivano al tecnico, a quel punto, sono tre: cosa succederà a quei dati, quando torneranno, cosa possiamo fare adesso. Questo articolo risponde a tutte e tre dal punto di vista di chi fa il consulente tecnico di parte; la valutazione giuridica e la strategia spettano, come sempre, al difensore.

Cos’è, in concreto, un sequestro informatico

Il codice di procedura penale non conosce un «sequestro informatico» come istituto autonomo. Esiste il sequestro probatorio (art. 253 c.p.p.) del corpo del reato e delle cose pertinenti al reato necessarie per l’accertamento dei fatti, e dal 2008, con la legge 48 che ha recepito la Convenzione di Budapest sul cybercrime, il codice si è adattato ai dati: la perquisizione può riguardare i sistemi informatici (art. 247, comma 1-bis), i dati possono essere sequestrati anche presso i fornitori di servizi (art. 254-bis), e in ogni caso chi opera deve adottare misure tecniche che conservino i dati originali e ne impediscano l’alterazione, estraendo copia «su adeguati supporti, mediante procedura che assicuri la conformità della copia all’originale e la sua immodificabilità» (artt. 254-bis, 259, 260 e 354 c.p.p.).

Tradotto: oggi l’oggetto del sequestro possono essere i dispositivi, i dati, o entrambi, e la legge pretende che la copia sia fatta a regola d’arte. È qui che il lavoro tecnico comincia.

Va tenuto distinto dal sequestro preventivo (art. 321 c.p.p.), che serve a impedire che la cosa aggravi le conseguenze del reato o ne agevoli altri: motivi diversi, rimedi diversi. In questo articolo parliamo del sequestro a fini di prova, che è quello che riguarda la stragrande maggioranza dei telefoni e dei computer.

Chi lo dispone e come si svolge

Il sequestro probatorio è disposto dal pubblico ministero con decreto motivato. In flagranza o in caso di urgenza la polizia giudiziaria può procedere di propria iniziativa (art. 354 c.p.p.): in quel caso trasmette il verbale al PM entro quarantotto ore e il PM, nelle quarantotto successive, convalida o dispone la restituzione (art. 355 c.p.p.).

Nella pratica le fasi sono queste.

1. Perquisizione e individuazione. Gli operanti cercano i dispositivi e li elencano. La persona ha facoltà di farsi assistere da un difensore o da una persona di fiducia purché prontamente reperibile; le operazioni non si fermano ad aspettarli.
2. Verbale di sequestro. È il documento più importante della giornata e va letto prima di firmarlo. Deve descrivere ogni cosa sequestrata: marca, modello, numero di serie, stato (acceso o spento, bloccato o sbloccato), eventuali supporti rimovibili, se è stato acceso o consultato sul posto, se sono state chieste e fornite credenziali. Le osservazioni della parte vanno messe a verbale, non dette a voce.
3. Sigilli e custodia. I dispositivi vengono sigillati e presi in custodia. Da questo momento ogni passaggio di mano dovrebbe essere documentato: è la catena di custodia, e ogni anello mancante è un argomento per la difesa.
4. Copia forense. In laboratorio (raramente sul posto) i dati vengono estratti e duplicati, con il calcolo dell’impronta crittografica (hash) che permette di verificare in qualunque momento che la copia corrisponde all’originale. Per computer e dischi è un’operazione ormai standard; per gli smartphone è più delicata, perché richiede quasi sempre di accendere e sbloccare il dispositivo e dipende da strumenti commerciali che non sempre riescono.
5. Selezione dei dati e restituzione. La copia integrale è un mezzo, non un fine: la Cassazione la chiama «copia-mezzo» e ne ricava che il dispositivo va restituito una volta duplicato, e che la totalità dei dati non può essere trattenuta oltre il tempo necessario a selezionare quelli pertinenti al reato, restituendo o distruggendo il resto.

Ripetibile o non ripetibile: perché conta

Il punto tecnico-giuridico che decide quanto il difensore può incidere è se l’estrazione dei dati sia un accertamento tecnico ripetibile (art. 359 c.p.p.) o non ripetibile (art. 360 c.p.p.). Nel secondo caso il PM deve avvisare il difensore di giorno, ora e luogo delle operazioni, e il difensore può nominare un consulente che vi assiste, con la possibilità di chiedere l’incidente probatorio.

L’orientamento prevalente considera ripetibile la copia forense di un supporto che non viene alterato dall’operazione, ad esempio un disco letto attraverso un dispositivo che impedisce la scrittura. Diventano invece non ripetibili le operazioni che modificano la fonte o possono farlo: l’accensione e lo sblocco di uno smartphone, l’estrazione da dispositivi mobili, l’intervento su supporti danneggiati o cifrati, l’accesso ad account in rete. La qualificazione la fa il PM e la contesta il difensore; il tecnico serve a spiegare, per iscritto e con riferimenti verificabili, perché quella specifica operazione altera i dati e quindi va fatta in contraddittorio.

