Dai dati dei pedali alla timeline di Stasi: intervista a Daniele Occhetti sul caso Garlasco
Mentre il caso Garlasco torna al centro dell’attenzione con nuovi accertamenti e il riesame di elementi tecnici emersi a distanza di quasi vent’anni, il tema della verificabilità delle prove assume un peso sempre maggiore. Dai raw data degli accertamenti sui pedali della bicicletta fino ai dati digitali, la domanda è quanto possa cambiare la lettura di un’indagine quando un elemento originario viene nuovamente analizzato o quando emergono dati che all’epoca non erano stati valorizzati.
Ma cosa può ancora raccontare oggi la tecnologia sui dispositivi analizzati nel caso? Quanto è solida una timeline digitale costruita nel 2007 e quali elementi potrebbero emergere da un nuovo esame dei dati? E soprattutto, quanto è importante conservare i dati originari per permettere, anche a distanza di anni, nuove verifiche?
A fare il punto è Daniele Occhetti, noto perito informatico forense e consulente tecnico nominato dal giudice nel processo di primo grado contro Alberto Stasi, che ad Affaritaliani torna sul lavoro svolto sui computer di Stasi e Chiara Poggi e analizza il ruolo dei raw data e della digital forensics nel caso Garlasco.
Pedali della bici, i “raw data” riaprono il caso: quanto può cambiare un’indagine quando riemerge un dato tecnico negativo che non era stato valorizzato all’epoca?
Una sentenza definitiva non si riscrive automaticamente: per dare rilevanza a nuovi elementi l’ordinamento prevede strumenti straordinari come la revisione. Al di là del caso specifico, la questione è di metodo. Nella prova scientifica vanno distinti tre livelli: il dato originario, la sua elaborazione e l’interpretazione del tecnico. Il contraddittorio è efficace solo se tutte le parti possono tornare al primo livello e verificare il dato grezzo.
Il problema non è solo stabilire a posteriori chi abbia sbagliato, ma porsi una domanda di fondo: può un sistema processuale permettere che un dato tecnico originario non sia conoscibile e verificabile da tutti? Se esistevano risultati discordanti sui pedali, ciò non significa che l’esito dell’epoca fosse errato, ma che la discordanza è essa stessa un’informazione da valutare nel contraddittorio. Il consulente deve poter interpretare un dato, ma dalla sua valutazione non può dipendere la possibilità stessa per gli altri di conoscerlo.
Un dato può davvero “sparire” da un’indagine? Cosa ci racconta il caso Garlasco sulla necessità di conservare e rendere sempre verificabili i dati originari?
La scienza forense vive di verificabilità, non di fiducia. Lo stesso deve valere nel processo: dobbiamo essere messi in condizione di verificare i risultati. Il sistema attribuisce al consulente uno spazio di valutazione, ma il problema nasce quando la selezione finisce per determinare ciò che gli altri potranno materialmente conoscere. La selezione appartiene all’interpretazione, non alla conservazione della fonte. Se un medico prospetta un intervento per un esame positivo, e due controlli successivi danno esito negativo, quei due controlli potrebbero anche essere errati, ma devono far parte del patrimonio informativo.
Una cosa è spiegarne la minore significatività, altra è sottrarli alla verifica. Sui raw data dei pedali, la discordanza non stabilisce quale risultato sia corretto, ma la rende scientificamente rilevante. Parlerei quindi di dati che rischiano di diventare invisibili al contraddittorio. A distanza di vent’anni, Garlasco dimostra perché conservare i dati originari sia fondamentale: strumenti e interpretazioni cambiano, ma con il dato originario possiamo sempre tornare indietro e verificare. Conservando solo la conclusione di allora, quella possibilità è perduta.
Nel suo lavoro sui computer di Alberto Stasi e Chiara Poggi emersero elementi utili a ricostruire la mattina del 13 agosto 2007: quanto può essere solida, a distanza di quasi vent’anni, una timeline costruita sui dati digitali?
Considero quella timeline estremamente solida. Fu una ricostruzione a cui lavorai direttamente nella perizia del GUP Stefano Vitelli. La sua solidità deriva dalla correlazione di una pluralità di elementi e dal lavoro in contraddittorio. Nella digital forensics un singolo orario può avere diverse spiegazioni; quando artefatti indipendenti convergono, la ricostruzione acquisisce grande robustezza. Ricostruimmo l’attività sul computer di Stasi, in particolare sulla tesi di laurea, tramite riscontri informatici specifici, studiando il comportamento di Word e recuperando artefatti con tecniche di carving.
