Direttiva 2019/713

Direttiva (UE) 2019/713 relativa alla lotta contro le frodi e le falsificazioni di mezzi di pagamento diversi dai contanti

La direttiva aggiorna in modo organico il quadro UE in materia di frodi e falsificazioni relative ai mezzi di pagamento diversi dai contanti, sostituendo la decisione quadro 2001/413/GAI. Il legislatore europeo richiama espressamente la crescita del mercato digitale, l’aumento dei pagamenti elettronici e la dimensione transfrontaliera e organizzata del fenomeno, ritenendo necessario un approccio tecnologicamente neutro e norme penali minime comuni.

Finalità e logica dell’intervento

L’obiettivo è armonizzare la definizione dei reati e il livello minimo delle sanzioni, in modo da rafforzare prevenzione, accertamento e perseguimento delle frodi, nonché la cooperazione tra autorità nazionali. La direttiva insiste anche sulla necessità di proteggere le vittime e di creare un contesto più sicuro per il mercato unico digitale.

Ambito di applicazione e definizioni

L’articolo 1 delimita l’oggetto della direttiva alle norme minime in materia di reati e sanzioni; la tutela non riguarda soltanto i mezzi di pagamento tradizionali, ma anche strumenti immateriali e mezzi di scambio digitali. L’articolo 2 contiene definizioni centrali per l’operatività della disciplina:

• "strumento di pagamento diverso dai contanti": dispositivo, oggetto o record protetto, materiale o immateriale, che consente di trasferire denaro o valore monetario;
• "mezzo di scambio digitale": moneta elettronica e valuta virtuale;
• "valuta virtuale": rappresentazione di valore digitale accettata come mezzo di scambio e trasferibile, memorizzabile e scambiabile elettronicamente;
• "sistema di informazione" e "dati informatici": rinvio alla direttiva 2013/40/UE;
• "persona giuridica": entità dotata di personalità giuridica, con esclusione di Stati, organismi pubblici nell’esercizio di pubblici poteri e organizzazioni internazionali pubbliche.

La direttiva precisa che, per gli strumenti di pagamento diversi dai contanti, la disciplina si riferisce alla sola funzione di pagamento. Inoltre, le valute virtuali sono coperte solo nella misura in cui possono essere comunemente utilizzate per pagamenti.

Reati principali: utilizzazione fraudolenta, appropriazione, contraffazione e frode informatica

Gli articoli 3, 4 e 5 impongono agli Stati membri di incriminare una serie di condotte intenzionali. In sintesi:

• l’utilizzazione fraudolenta di strumenti di pagamento rubati, illecitamente ottenuti, oggetto di illecita appropriazione, contraffatti o falsificati;
• per gli strumenti materiali: furto, altra illecita appropriazione, contraffazione/falsificazione, possesso a fini fraudolenti e atti di procurare, ricevere, acquistare, trasferire, importare, esportare, vendere, trasportare o distribuire tali strumenti;
• per gli strumenti immateriali: ottenimento illecito, contraffazione/falsificazione, detenzione con conoscenza dell’origine illecita e atti di vendita, trasferimento, distribuzione o messa a disposizione.

L’articolo 6 introduce la frode connessa ai sistemi di informazione: è punibile l’effettuazione o l’induzione di trasferimenti di denaro, valore monetario o valuta virtuale mediante interferenza illecita con sistemi di informazione o con dati informatici, allo scopo di procurare un ingiusto profitto e causare una perdita patrimoniale a terzi.

L’articolo 7 punisce anche la fabbricazione, acquisizione, importazione, esportazione, vendita, trasporto, distribuzione o messa a disposizione di dispositivi, dati o altri mezzi principalmente progettati o specificamente adattati per commettere i reati di contraffazione/falsificazione o frode informatica.

Partecipazione, tentativo e intensità soggettiva

L’articolo 8 richiede la punibilità di istigazione, favoreggiamento e concorso per tutti i reati previsti dagli articoli da 3 a 7. Il tentativo è punibile per una parte significativa delle condotte più rilevanti, inclusa la frode informatica; per l’articolo 5, lettera d), è richiesto almeno il tentativo di procurare fraudolentemente strumenti immateriali illecitamente ottenuti, contraffatti o falsificati.

La direttiva insiste sul requisito dell’intenzionalità: i reati disciplinati devono essere commessi intenzionalmente; i casi privi di elemento soggettivo intenzionale restano fuori dall’ambito della direttiva.

Sanzioni per le persone fisiche e aggravamento per criminalità organizzata

L’articolo 9 impone sanzioni penali effettive, proporzionate e dissuasive e introduce soglie minime di pena detentiva massima:

• almeno 2 anni per i reati di cui agli articoli 3, 4, lettere a) e b), e 5, lettere a) e b);
• almeno 1 anno per gli articoli 4, lettere c) e d), e 5, lettere c) e d);
• almeno 3 anni per la frode informatica dell’articolo 6;
• almeno 2 anni per i mezzi utilizzati per commettere i reati di cui all’articolo 7.

Se i reati di cui agli articoli da 3 a 6 sono commessi nell’ambito di un’organizzazione criminale, la pena detentiva massima deve essere non inferiore a 5 anni. La direttiva consente agli Stati membri di mantenere o introdurre norme più rigorose.

Responsabilità delle persone giuridiche

Gli articoli 10 e 11 impongono agli Stati membri di prevedere la responsabilità delle persone giuridiche quando i reati sono commessi a loro vantaggio da soggetti apicali o quando la mancata vigilanza o il mancato controllo consente la commissione del reato da parte di soggetti sottoposti. Questa responsabilità non esclude il procedimento penale verso le persone fisiche coinvolte.