Cosa si può fare: le mosse del difensore con il tecnico

Nelle prime ore e nei primi giorni la differenza la fa l’ordine con cui si agisce.

Subito, anche a operazioni in corso. Nominare il consulente tecnico di parte e chiedere la supervisione del sequestro stesso: la nomina può essere fatta mentre la perquisizione è ancora in atto, dichiarandola a verbale insieme alla richiesta che il consulente assista alle operazioni, oppure per iscritto nelle ore successive (art. 233 c.p.p.). Prima arriva, più cose può vedere con i propri occhi. Ricostruire con precisione cosa è stato preso, con il verbale alla mano, e annotare tutto ciò che il verbale non dice: dispositivi accesi, credenziali fornite, consultazioni fatte sul posto. Mettere al sicuro ciò che non è stato sequestrato ma potrebbe servire alla difesa: backup, copie in cloud, caselle di posta. Senza toccare nulla di ciò che è sotto sequestro e senza cancellare: la cancellazione da remoto è inutile, perché i dispositivi vengono isolati dalla rete, e lascia tracce.

La richiesta di restituzione (artt. 262 e 263 c.p.p.) del dispositivo previa copia è quasi sempre il primo passo utile, soprattutto per telefoni e strumenti di lavoro. Il tecnico la sostiene spiegando che la copia forense con hash rende il supporto fisico superfluo ai fini della prova.

Il riesame va chiesto entro dieci giorni (artt. 257 e 324 c.p.p.) e la scelta è del difensore. Sul piano tecnico gli argomenti che pesano sono quelli che la Cassazione ha messo a fuoco negli ultimi anni: il decreto deve motivare in modo specifico il nesso tra il dispositivo e il reato, indicare cosa si cerca, i criteri di selezione dei dati e un arco temporale, e non può giustificare l’apprensione integrale di un intero archivio personale con formule generiche (così, tra le più recenti, Cass. pen. Sez. VI, 26 novembre 2025, n. 38331, che ha annullato un sequestro «generalizzante ed esplorativo» e disposto la restituzione anche della copia dei dati). Le Sezioni Unite hanno chiarito già nel 2017 che l’interesse a impugnare resta anche dopo la restituzione del dispositivo, quando la Procura trattiene la copia dei dati. Un consulente tecnico aiuta a trasformare questi principi in rilievi concreti: quanti dati sono stati acquisiti, quanti di questi possono ragionevolmente avere a che fare con l’ipotesi di reato, quali di terzi estranei.

La selezione in contraddittorio. Si può chiedere che la cernita dei dati pertinenti avvenga con criteri dichiarati e verificabili, per esempio parole chiave, intervallo di date, interlocutori, e che il difensore e il suo consulente vi assistano. È il momento in cui il tecnico è più utile: una parola chiave scritta male include o esclude migliaia di file.

Le investigazioni difensive (artt. 391-bis e seguenti c.p.p.) permettono alla difesa di acquisire per conto proprio dati dell’assistito o di terzi consenzienti, documentandoli con lo stesso rigore: è il modo per non restare senza prove mentre i dispositivi sono altrove.

Dati di terzi e segreti. Se tra i dispositivi ci sono quelli di uno studio professionale, di un medico, di un giornalista, o contengono corrispondenza con il difensore, vanno segnalati subito: le garanzie sono diverse e il momento per farle valere è prima della copia, non dopo.

Il ruolo del consulente tecnico di parte

Il CTP è nominato dalla parte e lavora solo per lei, al fianco del difensore. Nel sequestro informatico il suo contributo si distribuisce su tre momenti.

Prima e durante le operazioni, quando è possibile esserci: verifica che gli strumenti usati siano quelli dichiarati, che l’hash sia calcolato e verbalizzato, che i dispositivi non vengano accesi o consultati senza che sia messo a verbale, che la copia sia integrale e leggibile. Fa iscrivere a verbale riserve e osservazioni, che altrimenti non esistono.

Sulla carta: legge il decreto e il verbale con occhio tecnico e segnala al difensore le incongruenze, per esempio un dispositivo elencato come spento ma con dati estratti sul posto, un hash mancante, una copia fatta con uno strumento che non supporta quel modello. Scrive le note tecniche a sostegno delle richieste di restituzione e del riesame.

Sui dati, quando la copia diventa accessibile alla difesa: la esamina per trovare ciò che l’accusa non cerca, cioè gli elementi a favore, e verifica la ricostruzione tecnica del consulente del PM, dalla cronologia dei file alle attribuzioni degli account. Da questo nasce la relazione tecnica di parte e il supporto nel contraddittorio con il perito o il consulente dell’ufficio.

