Напрямую проверять нельзя, вроде бы. Ведь своими действиями он может нанести вред "улике", установить ПО, удалить, то есть в суде данное доказательство "я вот сел за комп подозреваемого, открыл редактор реестра..." будет малозначимым. По идее информация с жесткого диска копируется и уже с копией идет работа.