Analisi del telefono e rilevamento dei messaggi WhatsApp: il contenuto dei messaggi è accessibile o vengono esaminati solo i record HTS?

Nelle indagini penali odierne, i telefoni cellulari sono diventati una fonte primaria di prove digitali per far luce su una parte significativa dei reati. I messaggi WhatsApp rinvenuti sui telefoni di sospettati, imputati, vittime o querelanti vengono spesso esaminati nelle indagini penali relative a frode, minacce, diffamazione, traffico di droga, reati sessuali, criminalità organizzata e controversie commerciali.

La domanda più frequente a questo punto è se, a seguito dell'esame del telefono, sia possibile visualizzare il contenuto dei messaggi WhatsApp o se si possa accedere solo al registro delle chiamate.

Questi due metodi di indagine sono differenti. I dati HTS mostrano informazioni sul traffico relative alla comunicazione, non il contenuto della comunicazione stessa; tuttavia, l'analisi forense digitale del telefono può, se vengono soddisfatte le necessarie condizioni tecniche e legali, consentire l'accesso diretto al contenuto dei messaggi WhatsApp.

Che cos'è un record HTS (Historical Traffic Data) e quali informazioni contiene?

HTS è l'acronimo di "Historical Traffic Search" o, in pratica, "registri del traffico di comunicazione". I record HTS consistono in informazioni sul traffico di comunicazione generate nei sistemi degli operatori GSM.

Nei record HTS, in genere;

• Numeri di telefono chiamati e chiamati,
• Data e ora della ricerca,
• La durata della riunione,
• Informazioni sull'invio e la ricezione di SMS,
• La stazione base a cui si collega il telefono,
• Le informazioni IMEI del dispositivo in uso,
• IMSI e informazioni di abbonamento per la linea

È possibile reperire dati di questo tipo.

Tuttavia, i dati HTS non includono la registrazione audio della telefonata né il contenuto scritto del messaggio SMS. In altre parole, i dati HTS possono mostrare quando e per quanto tempo due persone hanno parlato, ma non rivelano il contenuto della conversazione.

Ai sensi dell'articolo 135/6 del Codice di procedura penale, l'intercettazione delle telecomunicazioni di un sospettato o di un imputato può essere effettuata da un giudice durante la fase istruttoria, oppure dal pubblico ministero nei casi in cui il ritardo sarebbe pregiudizievole; e da un'ordinanza del tribunale durante la fase processuale. La decisione del pubblico ministero deve essere sottoposta all'approvazione del giudice entro ventiquattro ore.

È possibile visualizzare il contenuto dei messaggi WhatsApp dai record HTS?

Il contenuto dei messaggi WhatsApp non è accessibile dai record HTS.

A differenza delle classiche chiamate telefoniche o degli SMS, la comunicazione tramite WhatsApp avviene attraverso una connessione internet. L'operatore di telefonia mobile potrebbe registrare l'utilizzo dei dati mobili da parte del dispositivo in determinati momenti e, in alcuni casi, tenere traccia degli indirizzi IP o delle informazioni relative alla sessione internet. Tuttavia, queste registrazioni non mostrano direttamente chi è stato contattato tramite WhatsApp né il contenuto dei messaggi inviati.

Pertanto, esaminando solo i record HTS;

"Questa persona ha inviato questo messaggio a quest'altra persona tramite WhatsApp."

Questo non è un risultato definitivo. I registri HTS possono al massimo rivelare che il dispositivo ha effettuato una comunicazione o una connessione dati entro un periodo di tempo specifico. Per determinare il contenuto del messaggio, sarebbe necessario esaminare separatamente il telefono, i backup, i dispositivi connessi o altro materiale digitale.

WhatsApp dichiara che i messaggi e le chiamate private sono protetti dalla crittografia end-to-end e che terze parti, inclusa WhatsApp stessa, non possono accedere al contenuto dei messaggi durante la trasmissione, ad eccezione delle persone coinvolte nella conversazione.

