Cassazione Penale, Sentenza n. 7775/2022 del 03/03/2022

Esito

La controversia

Marzorati impugnava la conferma della condanna per accesso abusivo a sistema informatico (art. 615-ter c.p.) e rivelazione di segreto professionale (art. 622 c.p.), sostenendo: 1) travisamento dei fatti circa le modalità d'accesso (se dall'utenza personale o con credenziali di amministratore); 2) carenza di prova circa la conoscenza e la segretezza delle informazioni poi "divulgate" e quindi insussistenza del delitto di rivelazione di segreto; 3) erronea applicazione dell'aggravante per aver abusato della qualifica di "operatore del sistema", poiché non sarebbe stato un soggetto abilitato a intervenire sulla struttura/contenuto del sistema ma un semplice utente con privilegi limitati.

La decisione

La Cassazione ha rigettato il ricorso nella sua parte principale: ha confermato la responsabilità per accesso abusivo e per rivelazione di segreto professionale. Tuttavia ha accolto parzialmente il motivo relativo all'aggravante di cui all'art. 615-ter comma 2 n. 1 c.p., ritenendo che la nozione di "operatore del sistema" non comprenda il mero utente abilitato ma solo chi è autorizzato ad operare "sul" sistema (cioè a modificare contenuti/struttura). Dato che Marzorati, secondo le sentenze di merito, aveva un profilo con accessi limitati e non il potere di intervenire sulla struttura del sistema, l'aggravante è stata esclusa. La sentenza impugnata è annullata senza rinvio unicamente con riferimento a tale aggravante e la determinazione del trattamento sanzionatorio è rinviata ad altra sezione della Corte d'appello di Milano; per il resto il ricorso è rigettato. Spese compensate per effetto dell'accoglimento parziale.

Norme richiamate

• art. 615-ter c.p. (accesso abusivo a un sistema informatico)

  La Corte interpreta l'art. 615-ter comma 2 n. 1 come contenente un'aggravante rivolta a chi, pur autorizzato ad accedere, abusa di una posizione privilegiata: l'"operatore del sistema" è chi è abilitato ad operare "sul" sistema (modificandone contenuti o struttura), non il mero utente autorizzato a fruire dei dati. L'aggravante non si applica dunque automaticamente al semplice utilizzatore con accesso limitato.

• art. 622 c.p. (rivelazione di segreto professionale)

  La condanna per rivelazione di segreto professionale è stata confermata perché i giudici hanno ritenuto provato che Marzorati si sia appropriato indebitamente di informazioni su clienti in un momento in cui tali informazioni erano riservate e le abbia usate per avvantaggiare la concorrente; è quindi stata ritenuta sussistente la condotta di divulgazione e il requisito della segretezza in capo alla società.

• Giurisprudenza di Sezioni Unite (Sez. U., Cassani e successive)

  La Corte richiama le Sezioni Unite che hanno qualificato le previsioni del comma 2 dell'art. 615-ter come aggravanti del reato-base e che hanno indirizzato la nozione di "operatore del sistema" verso chi è autorizzato ad intervenire sulla configurazione/struttura/contenuti del sistema, consolidando l'interpretazione restrittiva adottata nella sentenza.

Massime di principio

• Per il reato di accesso abusivo (art. 615-ter) ciò che conta è il nucleo essenziale: l'introduzione nel sistema e l'acquisizione di informazioni precluse. Differenti ricostruzioni sulle modalità tecniche d'accesso (profilo utente vs. uso di credenziali amministrative per "scalata") possono non compromettere la validità della condanna se il prevenuto ha potuto difendersi adeguatamente sui profili emersi nel giudizio.
• La rivelazione di segreto professionale (art. 622) richiede la prova che le informazioni fossero effettivamente riservate alla data dell'accesso e che l'imputato le abbia effettivamente divulgate o usate a vantaggio di terzi; l'esistenza di pratiche commerciali non esclude automaticamente la segretezza se le informazioni consentono un vantaggio competitivo agli attori esterni.
• L'aggravante per abuso della qualifica di "operatore del sistema" va applicata con criterio restrittivo: si richiede una qualifica che consenta di operare "sul" sistema (modificare contenuti o struttura) e non basta la mera autorizzazione ad accedere o l'uso occasionale di credenziali amministrative. Se il soggetto aveva solo accessi limitati, l'aggravante può essere esclusa.
• In sede di impugnazione è essenziale che tutte le questioni rilevanti (inclusa la segretezza delle informazioni) siano devolute al giudice d'appello: censure dedotte per la prima volta in cassazione su fatti o documenti non contestati in appello sono spesso dichiarate inammissibili.
• Prassi cautelativa per aziende: mantenere chiari ruoli e registri di privilegi, controlli di accesso, logging e politiche di segretezza; per chi agisce in contesti simili, conservare evidenze che dimostrino i limiti del proprio profilo e l'eventuale manca di poteri di modifica per opporsi all'aggravante.