Direttiva 2013/40

Direttiva 2013/40/UE relativa agli attacchi contro i sistemi di informazione

La direttiva mira a ravvicinare il diritto penale degli Stati membri nel contrasto agli attacchi contro i sistemi di informazione, fissando norme minime su reati, sanzioni e cooperazione. Essa sostituisce, per gli Stati membri partecipanti, la decisione quadro 2005/222/GAI e si inserisce nel più ampio quadro della lotta alla criminalità informatica, richiamando la necessità di proteggere sistemi, dati e infrastrutture critiche.

Obiettivi e logica dell’intervento unionale

La direttiva persegue due finalità principali:

• armonizzare le definizioni dei reati e le sanzioni minime;
• rafforzare la prevenzione e la cooperazione operativa e giudiziaria tra Stati membri e con le agenzie dell’Unione.

I considerando evidenziano che gli attacchi informatici sono una minaccia crescente, spesso transfrontaliera, e che possono colpire infrastrutture critiche, funzioni pubbliche essenziali, imprese e dati sensibili. Viene sottolineata anche la diffusione di attacchi su larga scala e di strumenti sofisticati, come le botnet, nonché l’esigenza di sanzioni effettive, proporzionate e dissuasive.

Ambito di applicazione e definizioni

L’ambito materiale copre i reati contro i sistemi di informazione tipizzati agli articoli 3-8 e le misure collegate su sanzioni, responsabilità degli enti, competenza giurisdizionale, scambio di informazioni e statistiche.

Le definizioni dell’articolo 2 sono centrali per l’applicazione uniforme:

• "sistema di informazione": apparecchiature o gruppi di apparecchiature interconnesse o collegate, con trattamento automatico di dati, inclusi i dati informatici immagazzinati, trattati, estratti o trasmessi;
• "dati informatici": rappresentazione di fatti, informazioni o concetti, inclusi i programmi;
• "persona giuridica": entità dotata di personalità giuridica secondo il diritto applicabile, esclusi Stati, organismi pubblici esercitanti autorità statale e organizzazioni pubbliche internazionali;
• "senza diritto": condotta non autorizzata dal titolare o non consentita dal diritto nazionale.

La direttiva non si applica alla Danimarca. Regno Unito e Irlanda hanno notificato la loro partecipazione, secondo i protocolli richiamati nei considerando.

Reati armonizzati

Gli articoli 3-6 impongono agli Stati membri di incriminare quattro categorie di condotte:

• accesso illecito a un sistema di informazione o a parte di esso, quando intenzionale, senza diritto e in violazione di una misura di sicurezza;
• interferenza illecita nei sistemi, quando si ostacola gravemente o si interrompe il funzionamento di un sistema mediante immissione, trasmissione, danneggiamento, cancellazione, deterioramento, alterazione, soppressione o resa inaccessibile dei dati;
• interferenza illecita nei dati, quando si cancellano, danneggiano, deteriorano, alterano, sopprimono o rendono inaccessibili dati informatici;
• intercettazione illecita di trasmissioni non pubbliche di dati informatici verso, da o all’interno di un sistema, incluse le emissioni elettromagnetiche.

Per le diverse fattispecie, la punibilità è richiesta almeno nei casi non di minore gravità, secondo le valutazioni che gli Stati membri possono effettuare nel proprio diritto e nella propria prassi nazionali.

Strumenti, partecipazione e tentativo

L’articolo 7 criminalizza anche la produzione e circolazione di strumenti informatici destinati alla commissione dei reati, purché la condotta sia intenzionale, senza diritto e con l’intenzione di utilizzare lo strumento per commettere uno dei reati degli articoli 3-6. Sono coperti:

• programmi per computer destinati o modificati principalmente a fini illeciti;
• password, codici d’accesso o dati simili che consentono l’accesso totale o parziale a un sistema.

L’articolo 8 richiede inoltre la punibilità dell’istigazione, del favoreggiamento e del concorso nei reati previsti, nonché del tentativo per le ipotesi di interferenza nei sistemi e nei dati (articoli 4 e 5).