È giusto dire anche cosa il CTP non può fare: non può opporsi fisicamente al sequestro, non può pretendere di accedere ai dati prima che la difesa ne abbia diritto, non può sostituirsi al difensore nelle scelte processuali. Il suo valore è rendere verificabile ciò che altrimenti resterebbe affermato.

Cosa potrebbe cambiare: il nuovo articolo 254-ter

In Parlamento è in discussione una riforma specifica del sequestro di dispositivi e sistemi informatici, che introdurrebbe nel codice l’articolo 254-ter: autorizzazione preventiva del giudice, duplicazione del dispositivo e restituzione, selezione dei dati pertinenti con la partecipazione della difesa, procedure d’urgenza. Il disegno di legge è stato approvato dal Senato il 10 aprile 2024 ed è all’esame della Commissione Giustizia della Camera (A.C. 1822): alla data in cui scriviamo, 14 ottobre 2026, l’esame risulta ancora rinviato e la norma non è in vigore. Nel frattempo i principi di proporzionalità e di motivazione specifica li sta scrivendo la Cassazione, sentenza dopo sentenza, e sono già utilizzabili. Aggiorneremo questa pagina quando la legge cambierà.

In sintesi

• Il sequestro informatico è un sequestro probatorio che oggi riguarda dati oltre che oggetti, con l’obbligo di copie conformi e immodificabili.
• Il verbale va letto, integrato e firmato con consapevolezza: è la base di ogni contestazione futura.
• Restituzione previa copia, riesame entro dieci giorni, selezione dei dati in contraddittorio e investigazioni difensive sono gli strumenti; la scelta è del difensore.
• Il consulente tecnico di parte si può nominare anche durante il sequestro, chiedendo che ne supervisioni le operazioni, senza aspettare una perizia (art. 233 c.p.p.): serve a verificare il metodo, a tradurre i principi di proporzionalità in rilievi concreti e a leggere i dati nell’interesse della difesa.

---

Questa è una guida tecnica, non una consulenza legale: la strategia processuale e la valutazione giuridica spettano al difensore. Se un tuo assistito ha subito un sequestro di dispositivi o dati, descrivimi il caso in modo riservato: ti dico se e come posso esserti utile, anche nelle prime ore.

FAQ

Il sequestro di uno smartphone può essere contestato?
La valutazione spetta al difensore. Il codice prevede la richiesta di riesame entro dieci giorni e la richiesta di restituzione in qualunque momento; la giurisprudenza più recente della Cassazione richiede che il decreto motivi in modo specifico il nesso tra dispositivo e reato, i criteri di selezione dei dati e i tempi. Il consulente tecnico serve a documentare sul piano tecnico se queste condizioni sono state rispettate.

Quanto dura il sequestro di un dispositivo informatico?
Non c’è un termine fisso. In linea generale il dispositivo va restituito quando non è più necessario tenerlo, cioè una volta eseguita la copia forense; i dati non pertinenti alle indagini vanno selezionati e restituiti in tempi ragionevoli. Nella pratica i tempi variano molto da ufficio a ufficio: una richiesta tempestiva e motivata, con il supporto tecnico sul perché basti la copia, aiuta.

Si può nominare un consulente tecnico di parte subito dopo un sequestro?
Sì, anche mentre il sequestro è in corso, e si può chiedere che il consulente supervisioni le operazioni in atto. L’art. 233 c.p.p. consente a ciascuna parte di nominare fino a due consulenti tecnici anche quando non è stata disposta alcuna perizia, quindi già nella fase delle indagini e senza formalità particolari: se il difensore è sul posto, la nomina può essere dichiarata a verbale. Il consulente può essere autorizzato dal pubblico ministero a esaminare le cose sequestrate nel luogo in cui si trovano e svolge le attività tecniche delle investigazioni difensive su incarico del difensore. Prima viene nominato, prima può chiedere di assistere alle operazioni e leggere decreto e verbale.

Il consulente tecnico di parte può assistere alla copia forense?
Se l’accertamento è qualificato come non ripetibile (art. 360 c.p.p.), il difensore riceve l’avviso e può nominare un consulente che assiste alle operazioni, verifica strumenti e procedure e fa mettere a verbale le proprie osservazioni. Negli altri casi il consulente interviene dopo, sulla copia e sui verbali, e la richiesta di assistere può comunque essere avanzata.

Conviene cancellare da remoto i dati di un telefono sequestrato?
No. Oltre ai possibili profili penali, che valuterà il difensore, è un’azione quasi sempre inutile: i dispositivi sequestrati vengono isolati dalla rete e la cancellazione da remoto non li raggiunge, mentre lascia traccia negli account. L’unica scelta sensata è parlare subito con il difensore e con un tecnico.

---