Cassazione Penale, Sentenza n. 43385/2023 del 26/10/2023

Esito

La controversia

I ricorsi contestavano la sentenza di appello che aveva dichiarato estinti per prescrizione alcuni accessi al sistema informatico Ser.pi.co. ma aveva confermato la condanna per altri accessi. Le censure principali erano: vizio motivazionale e violazione di legge per aver configurato il reato di accesso abusivo (art. 615-ter c.p.) in presenza di credenziali proprie, di autorizzazione del superiore e/o di dati non riservati o attinenti all'imputato; dedotta inoffensività della condotta e mancanza del dolo; contestazione della retroattività di un mutamento giurisprudenziale (Sez. U, Savarese) che avrebbe ampliato la fattispecie; mancata indicazione da parte dei giudici di merito della norma organizzativa violata a fondamento dello "sviamento di potere"; censura sulla dosimetria della pena in relazione alla peculiarità della condotta e alla distanza temporale dell'ultima condotta.

La decisione

La Corte di cassazione ha respinto i ricorsi. In diritto ha ritenuto infondati i motivi sostanziali e ha affermato che: secondo la giurisprudenza di legittimità (Sez. U, Savarese) l'accesso al sistema informatico da parte di un pubblico dipendente può integrare il reato di cui all'art. 615-ter c.p. anche se effettuato con proprie credenziali, quando sussista abuso delle funzioni ovvero uno "sviamento di potere" (finalità diverse da quelle istituzionali); l'eventuale acquisizione di dati non riservati o relativi all'imputato non esclude la punibilità se l'accesso è ontologicamente estraneo alla funzione e al regime di protezione del sistema; non sussiste violazione dell'art. 7 CEDU perché l'interpretazione giurisprudenziale applicata era ragionevolmente prevedibile; la censura sulla determinazione della pena è inammissibile perché attiene alla discrezionalità del giudice di merito conforme agli artt.132 e 133 c.p.; infine, per i motivi respinti la Corte ha condannato il ricorrente al pagamento delle spese processuali ai sensi dell'art.616 c.p.p.

Norme richiamate

• art. 615-ter cod. pen.

  Protegge la riservatezza dei dati contenuti in sistemi informatici; integra reato l'accesso non autorizzato al sistema anche quando l'agente utilizzi proprie credenziali, se l'accesso costituisce abuso delle funzioni o "sviamento di potere" e risulti ontologicamente estraneo alle finalità del conferimento del potere d'accesso.

• art. 7 CEDU

  Non è violato se l'interpretazione giurisprudenziale applicata al fatto era ragionevolmente prevedibile al momento della condotta; l'irretroattività del mutamento giurisprudenziale sfavorevole trova applicazione solo in caso di ribaltamento imprevedibile di un quadro consolidato.

• Sez. U, n. 41210 del 18/05/2017 (Savarese)

  Giurisprudenza di legittimità che considera ricompresa nell'art. 615-ter la condotta del pubblico ufficiale che, pur accedendo con proprie credenziali al sistema dell'ufficio a cui appartiene, abusi delle proprie funzioni perseguendo finalità estranee, configurando "sviamento di potere" e ontologica incompatibilità dell'accesso.

• Sez. U, n. 4694 del 27/10/2011 (Casani)

  Richiamata nel confronto giurisprudenziale: posizione precedente rispetto a Savarese; il ricorso aveva invocato il divieto di applicare retroattivamente orientamenti più sfavorevoli, ma la Corte ha ritenuto la modifica prevedibile.

• Sez. 5, n. 26530 del 17/05/2021 (Preite)

  Giurisprudenza distinta per fattispecie: il caso era diverso perché l'accesso contestato era intervenuto anni dopo l'atto e con diverso contesto; la Cassazione ha ritenuto non assimilabile al caso in esame e ha rimandato chiarimenti al giudice di merito quando necessario.

• art. 129, comma 2, cod. proc. pen.

  Prevede cause di non punibilità; la Corte ha ritenuto che, rispetto agli accessi per i quali era stata dichiarata prescrizione, non emergesse l'evidente sussistenza di alcuna causa di non punibilità richiamabile.

• art. 1, legge n. 241/1990

  Richiama il principio che l'azione amministrativa deve perseguire l'interesse pubblico: lo sviamento di potere si configuri quando il pubblico funzionario persegue finalità diverse da quelle previste dall'ordinamento amministrativo.

• artt. 132 e 133 cod. pen.

  Determinano i criteri di commisurazione della pena; la loro applicazione è rimessa alla valutazione discrezionale del giudice di merito e la Cassazione interviene solo in presenza di arbitrarietà o illogicità.

• art. 616 cod. proc. pen.

  Stabilisce l'onere delle spese processuali in caso di rigetto del ricorso per cassazione; la Corte ha condannato il ricorrente al loro pagamento.

Massime di principio

• L'accesso a sistemi informatici protetti da parte di un pubblico dipendente può integrare il reato di accesso abusivo anche se effettuato con proprie credenziali, quando l'accesso sia estraneo alle funzioni e persegua finalità diverse (sviamento di potere).
• La natura non riservata dei dati o il fatto che gli stessi concernano l'agente non escludono automaticamente la punibilità: rileva la natura protetta del sistema e la finalità dell'accesso.
• Per contestare lo sviamento di potere è utile individuare e dimostrare la violazione di norme o regole organizzative specifiche (istruzioni d'ufficio, divieti interni, limiti di accesso); l'assenza di tale indicazione indebolisce la difesa.
• La modifica dell'interpretazione giurisprudenziale non costituisce automaticamente violazione dell'art.7 CEDU: la nuova interpretazione deve essere imprevedibile per poter richiedere effetti non retroattivi.
• Le censure sulla congruità della pena vengono generalmente ritenute inammissibili in Cassazione se riguardano la normale discrezionalità del giudice di merito sulla base degli artt.132-133 c.p.; per ottenere correzioni occorre dimostrare ragionamenti illogici o arbitrari.
• Nelle difese future, documentare la sussistenza di un'autorizzazione formale o di specifiche disposizioni che legittimino l'accesso, oppure dimostrare l'assenza di qualsiasi finalità estranea, è cruciale per evitare la qualificazione come accesso abusivo.