Tuttavia, la crittografia end-to-end non significa che i messaggi non vengano mai memorizzati sul telefono stesso. Poiché i messaggi diventano leggibili sia sul dispositivo del mittente che su quello del destinatario, potrebbe essere possibile accedere ai registri dei messaggi sul dispositivo se viene condotta un'adeguata analisi forense digitale sul telefono.

È possibile accedere al contenuto dei messaggi WhatsApp durante un'ispezione del telefono?

Se il telefono viene sequestrato fisicamente ed esaminato correttamente, è possibile accedere al contenuto dei messaggi di WhatsApp.

Nell'ambito della digital forensics, è possibile ottenere quantità variabili di dati a seconda del modello del telefono, del sistema operativo, dello stato di crittografia, del blocco schermo, della versione di WhatsApp e del metodo di analisi utilizzato. I risultati dell'analisi includono:

• Conversazioni WhatsApp individuali e di gruppo,
• Le date e gli orari dei messaggi,
• Foto inviate o ricevute,
• Video e documenti,
• Messaggi vocali,
• Cronologia delle ricerche,
• Informazioni individuali e di gruppo,
• Resti di alcuni messaggi cancellati,
• Notifiche e record della cache,
• Backup di WhatsApp

Può essere rilevato.

La digital forensics sui dispositivi mobili comprende l'acquisizione, la conservazione, l'analisi e la segnalazione dei dati digitali memorizzati nella memoria interna di un dispositivo, utilizzando metodi scientifici. I metodi di estrazione fisica dei dati possono offrire maggiori possibilità di recupero di alcuni dati cancellati rispetto all'analisi logica. Tuttavia, il recupero dei dati cancellati non è garantito; la sovrascrittura dei dati con nuovi dati, la crittografia del dispositivo o limitazioni tecniche possono impedirne il recupero.

Pertanto, l'affermazione "Se il telefono viene esaminato, tutti i messaggi WhatsApp cancellati verranno sicuramente ritrovati" è errata. Un'affermazione più precisa è che i dati di WhatsApp attualmente presenti sul dispositivo o tecnicamente recuperabili saranno accessibili.

Base giuridica per l'ispezione dei telefoni

Oggi i telefoni cellulari non sono solo un mezzo di comunicazione; sono anche un sistema informativo completo in cui vengono archiviate foto, video, documenti, posizione, transazioni bancarie, e-mail e dati delle applicazioni.

Pertanto, il fondamento giuridico per l'esame forense del contenuto telefonico è l'articolo 134 del Codice di procedura penale.

Secondo l'articolo 134 del Codice di procedura penale, in un'indagine condotta a seguito di un reato;

• L'esistenza di forti motivi di sospetto basati su prove concrete,
• L'impossibilità di ottenere prove in qualsiasi altro modo,
• La decisione spetta al giudice o, nei casi in cui il ritardo sarebbe pregiudizievole, al pubblico ministero

In tali circostanze, si può decidere di perquisire computer e file informatici, copiare documenti e decifrarli in formato testo. La decisione del pubblico ministero deve essere sottoposta all'approvazione di un giudice entro ventiquattro ore.

Il dispositivo può essere confiscato se la password non può essere decifrata, se le informazioni nascoste non sono accessibili o se l'indagine si protrarrà a lungo. Una volta decifrata la password e ottenute le copie necessarie, il dispositivo deve essere restituito senza indugio. La legge prevede inoltre che, al momento della confisca, venga effettuato un backup dei dati e che una copia del backup venga consegnata al sospettato o al suo avvocato.

Anche l'Assemblea Generale Penale della Corte Suprema riconosce che il concetto di "file informatici" di cui all'articolo 134 del Codice di Procedura Penale non si limita ai soli computer desktop o portatili, ma include anche i file digitali presenti su telefoni e altri dispositivi mobili digitali. Secondo l'interpretazione della Corte Suprema, le comunicazioni via internet avvenute in passato e registrate sul dispositivo possono essere esaminate nell'ambito di applicazione dell'articolo 134 del Codice di Procedura Penale.

