Cassazione Penale, Sentenza n. 13559/2024 del 03/04/2024

Esito

La controversia

Impugnazione per violazione di legge e vizio di motivazione rispetto al riconoscimento dell'aggravante di cui all'art. 640-ter, 3° comma (furto o indebito utilizzo dell'identità digitale). Il ricorrente ha sostenuto che le risultanze non dimostrerebbero il furto o l'indebito utilizzo di "identità digitale", rilevando che per accedere al conto si era utilizzata una chiavetta elettronica che genera di volta in volta un codice, e dunque il concetto di identità digitale non sarebbe adattabile al caso.

La decisione

La Corte di Cassazione ha rigettato il ricorso come infondato. Ha ribadito il principio secondo cui la nozione di identità digitale, ai fini dell'aggravante prevista dall'art. 640-ter comma 3, non è limitata alle procedure di validazione adottate dalla pubblica amministrazione (es. SPID, CIE, firma digitale), ma si estende anche alle credenziali e ai dispositivi di accesso a sistemi informatici gestiti da privati, come i servizi di home banking. In particolare, l'uso non autorizzato della chiavetta elettronica che genera codici per operazioni bancarie costituisce indebito utilizzo dell'identità digitale e integra l'aggravante contestata. Il ricorrente è stato condannato al pagamento delle spese processuali e il ricorso è stato respinto. La Corte ha inoltre corretto un riferimento al numero RG della Corte d'appello.

Norme richiamate

• art. 640-ter cod. pen.

  L'aggravante "commesso con furto o indebito utilizzo dell'identità digitale" si applica anche quando l'identità digitale è costituita da credenziali o dispositivi per l'accesso a servizi privati (es. home banking), non solo a sistemi di validazione della P.A.

• art. 9 D.L. 93/2013 (convertito in L. 119/2013)

  Ha introdotto il comma relativo all'aggravante dell'art. 640-ter; la Corte utilizza il rilievo legislativo per interpretare la nozione di identità digitale in senso ampio.

• d.lgs. 7 marzo 2005, n. 82 (Codice dell'amministrazione digitale), art. 1, lett. u-ter / u-quater

  La giurisprudenza e la dottrina possono richiamare definizioni tratte dal Codice dell'amministrazione digitale, ma la Corte osserva che tali definizioni tecniche non esauriscono il concetto penale di identità digitale, che deve essere interpretato anche in relazione a sistemi privati.

• DPCM 24/10/2014 (Sistema pubblico per la gestione delle identità digitali)

  Richiamato per evidenziare che le procedure di validazione della P.A. (SPID, CIE) sono solo una delle tipologie di identità digitale; la norma non esclude l'applicabilità dell'aggravante ai casi con strumenti e credenziali private.

Massime di principio

• La nozione penale di "identità digitale" va interpretata in senso ampio: include credenziali e dispositivi di accesso sia a sistemi pubblici sia a servizi privati (es. home banking, piattaforme online).
• L'utilizzo non autorizzato di PIN, chiavette/token che generano codici o altre credenziali personali può integrare il "furto o indebito utilizzo dell'identità digitale" e quindi l'aggravante dell'art. 640-ter, comma 3.
• La circostanza aggravante si basa sulla capacità degli elementi di accesso (numeri, stringhe, dispositivi) di individuare in modo esclusivo e univoco una persona: non è necessaria una procedura di validazione pubblica.
• La tesi difensiva che limita l'identità digitale ai soli strumenti certificati della P.A. (SPID, CIE, firma digitale) è generalmente insufficiente: la giurisprudenza tende a proteggere l'accesso ai servizi online anche quando gestiti da privati.
• In situazioni analoghe è utile dimostrare la titolarità e l'uso non autorizzato delle credenziali o del dispositivo (es. chiavetta) per configurare l'aggravante; viceversa, il giudice richiederà elementi che colleghino l'operatore al possesso/uso delle credenziali della vittima.