Cassazione Penale, Sentenza n. 1761/2022 del 17/01/2022

Esito

La controversia

Il ricorrente ha impugnato la sentenza della Corte d'appello sostenendo due censure: (1) violazione di legge per aver escluso la causa di non punibilità prevista dall'art. 131-bis c.p. (particolare tenuità del fatto), deducendo che gli accessi riguardavano siti liberamente consultabili o comunque autorizzati dal titolare delle credenziali (si è fatto cenno che il coimputato Orfeo, assolto, potrebbe aver fornito tali dati); (2) vizio per non aver riconosciuto l'assorbimento del reato di accesso abusivo (art. 615-ter c.p.) nella fattispecie speciale dell'illecito trattamento di dati personali (art. 167 D.lgs. 196/2003), con conseguente derubricazione o esclusione di responsabilità.

La decisione

La Corte di legittimità ha dichiarato il ricorso inammissibile. Sul primo motivo ha ritenuto le doglianze aspecifiche e, in ogni caso, escluso l'applicabilità dell'art. 131-bis in base a una valutazione motivata della gravità del fatto: elevato numero di accessi, natura riservata delle informazioni, modalità fraudolente di acquisizione delle credenziali, qualifica di pubblico ufficiale e violazione del dovere di fedeltà. La supposta disponibilità delle credenziali da parte del coimputato non è decisiva né elimina la rilevanza penale. Sul secondo motivo la Corte ha ritenuto la censura manifestamente infondata: i reati disciplinati dall'art. 615-ter c.p. (accesso abusivo) e dall'art. 167 D.lgs. 196/2003 (trattamento illecito di dati) sono diversi per condotte finalistiche e attività materiali; non sussiste rapporto di specialità tale da farli rientrare "ad unum" ai sensi dell'art. 15 c.p., con la conseguente possibilità di concorso di reati. Infine, il ricorrente è stato condannato al pagamento delle spese processuali e a versare 3.000,00 euro in favore della Cassa delle ammende ai sensi dell'art. 616 c.p.p.

Norme richiamate

• art. 131-bis cod. pen.

  Causa di esclusione della punibilità per particolare tenuità del fatto: applicabile solo dopo una valutazione complessa e congiunta delle caratteristiche concrete della fattispecie (modalità della condotta, grado di colpevolezza, entità del danno o del pericolo). Nel caso concreto la Corte ha ritenuto che, per la natura e ripetizione degli accessi, la segretezza delle informazioni e le modalità fraudolente, la tenuità non fosse configurabile.

• art. 615-ter cod. pen.

  Sanziona l'accesso abusivo a un sistema informatico o telematico: tutela il "domicilio informatico" e l'esclusività dell'accesso (ius excludendi alios). Si tratta di una condotta pertinente all'accesso e al mantenimento nel sistema oltre i limiti dell'autorizzazione; è distinta, antecedente e differente rispetto al trattamento dei dati.

• art. 167 D.lgs. 196/2003

  Sanziona l'illecito trattamento di dati personali. La nozione di "trattamento" ricomprende tutte le operazioni successive alla captazione dei dati (raccolta, consultazione, elaborazione, diffusione, ecc.). La Corte ha ritenuto che tale fattispecie sia distinta per finalità e attività materiali dall'accesso abusivo, sicché non opera l'assorbimento.

• Regolamento (UE) 2016/679 (GDPR)

  Definisce il "dato personale" e disciplina la protezione dei dati. La Corte ha osservato che il GDPR tutela tratti identificativi della persona e non l'esclusività dell'accesso ai sistemi protetti, per cui non giova alla tesi di assimilazione tra accesso abusivo e trattamento illecito.

• art. 8 L. 1 aprile 1981, n. 121

  Prevede vincoli di segretezza sui dati contenuti nel sistema informatico interforze CED - SDI; la Corte ha richiamato tale norma per sottolineare che le informazioni erano soggette a divieto di accesso non autorizzato.

• art. 15 cod. pen.

  Principio relativo alla specialità tra fattispecie: la valutazione del rapporto tra norme si fa con il confronto strutturale delle fattispecie astratte. La Corte ha applicato questo criterio per escludere che il reato di accesso abusivo sia assorbito dall'illecito trattamento dei dati.

• art. 133, primo comma cod. pen.

  Criteri per la determinazione della pena e per la valutazione degli elementi rilevanti ai fini della causa di non punibilità per tenuità (modalità della condotta, grado di colpevolezza, entità del danno/pericolo). La Corte ha richiamato questo parametro nella disamina dell'art. 131-bis.

• art. 616 cod. proc. pen.

  Prevede, tra l'altro, la condanna alle spese e il versamento di somme alla Cassa delle ammende in caso di declaratoria di inammissibilità del ricorso; la Corte ha disposto il pagamento di 3.000,00 euro.

Massime di principio

• La causa di non punibilità per particolare tenuità (art. 131-bis) richiede una valutazione complessiva e motivata di tutte le circostanze concrete: frequenza degli atti, riservatezza delle informazioni, modalità di acquisizione e grado di colpevolezza sono elementi decisivi; la mera accessibilità apparente delle informazioni o la presunta disponibilità di credenziali da terzi non escludono automaticamente la rilevanza penale.
• Il reato di accesso abusivo (art. 615-ter c.p.) è distinto, per oggetto e per temporalità, rispetto agli illeciti relativi al trattamento dei dati personali (art. 167 D.lgs. 196/2003): l'accesso è condotta antecedente e può concorrere con eventuali illeciti successivi di trattamento; non è sufficiente il richiamo al bene giuridico protetto per affermare l'assorbimento.
• Per stabilire la non punibilità o l'assorbimento tra norme è necessario il confronto strutturale fra le fattispecie (principio di specialità), non una sovrapposizione basata su finalità vaghe o su identificazione del bene giuridico.
• Il consenso o la presunta cessione di credenziali da parte di terzi deve essere valutata criticamente: il consenso del titolare delle credenziali non elimina automaticamente la rilevanza penale se le credenziali sono state acquisite fraudolentemente o se sussistono limiti di accesso imposti dalla normativa.
• Le valutazioni di merito e di fatto compiute dalla Corte territoriale, se adeguatamente motivate, sono difficilmente sindacabili in Cassazione; i motivi generici o aspecifici sono spesso inammissibili.
• In caso di ricorso manifestamente inammissibile o infondato il ricorrente può essere condannato alle spese processuali e ad una somma a favore della Cassa delle ammende, secondo le norme procedurali.