La differenza tra gli articoli 134 e 135 del Codice di procedura penale turco

Nell'esaminare le comunicazioni telefoniche e tramite WhatsApp, gli articoli 134 e 135 del Codice di procedura penale non devono essere confusi tra loro.

L'articolo 134 del Codice di procedura penale turcoriguarda la ricerca, la copia e l'esame di dati precedentemente registrati su un telefono o altro dispositivo digitale. Le conversazioni WhatsApp passate, le foto e le registrazioni vocali rientrano in questo ambito.

L'articolo 135 del Codice di procedura penale (CMK) riguarda l'individuazione, l'intercettazione, la registrazione e la valutazione delle informazioni relative ai segnali provenienti da comunicazioni effettuate tramite telecomunicazioni. Tale misura è principalmente finalizzata al monitoraggio di comunicazioni in corso o future. L'articolo 135 del CMK consente l'intercettazione e la registrazione delle comunicazioni in presenza di forte sospetto e in caso di impossibilità di ottenere prove in altro modo.

Secondo questa distinzione, per quanto riguarda i messaggi WhatsApp inviati in passato e memorizzati nella memoria del telefono, ciò che entra in gioco è essenzialmente un esame digitale del dispositivo. Richiedere i dati HTS all'operatore telefonico non è sufficiente per rivelare il contenuto dei messaggi WhatsApp precedenti.

Il consenso del proprietario del telefono è sufficiente per l'ispezione?

In recenti sentenze, la Corte Suprema turca ha riconosciuto che il solo consenso del proprietario del telefono non è sufficiente per l'esame del telefono di un sospettato o di un imputato.

Pertanto, il fatto che un agente delle forze dell'ordine chieda a un sospettato: "Possiamo dare un'occhiata al suo telefono?" e ​​che il sospettato dia verbalmente il consenso non è considerato sufficiente, di per sé, per condurre un esame digitale forense legalmente valido.

Condizioni necessarie affinché un esame costituisca prova

Affinché i messaggi WhatsApp ottenuti tramite analisi telefonica possano essere utilizzati come prova in un processo, l'analisi deve essere condotta in conformità alla legge e agli standard della digital forensics.

Innanzitutto, la decisione di avviare un'indagine dovrebbe specificare nel modo più chiaro possibile il dispositivo, la persona, il reato, il periodo di tempo oggetto dell'indagine e i dati da esaminare. L'esame indiscriminato di tutti i dati privati ​​non pertinenti all'indagine potrebbe sollevare problemi in termini di principi di proporzionalità e tutela della privacy.

In secondo luogo, è necessario ottenere una copia forense del telefono, determinare i valori hash che dimostrano l'integrità della copia, registrare chi ha ricevuto il dispositivo e quando, e mantenere la catena di conservazione delle prove.

In terzo luogo, anziché una relazione superficiale redatta dalle forze dell'ordine basandosi unicamente su una rapida occhiata allo schermo del telefono, si dovrebbe condurre un esame dettagliato, se necessario, da parte di un esperto o di uno specialista informatico forense. Dovrebbero essere esaminate le informazioni relative al mittente e al destinatario, le date e gli orari, i percorsi dei file, i record del database e l'integrità dei messaggi.

Secondo l'articolo 217 del Codice di procedura penale, il presunto reato può essere provato solo con prove ottenute legalmente. Il contenuto delle telefonate o i messaggi WhatsApp ottenuti illegalmente non possono essere utilizzati come base per una sentenza.

Gli screenshot e le recensioni dei telefoni non sono la stessa cosa

Uno screenshot di WhatsApp non ha lo stesso valore probatorio di una perizia forense ottenuta da un esame tecnico del telefono.

