Accesso abusivo: quando entrare nel sistema è reato
L’accesso abusivo a un sistema informatico rappresenta una delle fattispecie più rilevanti nel panorama dei reati informatici moderni. Spesso si tende a pensare che tale reato riguardi esclusivamente gli attacchi hacker esterni, ma la giurisprudenza chiarisce che anche un dipendente autorizzato può incorrere in sanzioni penali se utilizza le proprie credenziali per scopi non istituzionali.
Il caso in esame
La vicenda riguarda un dipendente pubblico che ha effettuato molteplici ingressi nel sistema informatico dell’amministrazione finanziaria. Tali accessi erano finalizzati a consultare dati relativi a se stesso o a compiere favori per superiori gerarchici, agendo quindi al di fuori delle strette necessità lavorative. Mentre alcuni episodi sono stati dichiarati estinti per prescrizione, per altri è stata confermata la condanna in sede di merito.
La decisione della Cassazione sull’accesso abusivo
La Suprema Corte ha rigettato il ricorso dell’imputato, consolidando un orientamento ormai rigoroso. Il punto centrale della discussione riguardava la legittimità dell’accesso effettuato con password proprie. Secondo la difesa, non essendovi stata violazione di barriere informatiche o divieti espliciti, la condotta non avrebbe dovuto integrare il reato. Tuttavia, i giudici hanno ribadito che la violazione avviene nel momento in cui il pubblico ufficiale o l’incaricato di pubblico servizio agisce con uno sviamento di potere, ovvero per finalità ontologicamente incompatibili con le ragioni d’ufficio.
Il bene giuridico protetto
Un aspetto fondamentale della sentenza riguarda l’oggetto della tutela penale. Il reato di accesso abusivo non protegge solo la segretezza dei dati, ma la “riservatezza informatica” intesa come il diritto del titolare del sistema (in questo caso l’amministrazione pubblica) di decidere chi, come e soprattutto per quali scopi può accedere alla piattaforma. Anche se i dati estratti non sono segreti, l’ingresso non autorizzato per fini privati lede la sicurezza del sistema.
Le motivazioni
Le motivazioni della Corte si fondano sul principio espresso dalle Sezioni Unite, secondo cui l’illiceità dell’accesso deriva dall’abuso delle funzioni. Il dipendente pubblico ha il dovere di fedeltà e deve operare sui registri informatizzati solo in diretta connessione con l’assolvimento dei propri compiti. Qualsiasi comportamento che persegua un interesse privato, anziché pubblico, configura un’incompatibilità ontologica con l’accesso stesso. La Corte ha inoltre escluso che vi sia stato un mutamento giurisprudenziale imprevedibile (overruling), confermando che la prevedibilità della sanzione era chiara al momento dei fatti.
Le conclusioni
In conclusione, la sentenza riafferma che la titolarità di credenziali d’accesso non costituisce una “licenza in bianco” per consultare archivi digitali. Ogni accesso deve essere giustificato da una finalità di servizio. Per i professionisti e i dipendenti pubblici, questo significa che l’uso improprio degli strumenti informatici aziendali o istituzionali può portare a gravi conseguenze penali, indipendentemente dal fatto che i dati siano facilmente reperibili altrove o che l’azione sia stata compiuta per mera cortesia.
È reato usare le proprie password per fini personali in ufficio?
Sì, se l’accesso al sistema informatico avviene per scopi estranei ai doveri d’ufficio, si configura il reato di accesso abusivo, anche se le credenziali utilizzate sono legittime e personali.
Cosa si intende per sviamento di potere in ambito informatico?
Si verifica quando un pubblico dipendente utilizza i propri poteri di accesso per finalità diverse dall’interesse pubblico, violando i doveri di fedeltà e le finalità istituzionali del sistema.
La riservatezza dei dati non riservati è protetta dalla legge?
Sì, la legge tutela il sistema informatico in sé e il diritto del titolare di controllarne l’uso. L’accesso non autorizzato è punibile anche se i dati estratti non sono coperti da segreto.