Non condivido l’idea che una ricostruzione sia meno affidabile perché fatta con strumenti dell’epoca: la qualità dell’accertamento dipende dalle evidenze, dalla metodologia, dalla documentazione e dalla riproducibilità, non solo dal software. Oggi abbiamo strumenti più evoluti, ma uno strumento nuovo non rende più vero un dato vecchio. Se gli artefatti sono stati correttamente acquisiti, possono essere rianalizzati. La solidità non sta nell’età dello strumento, ma nella qualità delle evidenze.
Se oggi fossero riesaminati con gli strumenti della digital forensics tutti i dispositivi originali del caso Garlasco, quali informazioni potrebbero ancora emergere che nel 2007 non era possibile individuare?
La differenza principale non riguarda gli strumenti, ma il perimetro dell’indagine e le domande poste ai dati. Come periti avevamo un quesito preciso e un perimetro delimitato: analizzare determinati dispositivi e verificare i rapporti informatici tra Stasi e Poggi. Il perito risponde al quesito, non conduce un’indagine indiscriminata. Oggi non troveremmo necessariamente qualcosa tecnicamente impossibile da individuare allora, ma potremmo isolare elementi che non avevamo ragione di cercare perché estranei al quesito di allora.
Nella digital forensics conta ciò che chiediamo al dato. Se cambia il perimetro investigativo, cambiano le correlazioni e il significato delle tracce. Nel procedimento in cui lavorammo non ci veniva chiesto di verificare evidenze su soggetti emersi solo in seguito, come Andrea Sempio. Riesaminare gli stessi dati con domande differenti potrebbe evidenziare nuove correlazioni. Più che il progresso tecnologico, conta il cambiamento del perimetro investigativo: se cambiano le esigenze dell’indagine, cambia la capacità espressiva del dato.
Dai computer di Stasi ai “raw data” dei pedali: il vero problema di Garlasco potrebbe essere non solo ciò che le prove dicono, ma ciò che non è stato acquisito o valorizzato?
Occorre distinguere tra ciò che non è stato acquisito e ciò che, pur essendo stato acquisito, non è stato valorizzato. Ciò che non è stato acquisito (come la PlayStation a casa Poggi) può essere perduto per sempre. Ciò che è stato acquisito e conservato può essere riesaminato a distanza di anni con strumenti e domande nuove. Un dato oggi irrilevante potrebbe diventare decisivo domani se cambia una conoscenza scientifica o l’ipotesi investigativa.
È pericoloso confondere l’irrilevanza del dato con la valutazione contingente che ne dà l’esaminatore in quel momento. Il dato originario deve sopravvivere alle nostre interpretazioni. Non possiamo sapere quali domande faremo a un dato tra dieci anni, ma possiamo fare in modo che quel dato esista ancora.
Infine, ha delle considerazioni finali?
Vorrei fare due considerazioni separate. La prima riguarda il mio lavoro. In 30 anni la digital forensics è maturata molto in metodologie, standard e buone pratiche fondate su integrità, tracciabilità e riproducibilità. Dobbiamo però tenere nettamente separati il dato originario, le elaborazioni, i risultati e l’interpretazione del consulente. Il dato è la fonte; l’elaborazione è il procedimento; il risultato è ciò che emerge; l’interpretazione è la valutazione soggettiva del tecnico. Il rischio nasce quando l’interpretazione condiziona ciò che viene conservato o rappresentato. Il perito non deve chiedere di fidarsi della propria conclusione, ma mettere tutti in condizione di ripercorrere il lavoro. La scienza forense vive di verificabilità, non di fiducia.
La seconda considerazione è a titolo personale. Il mio incarico è terminato da anni e non sovrappongo valutazioni personali alle decisioni giudiziarie. Ma da persona che ha conosciuto questa vicenda, ciò che emerge a distanza di vent’anni induce a una riflessione. Garlasco ha sottoposto tutti a una pressione straordinaria e può insegnarci qualcosa oltre la colpevolezza o l’innocenza dei singoli. Un’indagine deve sempre saper mettere in discussione l’ipotesi iniziale: quando emerge un elemento contrario, non va visto come un ostacolo, ma come un’occasione di verifica.
Quando un dato modifica lo scenario, deve essere lo scenario a essere ricontrollato, non il dato a essere forzato nello scenario preesistente. Il pericolo da evitare è l’indagine confermativa: attribuire importanza solo agli elementi che confermano la propria tesi. Una buona indagine non accumula conferme, ma cerca seriamente gli elementi capaci di smentirla e resiste a quella verifica.