Accesso abusivo sistema informatico: quando le credenziali non bastano
Il reato di accesso abusivo a un sistema informatico, previsto dall’articolo 615-ter del codice penale, continua a essere al centro di importanti pronunce giurisprudenziali. Una recente sentenza della Corte di Cassazione (n. 37344/2024) ha ribadito un principio fondamentale: possedere le credenziali per accedere a un sistema non rende lecita qualsiasi operazione, specialmente per un pubblico ufficiale. Se l’accesso avviene per finalità estranee ai compiti d’ufficio, il reato si configura pienamente. Analizziamo insieme i dettagli di questa decisione.
I fatti del caso
Un dipendente dell’Agenzia delle Entrate è stato accusato e condannato per aver effettuato 257 accessi abusivi al sistema informatico dell’Anagrafe Tributaria in un arco temporale di circa sette anni. Le indagini hanno rivelato che gli accessi riguardavano contribuenti il cui domicilio fiscale si trovava al di fuori della competenza territoriale del suo ufficio. Inoltre, le interrogazioni alla banca dati avvenivano spesso in orari di chiusura al pubblico e concernevano soggetti legati a specifici studi professionali esterni.
L’imputato ha presentato ricorso in Cassazione, lamentando principalmente due aspetti: l’inutilizzabilità delle dichiarazioni da lui rese durante un’ispezione interna, in quanto raccolte senza le garanzie difensive, e un presunto difetto di motivazione delle sentenze di merito che non avrebbero considerato la legittimità dei suoi accessi e l’assenza di un danno per l’amministrazione.
La disciplina dell’accesso abusivo a sistema informatico
La Corte di Cassazione ha dichiarato il ricorso inammissibile, cogliendo l’occasione per consolidare l’interpretazione del reato di accesso abusivo a un sistema informatico. I giudici hanno chiarito che, anche quando un soggetto è abilitato ad accedere, il delitto si perfeziona se viola le condizioni e i limiti imposti dal titolare del sistema. Questo avviene quando l’accesso è effettuato per ragioni ‘ontologicamente estranee’ a quelle per cui la facoltà di accesso è stata attribuita.
In sostanza, non conta solo ‘se’ si può entrare, ma anche ‘perché’ si entra. La finalità dell’azione diventa l’elemento dirimente per distinguere un uso legittimo da uno illecito.
Le motivazioni della Corte
La Corte ha smontato le argomentazioni difensive punto per punto. Innanzitutto, ha ritenuto irrilevante la questione sull’utilizzabilità delle dichiarazioni rese all’audit interno. La condanna, infatti, non si basava su quelle ammissioni, ma su prove acquisite aliunde (da altra fonte), ovvero i dati oggettivi estratti dal sistema informatico: il numero anomalo di accessi, la competenza territoriale esterna, gli orari sospetti e il collegamento dei soggetti interrogati a specifici professionisti. Questi elementi erano di per sé sufficienti a provare la colpevolezza.
Sul punto centrale, la Corte ha ribadito l’insegnamento delle Sezioni Unite: il bene giuridico protetto dall’art. 615-ter è il ‘domicilio informatico’, inteso come uno spazio riservato la cui inviolabilità è garantita dallo ius excludendi alios (il diritto di escludere gli altri) del titolare. Un pubblico ufficiale che utilizza le proprie credenziali per scopi personali o comunque non istituzionali viola questo domicilio, abusando della sua posizione. I motivi che lo spingono, come la percezione di un compenso o altre finalità personali, sono irrilevanti per l’esistenza del reato, che si consuma con il semplice accesso effettuato per scopi diversi da quelli di servizio.
Conclusioni
La sentenza in esame rafforza un principio di grande attualità nell’era digitale: l’autorizzazione all’accesso a un sistema informatico è sempre funzionale a uno scopo. Qualsiasi deviazione da tale scopo trasforma un’azione apparentemente lecita in un reato. Per i pubblici dipendenti, questo significa che le credenziali di servizio possono essere utilizzate esclusivamente per le finalità istituzionali previste. Agire per curiosità, per fare un favore a un amico o per qualsiasi altra ragione personale integra il delitto di accesso abusivo, a prescindere dal fatto che si causi o meno un danno economico o di altra natura all’amministrazione. La decisione conferma la massima tutela per la riservatezza e l’integrità dei dati contenuti nei sistemi informatici pubblici e privati.
Commette reato il dipendente pubblico che accede a una banca dati per scopi personali, pur avendo le credenziali valide?
Sì. Secondo la Corte di Cassazione, il reato di accesso abusivo a un sistema informatico si configura anche se si è abilitati all’accesso, qualora questo avvenga per ragioni ‘ontologicamente estranee’ a quelle per cui è stata concessa l’autorizzazione. La finalità dell’accesso è determinante.
Le dichiarazioni rese a un servizio di audit interno senza la presenza di un avvocato sono sempre inutilizzabili nel processo penale?
Non necessariamente. Nel caso di specie, la Corte ha ritenuto la questione irrilevante perché la condanna si fondava su altre prove oggettive (i log degli accessi). In generale, l’inutilizzabilità deve essere specificamente prevista da una norma del codice di rito, e la sua violazione deve essere dedotta in modo preciso.
Per configurare il reato di accesso abusivo è necessario che l’autore abbia agito per ottenere un guadagno economico?
No. La Corte ha chiarito che gli scopi e le finalità che motivano l’accesso illecito, come la percezione di un compenso, sono irrilevanti per l’esistenza del reato. Il delitto si perfeziona con la semplice violazione del ‘domicilio informatico’ per scopi non autorizzati.