FRE 902(13) e 902(14): quando un record elettronico si autentica da solo, senza testimone

Aggiornato il 9 settembre 2026

L’avvocato italiano che assiste un cliente in un procedimento federale statunitense, e l’azienda italiana che deve produrre prove digitali utilizzabili davanti a una corte americana, incontrano lo stesso ostacolo pratico: portare in aula chi ha generato o copiato i dati. FRE 902(13) e FRE 902(14) esistono per evitarlo: ammettono un record elettronico senza testimone, perché al posto della deposizione mettono una certificazione scritta.

Le due sottoregole, adottate nel 2016, sono in vigore dal 1 dicembre 2017. Invece di chiamare un consulente a spiegare in aula come è stato prodotto un log di sistema o come è stata estratta la copia di un telefono, la parte deposita una certificazione firmata da una persona qualificata, nella forma prescritta dalla Rule 902(11) o (12). Per chi forma la prova fuori dagli Stati Uniti la differenza è concreta: senza queste regole l’ammissione dipende da un tecnico disposto a testimoniare a migliaia di chilometri. I presupposti generali, cioè quando una prova digitale va autenticata e con quali mezzi, sono il tema della guida sull’autenticazione delle prove digitali secondo la Rule 901.

Questo approfondimento fa parte della guida: FRE 901: autenticazione delle prove digitali

Che cosa dicono il 902(13) e il 902(14), e in cosa differiscono dal 901

Le due sottoregole certificano oggetti diversi. Il 902(13) riguarda il sistema che ha prodotto il record; il 902(14) riguarda la copia di dati che esistevano già. La Rule 901 non anticipa nulla: chiede prova estrinseca dell’autenticità, che in giudizio significa quasi sempre una testimonianza.

902(13): il record generato da un sistema elettronico

Il 902(13) porta la caption “Certified Records Generated by an Electronic Process or System” e ammette come auto-autenticante “a record generated by an electronic process or system that produces an accurate result, as shown by a certification of a qualified person that complies with the certification requirements of Rule 902(11) or (12)” (testo della Rule 902). Gli elementi sono tre: un record prodotto da un processo o sistema elettronico, l’accuratezza del risultato, la certificazione di una persona qualificata nella forma prescritta. L’oggetto della verifica è il sistema, non il singolo file. È la sottoregola dei log di un server, dei tabulati di un gestionale, dei registri di accesso: dati che nessuno ha digitato perché li ha scritti una macchina.

902(14): i dati copiati e il processo di identificazione digitale

La caption del 902(14) è “Certified Data Copied from an Electronic Device, Storage Medium, or File”, e la sottoregola ammette quei dati “if authenticated by a process of digital identification”, sempre con certificazione di persona qualificata conforme al 902(11) o (12). Governa le copie di quella che il contenzioso statunitense chiama electronically stored information (ESI), ed è la regola che ha inciso di più sulla pratica dell’e-discovery. Il processo di identificazione digitale, di norma, è il confronto fra il valore hash dell’originale e quello della copia, tipicamente SHA-256. La nota del Comitato consultivo del 2017 lo dice senza giri di parole: “if the hash values for the original and copy are the same, it is highly improbable that the original and copy are not identical”. La stessa nota precisa però che la regola “is flexible enough to allow certifications through process[es] other than comparison of hash value”.

TrueScreen, la piattaforma di Data Authenticity, calcola l’hash e applica la marca temporale già nel momento dell’acquisizione: il processo di identificazione digitale richiesto dal 902(14) risulta così documentato prima che il contenuto possa cambiare, invece di essere ricostruito a posteriori.

Quando serve ancora la prova estrinseca della Rule 901

Le due strade non si escludono. Se la certificazione viene contestata con successo la prova non è persa: si torna al percorso ordinario della Rule 901, con testimoni, perizia o documentazione del processo. L’auto-autenticazione è una scorciatoia procedurale, non un binario esclusivo, e conviene tenere pronte entrambe le linee, come ricostruito nella guida alla Rule 901 sull’autenticazione delle prove elettroniche.

Che cosa deve contenere la certificazione della persona qualificata

La regola non pubblica un modulo: rinvia ai requisiti del 902(11) e, per i record formati all’estero, del 902(12). Da quel rinvio si ricava un contenuto minimo: chi firma e con quale titolo, quale processo descrive, con quale metodo l’ha verificato, e la prova che la controparte è stata messa in condizione di controllare.

Chi è la persona qualificata

La “qualified person” del 902(13) e del 902(14) non è iscritta a un albo né nominata dal giudice: è chi conosce direttamente il sistema che ha generato il record, o il processo con cui la copia è stata prodotta, abbastanza da attestarlo per iscritto assumendosene la responsabilità. Il 902(11), a cui entrambe rinviano, parla del custode dei record o di “another qualified person”, e nella pratica firma il responsabile dei sistemi informativi, il tecnico che ha eseguito l’estrazione o chi ha condotto l’acquisizione con metodologia forense.

