Cassazione Penale, Sentenza n. 27900/2023 del 27/06/2023

Esito

La controversia

I ricorrenti erano stati condannati per accesso abusivo a sistema informatico (art. 615-ter c.p.) in relazione alla modifica dell'indirizzo e-mail associato a un account Dropbox creato dai dipendenti (Bolsoni e Redolfi) mentre prestavano servizio per Strabla snc, modifica che avrebbe impedito l'accesso al titolare (Strabla). In cassazione i ricorrenti hanno contestato (1) la proprietà/disponibilità esclusiva dello spazio Dropbox (sostengono fosse un account personale creato da Bolsoni come "free" e non un account aziendale), (2) l'assenza dell'elemento soggettivo della sottrazione o della volontà di ledere il titolare (art. 43 c.p.), e (3) la responsabilità concorrente del Redolfi (art. 110 c.p.).

La decisione

La Corte di Cassazione ha ritenuto fondato il primo motivo di ricorso e ha annullato con rinvio la sentenza impugnata. Pur riconoscendo che il servizio Dropbox costituisce un "domicilio informatico" tutelato dall'art. 615-ter c.p. e richiamando i principi interpretativi della giurisprudenza (accesso abusivo anche quando compiuto da soggetto abilitato che oltrepassi limiti o condizioni imposte dal titolare), la Suprema Corte ha ritenuto che i giudici di merito non abbiano sufficientemente valutato e motivato chi fosse effettivamente titolare o avente diritto esclusivo sull'account (elemento decisivo per stabilire se la modifica delle credenziali integrasse accesso abusivo contro la volontà del titolare). Per tali ragioni la sentenza è stata annullata e il processo rinviato ad altra sezione della Corte d'appello di Brescia per nuovo giudizio.

Norme richiamate

• art. 615-ter c.p.

  La Corte conferma che il reato tutela il "domicilio informatico" e si integra sia quando accede un non abilitato sia quando un soggetto abilitato viola le condizioni e i limiti imposti dal titolare o opera per fini ontologicamente estranei; non rilevano gli scopi soggettivi se l'accesso è contro la volontà del titolare

• Legge n. 547/1993

  Richiamata come fonte che ha introdotto l'art. 615-ter nel codice penale e che ispira la tutela del domicilio informatico alla stregua del domicilio materiale

• art. 635-quater c.p.

  Citata come imputazione originaria riqualificata in art. 615-ter; contestazione iniziale relativa a danneggiamento e/o altre condotte informatiche successivamente ricondotte all'accesso abusivo

• art. 43 c.p.

  Richiamato dai ricorrenti in ordine all'elemento soggettivo (volontà di sottrarre o ledere il titolare); la Corte ha ritenuto che tale profilo non fosse decisivo senza prima risolvere la questione di chi avesse la disponibilità dell'account

• art. 110 c.p.

  Invocato con riferimento alla responsabilità per concorso di persone; la Corte ha ritenuto carente la motivazione rispetto all'attribuzione di responsabilità concorrente al Redolfi

Massime di principio

• Per configurare l'accesso abusivo (art. 615-ter) non è sufficiente che un ex-dipendente cambi credenziali: va accertato se il sistema/account fosse di pertinenza esclusiva del datore di lavoro, in compartecipazione o di proprietà personale del dipendente; la titolarità e la disciplina d'uso concreta (es. account "free" vs "business", approvazione/integrazione nel sistema aziendale, conoscenza delle credenziali da parte del datore) sono fattori decisivi
• Se un soggetto ha le credenziali in virtù del rapporto di lavoro, l'eventuale modifica o trattenimento dell'accesso può costituire accesso abusivo solo se atteggiato contro la volontà del titolare del diritto di esclusione o in violazione delle condizioni e limiti d'uso imposti dal titolare
• La mera gestione o creazione tecnica dell'account da parte del dipendente non implica automaticamente che l'account sia di sua esclusiva pertinenza: occorre valutare elementi fattuali (tipo di account, uso operativo in azienda, approvazione formale/consuetudine, integrazione nei processi aziendali, trasferimenti di dati)
• La prova dell'elemento soggettivo (intenzione di sottrarre o impedire l'uso al titolare) richiede elementi concreti, come la migrazione di dati, l'uso dei file a vantaggio della nuova attività o l'effettiva impedizione all'accesso del titolare; l'assenza di trasferimento automatico di file può essere rilevante a favore dell'imputato
• Nelle ipotesi di account condivisi o usati congiuntamente, la cessazione del rapporto di lavoro e la creazione di nuova società non determinano automaticamente il diritto del dipendente di modificare credenziali o escludere il precedente titolare: è necessaria una valutazione caso per caso
• In fase giudiziaria è essenziale che la motivazione di merito affronti in modo chiaro la titolarità dell'account e la disciplina d'uso concreta; se la valutazione fattuale è carente la Cassazione può annullare e rinviare