Cassazione Penale, Sentenza n. 40295/2024 del 31/10/2024

Esito

La controversia

Ricorso avverso la conferma in appello della condanna per accesso abusivo a sistema informatico protetto (art. 615-ter c.p.), contestato per avere, quale direttore dell'hotel "Grand Hotel Admiral Palace" di Chianciano Terme, acquisito da un'impiegata le sue credenziali e fatto accesso al sistema aziendale "Titanka!" contenente circa 90.000 schede clienti per fini estranei al mandato (cd. accesso disfunzionale). L'imputato era stato invece assolto dall'accusa di frode informatica (art. 640-ter c.p.). In Cassazione si è censurata la motivazione della Corte d'appello (assenza di prova della mancanza di autorizzazione, legittimazione per funzione direttiva, contraddizioni dei testi, travisamento dei fatti circa l'esportazione dei dati, insussistenza della rilevanza della quantità dei dati ai fini di 615-ter, omissione di valutazione dell'art. 131-bis c.p. e della particolare tenuità del fatto).

La decisione

La Cassazione ha ritenuto il ricorso infondato. Pur affermando la fondatezza della ricostruzione dei giudici di merito secondo cui l'accesso era avvenuto senza autorizzazione (anche alla luce del fatto che l'imputato aveva dovuto chiedere le credenziali a una dipendente), la Corte ha dichiarato estinto il reato per prescrizione maturata il 26/01/2024. La pronuncia ha comunque confermato le statuizioni civili (obbligo di risarcimento della parte civile) e condannato l'imputato alle spese del giudizio di legittimità. La Cassazione ha escluso l'assoluzione ex art. 530, c.2 c.p. e ha ribadito che l'accesso materiale al sistema protetto è di per sé sufficiente per integrare il reato di cui all'art. 615-ter, indipendentemente dalla prova di un fine specifico.

Norme richiamate

• art. 615-ter cod. pen.

  L'accesso ad un sistema informatico protetto mediante credenziali altrui integra il reato di accesso abusivo; per la configurazione del reato è sufficiente l'accesso al sistema protetto, non è necessario provare il "movente" o lo scopo dell'accesso.

• art. 640-ter cod. pen.

  Rilevato che l'imputato è stato assolto dall'accusa di frode informatica (esportazione indebita dei dati), l'assoluzione non esclude la responsabilità per l'accesso abusivo se l'accesso stesso è provato.

• art. 530, comma 2 cod. proc. pen.

  La Corte ha valutato l'eventualità di assolvere ai sensi di tale norma ma l'ha esclusa rispetto ai motivi dedotti; l'art. serve per ordinare l'assoluzione quando non v'è prova del fatto o mancano elementi per la colpevolezza.

• art. 578 cod. proc. pen.

  Richiamato nelle modalità di effetto della prescrizione maturata dopo la sentenza di primo grado, con conseguente possibilità di valutare le statuizioni civili senza pronunciare un'assoluzione penale sostanziale.

• art. 573 cod. proc. pen.

  Principio secondo cui l'accertamento civile nel processo penale segue le regole processuali e probatorie penali; la Cassazione conferma che la domanda civile può essere giudicata in sede penale anche dopo la prescrizione del reato.

• art. 2086 cod. civ.

  Attribuisce al datore di lavoro la direzione e l'organizzazione dell'impresa, rilevando che spetta a lui delimitare competenze e autorizzazioni all'accesso a risorse aziendali.

• art. 2104 cod. civ.

  «osservare le disposizioni per l'esecuzione e per la disciplina del lavoro impartite dall'imprenditore"

  Il prestatore di lavoro è tenuto a rispettare le direttive del datore; l'accesso non autorizzato a sistema protetto contrasta con tale obbligo e può costituire violazione anche di natura civilistica.

• art. 61, n. 2 cod. pen.

  Citato in relazione all'aggravante della connessione teleologica: la Corte territoriale aveva escluso l'aggravante in ragione dell'assoluzione per il reato connesso.

• art. 181 cod. proc. pen.

  L'indeterminatezza del capo d'imputazione è una nullità relativa sanabile se non eccepita tempestivamente; la Corte ha ritenuto che la rubrica, seppur poco chiara, conteneva comunque l'accusa di accesso mediante credenziali altrui.

• art. 491 cod. proc. pen.

  Termine per proporre eccezioni su vizi della rubrica; la mancata eccezione invalida l'azione di nullità relativa per indeterminatezza.

Massime di principio

• L'accesso materiale a un sistema informatico protetto con credenziali altrui è di per sé elemento sufficiente per integrare il reato di accesso abusivo (art. 615-ter), anche se l'autore è un dirigente: la titolarità di mansioni direttive non implica automaticamente la legittimazione all'uso delle credenziali altrui.
• La protezione dei dati mediante credenziali indica la volontà del titolare di limitare l'accesso e di rendere tracciabili gli accessi: chiedere le credenziali a un subordinato può suggerire la mancanza di autorizzazione personale.
• In caso di contestazioni sulla chiarezza della rubrica d'imputazione è rilevante eccepire tempestivamente l'indeterminatezza (art. 181 c.p.p.); la mancata eccezione può comportare la sanatoria della nullità.
• La prescrizione del reato estingue l'azione penale ma non impedisce l'accertamento e la condanna al risarcimento in sede penale delle pretese civili collegate, che vanno valutate con le regole probatorie penali.
• Per difendersi efficacemente in casi simili è importante dimostrare documenti o direttive aziendali che attestino una concreta autorizzazione all'accesso (assegnazione di credenziali personali, policy aziendali, deleghe esplicite) oppure provare l'assenza di protezione e la libera disponibilità dei dati.
• La quantità dei dati esportati è rilevante per la valutazione del danno e per eventuali circostanze aggravanti o per la valutazione della rilevanza penale, ma non è necessaria per integrare il reato di accesso abusivo, che si basa sull'accesso a sistema protetto.