Sistema sanzionatorio e aggravanti

L’articolo 9 stabilisce il nucleo minimo delle sanzioni:

• per i reati degli articoli 3-7 è richiesta una pena detentiva massima non inferiore a due anni nei casi non di minore gravità;
• per i reati degli articoli 4 e 5, se colpiscono un numero significativo di sistemi mediante strumenti destinati o modificati principalmente a tale scopo, la pena massima non può essere inferiore a tre anni;
• la pena massima non può essere inferiore a cinque anni se i fatti sono commessi nell’ambito di un’organizzazione criminale, causano danni gravi o colpiscono un’infrastruttura critica.

La direttiva consente inoltre agli Stati membri di considerare circostanza aggravante, secondo il diritto nazionale, l’abuso dei dati personali di un’altra persona per guadagnare la fiducia di terzi e arrecare danno al legittimo proprietario dell’identità, salvo che tale condotta sia già punita da altro reato.

Responsabilità delle persone giuridiche

Gli articoli 10 e 11 impongono una disciplina specifica per gli enti. Le persone giuridiche devono poter rispondere dei reati degli articoli 3-8 commessi a loro vantaggio da soggetti con posizione dominante nell’ente, oppure quando la mancata sorveglianza o il mancato controllo da parte di tali soggetti abbia consentito il reato.

La responsabilità dell’ente non esclude quella delle persone fisiche autrici, istigatrici o concorrenti. Le sanzioni per gli enti devono essere effettive, proporzionate e dissuasive e possono includere, oltre alle multe, misure come:

• esclusione da benefici o aiuti pubblici;
• interdizione dall’esercizio di attività commerciali;
• sorveglianza giudiziaria;
• scioglimento;
• chiusura temporanea o permanente degli stabilimenti usati per il reato.

Competenza giurisdizionale e cooperazione

L’articolo 12 impone agli Stati membri di fondare la giurisdizione quando il reato è commesso in tutto o in parte sul loro territorio oppure da un loro cittadino, almeno se il fatto è punibile anche nel luogo di commissione. La giurisdizione territoriale deve sussistere anche quando:

• l’autore agisce fisicamente nel territorio dello Stato membro, anche se il sistema colpito si trova altrove;
• il sistema colpito si trova nel territorio dello Stato membro, anche se l’autore agisce altrove.

Se uno Stato estende la giurisdizione a fatti commessi all’estero nei casi previsti, deve informarne la Commissione.

L’articolo 13 disciplina lo scambio di informazioni, imponendo un punto di contatto operativo nazionale 24/7 e procedure per rispondere alle richieste urgenti entro otto ore, almeno indicando se la richiesta sarà soddisfatta e con quali tempi. Gli Stati membri devono anche prevedere canali di comunicazione adeguati per consentire rapide comunicazioni tra autorità competenti per i reati degli articoli 3-6.

Monitoraggio e statistiche

L’articolo 14 richiede un sistema nazionale di registrazione e produzione di statistiche sui reati degli articoli 3-7. I dati minimi devono comprendere il numero dei reati registrati e il numero delle persone perseguite e condannate. Tali dati devono essere trasmessi alla Commissione, che pubblica una revisione consolidata e la condivide con le agenzie e gli organismi specializzati dell’Unione.

Recepimento, sostituzione dell’atto precedente e follow-up

Il termine di recepimento è fissato al 4 settembre 2015. Gli Stati membri devono comunicare alla Commissione le misure di trasposizione e inserirvi un riferimento alla direttiva o corredarle di tale riferimento in sede di pubblicazione ufficiale.

La direttiva sostituisce la decisione quadro 2005/222/GAI per gli Stati membri partecipanti. La Commissione deve presentare una relazione di valutazione entro il 4 settembre 2017, con eventuali proposte legislative e tenendo conto dell’evoluzione tecnica e giuridica della criminalità informatica.

Profili interpretativi utili per il professionista

Per gli operatori italiani, il testo evidenzia una direttiva di armonizzazione minima: gli Stati membri conservano margini di discrezionalità, in particolare nel qualificare i casi di minore gravità, nel definire alcune circostanze aggravanti e nell’organizzare gli strumenti processuali e cooperativi. Tuttavia, il risultato da raggiungere è vincolante: i reati tipizzati, le soglie di pena e i meccanismi di responsabilità degli enti devono essere effettivamente trasposti nell’ordinamento interno entro il termine del 4 settembre 2015.