Accesso abusivo sistema informatico: quando l’uso delle credenziali legittime diventa reato
Una recente sentenza della Corte di Cassazione, la n. 47536/2023, ha affrontato un caso complesso che intreccia reati informatici e contro la pubblica amministrazione, offrendo importanti chiarimenti sul delitto di accesso abusivo a sistema informatico. La Corte ha confermato la condanna di un funzionario e di un suo complice per aver creato un sistema fraudolento per ottenere illecitamente presidi sanitari a carico del Servizio Sanitario Nazionale. La decisione ribadisce un principio fondamentale: possedere le credenziali non è una licenza per un uso illimitato e illecito dei sistemi informatici aziendali o pubblici.
I Fatti: Una Rete Illecita nel Settore Sanitario
Il caso ha visto protagonista un funzionario di un’azienda sanitaria locale, il quale, agendo su commissione di un farmacista, predisponeva autorizzazioni per la fornitura di presidi sanitari (come pannoloni) a nome di pazienti ignari o addirittura deceduti. Per fare ciò, utilizzava le proprie credenziali di accesso al sistema informatico dell’azienda sanitaria.
Successivamente, un complice si occupava di presentare le false richieste in farmacia, ritirare i presidi e, come emerso dalle indagini, rivenderli al mercato nero. Questo meccanismo ha permesso di sottrarre ingenti risorse al Servizio Sanitario Nazionale, basandosi sulla falsificazione documentale e sull’uso distorto degli strumenti informatici messi a disposizione del dipendente.
La Decisione della Corte di Cassazione
I due imputati, dopo la condanna in primo e secondo grado, hanno presentato ricorso per Cassazione. Il funzionario ha contestato la sua qualifica di ‘incaricato di pubblico servizio’ e ha sostenuto che, essendo in possesso di credenziali legittime, il suo non potesse configurarsi come un accesso abusivo. Il complice, dal canto suo, ha negato un suo coinvolgimento attivo nei reati informatici e di falso, sostenendo che il suo ruolo fosse meramente successivo ed esecutivo.
La Corte di Cassazione ha rigettato entrambi i ricorsi, dichiarandoli inammissibili e confermando integralmente le condanne. La sentenza si fonda su principi giuridici consolidati, offrendo un’analisi dettagliata dei motivi di ricorso.
Le Motivazioni: Analisi dei Principi Giuridici
Le motivazioni della Corte sono cruciali per comprendere la portata della decisione.
L’accesso abusivo sistema informatico e la finalità illecita
Il punto centrale della sentenza riguarda la corretta interpretazione dell’art. 615-ter del codice penale. La Corte ha ribadito l’orientamento delle Sezioni Unite (sentenza ‘Savarese’ del 2017), secondo cui il reato di accesso abusivo a sistema informatico è integrato non solo da chi viola le barriere di sicurezza, ma anche da chi, pur essendo abilitato all’accesso, agisce per ragioni ‘ontologicamente estranee’ a quelle per cui gli è stata conferita la facoltà di accesso.
In altre parole, la disponibilità delle credenziali non rende lecita qualsiasi operazione. Quando il dipendente accede al sistema per commettere reati o per scopi personali che esulano completamente dalle sue mansioni, sta compiendo un accesso ‘abusivo’, perché viola i limiti e le condizioni imposte dal titolare del sistema.
La Qualifica di Incaricato di Pubblico Servizio
La Corte ha respinto anche la censura sulla qualifica soggettiva del funzionario. Anche se legato all’azienda da un contratto atipico, la sua funzione di gestione delle autorizzazioni sanitarie, con un rapporto diretto con l’utenza, lo qualificava senza dubbio come ‘incaricato di pubblico servizio’. La rilevanza pubblica della sanità, infatti, prevale sulla natura formale del rapporto di lavoro.
Il Concorso del Complice
Infine, è stata confermata la responsabilità del complice nel reato. Secondo i giudici, il suo ruolo non era marginale. L’accordo preventivo e la sua successiva attività (il ritiro di enormi quantità di presidi, incompatibili con una consegna mirata) dimostravano un contributo consapevole e volontario alla realizzazione del piano criminoso. La sua condotta ha fornito al funzionario la certezza che la merce illecitamente ottenuta sarebbe stata gestita, agendo come stimolo e garanzia per la prosecuzione dell’attività criminosa.
Le Conclusioni: Implicazioni Pratiche della Sentenza
Questa pronuncia della Cassazione rafforza un concetto di fondamentale importanza nell’era digitale: la responsabilità individuale nell’uso degli strumenti informatici professionali. La sentenza chiarisce che la fiducia accordata a un dipendente tramite la fornitura di credenziali di accesso è strettamente legata alle finalità lavorative. Ogni deviazione per scopi illeciti o estranei al servizio costituisce una violazione penalmente rilevante. Per le aziende e le pubbliche amministrazioni, emerge l’importanza di definire chiaramente le policy di accesso e di monitorare l’uso dei sistemi per prevenire abusi, mentre per i lavoratori, essa rappresenta un monito sulla necessità di agire sempre entro i confini delle proprie mansioni autorizzate.
Utilizzare le proprie credenziali di lavoro per scopi personali o illeciti costituisce reato di accesso abusivo?
Sì. Secondo la Corte di Cassazione, integra il delitto di accesso abusivo a sistema informatico la condotta di chi, pur essendo abilitato ad accedere, lo fa per ragioni ontologicamente estranee a quelle per cui la facoltà gli è stata attribuita, realizzando così uno sviamento di potere.
Un lavoratore precario che svolge funzioni di interesse pubblico può essere considerato ‘incaricato di pubblico servizio’?
Sì. La sentenza conferma che la qualifica di incaricato di pubblico servizio non dipende dalla natura formale del rapporto di lavoro (ad esempio, a tempo indeterminato o precario), ma dalle funzioni concretamente svolte. Se l’attività ha una rilevanza pubblica, come nel settore sanitario, e implica un contatto con l’utenza, tale qualifica sussiste.
Si può essere considerati complici di un reato informatico anche se il proprio ruolo è successivo all’accesso e si limita a gestire i beni ottenuti illecitamente?
Sì. La Corte ha stabilito che il concorso di persone nel reato può sussistere anche quando un soggetto fornisce un contributo (morale o materiale) che rafforza il proposito criminoso dell’autore principale. Nel caso di specie, la certezza per il funzionario che il complice avrebbe ritirato e gestito i presidi ottenuti illecitamente è stata considerata una forma di partecipazione al reato.