La progressiva diffusione di dispositivi connessi sta trasformando il concetto stesso di scena del crimine. Non sono più soltanto smartphone, computer e cloud a contenere tracce rilevanti per l’accertamento dei fatti: automobili intelligenti, smartwatch, smart speaker, sistemi domotici, telecamere IP, dispositivi medicali indossabili e assistenti vocali generano oggi una quantità crescente di dati potenzialmente decisivi in ambito investigativo e processuale.L’articolo analizza il passaggio dalla tradizionale digital evidence alla prova digitale distribuita nell’ecosistema IoT, evidenziando opportunità, criticità tecniche, limiti interpretativi, problemi di accessibilità, catena di custodia, proporzionalità dell’acquisizione e rischio di letture decontestualizzate.La tesi centrale è che l’IoT non rappresenti soltanto una nuova fonte di prova, ma un vero cambio di paradigma: il dato digitale non documenta più solo una comunicazione o un file, ma frammenti della vita reale tradotti in tracce computazionali.Indice degli argomenti

Introduzione: la scena del crimine diventa distribuitaDalla prova digitale tradizionale alla prova IoTAuto connesse e vehicle forensicsSmartwatch, wearable e dati biometriciAssistenti vocali, smart speaker e domoticaEvento tecnico, inferenza investigativa e significato probatorioAcquisizione forense e catena di custodiaUn’acquisizione documentataCloud, server esteri e accessibilità del datoPrivacy, proporzionalità e dati personaliIl rischio della lettura decontestualizzataUn metodo operativo per consulenti, difensori e autorità giudiziariaLe fasi operativeConclusioni: l’IoT come cambio di paradigma probatorioIntroduzione: la scena del crimine diventa distribuitaNel processo penale contemporaneo la prova digitale non può più essere ricondotta esclusivamente allo smartphone, al computer o al singolo account cloud. Queste fonti restano centrali, ma non esauriscono più il perimetro dell’accertamento tecnico.La vita quotidiana è ormai attraversata da oggetti connessi che registrano, sincronizzano e trasmettono dati: automobili intelligenti, smartwatch, smart speaker, telecamere IP, serrature smart, termostati, dispositivi medicali indossabili, sistemi di allarme, sensori domestici e piattaforme di mobilità. Tutti questi strumenti possono produrre tracce utili alla ricostruzione di un fatto penalmente rilevante.La scena del crimine, quindi, non coincide più soltanto con un luogo fisico né con un supporto informatico sequestrato. È un ecosistema distribuito, nel quale l’informazione può trovarsi nel dispositivo locale, nell’applicazione installata sul telefono, nel cloud del produttore, nei server di un service provider, nei log di rete, nei backup automatici o nelle interazioni tra più dispositivi.Questo mutamento impone un salto metodologico. Non basta più individuare un dato e produrlo in giudizio. Occorre comprenderne origine, modalità di generazione, contesto tecnico, catena di sincronizzazione, limiti di affidabilità e significato probatorio.Dalla prova digitale tradizionale alla prova IoTLa digital evidence tradizionale era spesso associata a un contenitore identificabile: un telefono, un computer, una memoria, un server, una casella di posta elettronica. Nell’ecosistema IoT, invece, la fonte probatoria è frammentata e stratificata.Un singolo evento può essere generato da un sensore, elaborato da un firmware, registrato da un’applicazione, sincronizzato con uno smartphone, trasferito su un server estero e successivamente visualizzato attraverso una dashboard semplificata. In questa catena ogni passaggio può incidere sulla qualità, completezza, integrità e interpretabilità dell’informazione.La prova IoT non è quindi un semplice dato informatico da estrarre. È il risultato di un’interazione tra hardware, software, account, rete, piattaforma cloud e comportamento dell’utente. La sua analisi richiede una prospettiva di ecosistema.Sotto questo profilo, la prova connessa presenta una peculiarità: spesso ciò che viene acquisito non è il dato originario, ma una rappresentazione del dato. Il report, la schermata dell’app o l’esportazione fornita dal servizio non coincidono necessariamente con il log grezzo o con il database nativo.Auto connesse e vehicle forensicsUno degli ambiti più significativi è rappresentato dai veicoli connessi. L’automobile moderna non è più un mezzo meccanico isolato, ma una piattaforma digitale dotata di centraline, sistemi di infotainment, sensori, moduli GPS, connessioni Bluetooth, Wi-Fi, app proprietarie e servizi cloud.In determinati contesti, il veicolo può fornire dati relativi a spostamenti, posizioni, percorsi, velocità, accensione del motore, apertura e chiusura delle portiere, connessioni con dispositivi mobili, rubriche sincronizzate, destinazioni impostate nel navigatore e interazioni dell’utente con il sistema di