Il preavviso scritto e il diritto di ispezione della controparte

Su questo punto circola un’imprecisione diffusa. La regola federale non fissa alcun numero di giorni: parla di “reasonable written notice of the intent to offer the record”, e i quattordici giorni che molti danno per scontati sono prassi locale, non testo federale. Il secondo obbligo si dimentica ancora più spesso: oltre al preavviso, la parte deve rendere disponibili per l’ispezione sia il record sia la certificazione. Un preavviso puntuale ma senza accesso al materiale non soddisfa la regola.

Impronta hash, marca temporale e catena di custodia

L’hash prova che due file sono identici. Non prova quando il primo dei due è stato formato, ed è lì che la difesa lavora più volentieri: se la copia è stata acquisita tre settimane dopo i fatti, il confronto fra impronte dimostra soltanto che da quel momento in poi nulla è cambiato. La marca temporale qualificata chiude quella lacuna, perché ancora l’impronta a un istante opponibile ai terzi, e la catena di custodia digitale documenta i passaggi fino alla produzione in giudizio. Prese insieme reggono l’obiezione, mentre da sole quasi mai bastano.

Che cosa l’auto-autenticazione non risolve

È il fraintendimento più costoso sulle due sottoregole. La nota del Comitato consultivo del 2017 è esplicita: “a certification under this Rule can establish only that the proffered item has satisfied the admissibility requirements for authenticity”. Tutto il resto resta in piedi.

Autenticità non è ammissibilità: hearsay, rilevanza, diritto al confronto

Una certificazione 902(13) o 902(14) chiude la questione dell’autenticità, e nient’altro. La controparte resta libera di eccepire su altri fondamenti: che il contenuto sia hearsay, che sia irrilevante, e nel penale che l’ammissione senza contraddittorio comprima il diritto al confronto. Un log autenticato senza testimone può quindi essere escluso lo stesso, perché le dichiarazioni che contiene sono inutilizzabili. Il perimetro completo dei requisiti è nella guida all’ammissibilità delle prove digitali; per chi ragiona già in termini transfrontalieri, il confronto con il regolamento europeo e-evidence mostra quanto i due ordinamenti chiedano cose diverse allo stesso file.

Che cosa fa cadere una certificazione in giudizio

Le contestazioni che funzionano sono quasi sempre le stesse. Chi firma non conosce davvero il processo che descrive, e in deposizione non regge le domande. Oppure l’hash è stato calcolato quando il file era già passato per tre caselle di posta e due cartelle condivise, per cui certifica una copia della copia. Capita anche che il preavviso arrivi senza rendere il materiale ispezionabile, o che la descrizione del processo sia troppo generica per consentire una verifica. Il caso più frequente con i contenuti online, però, è un altro: la data dichiarata non coincide con quella che i metadati raccontano, e da quel momento la discussione non riguarda più l’integrità del file ma la credibilità di chi lo ha prodotto.

Certificare al momento della cattura, non a valle

TrueScreen è una piattaforma di Data Authenticity che produce un rapporto forense in cui sono descritti il processo di acquisizione, l’algoritmo di hash e la marca temporale. Quel rapporto è il documento su cui la persona qualificata fonda la certificazione scritta richiesta dal 902(13) o dal 902(14). TrueScreen, però, non è un prestatore di servizi fiduciari qualificato né un’autorità di certificazione, e il rapporto forense non è un certificato qualificato. La marca temporale qualificata e il sigillo digitale sono erogati da QTSP terzi qualificati e integrati nella piattaforma via API; ciò che TrueScreen aggiunge è la metodologia con cui il contenuto viene acquisito, verificato e conservato.

A fare la differenza è il momento in cui si interviene, perché quasi tutti gli strumenti presuppongono che il dato esista già e vada copiato. Una società scopre che un rivenditore non autorizzato pubblica su Instagram una storia con il marchio contraffatto: la storia scade in ventiquattro ore e quando il perito viene incaricato non c’è più niente da copiare, quindi il 902(14) non è invocabile perché manca l’originale con cui confrontare l’impronta. Le organizzazioni usano TrueScreen proprio per contenuti così, che non esisteranno più quando qualcuno potrà copiarli: si acquisisce con il Forensic Browser per le pagine web o come file multimediali certificati, e restano un file con hash e marca temporale, un rapporto sul processo e una catena di custodia che parte dal momento zero. La controparte può poi eseguire in autonomia la verifica indipendente della certificazione, che è l’argomento più solido contro l’obiezione di parzialità. Vale il criterio della copia forense e del suo valore probatorio: garantire il vero dal principio costa meno che dimostrare a posteriori che nessuno ha manomesso nulla.