Le sanzioni per le persone giuridiche devono essere effettive, proporzionate e dissuasive e possono includere, oltre alle sanzioni pecuniarie penali o non penali:

• esclusione da benefici o aiuti pubblici;
• esclusione temporanea dall’accesso ai finanziamenti pubblici, incluse gare, sovvenzioni e concessioni;
• interdizione temporanea o permanente dall’attività commerciale;
• sorveglianza giudiziaria;
• scioglimento;
• chiusura temporanea o permanente dei locali usati per il reato.

Giurisdizione e strumenti investigativi

L’articolo 12 impone a ciascuno Stato membro di stabilire la propria giurisdizione quando il reato è commesso, anche solo in parte, sul suo territorio o quando l’autore è un suo cittadino. È precisato che un reato si considera commesso in parte sul territorio se l’autore era fisicamente presente nello Stato membro, indipendentemente da dove si trovasse il sistema di informazione. Gli Stati membri possono estendere la giurisdizione anche a fatti commessi all’estero in determinate ipotesi e, se lo fanno, devono informarne la Commissione.

L’articolo 13 richiede strumenti di indagine efficaci e proporzionati, comparabili a quelli utilizzati per criminalità organizzata o altri reati gravi, e prevede che le informazioni che la legge nazionale impone a persone fisiche e giuridiche di trasmettere giungano senza ritardo alle autorità competenti.

Cooperazione operativa e scambio di informazioni

L’articolo 14 introduce un punto di contatto operativo nazionale disponibile 24 ore su 24, 7 giorni su 7, con procedure per gestire richieste urgenti e rispondere entro 8 ore, indicando almeno se alla richiesta verrà data risposta, in quale forma e con quale termine stimato. Gli Stati membri possono usare reti esistenti di punti di contatto. Devono inoltre informare Commissione, Europol ed Eurojust del proprio punto di contatto e mantenerne aggiornati i dati.

La direttiva valorizza quindi la cooperazione immediata tra autorità nazionali e la capacità di risposta rapida, particolarmente importante per la natura transfrontaliera e digitale delle prove.

Comunicazione dei reati e coinvolgimento degli operatori

L’articolo 15 impone la disponibilità di canali adeguati per segnalare senza indebito ritardo i reati alle autorità di contrasto e alle altre autorità nazionali competenti. Gli Stati membri devono anche incoraggiare istituzioni finanziarie e altre persone giuridiche a comunicare tempestivamente i sospetti di frode per finalità di individuazione, prevenzione, indagine o perseguimento.

Nei considerando si sottolinea che questa comunicazione è essenziale e che eventuali trattamenti di dati personali devono rispettare il regolamento (UE) 2016/679.

Assistenza, sostegno e prevenzione

L’articolo 16 richiede misure specifiche a favore delle persone fisiche e giuridiche vittime di reati commessi mediante utilizzazione fraudolenta di dati personali. Devono essere forniti informazioni e consigli specifici sulle conseguenze negative, un elenco delle istituzioni competenti e, per le persone giuridiche, informazioni tempestive sulle procedure di denuncia, sui diritti informativi, sui rimedi contro eventuali violazioni e sui referenti di contatto.

L’articolo 17 impone azioni di prevenzione, incluse campagne di informazione e sensibilizzazione, programmi di ricerca e di istruzione, eventualmente in cooperazione con i portatori di interessi.

Statistiche, monitoraggio e relazioni della Commissione

L’articolo 18 richiede agli Stati membri un sistema di registrazione, produzione e fornitura di dati statistici anonimi sulle fasi di comunicazione, indagine e azione giudiziaria. I dati minimi riguardano almeno il numero dei reati registrati e il numero di persone perseguite e condannate per i reati di cui agli articoli da 3 a 7. Gli Stati membri devono trasmettere annualmente tali dati alla Commissione, che pubblica una revisione consolidata annuale.

Entro il 31 agosto 2019 la Commissione deve inoltre istituire un programma dettagliato di monitoraggio degli esiti, dei risultati e degli effetti della direttiva.

Recepimento, sostituzione della decisione quadro e valutazioni future

L’articolo 19 dispone la sostituzione della decisione quadro 2001/413/GAI per gli Stati membri vincolati dalla direttiva. L’articolo 20 fissa il termine di recepimento al 31 maggio 2021 e richiede che le misure nazionali contengano un riferimento alla direttiva o ne siano corredate all’atto della pubblicazione ufficiale.

L’articolo 21 prevede due passaggi di verifica:

• entro il 31 maggio 2023, una relazione della Commissione sul grado di attuazione da parte degli Stati membri;
• entro il 31 maggio 2026, una valutazione dell’impatto della direttiva, anche sui diritti fondamentali.

In tale contesto, la Commissione deve valutare anche la necessità, fattibilità ed efficacia di sistemi nazionali online sicuri per le denunce delle vittime e di un modello standardizzato dell’Unione per la comunicazione dei reati.

Portata per gli Stati membri

La direttiva è una direttiva di armonizzazione minima: vincola gli Stati membri quanto al risultato da raggiungere, ma lascia spazio alla scelta della forma e dei mezzi. Gli Stati membri possono adottare o mantenere norme penali più rigorose, compresa una definizione più ampia dei reati, e sono incoraggiati a dotare le autorità competenti di risorse adeguate e a rafforzare cooperazione, prevenzione e supporto alle vittime.