bordo.Queste informazioni possono assumere rilievo in indagini su reati contro la persona, incidenti stradali, stalking, furti, rapine, frodi assicurative, ricostruzione di presenze e verifica di alibi. Il dato del veicolo, tuttavia, deve essere trattato con estrema cautela.Una posizione GPS non identifica automaticamente il conducente. Una connessione Bluetooth non dimostra necessariamente la presenza fisica del titolare del telefono. Un evento di apertura non consente, da solo, di attribuire l’azione a una persona determinata. L’utilità probatoria nasce dalla correlazione con altre fonti: celle telefoniche, video, varchi, chat, pagamenti, testimonianze, dati dello smartphone e cronologie applicative.Le linee guida europee sul trattamento dei dati personali nei veicoli connessi evidenziano come tali informazioni possano riguardare non solo parametri tecnici del mezzo, ma anche comportamenti, abitudini, localizzazione e, in alcuni casi, aspetti altamente personali del conducente o dei passeggeri. Questo rende ancora più delicato il bilanciamento tra esigenza investigativa e tutela della riservatezza.Smartwatch, wearable e dati biometriciGli smartwatch e i dispositivi wearable introducono un ulteriore livello di complessità. A differenza di molte altre fonti digitali, essi possono registrare dati riferiti direttamente al corpo: frequenza cardiaca, passi, attività fisica, sonno, cadute, allenamenti, saturazione, posizione, notifiche, interazioni con app salute e sincronizzazioni con lo smartphone.Questi dati possono essere rilevanti nella ricostruzione di una sequenza temporale. Un picco di frequenza cardiaca, un’interruzione improvvisa dell’attività, una caduta registrata, un tracciato di movimento o un periodo di inattività possono costituire elementi utili, soprattutto se confrontati con altre evidenze.Tuttavia, il dato biometrico o fisiologico non deve essere sovrainterpretato. Una variazione della frequenza cardiaca non prova automaticamente paura, aggressione, colluttazione o stato emotivo. Un numero di passi non dimostra necessariamente uno spostamento volontario. Un rilevamento di caduta può dipendere da falsi positivi, urti, configurazioni del dispositivo o condizioni d’uso.La prova wearable è quindi fortemente inferenziale. Il consulente deve distinguere tra dato registrato, compatibilità tecnica e conclusione probatoria. Il rischio, altrimenti, è attribuire a un parametro fisiologico un significato processuale che il dato, da solo, non è in grado di sostenere.Assistenti vocali, smart speaker e domoticaAssistenti vocali, smart speaker e sistemi domotici rappresentano un’altra fonte emergente di informazioni. Possono conservare log di attivazione, comandi impartiti, dispositivi controllati, routine programmate, eventi di automazione, orari di accensione e spegnimento, interazioni con account collegati e, in alcuni casi, registrazioni o frammenti audio associati all’attivazione del servizio.La smart home può registrare aperture di porte, attivazioni di allarmi, accensione di luci, movimento in ambienti, variazioni di temperatura, attività di videocamere IP e comandi da remoto. Questi dati possono aiutare a ricostruire presenze, orari e sequenze di condotte.Il punto critico è l’attribuzione. Un comando vocale non identifica automaticamente il soggetto che lo ha pronunciato. Un’automazione può essere attivata da regole preimpostate. Un sensore di movimento può reagire a persone, animali, condizioni ambientali o malfunzionamenti. Una serratura smart può essere aperta da chi possiede credenziali, app, token, PIN o accesso condiviso.L’analisi deve quindi ricostruire non solo l’evento, ma anche l’architettura del sistema: utenti autorizzati, account amministratori, dispositivi collegati, routine attive, permessi, log di accesso, modalità di controllo e possibili fonti alternative di attivazione.Evento tecnico, inferenza investigativa e significato probatorioIl nodo metodologico centrale della prova IoT è la distinzione tra evento tecnico, inferenza investigativa e significato probatorio.Il dispositivo può registrare che una porta è stata aperta alle 22:14. Questo è l’evento tecnico. L’ipotesi che una determinata persona abbia aperto quella porta è un’inferenza. La conclusione che quella persona fosse presente sulla scena del crimine è un significato probatorio ulteriore, che richiede conferme e valutazioni autonome.La stessa logica vale per il veicolo che risulta in una certa posizione, per lo smartwatch che registra movimento, per l’assistente vocale che documenta un comando, per la telecamera IP che genera una notifica o per il sensore che rileva presenza.La prova IoT non può essere trattata come una testimonianza automatica della realtà. Il dato è prodotto da un sistema tecnico e deve essere interpretato alla luce delle sue regole di funzionamento. Il rischio più grave