FAQ: FRE 902(13) e 902(14)

Che differenza c’è tra il 902(13) e il 902(14)?
+

Il 902(13) certifica il sistema, il 902(14) certifica la copia. Il primo riguarda un record generato da un processo o sistema elettronico, e la certificazione attesta che quel sistema produce un risultato accurato: log, tabulati, registri automatici. Il secondo riguarda dati copiati da un dispositivo, un supporto o un file, e la certificazione attesta che la copia è identica all’originale attraverso un processo di identificazione digitale, di norma il confronto fra valori hash. Entrambe rinviano al 902(11) o (12) per la forma della certificazione e per il preavviso, e in un caso concreto spesso servono tutte e due.

Chi può firmare la certificazione come persona qualificata?
+

Chi ha conoscenza diretta del sistema che ha generato il record, o del processo con cui la copia è stata prodotta, sufficiente ad attestarlo per iscritto. Non servono un titolo abilitante né una nomina giudiziale: il 902(11), a cui le due sottoregole rinviano, parla del custode dei record o di “another qualified person”. Nella pratica firma il responsabile dei sistemi informativi, il tecnico che ha eseguito l’estrazione o chi ha condotto l’acquisizione. Una piattaforma di acquisizione forense può sostenere questo ruolo: TrueScreen produce hash, marca temporale e documentazione della catena di custodia in un unico rapporto, che la persona qualificata certifica.

Che cosa deve contenere la certificazione?
+

Le Federal Rules of Evidence non pubblicano un modulo, ma dal rinvio al 902(11) e al 902(12) si ricava un contenuto minimo: identificazione di chi firma e titolo per cui è qualificato, descrizione del processo elettronico o del processo di identificazione digitale, valori hash dell’originale e della copia quando si invoca il 902(14), e la forma prescritta dal 902(11) per la dichiarazione. Vanno documentati anche il preavviso scritto e la messa a disposizione del materiale per l’ispezione. Una descrizione del processo troppo generica per essere verificata è il difetto che ricorre più spesso nelle certificazioni contestate.

Quanto preavviso bisogna dare alla controparte?
+

La regola federale non indica un numero di giorni. Il 902(11) chiede un “reasonable written notice of the intent to offer the record” prima del processo o dell’udienza, e la ragionevolezza si valuta caso per caso in rapporto alla complessità del materiale. I quattordici giorni che circolano nella pratica derivano da prassi locali, non dal testo federale: conviene verificare le local rules del foro. L’obbligo è comunque doppio. Oltre al preavviso, record e certificazione vanno resi disponibili per l’ispezione, così che la controparte abbia una possibilità concreta di contestarli.

Un hash da solo basta a rendere la prova auto-autenticante?
+

No. L’hash dimostra che due file sono identici, non quando il primo è stato formato né da dove proviene. Il 902(14) chiede un processo di identificazione digitale documentato e una certificazione di persona qualificata che lo descriva: il valore hash è un elemento di quel processo, non un sostituto della certificazione. Quando la contestazione riguarda il momento dell’acquisizione, e non l’integrità del file, il confronto fra impronte non offre risposte. Servono la marca temporale, che ancora l’impronta a un istante verificabile, e la documentazione dei passaggi di custodia.

Il 902 supera anche l’obiezione di hearsay?
+

No, e la nota del Comitato consultivo del 2017 lo scrive esplicitamente: una certificazione fondata su queste regole può stabilire soltanto che l’elemento offerto soddisfa i requisiti di ammissibilità relativi all’autenticità. La controparte resta libera di eccepire su ogni altro fondamento, compresi hearsay, rilevanza e, nei procedimenti penali, il diritto al confronto. Un record elettronico autenticato senza testimone può quindi essere ancora escluso perché il suo contenuto è inutilizzabile come dichiarazione. L’auto-autenticazione elimina un passaggio probatorio e i costi che comporta, non l’esame di ammissibilità nel suo complesso.

Gli stati hanno regole equivalenti al 902(13) e al 902(14)?
+

Le Federal Rules of Evidence si applicano ai procedimenti federali. Diversi stati hanno introdotto nei propri codici probatori disposizioni corrispondenti alle due sottoregole del 2017, in alcuni casi con testo sovrapponibile a quello federale, in altri con formulazioni e requisiti di preavviso differenti; altri non le hanno recepite. La verifica va fatta sul codice dello stato del foro prima di impostare la strategia probatoria, perché una certificazione redatta sul modello federale può non soddisfare i requisiti statali. Il contenuto tecnico, cioè hash, marca temporale e documentazione del processo, resta utile in ogni caso.