È possibile ritagliare gli screenshot, modificare l'ordine dei messaggi, salvare i nomi dei contatti in modo diverso o creare conversazioni false utilizzando varie applicazioni. Pertanto, affidarsi esclusivamente agli screenshot potrebbe non essere sufficiente come prova se l'altra parte sostiene che le conversazioni siano state manipolate.

In tal caso, il telefono originale, i database di WhatsApp, le date e gli orari dei messaggi, le informazioni sul mittente e sul destinatario, i file multimediali e qualsiasi backup dovrebbero essere esaminati da un esperto. L'intera conversazione dovrebbe essere analizzata, non solo una parte specifica, ma anche i messaggi precedenti e successivi.

Come accedere ai messaggi dai backup di WhatsApp

Le conversazioni di WhatsApp si trovano non solo nella memoria attiva del telefono, ma anche nei backup creati su servizi cloud come un account Google o iCloud.

WhatsApp dichiara che gli utenti possono eseguire il backup dei propri messaggi e contenuti multimediali su sistemi cloud e che sono disponibili anche backup con crittografia end-to-end. I backup con crittografia end-to-end possono essere protetti con una password, una chiave di accesso o una chiave di crittografia a 64 cifre.

La presenza o meno di backup crittografati, l'accessibilità all'account, lo stato di accensione o blocco del telefono e l'ambito dell'indagine influiscono direttamente sulla possibilità di accedere ai messaggi. Pertanto, non si può affermare che i messaggi possano essere letti automaticamente in ogni caso in cui sia disponibile un backup.

Decisione di annullamento della Corte Costituzionale del 2026

La Corte costituzionale, con sentenza del 12 febbraio 2026, n. 2023/128 e 2026/36, ha annullato le disposizioni dell'articolo 134 del Codice di procedura penale in quanto prive di sufficienti garanzie in materia di protezione dei dati personali e di proporzionalità. La Corte ha stabilito che la decisione di annullamento sarebbe entrata in vigore nove mesi dopo.

Poiché la decisione è stata pubblicata il 25 maggio 2026, la disposizione sull'annullamento entrerà in vigore il 25 febbraio 2027. Pertanto, a partire dal 31 luglio 2026, l'articolo 134 del Codice di procedura penale è in vigore e gli interrogatori telefonici vengono effettuati nell'ambito della normativa vigente.

Tuttavia, si prevede che il nuovo quadro giuridico fornirà garanzie più dettagliate su questioni quali quale autorità esaminerà i dati digitali, per quanto tempo verranno conservati, come verranno separati i dati personali irrilevanti, quando i dati verranno distrutti e come verrà garantita la sicurezza delle prove.

Conclusione

L'ispezione telefonica e l'esame dei registri HTS non sono la stessa procedura.

I record HTS mostrano principalmente il traffico di comunicazione tra numeri di telefono, incluse informazioni su data e ora, durata delle chiamate e dati della stazione base. Il contenuto delle chiamate telefoniche, dei messaggi SMS o dei messaggi WhatsApp non è accessibile dai record HTS.

Al contrario, se il telefono cellulare viene sottoposto a perizia forense digitale ai sensi dell'articolo 134 del Codice di procedura penale, potrebbe essere possibile accedere al testo dei messaggi WhatsApp, alle foto, ai video, ai messaggi vocali e ad altri dati dell'applicazione presenti sul dispositivo. La possibilità di recuperare i messaggi cancellati dipende dalle specifiche tecniche del dispositivo, dallo stato di crittografia, dall'eventuale sovrascrittura dei messaggi con nuovi dati e dalla presenza di backup.

Pertanto, se nell'ambito di una specifica indagine viene richiesta l'identificazione delle conversazioni WhatsApp, non dovrebbe limitarsi a una semplice richiesta di "ottenere i dati HTS"; dovrebbe essere esplicitamente richiesto che il telefono in questione venga messo in sicurezza, che venga creata un'immagine forense e che i database e i backup di WhatsApp vengano esaminati da un esperto.