è confondere la registrazione di un evento con la dimostrazione del fatto storico.Per questo motivo, la relazione tecnica dovrebbe esplicitare con chiarezza cosa il dato consente di affermare, cosa consente soltanto di ipotizzare e cosa non può essere dedotto. La distinzione tra certezza tecnica, compatibilità e mera possibilità è essenziale per evitare letture suggestive.Acquisizione forense e catena di custodiaL’acquisizione della prova IoT deve essere condotta secondo criteri di identificazione, raccolta, acquisizione e conservazione coerenti con le buone pratiche della digital forensics¹. L’obiettivo non è soltanto ottenere il contenuto informativo, ma preservarne verificabilità, integrità e contesto.Nel caso di dispositivi connessi, la catena di custodia non riguarda solo l’oggetto fisico. Deve documentare anche l’account utilizzato, l’applicazione consultata, la versione del software, lo stato del dispositivo, le impostazioni di sincronizzazione, la presenza di connessione, la data e l’ora dell’accesso, le modalità di esportazione e gli eventuali limiti tecnici riscontrati.Un’acquisizione documentataUn’acquisizione documentata dovrebbe includere, ove possibile: identificazione del dispositivo, del modello, del sistema operativo e degli identificativi tecnici; fotografie o videoregistrazione delle operazioni più rilevanti; indicazione degli account associati e dei servizi cloud collegati; descrizione degli strumenti utilizzati e delle relative versioni; esportazione dei dati disponibili e conservazione dei file prodotti; calcolo degli hash ove tecnicamente applicabile; indicazione chiara dei dati non acquisibili o non verificabili.La documentazione del metodo è parte integrante del valore probatorio. Una prova non spiegata, non replicabile o non controllabile rischia di apparire forte sul piano narrativo ma debole sul piano tecnico-processuale.Cloud, server esteri e accessibilità del datoUna caratteristica strutturale dell’IoT è la dipendenza da infrastrutture remote. Molti dati non sono conservati stabilmente nel dispositivo fisico, ma su server del produttore o di fornitori terzi, spesso collocati fuori dal territorio nazionale.Questa circostanza produce almeno tre problemi. Il primo è tecnico: il dato può non essere estraibile direttamente dal dispositivo. Il secondo è probatorio: ciò che viene mostrato dall’app può essere solo una rappresentazione del contenuto effettivamente conservato dal provider. Il terzo è giuridico: l’accesso ai dati può richiedere procedure autorizzative, cooperazione con il fornitore o strumenti di acquisizione transfrontaliera.Il quadro europeo in materia di e-evidence, con il Regolamento (UE) 2023/1543 e la Direttiva (UE) 2023/1544, si inserisce proprio in questa esigenza di rendere più efficiente l’acquisizione di prove elettroniche presso prestatori di servizi, anche in scenari transfrontalieri².Tuttavia, la disponibilità giuridica del dato non risolve automaticamente il problema forense. Anche quando il provider produce informazioni, resta necessario comprenderne struttura, significato, metadati, completezza, criteri di conservazione, eventuali normalizzazioni e rapporto con il dispositivo originario.Privacy, proporzionalità e dati personaliL’IoT porta nel processo penale dati particolarmente invasivi. Non si tratta solo di conversazioni, documenti o file, ma di informazioni sulle abitudini di vita, sugli spostamenti, sulla casa, sul corpo, sulla salute, sulle relazioni, sulle routine quotidiane e sui comportamenti individuali.I dati generati da veicoli connessi, wearable e dispositivi domestici possono rivelare molto più del fatto specifico oggetto di indagine. Possono mostrare dove una persona vive, lavora, dorme, si cura, si muove, chi incontra, quali dispositivi usa e quali abitudini mantiene.Da qui deriva l’esigenza di un controllo rigoroso di proporzionalità. L’acquisizione deve essere pertinente, necessaria e limitata rispetto all’oggetto dell’accertamento. La tutela della riservatezza non è un ostacolo alla ricerca della prova, ma una condizione di legittimità e qualità dell’intervento investigativo.In questa prospettiva assumono rilievo i principi di minimizzazione, limitazione della finalità e proporzionalità del trattamento, particolarmente incisivi quando il dato IoT assume natura biometrica, sanitaria, comportamentale o localizzativa³.Una raccolta indiscriminata di dati connessi rischia di trasformare l’indagine su un fatto determinato in un’esplorazione generalizzata della vita digitale e fisica della persona.Il rischio della lettura decontestualizzataIl dato IoT esercita una forte suggestione probatoria perché appare automatico, oggettivo e neutrale. Proprio per questo può essere pericoloso se interpretato senza adeguata competenza tecnica.Un grafico di attività, una mappa, un log di apertura, una notifica, una