Cassazione Penale, Sentenza n. 23158/2025 del 20/06/2025

Esito

La controversia

Ratti impugnava la sentenza della Corte d'Appello di Milano (20/09/2024) che, pur avendo parzialmente riformato la sentenza di primo grado, lo aveva comunque riconosciuto responsabile di accesso abusivo a sistema informatico (art. 615‑ter) e di acquisizione illecita di corrispondenza telematica (art.616), rideterminando la pena e confermando le statuizioni civili. Il ricorso in Cassazione contestava: omissione di valutazione del lodo arbitrale prodotto in udienza; travisamento delle prove testimoniali circa la conoscenza e l'accettazione da parte dei dipendenti dei poteri dell'amministratore di sistema; travisamento delle dichiarazioni dell'imputato circa le finalità personali dell'accesso e sulla disattivazione della funzione Google Vault; violazioni di legge e vizio di motivazione sulle fattispecie contestate (proporzionalità dei controlli, rilevanza della disattivazione di Google Vault rispetto all'aggravante di alterazione del sistema); erronea imputazione a titolo di danno patrimoniale dei costi sostenuti per la consulenza Deloitte; mancata applicazione della causa di non punibilità ex art.131‑bis c.p.

La decisione

La Corte di Cassazione ha dichiarato il ricorso infondato e lo ha rigettato. Ha ritenuto generiche o infondate le censure relative al lodo arbitrale e alla prova testimoniale, non essendovi specifica indicazione della rilevanza decisiva di quel documento né prova di travisamento. Ha confermato l'orientamento di diritto secondo cui l'accesso autorizzato ma finalizzato a scopi "ontologicamente estranei" integra l'art.615‑ter (richiamando le Sezioni Unite Savarese). Ha ritenuto corrette le valutazioni della Corte territoriale sulla sproporzione e sulla massa di accessi (scaricati 1542 messaggi, 97 visualizzati) e sul carattere non proporzionato del controllo; ha riconosciuto il concorso morale/strumentale con l'art.616 per la violazione di corrispondenza; ha condiviso la qualificazione del danno patrimoniale nei costi sostenuti per il consulente incaricato di verificare intrusioni (Deloitte); ha escluso l'applicabilità dell'art.131‑bis alla luce della gravità, della quantità di dati acquisiti e delle modalità. Ha condannato il ricorrente al pagamento delle spese processuali e rigettato la richiesta difensiva.

Norme richiamate

• art. 615‑ter cod. pen.

  L'accesso al sistema da parte di soggetto abilitato integra il reato quando l'accesso o la permanenza è compiuta per finalità ontologicamente estranee a quelle per cui l'accesso era consentito; i controllo svolti dall'amministratore di sistema possono essere illeciti se non rispettano proporzionalità e ragionevolezza

• art. 616 cod. pen.

  L'acquisizione del contenuto di una casella di posta elettronica protetta può integrare la violazione di corrispondenza, e tale fattispecie può concorrere formalmente con l'art. 615‑ter quando dalle condotte emerge acquisizione del contenuto delle 'mail'

• art. 51 cod. pen.

  La scriminante (es. esercizio di un diritto o adempimento di un dovere) non può essere invocata quando i controlli risultino indiscriminati, massivi e non proporzionati; la Corte ha escluso la scriminante per mancanza dei requisiti di proporzionalità e ragionevolezza

• art. 185 cod. pen.

  Le spese sostenute dalla parte civile per consulenze finalizzate ad accertare l'intrusione e verificarne gli effetti sono state ritenute danno patrimoniale direttamente derivante dall'illecito, liquidabile a carico del condannato

• art. 131‑bis cod. pen.

  La condizione di non punibilità per particolare tenuità o per collaborazione non è stata ritenuta applicabile: la Corte ha valutato negativamente la gravità qualitativa e quantitativa delle informazioni acquisite e le modalità dell'intrusione

• art. 4 Statuto dei lavoratori

  art. 4 Statuto dei lavoratori

  I controlli sul lavoro, anche tecnologici, (sistemi 'difensivi') sono ammissibili solo se compatibili con il bilanciamento tra interesse aziendale e tutela della dignità/riservatezza del lavoratore e rispettano criteri di proporzionalità e temporalità

• Sez. U., n. 41210/2017 (Savarese)

  Sez. U. n. 41210 del 18/05/2017, Savarese

  Principio di diritto adottato: l'accesso autorizzato può integrare il reato se motivato da finalità estranee a quelle consentite dall'abilitazione

• Sez. 5, n. 46076/2022 (Perna)

  Sez. 5 n. 46076 del 15/11/2022, Perna

  La modifica di password o credenziali può integrare, anche se reversibile, l'aggravante che configura l'alterazione di una componente essenziale del sistema idonea a renderlo temporaneamente inidoneo al funzionamento

• Sez. U., n. 877/2022 (Sacchettino)

  S.U. n. 877 del 14/07/2022, Sacchettino

  In cassazione celebrata in rito camerale non partecipato, le spese a favore della parte civile sono dovute solo se questa ha effettivamente svolto attività utile alla decisione (es. memorie scritte che contribuiscono alla decisione)

Massime di principio

• L'accesso al sistema informatico da parte di un soggetto abilitato può diventare reato se compiuto per "finalità ontologicamente estranee" rispetto a quelle per cui l'accesso è stato concesso; non è rilevante solo il potere formale ma la finalità concreta dell'azione
• I controlli aziendali tecnologici (sistemi difensivi) sono ammissibili soltanto se rispettano i principi di proporzionalità, adeguatezza e temporalità; controllo massivo, prolungato o indiscriminato può essere illegittimo e penalmente rilevante
• La disabilitazione o la modifica di funzioni di sicurezza (es. password, credenziali, servizi di conservazione) può integrare un'aggravante se ostacola temporaneamente l'accesso legittimo o l'uso normale del sistema anche se la modifica è reversibile
• La qualificazione del danno patrimoniale può comprendere i costi sostenuti per consulenze tecniche volte a verificare intrusioni e ripristinare la situazione o accertare l'illiceità: tali spese possono essere riconosciute come derivanti direttamente dall'illecito
• In sede di cassazione non è consentita una semplice rivalutazione del merito o una diversa lettura delle prove; le censure per travisamento devono dimostrare che il giudice di merito ha utilizzato elementi inesistenti o ha omesso di valutare prove decisive con richieste e specificità
• La richiesta di non punibilità per particolare tenuità o per collaborazione post factum richiede una valutazione complessiva della gravità, quantità e modalità dell'offesa e del comportamento successivo: non si applica automaticamente