timeline o un report generato da una piattaforma sembrano immediatamente comprensibili. In realtà, dietro quella rappresentazione vi sono scelte tecniche: filtri, arrotondamenti, algoritmi, soglie di rilevazione, conversioni temporali, sincronizzazioni, ritardi di upload e criteri di visualizzazione.Il report non coincide sempre con il dato grezzo. La dashboard non coincide sempre con il database. La schermata dell’utente non coincide sempre con l’informazione forense. Questa distinzione è fondamentale nel processo penale, dove il dato deve essere non solo prodotto, ma anche criticamente verificabile.Una delle criticità più frequenti riguarda la dimensione temporale. I timestamp possono essere registrati in UTC, visualizzati in ora locale, modificati dalla configurazione del dispositivo, influenzati dal fuso orario, dalla latenza di rete o dalla sincronizzazione con server esterni. Un errore di conversione può alterare radicalmente la ricostruzione della sequenza degli eventi.La lettura decontestualizzata può incidere anche sull’attribuzione soggettiva. Il fatto che un account, un veicolo o un dispositivo sia associato a una persona non dimostra automaticamente che quella persona abbia compiuto l’azione registrata. Nel processo penale, questa distinzione non è marginale: è il confine tra dato tecnico e responsabilità individuale.Un metodo operativo per consulenti, difensori e autorità giudiziariaPer affrontare correttamente la prova IoT è utile adottare un modello operativo per fasi, capace di ridurre il rischio di dispersione, incompletezza e sovrainterpretazione.Le fasi operativeLa prima fase è la mappatura dell’ecosistema: dispositivi, app, account, servizi cloud, reti, utenti autorizzati, credenziali, automazioni e fonti correlate.La seconda fase è la conservazione tempestiva: log e dati sincronizzati possono essere volatili, cancellati, sovrascritti o modificati dall’uso ordinario del servizio.La terza fase è l’acquisizione documentata: ogni operazione deve essere descritta in modo tale da consentire controllo tecnico e contraddittorio.La quarta fase è la normalizzazione temporale: fusi orari, UTC, ora locale, data del dispositivo, data del server e ritardi di sincronizzazione devono essere verificati e resi espliciti.La quinta fase è la correlazione: il dato IoT dovrebbe essere confrontato con altre fonti indipendenti, evitando sia l’isolamento del dato sia la sommatoria acritica di evidenze solo apparentemente convergenti.La sesta fase è la valutazione inferenziale: occorre separare evento tecnico, ipotesi investigativa e conclusione probatoria.La settima fase è la comunicazione al giudice: la prova deve essere spiegata in modo comprensibile, verificabile e non suggestivo, evitando sia tecnicismi inutili sia semplificazioni fuorvianti.Questo metodo è utile tanto all’accusa quanto alla difesa. Il pubblico ministero deve individuare tempestivamente le fonti da preservare. Il difensore deve poter verificare completezza, attendibilità, pertinenza e metodo di acquisizione. Il consulente tecnico deve rendere controllabile il percorso analitico. Il giudice deve valutare non solo l’esistenza del dato, ma la solidità dell’inferenza che lo collega al fatto.Conclusioni: l’IoT come cambio di paradigma probatorioL’Internet of Things non rappresenta soltanto una nuova categoria di dispositivi da sequestrare o analizzare. È un cambio di paradigma probatorio.La scena del crimine digitale non è più contenuta in un supporto, ma distribuita tra oggetti, sensori, account, cloud e infrastrutture di servizio. Il dato non documenta più soltanto comunicazioni o file, ma segmenti di realtà quotidiana convertiti in tracce computazionali.Questa trasformazione offre grandi opportunità investigative, perché consente di ricostruire presenze, spostamenti, interazioni e sequenze temporali con un livello di dettaglio crescente. Ma comporta anche rischi significativi: acquisizioni eccedenti, violazioni della riservatezza, errori interpretativi, attribuzioni indebite, dipendenza da piattaforme proprietarie e letture suggestive di dati tecnicamente ambigui.La sfida non è accumulare più dati, ma produrre prove migliori.Nel contesto IoT, una prova digitale è realmente utile al processo solo se è acquisita correttamente, documentata in modo trasparente, tecnicamente verificabile, contestualizzata e spiegata con rigore. Diversamente, il rischio è trasformare la ricchezza informativa degli oggetti connessi in una nuova fonte di incertezza probatoria.La differenza tra semplice acquisizione tecnica e autentica analisi forense diventa, quindi, decisiva. Non ogni dato disponibile è una prova affidabile, e non ogni evento registrato corrisponde automaticamente al fatto che si intende dimostrare. La qualità dell’accertamento dipenderà sempre più dalla capacità di distinguere tra dato, interpretazione e prova.